Nicht erst seit dem Inkrafttreten der EU-Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 und der laufenden Totalrevision des schweizerischen Datenschutzgesetzes (DSG) ist das Thema Datenschutz in den Unternehmen wieder vermehrt in den Fokus getreten. Insbesondere die erweiterten Informationspflichten mit einem Ausbau der Rechte der Betroffenen, Dokumentations- und Meldepflichten sowie Datensicherheitsmassnahmen lassen es sinnvoll erscheinen, einige klare Regeln festzuhalten.

Viele Mitarbeitende im Unternehmen sind sich nicht bewusst oder sind unsicher, was Datenschutz genau bedeutet und was im Umgang mit Daten und der Nutzung der IT-Infrastruktur zu beachten ist. Ohne entsprechende Weisungen des Arbeitgebers besteht deshalb die Gefahr, dass Mitarbeitende unter Umständen Personendaten rechtswidrig bearbeiten oder die Infrastruktur nicht korrekt nutzen. Die Folgen können gravierend sein. Es kann der Schutz von Unternehmensgeheimnissen und Geheimhaltungspflichten gegenüber Kunden und anderen Personen verletzt und damit auch der Ruf des Unternehmens erheblich geschädigt werden.

Eine der zentralen Fragen für den Arbeitgeber ist jeweils, wie die Nutzung der IT-Infrastruktur und der Umgang mit Daten geregelt werden soll und wie das Reglement oder die Benutzerrichtlinie ausgestaltet sein muss. In Bezug auf die Nutzung der IT-Infrastruktur gilt es zu definieren, welche privaten und geschäftlichen Nutzungen als zweckmässig und zulässig erachtet werden und welche Kontrollmöglichkeiten gewünscht und durchführbar sind. Zweifelsfrei hat übermässiges Mailen und Surfen der Mitarbeitenden für private Zwecke negativen Einfluss auf die Arbeitszeit und auf die Arbeitsausführung. Es ist deshalb im Interesse des Arbeitgebers, hierzu klare Richtlinien bezüglich der privaten Nutzung des Internets und des Mailens festzuhalten und damit einem möglichen Missbrauch entgegenzuwirken. Es ist empfehlenswert, auch Nutzungsvorschriften inhaltlicher Art zu formulieren, also aufzuführen, was verboten ist (z.B. Aufrufen von bestimmten Internetseiten oder Versand von E-Mails mit illegalen und/oder anstössigen Inhalten oder mit Inhalten, welche der Arbeitgeber als unerlaubt definiert hat (Mobbing, sexuelle Belästigung, etc.). Damit diese Weisungen durchgesetzt werden können, sollten im Reglement oder der Richtlinie Kontrollmöglichkeiten definiert und Sanktionen festgelegt werden.

Ein Reglement oder eine Richtlinie zur Nutzung der IT-Infrastruktur kann jedoch auch dabei unterstützen, innerhalb des Unternehmens eine geordnete und übersichtliche Datenbearbeitung zu gewährleisten. Neben den Verantwortlichkeiten und Berechtigungen kann darin festgehalten werden, wie und in welcher Form elektronische Daten oder geschäftliche E-Mails zu versenden, zu speichern und abzulegen sind, und welche Regeln es bei Abwesenheit oder Austritt von Mitarbeitenden zu beachten gilt.

Durch eine nicht sachgerechte Nutzung von Internet und E-Mail oder eine ungeregelte Anwendung von Peripheriegeräten besteht zudem das Risiko, dass das Firmennetzwerk überlastet oder durch Viren, Würmer und Trojaner infiziert wird.

Welche Themen sollten also in einem Reglement betreffend Nutzung der E-Mail, Internet und der IT-Infrastruktur geregelt werden? Hier ein mögliches Inhaltsverzeichnis:

1. Zweck
2. Private Nutzung
3. Rechtswidrige Nutzung
4. Vertraulichkeit
5. Verhalten/Respekt
6. Speichern betrieblicher Daten
7. Betriebliche Kommunikation
8. Soziale Medien / Business-Netzwerk, Private Netzwerke, Blogs etc.
9. Überwachung
10. Folgen bei Missbrauch

Braucht ein solches Reglement die Zustimmung der Mitarbeitenden und wie kann es geändert werden? Grundsätzlich braucht es die Zustimmung der Mitarbeitenden nicht. Bei einem Nutzungsreglement handelt es sich um eine Weisung des Arbeitgebers. Somit müssen auch spätere Änderungen den Mitarbeitenden lediglich zur Kenntnis gebracht werden. Sofern das Unternehmen einem Gesamtarbeitsvertrag unterstellt ist, gilt es zu prüfen, ob allenfalls die Arbeitnehmervertretung aufgrund der Mitwirkungsrechte (Recht auf Information oder auf Mitsprache) miteinbezogen werden muss.

Je nach Bedürfnis der Firma wird das Reglement relativ kurz oder entsprechend ausführlicher ausfallen. Wichtig ist jeweils, sämtliche Bereiche im Unternehmen in die Erarbeitung des Reglements miteinzubeziehen (so insbesondere die IT und die HR-Abteilung).

Swissmem unterstützt nach Absprache bei der Erarbeitung der Grundlagen und/oder auch bei der konkreten Ausgestaltung und Redaktion eines solchen Reglements oder einer Richtlinie.