Ist Passwortmissbrauch ein Kündigungsgrund?

Passwortmissbrauch kann ein Kündigungsgrund sein, eine fristlose Kündigung ohne vorherige Abmahnung trägt er aber nur in schweren Fällen. Die Rechtsprechung unterscheidet danach, was mit dem Zugang oder den Daten geschehen ist und ob es eine klare betriebliche Regel gab. Der Beitrag ordnet die Fallgruppen nach ihrem Gewicht. Wie drei Entscheidungen die Anforderungen an Arbeitgeber konkretisieren, zeigt unser Insight Kann ich einen Arbeitnehmer wegen Passwortweitergabe fristlos kündigen?.

Welche Pflicht verletzt, wer Passwörter weitergibt?

Die Pflicht zur Rücksichtnahme auf die Interessen des Arbeitgebers nach § 241 Abs. 2 BGB. Eine erhebliche Verletzung dieser Pflicht kann nach dem Bundesarbeitsgericht einen wichtigen Grund für die außerordentliche Kündigung bilden. Was die Pflicht im Einzelnen verlangt, ergibt sich aus dem jeweiligen Arbeitsverhältnis und seinen Anforderungen, eine besondere Vereinbarung ist dafür nicht nötig (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10).

Ein Gesetz, das Beschäftigten konkrete Pflichten zur IT-Sicherheit auferlegt, gibt es nicht. Wie mit Kennungen, Passwörtern und Dateien umzugehen ist, legt deshalb in der Praxis der Arbeitgeber fest, meist in einer IT-Richtlinie oder einer Betriebsvereinbarung. Je konkreter diese Regeln sind, desto leichter lässt sich ein Verstoß später darlegen.

Wie schwer wiegen die einzelnen Fallgruppen?

Nach unserer Einschätzung lassen sich vier Gruppen bilden, deren Gewicht deutlich voneinander abweicht.

• Weitergabe der eigenen Kennung im Team. Etwa an die Urlaubsvertretung oder die Kollegin am Nachbarplatz. Eine Pflichtverletzung liegt vor allem dann vor, wenn eine Richtlinie die Weitergabe ausdrücklich untersagt. Wurde die Praxis im Betrieb geduldet, wird es für den Arbeitgeber schwer.
• Sorgloser Umgang mit Zugangsdaten und Dateien. Unverschlüsselt gespeicherte Passwörter, Firmendaten auf privaten Datenträgern, einfache Kennwörter. Hier verlangt das BAG in aller Regel zuerst eine Abmahnung (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10).
• Unbefugte Nutzung fremder Zugänge und das Aussperren des Arbeitgebers. Wer sich Zugang zu Daten verschafft, die nicht für ihn bestimmt sind, oder dem Arbeitgeber den Zugriff auf betriebliche Daten verwehrt, bewegt sich deutlich näher an der fristlosen Kündigung. Das LAG Niedersachsen hat die fristlose Kündigung eines Buchhalters bestätigt, der kurz vor seinem Ausscheiden dienstliche Ordner und eine Passworttabelle gelöscht hatte, ohne vorherige Abmahnung (zur fristlosen Kündigung wegen Datenlöschung). Schon früher hatte das LAG Hessen die fristlose Kündigung eines Fahrschulleiters bestätigt, der nach einem Streit mit dem Geschäftsführer das Hauptpasswort der EDV geändert, es geheim gehalten und auf Aufforderung ein falsches Passwort genannt hatte. Termine und Zahlungsverkehr waren nicht mehr zugänglich, erst ein Computertechniker schaffte Abhilfe. Das Gericht wertete das als Racheakt, den kein Arbeitgeber sanktionslos hinnehmen muss (LAG Hessen, Urteil vom 13.05.2002 – 13 Sa 1268/01).
• Bewusste Weitergabe von Kundendaten an Dritte. Am schwersten wiegt der Datenabfluss nach außen. Das LAG Hessen hielt hier die Abmahnung für entbehrlich (LAG Hessen, Urteil vom 18.11.2013 – 17 Sa 581/13).

Wann muss der Arbeitgeber vor der Kündigung abmahnen?

In der Regel immer, wenn das Fehlverhalten steuerbar ist. Nach dem BAG ist grundsätzlich davon auszugehen, dass schon die Androhung von Folgen für den Bestand des Arbeitsverhältnisses das künftige Verhalten positiv beeinflusst. Entbehrlich ist die Abmahnung nur, wenn eine Verhaltensänderung auch danach nicht zu erwarten ist oder die Pflichtverletzung so schwer wiegt, dass ihre Hinnahme offensichtlich ausgeschlossen ist, und zwar auch für den Arbeitnehmer erkennbar (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10).

Im entschiedenen Fall hatte ein IT-Leiter private Dateien auf seinem Firmenlaptop gespeichert, obwohl private Software dort untersagt war. Auf dem Laptop lagen außerdem Unternehmensdaten, Passwörter und Zugriffsdaten für den Server unverschlüsselt, und Firmendaten hatte er auf eine private Festplatte kopiert. Das reichte nicht für eine fristlose Kündigung ohne Abmahnung, auch nicht mit Blick auf seine Stellung als Leiter der IT. Wann eine Abmahnung ausnahmsweise entbehrlich ist, behandelt unser Beitrag zur fristlosen Kündigung ohne Abmahnung.

Wann trägt die Datenweitergabe eine fristlose Kündigung ohne Abmahnung?

Wenn Kundendaten bewusst an Dritte gehen und der Beschäftigte erkennen musste, dass der Arbeitgeber das nicht einmal hinnimmt. Im Fall des LAG Hessen bestand gegen eine seit über 20 Jahren beschäftigte Flight Managerin einer Fluggesellschaft der dringende Verdacht, einem Bekannten fremde Passagierdaten weitergeleitet zu haben. Der Bekannte hatte damit Bonuspunkte für fremde Flüge gesammelt und Prämien abgerufen. Das Gericht bestätigte die fristlose Verdachtskündigung, eine Abmahnung war entbehrlich. In der Interessenabwägung überwogen der Vertrauensbruch, der Schaden von rund 18.500 Euro und die Gefahr für die Kundenbeziehungen die lange, beanstandungsfreie Betriebszugehörigkeit (LAG Hessen, Urteil vom 18.11.2013 – 17 Sa 581/13, Teilurteil, nicht rechtskräftig).

Steht die Tat nicht fest, sondern nur ein Verdacht, gelten die strengeren Voraussetzungen der Verdachtskündigung, insbesondere die Anhörung vor der Kündigung. Dazu unser Beitrag Verdachtskündigung bei IT-Sachverhalten.

Was gilt bei der Weitergabe von Personaldaten innerhalb des Unternehmens?

Auch die interne Offenlegung kann eine Pflichtverletzung sein. Personalakten dürfen nur denjenigen zugänglich sein, die mit der Personalverwaltung befasst sind. Wer Daten daraus Kolleginnen und Kollegen offenlegt, verletzt diese Grenze, auch wenn kein Schaden entsteht. Ob es für eine Kündigung reicht oder eine Abmahnung genügt, hängt nach unserer Einschätzung vor allem davon ab, wie sensibel die Daten waren und ob der Arbeitgeber den Zugriff technisch begrenzt hatte.

Häufige Fragen zu Passwörtern und Datenweitergabe

Als Anwalt für Arbeitsrecht in Köln und Anwalt für Arbeitgeber begleiten wir Unternehmen bei Verstößen gegen die IT-Sicherheit von der Sicherung der Beweise über die Abmahnung oder Kündigung bis zum Kündigungsschutzprozess. Den Rahmen dazu gibt unser Bereich IT-Arbeitsrecht.

Sie haben einen konkreten Verdacht oder wollen Ihre Regeln zu Passwörtern und Daten überprüfen lassen? Nehmen Sie Kontakt mit uns auf – die Erstberatung ist für Sie kostenfrei.