I. Einleitung
Dienstliche E-Mail-Konten und Geräte, die Beschäftigten überlassen werden, dienen der täglichen Arbeit. Zugleich enthalten sie Informationen, auf die Arbeitgeber bei internen Untersuchungen, Sicherheitsprüfungen und beim Ausscheiden von Beschäftigten zurückgreifen können. Weil diese Arbeitsmittel dem Arbeitgeber gehören, gehen Unternehmen häufig davon aus, dass sie uneingeschränkt kontrolliert werden dürfen. Dieselben Arbeitsmittel geben jedoch auch Aufschluss über die Korrespondenz der Beschäftigten und mitunter über deren persönliche Kontakte. Bei einer Kontrolle muss der Arbeitgeber deshalb sein Direktionsrecht gegen das Recht der Beschäftigten auf Schutz ihrer personenbezogenen Daten und ihre Kommunikationsfreiheit abwägen.
Der türkische Rat zum Schutz personenbezogener Daten, nachfolgend der „Rat“, hat die Verfahren und Grundsätze für diesen Ausgleich in seinem Grundsatzbeschluss Nr. 2026/2035 vom 16. September 2026, nachfolgend der „Beschluss“, festgelegt. Der Beschluss wurde am 8. Oktober 2026 im Amtsblatt veröffentlicht. Danach berechtigen weder das Eigentum an den Kommunikationsmitteln noch die technische Zugriffsmöglichkeit den Arbeitgeber dazu, die Korrespondenz seiner Beschäftigten nach Belieben zu kontrollieren. Der Beschluss stellt außerdem ausdrücklich klar, dass bei Verstößen Verwaltungsmaßnahmen gegen die Verantwortlichen ergriffen werden. Arbeitgeber müssen daher ihre Nutzungsrichtlinien, Datenschutzhinweise, internen Untersuchungsverfahren und den Umgang mit Konten ausgeschiedener Beschäftigter unverzüglich überprüfen.
II. Technischer Zugriff und rechtliche Kontrollbefugnis
Nach dem Ansatz des Rates ergibt sich die Kontrollbefugnis des Arbeitgebers aus den Voraussetzungen des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten, nachfolgend das „Gesetz“. Diesen Voraussetzungen unterliegt daher auch die bloße Auswertung von Aufzeichnungen darüber, wer wem wann eine E-Mail geschickt hat, ohne den Inhalt der Nachrichten einzusehen. Der Rat behandelt die Verarbeitung von Verkehrs- und Protokolldaten als eigenständige Verarbeitung personenbezogener Daten. Sie unterliegt den allgemeinen Grundsätzen, den Verarbeitungsvoraussetzungen sowie den Informations- und Datensicherheitspflichten des Gesetzes. Je nach den Umständen des Einzelfalls werden die Kriterien des Beschlusses auch auf andere beruflich genutzte Kanäle angewendet, etwa interne Nachrichtendienste, Kundenbeziehungs- und Anfragenmanagementsysteme sowie Chat- und Aufzeichnungsbereiche von Besprechungsplattformen.
Bei persönlichen Konten, die über Unternehmensgeräte erreichbar sind, ist die Trennung zwischen technischem Zugriff und Kontrollbefugnis noch deutlicher. Der Rat erklärt ausdrücklich, dass technische Berechtigungen für ein Gerät, eine Sitzung, ein Netzwerk oder ein Unternehmenssystem dem Arbeitgeber keinen freien Zugriff auf Nachrichten im persönlichen E-Mail-Konto, in einer persönlichen Nachrichten-App oder im Social-Media-Postfach eines Beschäftigten erlauben.
III. Verbot privater Nutzung und Verhältnismäßigkeit
Der Beschluss erkennt an, dass Arbeitgeber im Rahmen ihres Direktionsrechts Regeln zur privaten Nutzung von Kommunikationsmitteln aufstellen können. Voraussetzung ist, dass diese Regeln klar, verständlich und für die Beschäftigten erkennbar sind und dass Verbote oder Einschränkungen ausdrücklich mitgeteilt werden. Ein Verbot privater Nutzung begründet für sich allein jedoch kein uneingeschränktes Kontrollrecht.
Der Rat stellt klar, dass die Kontrollbefugnis auch dann dem Verhältnismäßigkeitsgrundsatz unterliegt, wenn private Nutzung ausdrücklich und unter entsprechender Information der Beschäftigten verboten wurde. Eine dauerhafte, ununterbrochene Überwachung ist unzulässig. Lässt sich ein Verstoß gegen das Verbot anhand anderer Umstände als des Nachrichteninhalts feststellen, gilt der zusätzliche Zugriff auf den Inhalt nicht als erforderlich und verhältnismäßig. Gestattet der Arbeitgeber private Nutzung, ist sein Handlungsspielraum noch enger. Nach dem Beschluss muss sich die Kontrolle auf berufliche Kommunikation beschränken, wenn diese von privater Kommunikation getrennt werden kann. Ist eine Trennung nicht möglich, ist die Kontrollbefugnis enger auszulegen.
IV. Nutzungsrichtlinien, Datenschutzhinweise und ausdrückliche Einwilligung
Ein Arbeitgeber, der in seiner Nutzungsrichtlinie oder seinen Datenschutzhinweisen lediglich darauf hinweist, dass dienstliche E-Mail-Konten kontrolliert werden können, hat seine Beschäftigten nach dem Beschluss nicht ausreichend informiert. Der Rat hält solche allgemeinen Mitteilungen weder als Vorabinformation noch als Datenschutzhinweis für ausreichend. Er verlangt konkrete Angaben zur Rechtsgrundlage, zum Zweck und zum Umfang der Kontrolle, dazu, ob Verkehrs- oder Inhaltsdaten geprüft werden, unter welchen Umständen auf Inhalte zugegriffen werden darf, zur Speicherdauer und zu den Rechten der Beschäftigten. Der Rat verlangt zudem, die berechtigte Erwartung eines nicht entsprechend informierten Beschäftigten zu berücksichtigen, dass in seine personenbezogenen Daten und seine Kommunikationsfreiheit nicht eingegriffen wird. Unseres Erachtens wird daher die Rechtmäßigkeit späterer Kontrollen fraglich, wenn die Datenschutzhinweise unzureichend sind. Heimliche Überwachung ohne Wissen der Beschäftigten und Werkzeuge, die sämtliche Aktivitäten eines Beschäftigten unterschiedslos erfassen, stuft der Rat unmittelbar als rechtswidrig ein.
Auch die Einholung einer ausdrücklichen Einwilligung der Beschäftigten ist in der Regel keine Lösung. Wegen der Abhängigkeit im Arbeitsverhältnis und des Machtungleichgewichts zwischen den Parteien soll die ausdrückliche Einwilligung nach Auffassung des Rates bei E-Mail-Kontrollen grundsätzlich nicht als vorrangige Rechtsgrundlage dienen. Je nach den Umständen des Einzelfalls kann die Kontrolle stattdessen auf einer rechtlichen Verpflichtung, der Begründung, Ausübung oder Wahrung eines Rechts oder einem berechtigten Interesse beruhen. Auch eine dieser Grundlagen beseitigt jedoch nicht die Grenzen für die Art und Weise der Kontrolle.
V. Inhaltskontrolle und interne Untersuchungen
Die für Arbeitgeber greifbarste Einschränkung des Beschlusses besteht im stufenweisen Vorgehen. Der Rat erklärt, dass ein Arbeitgeber keine stärker eingreifende Kontrollmethode wählen darf, wenn er seinen legitimen Zweck mit einem milderen Mittel erreichen kann. Lässt sich der Missbrauch von Kommunikationsmitteln durch technische Maßnahmen wie Filtern oder Sperren verhindern, entsteht auch kein allgemeines Kontrollrecht.
Bei einem Verdacht muss der Arbeitgeber deshalb zunächst Verkehrsdaten prüfen, statt das gesamte Postfach eines Beschäftigten zu durchsuchen. Ist ein Zugriff auf Inhalte erforderlich, muss die Prüfung auf die vom Verdacht betroffene Korrespondenz begrenzt bleiben. Der Rat bezeichnet die Inhaltskontrolle als den intensivsten Eingriff in das Privatleben und die Kommunikationsfreiheit der Beschäftigten. Nachrichteninhalte dürfen nur ausnahmsweise eingesehen werden, wenn Verkehrsdaten nicht ausreichen und der Inhaltszugriff zwingend erforderlich ist, ein konkreter Verdacht besteht und die Prüfung auf diesen Verdacht beschränkt bleibt. Der Rat verlangt außerdem, bei der Prüfung besondere Kategorien personenbezogener Daten sowie die Daten der Korrespondenzpartner zu berücksichtigen. Auf die gewonnenen Daten darf nur eine begrenzte Zahl ermächtigter Mitarbeiter zugreifen. Zugriffe sind zu protokollieren, und diese Mitarbeiter müssen zur Vertraulichkeit verpflichtet sein.
VI. Postfächer ausgeschiedener Beschäftigter
Entgegen der Erwartung eines Arbeitgebers, der ein Postfach zur Verfolgung eingehender E-Mails offenhalten möchte, behandelt der Beschluss die Schließung des Kontos als Regel und seine weitere Offenhaltung als Ausnahme. Nach Ende des Arbeitsverhältnisses muss das Konto grundsätzlich für die Nutzung durch den ausgeschiedenen Beschäftigten und für neue Zugriffe geschlossen werden. Eingehende Nachrichten dürfen unbeteiligten Personen nicht zugänglich sein, und Daten ohne verbleibende Rechtsgrundlage sind zu vernichten. Weiterleitungen, automatische Antworten, Archivierung oder Aufbewahrung können nach den Umständen des Einzelfalls beurteilt werden, wenn sie der Geschäftskontinuität, der Aufrechterhaltung der Unternehmenskommunikation, dem Verteidigungsrecht oder gesetzlichen Pflichten dienen und begrenzt, befristet sowie mit festgelegten Zugriffsrechten und dokumentiert ausgestaltet sind. Dies bedeutet, dass solche Maßnahmen keine allgemeine Möglichkeit für den Arbeitgeber darstellen, sondern eine in jedem Einzelfall zu begründende Ausnahme.
VII. Gesamtbewertung
Arbeitgeber müssen Kommunikationskontrollen nach dem Beschluss als Ausnahme mit vorab festgelegten Voraussetzungen behandeln. In Nutzungsrichtlinien ist ausdrücklich festzuhalten, ob und in welchen Grenzen private Nutzung erlaubt ist. Datenschutzhinweise sind um die vom Rat genannten Angaben zu ergänzen. Interne Untersuchungsverfahren müssen im Voraus bestimmen, welcher Verdacht eine Inhaltsprüfung rechtfertigt, wer sie genehmigt und welchen Umfang sie haben darf. Auch beim Ausscheiden sind der Zeitpunkt der Kontoschließung und das Vernichtungsdatum aufzubewahrender Nachrichten vorab festzulegen. Angesichts der vom Rat verlangten begrenzten und befristeten Aufbewahrung ist es unseres Erachtens mit dem Beschluss unvereinbar, das Konto eines ausgeschiedenen Beschäftigten unbefristet offenzuhalten.
Der Rat erklärt, dass bei festgestellter Nichtbeachtung des Beschlusses Verwaltungsmaßnahmen nach Artikel 18 des Gesetzes ergriffen werden. Dieser Artikel sieht jeweils gesonderte Geldbußen für Verstöße gegen die Informationspflicht, die Datensicherheitspflichten und Beschlüsse des Rates vor. Der Beschluss regelt weder die Verwertbarkeit kontrollierter Nachrichten als Beweismittel in arbeitsrechtlichen Verfahren noch die Wirksamkeit einer darauf gestützten Kündigung. Ein Arbeitgeber, der sich auf Nachrichten aus einer Kontrolle stützt, die den Kriterien des Rates widerspricht, kann jedoch in beiden Punkten mit Einwänden konfrontiert werden. Diese Fragen müssen deshalb in jedem Fall gesondert nach türkischem Arbeitsrecht geprüft werden.
Diese Übersetzung dient ausschließlich Informationszwecken und kann vom Originaltext abweichen.
