Hi,
Ich würde ihm zumindest klar sagen, das du Mitloggst, welche Seiten er ansurft. Dann bist du rechtlich auf der sicheren Seite.
falsch, das mitloggen von Daten, die _personenbezogen_ sind (und das sind diese ja wohl, wenn du sagen kannst, das Mitarbeiter x auf Seite y war) ist definitiv verboten!
Eine Lösung wäre der bereits angesprochene Proxy. Dort können oft entsprechende Rules gesetzt werden, sprich du hast die Möglichkeit, Seiten zu filtern, die nicht besucht werden dürfen. Ähnlich einer Kindersicherung, nur halt für Mitarbeiter ;) Das beste wäre allerdings ein Gespräch mit der Person, da ein Mitarbeiter der dich offensichtlich hintergeht nicht unbedingt deinen Erwartungen entsprechen sollte!