32.2 Warum Sie dieses Kapitel lesen sollten 

Was hat ein Kapitel über »Informationstechnologie und Recht« in einem Buch verloren, das sich vorwiegend mit der professionellen Installation von Active Directory, Microsoft Windows 2000/XP, Microsoft Office und Exchange Server beschäftigt?

Der Betrieb eines Computernetzes kann zur Begehung verschiedener Straftaten missbraucht werden. In Betracht kommen z.B. Hacker-Delikte wie das Ausspähen von Daten gem. § 202a StGB, Computersabotage gem. § 303b StGB oder Computerbetrug gem. § 263a StGB, die Verbreitung rechtswidriger Inhalte oder die Verschaffung von Kinderpornografie gem. § 184 Abs. 5 StGB. Immer wieder ist zu beobachten, dass bei nicht wenigen Computernutzern das Bewusstsein für die Beachtung von Rechten (bzw. gesetzlichen Regelungen) kaum oder gar nicht ausgebildet ist. Beispiele hierfür sind das oft unzulängliche Wissen um die rechtliche Verantwortung bei der Verbreitung von Text-, Bild- oder Audio-Informationen im Internet oder auch um Bestimmungen zur legalen Nutzung von Software.

Unternehmen haften für illegale Downloads In der vom Ministerrat der Europäischen Union verabschiedeten Richtlinie über die Maßnahmen und Verfahren zum Schutz der Rechte an geistigem Eigentum werden Aktivitäten unter Strafe gestellt, die den Kopierschutz von Filmen, Musik oder Software umgehen. Firmen sind damit voll haftbar, wenn Mitarbeiter, Auszubildende, Praktikanten oder auch freie Mitarbeiter nicht lizenzierte Software einsetzen oder kopiergeschützte Inhalte wie Musik und Filme über das Web herunterladen.

Software und Urheberrecht Microsoft hat in seine Softwareprodukte keinen Lizenzzähler eingebaut. Zwar müssen Sie unter Windows Server die Anzahl der erworbenen Client-Zugriffslizenzen (CAL) für den Windows Server und den Exchange Server eingeben, doch werden weitere Clients bei der Anmeldung nicht abgewiesen, wenn die eingetragene Anzahl der Client-Zugriffslizenzen überschritten wird. Der Systemadministrator ist dafür verantwortlich, dass genügend Lizenzen gekauft wurden, und er selbst – nicht nur die Unternehmensleitung – macht sich strafbar, wenn gegen Software-Lizenzbedingungen verstoßen wird.

Doch wie viele Lizenzen müssen vorhanden sein? Benötigen Sie eine separate Lizenz für den Server und je eine Lizenz für jeden Anwender oder eine Lizenz für jede Festplatte, auf der Software zusätzlich installiert ist, auch wenn dem Anwender der Zugriff über Gruppenrichtlinien verboten wird? Darf der Systemadministrator oder ein Mitarbeiter eine Kopie der von ihm genutzten Software zusätzlich auf dem Laptop oder dem PC zu Hause haben, um auch am Wochenende arbeiten zu können? Wie sieht es mit den Lizenzen von Programmpaketen wie Microsoft Office aus, speziell dann, wenn nicht nur Microsoft-Office-Lizenzen, sondern auch Einzellizenzen der Komponenten, z.B. Microsoft Access, separat gekauft wurden? Wie wird lizenziert, wenn das komplette Microsoft Office von einem Terminalserver gestartet wird, jedoch bei bestimmten Benutzern (Laptop-Besitzern) das Microsoft-Office-Paket zusätzlich lokal installiert ist, damit der Benutzer auch netzunabhängig arbeiten kann? Was ist beim Einsatz von Virtualisierungssoftware wie VMware oder Microsoft Virtual Server 2003 R2 zu beachten? Darf man gebrauchte Software-Lizenzen z.B. über eBay erwerben und einsetzen?

Lizenzmetering als Allheilmittel? Die Softwarehersteller mahnen zur Legalisierung der benutzten Softwarelizenzen und zum regelmäßigen Abgleich der Anzahl der gekauften und benutzten Lizenzen. Doch wie kontrolliert man die Anzahl der genutzten Lizenzen? Müssen Sie dazu, wie von den Herstellern vorgeschlagen und in den Fachzeitschriften beinahe zum »Muss« deklariert, ein Lizenzmetering-Programm einsetzen? Dürfen Sie das überhaupt ohne Einwilligung des Betriebsrates? Der Netzwerk-Administrator kann sich hier schnell in die Nesseln setzen.

Nicht alles, was technisch machbar ist, ist auch legal! Gerade der Einsatz von Hard- und Softwareprodukten im Netzwerk, die eine Überwachung einzelner Mitarbeiter ermöglichen, kann ohne Zustimmung der Arbeitnehmer oder ihrer Vertreter eine strafbare Handlung darstellen. Generell ist jede Form von automatisierter Arbeitsüberwachung und Leistungsbewertung von Mitarbeitern vom Betriebsrat zu genehmigen. Nicht erst der Einsatz derartiger Software zur Überwachung, sondern alleine die Möglichkeit, mittels derartiger Software Mitarbeiter bezüglich ihrer Leistung und ihres Verhaltens zu kontrollieren, löst das Mitspracherecht des Betriebsrates aus, und zwar bereits bei der Anschaffungsplanung. Auch hier gilt: Unwissenheit schützt den verantwortlichen IT-Leiter nicht vor Strafe, ganz abgesehen von dem Imageschaden, den sich die IT-Abteilung beim unbedachten Einsatz derartiger Programme ohne Wissen der Kollegen und ihrer Interessenvertretung einhandelt. Hier sind Sensibilität und Verantwortungsbewusstsein des Systemadministrators gefragt.

Schon ein einziges personenbezogenes Datum kann das Mitbestimmungsrecht des Betriebsrates auslösen, wenn es durch Verknüpfung mit anderen Daten oder unter Verwendung von Zusatzwissen Aussagen über die Leistung oder das Verhalten eines Arbeitnehmers ermöglicht.

Zwar gibt es auf dem Markt kaum Software, die gezielt zur Überwachung der Leistung und des Arbeitsverhaltens von Mitarbeitern entwickelt wurde, doch beinhalten viele Softwareprogramme die Möglichkeit, Daten zu erzeugen, die zur Mitarbeiterkontrolle geeignet sind. Beispiele für derartige Programme sind Lizenzüberwachungsprogramme, Remote-Control-Software oder auch Textverarbeitungsprogramme, die Rückschlüsse auf die Benutzereffizienz bei der Arbeit am PC zulassen. Man muss nicht jedes dieser Tools einsetzen, nur weil die Fachzeitschriften voll von Artikeln über die Mächtigkeit dieser Werkzeuge sind und den Eindruck vermitteln, als sei ein Netzwerk ohne Lizenzmetering oder LAN-Inventory kein richtiges LAN.

Das Mitspracherecht des Betriebsrates schiebt einen wirkungsvollen Riegel vor die totale technische Überwachung der Arbeitnehmer. In kleinen Unternehmen ohne Betriebsrat hingegen kann der Arbeitnehmer derartigen Kontrollen seiner Leistung relativ ungeschützt ausgesetzt sein.

Vorschriften des Bundesdatenschutz- und Telekommunikationsgesetzes Die Nutzung von Daten zur Verhaltens- und Leistungskontrolle ist auch Bestandteil der Bestimmungen des Bundesdatenschutzgesetzes (BDSG § 9). Das BDSG regelt den Umgang mit personenbezogenen Daten. Dazu stellt es zunächst Voraussetzungen auf, unter denen personenbezogene Daten erhoben, verarbeitet und genutzt werden dürfen.

Für die Verarbeitung und Nutzung personenbezogener Daten gilt als allgemeiner Grundsatz ein so genanntes Verbot mit Erlaubnisvorbehalt. Das bedeutet, dass die Verarbeitung und Nutzung von Daten verboten ist, es sei denn:

sie ist durch das BDSG oder eine andere Rechtsvorschrift ausdrücklich erlaubt oder angeordnet oder

der Betroffene hat dazu seine Einwilligung erklärt.

Die Verantwortung liegt beim Systemadministrator

Der Systemadministrator sollte nicht der Verlockung des technisch Machbaren nachgeben, sondern sich eher auf sein Solidaritätsgefühl besinnen, wenn er sich nicht auf Dauer die Missgunst seiner Kollegen im Betrieb zuziehen will. Hier gilt es, die notwendige Sensibilität zu entwickeln und auch die eigenen Mitarbeiter der IT-Abteilung im sensiblen Umgang mit personenbezogenen Daten und mit Programmen, die bezüglich des Datenschutzes bedenklich sind, zu schulen. Gleiches gilt für den Umgang mit Software, die dem Urheberrecht unterliegt.

Selbst die Installation von Videoüberwachungskameras zum Überwachen von Gebäuden, Mitarbeiterräumen oder Serverräumen unterliegt gesetzlichen Vorschriften. Grund genug also für den Systemadministrator, sich in Sachen »Informationstechnologie und Recht« fit zu machen.

Das vorliegende Kapitel und das gleichnamige, ungekürzte Dokument auf der Buch-DVD sollen für ihn eine Art Schnellkurs sein. Doch ist es auch ein interessanter Lesestoff für die Unternehmensleitung, den Datenschutzbeauftragten oder die Mitarbeiter des Betriebsrates. Denn nicht zuletzt ist der Inhalt dieses Kapitels auch dazu geeignet, dem Systemadministrator ab und zu kritisch auf die Finger zu sehen.

Es versteht sich von selbst, dass dieses Kapitel keinerlei verbindliche Rechtsberatung darstellen kann und dass längst nicht alle Details dieser umfangreichen und auch nicht ganz einfachen Materie hier angesprochen werden können.