Mitarbeiterüberwachung: Datenschutzrechtliche Rahmenbedi ... / 3.6.1 Datenschutzrechtliche Einordnung im Beschäftigungskontext

Die Durchführung eines Social Engineering Audits geht regelmäßig mit der Verarbeitung personenbezogener Daten von Beschäftigten einher. Erfasst werden typischerweise das Verhalten des einzelnen Mitarbeiters gegenüber dem simulierten Angriff (z. B. Anklicken eines Links, Eingabe von Zugangsdaten, Weitergabe vertraulicher Informationen) sowie Metadaten wie Zeitpunkt und Art der Reaktion.

Rechtsgrundlage für die Datenverarbeitung

Für die Verarbeitung personenbezogener Daten im Rahmen eines Social Engineering Audits bedarf es einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die Einwilligung der Beschäftigten nach Art. 6 Abs. 1a DSGVO scheidet regelmäßig aus, da ein Audit nur dann aussagekräftig ist, wenn die betroffenen Mitarbeiter keine Kenntnis von dessen Durchführung haben. Zudem bestehen die bereits erörterten Bedenken hinsichtlich der Freiwilligkeit einer Einwilligung im Beschäftigungsverhältnis.

In Betracht kommt eine Verarbeitung auf Grundlage des berechtigten Interesses des Arbeitgebers gemäß Art. 6 Abs. 1f DSGVO. Nach allgemeiner Auffassung der Datenschutzbehörden kann ein berechtigtes Interesse des Verantwortlichen unter anderem dann vorliegen, wenn die Datenverarbeitung der Verhinderung von Betrug, Missbrauch oder anderen rechtswidrigen Handlungen dient. Die Durchführung eines Social Engineering Audits zur Stärkung der IT-Sicherheit und zur Prävention von Cyberangriffen kann als ein solches legitimes Interesse qualifiziert werden, da sie dem Schutz des Unternehmens, seiner Systeme und letztlich auch der personenbezogenen Daten Dritter (Kunden, Geschäftspartner) dient.

Transparenz- und Verhältnismäßigkeitsanforderungen

Die Durchführung eines Social Engineering Audits ohne vorherige individuelle Information der betroffenen Beschäftigten steht grundsätzlich in einem Spann...