Darf der Arbeitgeber wegen Passwortweitergabe fristlos kündigen?

Kündigung wegen Passwortweitergabe – ein Vorwurf, der schneller erhoben als bewiesen ist

Kündigung wegen Passwortweitergabe: Die Kollegin in der Urlaubsvertretung bekommt das eigene Passwort, der Zettel klebt am Bildschirm, Firmendaten landen auf dem privaten Laptop. Arbeitgeber reagieren auf solche Vorfälle zunehmend mit der fristlosen Kündigung und berufen sich auf die IT-Sicherheit. Einen Automatismus gibt es aber nicht. Ob die Kündigung hält, entscheidet § 626 Abs. 1 BGB, und dort steht vor der Kündigung in aller Regel die Abmahnung.

Dieser Ratgeber zeigt anhand der Rechtsprechung, wann eine Kündigung wegen Passwort- oder Datenweitergabe gescheitert ist, wann sie gehalten hat und worauf es im Kündigungsschutzprozess ankommt. Eines vorweg: Die Drei-Wochen-Frist für die Kündigungsschutzklage läuft ab dem Tag, an dem die Kündigung bei Ihnen ankommt. Was in den ersten Tagen zu tun ist, fasst unser Ratgeber zu den ersten Schritten nach einer Kündigung zusammen.

Passwortweitergabe als Kündigungsgrund – was das Bundesarbeitsgericht verlangt

Wer mit Passwörtern und Firmendaten nachlässig umgeht, kann seine Pflicht zur Rücksichtnahme auf die Interessen des Arbeitgebers verletzen (§ 241 Abs. 2 BGB). Eine erhebliche Verletzung dieser Pflicht kann nach dem Bundesarbeitsgericht einen wichtigen Grund für eine fristlose Kündigung bilden. Was die Pflicht im Einzelnen verlangt, ergibt sich aus dem jeweiligen Arbeitsverhältnis (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10).

Das ist aber nur die erste Stufe. Danach ist in einer Gesamtwürdigung abzuwägen, ob dem Arbeitgeber die Weiterbeschäftigung wenigstens bis zum Ablauf der Kündigungsfrist zumutbar ist. Eine fristlose Kündigung kommt nur in Betracht, wenn alle milderen Mittel unzumutbar sind, vor allem die Abmahnung und die ordentliche Kündigung (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10). Die Grundlagen stehen im Ratgeber zur fristlosen Kündigung.

Aus unserer Sicht kommt es bei der Weitergabe eines Passworts an Kollegen vor allem darauf an, was im Betrieb konkret geregelt ist. Gibt es eine IT-Richtlinie, die jede Weitergabe untersagt, und war sie Ihnen bekannt? Wurde die Weitergabe vielleicht sogar geduldet, etwa für Urlaubsvertretungen? Ohne klare Regel ist schon die Pflichtverletzung fraglich.

Abmahnung vor der Kündigung wegen Passwortweitergabe – grundsätzlich ja

Das Bundesarbeitsgericht hat die fristlose Kündigung eines IT-Leiters für unwirksam gehalten, obwohl er gegen die IT-Regeln seines Arbeitgebers verstoßen hatte. Der Mann war für Hard- und Software zuständig und hatte die Mitarbeiter selbst mehrfach auf die Sicherheitsregeln hingewiesen. Auf seinem Firmenlaptop fanden sich neben Unternehmensdaten, Passwörtern und Zugriffsdaten für den Server auch private Videos, Bilder und Musikdateien, obwohl private Software auf den Firmenrechnern untersagt war. Die Daten waren unverschlüsselt gespeichert. Unternehmensdaten hatte er außerdem auf eine private Festplatte kopiert (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10).

Das reichte nicht für eine fristlose Kündigung. Der Arbeitgeber hätte zunächst abmahnen müssen. Nach dem Bundesarbeitsgericht ist bei steuerbarem Verhalten grundsätzlich davon auszugehen, dass schon die Androhung von Folgen das künftige Verhalten positiv beeinflusst. Entbehrlich ist die Abmahnung nur, wenn eine Verhaltensänderung auch nach einer Abmahnung nicht zu erwarten ist oder die Pflichtverletzung so schwer wiegt, dass ihre Hinnahme offensichtlich ausgeschlossen war, und zwar auch für den Arbeitnehmer erkennbar. Im entschiedenen Fall war das nicht so:

• Stellung als IT-Leiter: Dass der Kläger die Regeln selbst gepredigt hatte, änderte nichts. Auch sein eigener Verstoß war keine Pflichtverletzung, deren erstmalige Hinnahme offensichtlich ausgeschlossen war.
• Nur ein einfaches Passwort: Dass die Unternehmensdaten auf dem Laptop nur durch ein einfaches Passwort gesichert waren, machte die Abmahnung nicht entbehrlich. Eine ausdrückliche Anordnung weitergehender Sicherungen hatte der Arbeitgeber nicht behauptet.
• Daten auf der privaten Festplatte: Der Kläger hatte die Sicherheit der Daten möglicherweise gefährdet. Dass Dritte tatsächlich Zugriff nehmen konnten, hatte der Arbeitgeber aber nicht behauptet.

Über die hilfsweise erklärte ordentliche Kündigung hatte das Bundesarbeitsgericht nicht zu entscheiden. Mehr zur Wirkung einer Abmahnung im Ratgeber Abmahnung.

Kundendaten an Dritte weitergegeben – wann die Kündigung ohne Abmahnung hält

Anders liegt es, wenn Kundendaten bewusst nach außen gehen. Das Hessische Landesarbeitsgericht hat die fristlose Kündigung einer seit über 20 Jahren beschäftigten Flight Managerin einer Fluggesellschaft bestätigt. Ein Bekannter hatte mit fremden Flug- und Passagierdaten Bonuspunkte auf Konten von Personen aus ihrem Umfeld sammeln lassen und Prämien abgerufen, einige davon gingen an die Klägerin selbst. Die Klägerin bestritt, Daten weitergegeben zu haben. Sie räumte nur ein, dem Bekannten zweimal über ihr persönliches Sign-In Zugang zum Internet an einem Computer der Arbeitgeberin verschafft zu haben (LAG Hessen, Urteil vom 18.11.2013 – 17 Sa 581/13).

Das Gericht stützte die Kündigung auf den dringenden Verdacht, dass die Klägerin dem Bekannten die Passagierdaten bewusst weitergeleitet hatte. Eine Abmahnung war nach Auffassung des Gerichts entbehrlich. Es sei für die Klägerin von vornherein erkennbar gewesen, dass die Arbeitgeberin die Herausgabe fremder Passagierdaten an Dritte auch nicht einmalig dulden würde. In der Interessenabwägung sprachen die lange, beanstandungsfreie Betriebszugehörigkeit und das Lebensalter für die Klägerin. Den Ausschlag gaben der Vertrauensbruch, ein Schaden von rund 18.500 Euro und die Gefahr für die Kundenbeziehungen. Das Urteil ist als Teilurteil ergangen und war bei Veröffentlichung nicht rechtskräftig.

Für Sie heißt das: Entscheidend ist, wohin die Daten gegangen sind, ob Sie sie bewusst weitergegeben haben und ob der Arbeitgeber das beweisen kann. Eine weitergegebene Zugangskennung allein ist etwas anderes als die Weitergabe von Kundendaten an einen Dritten. Wer betriebliche Daten löscht, riskiert ebenfalls die fristlose Kündigung ohne Abmahnung, wie unser Ratgeber zur fristlosen Kündigung wegen Datenlöschung zeigt. Um private Dateien auf dem Firmenlaptop geht es im Ratgeber private Dateien auf dem Firmenlaptop. Wer Kundendaten an die eigene private E-Mail geschickt hat, findet die Rechtslage im Ratgeber Firmendaten an die private E-Mail weitergeleitet.

Beweislast beim Arbeitgeber – was er im Prozess belegen muss

Die Pflichtverletzung muss der Arbeitgeber im Kündigungsschutzprozess darlegen und beweisen. Kann er die Weitergabe nicht nachweisen, bleibt ihm nur die Verdachtskündigung. Die setzt nach dem Bundesarbeitsgericht starke Verdachtsmomente voraus, die sich auf objektive Tatsachen gründen. Der Verdacht muss dringend sein, es muss also eine große Wahrscheinlichkeit dafür bestehen, dass er zutrifft. Bloße, auf mehr oder weniger haltbare Vermutungen gestützte Verdächtigungen reichen nicht. Außerdem muss der Arbeitgeber alle zumutbaren Anstrengungen zur Aufklärung unternommen und Ihnen Gelegenheit zur Stellungnahme gegeben haben (so zusammengefasst im Urteil des LAG Hessen vom 18.11.2013 – 17 Sa 581/13). Mehr dazu im Ratgeber zur Verdachtskündigung.

Da wir auch Arbeitgeber vertreten, wissen wir, wie schwierig es ist, eine Kündigung wegen Passwort- oder Datenweitergabe sauber vorzubereiten. Welche Fallgruppen Arbeitgeber dabei unterscheiden müssen, zeigt unser Beitrag zum Passwortmissbrauch auf arbeitsrecht-haque.de. Für Sie als Arbeitnehmer liegen genau dort die Angriffspunkte.

Zwei-Wochen-Frist, Betriebsrat und Anhörung – woran die Kündigung formal scheitert

Eine Kündigung wegen Passwort- oder Datenweitergabe kann an Formalien scheitern, obwohl der Vorwurf zutrifft. Diese Punkte prüfen wir in jedem Fall:

• Zwei-Wochen-Frist: Die fristlose Kündigung muss innerhalb von zwei Wochen erklärt werden, nachdem der Kündigungsberechtigte die maßgeblichen Tatsachen kennt (§ 626 Abs. 2 BGB). Ermittlungen hemmen die Frist nur, solange sie mit der gebotenen Eile geführt werden. Im Fall der Flight Managerin hatte das Arbeitsgericht die Kündigung deshalb zunächst für unwirksam gehalten. Das Landesarbeitsgericht sah die Frist als gewahrt an.
• Betriebsrat: Er muss vor der Kündigung ordnungsgemäß angehört werden (§ 102 BetrVG).
• Anhörung bei der Verdachtskündigung: Stützt der Arbeitgeber die Kündigung nur auf einen Verdacht, muss er Sie vorher anhören.

Die Fristenlage im Überblick zeigt unser Ratgeber zu den Fristen im Arbeitsrecht.

Personalgespräch wegen Passwort- oder Datenweitergabe – vorher mit dem Anwalt sprechen

Lädt Ihr Arbeitgeber Sie zu einem Gespräch über Zugangsdaten oder einen Datenabfluss ein, droht Ihnen die Kündigung. Sie müssen sich in diesem Gespräch nicht zu dem Vorwurf äußern. Im Kündigungsschutzprozess muss der Arbeitgeber die Pflichtverletzung beweisen. Je nach Fall kommen zum Beispiel diese Möglichkeiten in Betracht:

• Zunächst gar nichts zum Vorwurf sagen. Hören Sie sich an, was Ihnen vorgehalten wird, und äußern Sie sich im Gespräch selbst nicht dazu.
• Eine spätere Stellungnahme ankündigen. Sie können mitteilen, dass Sie sich nach Rücksprache mit Ihrem Anwalt schriftlich äußern.
• Das Gespräch festhalten. Notieren Sie direkt danach, wer anwesend war, was Ihnen konkret vorgeworfen wurde und welche Belege der Arbeitgeber genannt hat.
• Die Regeln im Betrieb zusammentragen. IT-Richtlinie, Arbeitsanweisungen zur Vertretung und alles, was zeigt, wie im Team tatsächlich mit Zugängen umgegangen wurde.

Nehmen Sie das Gespräch aber nicht heimlich auf. Warum, erklärt unser Ratgeber zur Kündigung wegen heimlicher Aufnahme. Welcher Weg in Ihrem Fall der richtige ist, hängt vom konkreten Vorwurf und von der Beweislage ab. Das sollten Sie vor dem Gespräch individuell mit einem Anwalt für Arbeitsrecht besprechen.

Aufhebungsvertrag nach dem Vorwurf – besser nicht unterschreiben

Bietet Ihnen der Arbeitgeber statt der Kündigung einen Aufhebungsvertrag an, ist davon in aller Regel abzuraten. Wer unterschreibt, verliert den Kündigungsschutz, und die Agentur für Arbeit verhängt regelmäßig eine Sperrzeit beim Arbeitslosengeld von bis zu zwölf Wochen (§ 159 SGB III). Mehr dazu unter Sperrzeit beim Arbeitslosengeld.

Kündigung wegen Passwortweitergabe erhalten – was Sie sofort tun sollten

• Zugangsdatum festhalten. Umschlag aufheben, Datum notieren. Davon läuft die Drei-Wochen-Frist.
• Arbeitsuchend melden. Spätestens drei Tage nach Erhalt der Kündigung bei der Agentur für Arbeit, sonst droht eine Minderung des Arbeitslosengeldes.
• Unterlagen zusammenlegen. Arbeitsvertrag, Kündigung, alle Abmahnungen, die IT-Richtlinie und den Schriftwechsel zu dem Vorwurf.
• Nichts unterschreiben. Kein Aufhebungsvertrag, kein Abwicklungsvertrag, keine Ausgleichsquittung.
• Anwalt für Arbeitsrecht anrufen. Am selben oder am nächsten Tag unter 0221-29230110, nicht erst in der dritten Woche.

Häufige Fragen zur Kündigung wegen Passwortweitergabe

Darf mir wegen der Weitergabe meines Passworts fristlos gekündigt werden?

Nur ausnahmsweise. Auch bei Verstößen gegen IT-Regeln muss der Arbeitgeber in der Regel zuerst abmahnen. Das Bundesarbeitsgericht hat die fristlose Kündigung eines IT-Leiters, der Unternehmensdaten und Passwörter unverschlüsselt gespeichert und Firmendaten auf eine private Festplatte kopiert hatte, deshalb für unwirksam gehalten (BAG, Urteil vom 24.03.2011 – 2 AZR 282/10).

Ist es ein Kündigungsgrund, Firmendaten auf einem privaten Datenträger zu speichern?

Es kann eine Pflichtverletzung sein. Im Fall des Bundesarbeitsgerichts reichte es aber nicht für eine fristlose Kündigung ohne vorherige Abmahnung, zumal der Arbeitgeber nicht behauptet hatte, dass Dritte tatsächlich Zugriff auf die Daten nehmen konnten.

Wann ist eine Abmahnung bei Datenweitergabe entbehrlich?

Wenn die Pflichtverletzung so schwer wiegt, dass ihre Hinnahme für den Arbeitnehmer erkennbar ausgeschlossen war. Das Hessische Landesarbeitsgericht hat das beim dringenden Verdacht angenommen, dass eine Mitarbeiterin Passagierdaten bewusst an einen Bekannten weitergegeben hatte, der damit Bonuspunkte sammelte (LAG Hessen, Urteil vom 18.11.2013 – 17 Sa 581/13).

Muss ich im Personalgespräch zu dem Vorwurf Stellung nehmen?

Nein. Sie müssen sich nicht äußern, und im Prozess muss der Arbeitgeber die Pflichtverletzung beweisen. Ob und wie Sie Stellung nehmen, sollten Sie vorher mit einem Anwalt für Arbeitsrecht besprechen.

Wie lange habe ich Zeit, gegen die Kündigung zu klagen?

Drei Wochen ab Zugang der schriftlichen Kündigung (§ 4 KSchG). Danach gilt die Kündigung nach § 7 KSchG als wirksam, auch wenn der Vorwurf nicht zu halten gewesen wäre.

Kündigung wegen Passwortweitergabe – worauf es für Sie ankommt

Ein Verstoß gegen IT-Regeln trägt eine fristlose Kündigung in aller Regel nur nach einer Abmahnung. Eng wird es, wenn Kundendaten bewusst an Dritte gehen und der Arbeitgeber das belegen kann. Prüfen lässt sich das nur, solange die Drei-Wochen-Frist läuft. Als Anwalt für Arbeitsrecht in Köln vertreten wir Arbeitnehmer bundesweit vor den Arbeitsgerichten.