Datenschutz heute und in der Zukunft

Das Grundgesetz schützt im Artikel 2 Satz 1 die freie Entfaltung der Persönlichkeit. Daraus leitet sich das Datenschutzrecht ab. Die Europäische Union hat diese aus den allgemeinen Menschenrechten stammende Idee in der EU-Datenschutz-Grundverordnung (DSGVO) in EU-weit geltendes Recht umgesetzt.

Aus dem Grundrecht der freien Entfaltung der Persönlichkeit leiten sich das Recht am eigenen Bild und das Recht an den eigenen Daten ab. Nach Art.2 Satz 1 GG darf in diese Rechte nur auf Grund eines Gesetzes eingegriffen werden.

Zentraler Begriff des Datenschutzrechts sind die personenbezogenen Daten. Nach deutschem und europäischem Recht sind dies alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen oder beziehen lassen. Definition

Das Recht an den eigenen Daten bedeutet meine Daten gehören mir. Deshalb bedarf die Weitergabe an andere, sog. Dritte im Sinne des Datenschutzrechts der persönlichen Einwilligung, sofern dies nicht durch Gesetz oder Rechtsverordnung (wie z.B. die Weitergabe an die Sozialversicherungeinrichtungen) geregelt ist.

Artikel 6 der EU-DSGVO erlaubt die Verwendung personenbezogener Daten im Rahmen der Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, und darunter fällt insbesondere auch das Arbeitsverhältnis. Eine präzisere Definition, welche Daten zur Verwaltung des Arbeitsverhältnisses benutzt werden dürfen, lässt besagte Datenschutz-Grundverordnung vermissen. Das Problem wurde erfolgreich auf ein Beschäftigtenschutzgesetz vertagt, das es bis heute nicht gibt.

Der Verabschiedung der Datenschutz-Grundverordnung ist eine ausgedehnte Lobbyarbeit vorangegangen; es gab hunderte von Änderungen gegenüber dem Entwurfstext.

In den Betrieben hat die elektronische Personaldatenverarbeitung - insbesondere im Rahmen der Personalinformationssysteme - die Speicherung von Arbeitnehmerdaten im Sinne einer großzügig ausgelegten Interpretation stark befördert.

Staatliche Stellen haben schon immer großen Appetit beim Datensammeln gezeigt. In einem richtungweisenden Urteil vom 27.2.2007 hat das Bundesverfassungsgericht (Aktenzeichen 1BvR 370/07) dieser Sammelwut enge Grenzen gesetzt. Es geht um das Grundrecht auf informationelle Selbstbestimmung, ein Recht, das über den Schutz der Privatsphäre hinausgeht und dem Einzelnen die Befugnis gibt, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.

Computer seien für das Leben der Menschen immer wichtiger geworden. Sie seien nicht mehr wegzudenken aus dem Prozess der Entfaltung der Persönlichkeit. Dies habe sich noch durch die gestiegene Vernetzung, insbesondere dank der gewachsenen Bedeutung des Internets, erheblich verstärkt, so das Gericht bereits im Jahr 2007. Deshalb ging das Bundesverfassungsgericht damals über seine vorherige Rechtsprechung hinaus und formulierte ein Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, kurz Computergrundrecht genannt. Dieses Grundrecht schützt die Vertraulichkeit und Integrität informationstechnischer Systeme, wie z.B. Computer und Smartphones.

Das damalige Urteil betraf zwar nur das Verhältnis zwischen Individuum und Staat. Die Rechtsexperten sind sich aber einig, dass seine Grundsätze auch im Arbeitsverhältnis sinngemäß zu gelten haben.

Glaubt man der Politik, so macht Digitalisierung das Leben einfacher. Seltsamerweise passiert das aber nicht, nicht in der öffentlichen Verwaltung und auch nicht in den Betrieben. Ehemals einfache Dinge werden eher komplizierter, die Menschen sind in der Arbeit immer mehr an die Computer gebunden, nicht nur das: Computerprogramme schreiben den Menschen immer mehr vor, was sie als Nächstes zu tun haben. Vorbei die Zeiten, in denen man noch sagen konnte: Gute Software erkennt man daran, dass man bei der Arbeit nicht merkt, dass man mit einem Computer arbeitet.

Mangels anderer gesetzlicher Regelungen schreiben die Datenschutz-Grundverordnung und das deutsche Datenschutzgesetz das Einverständnis vor, wenn die datensammelnde Instanz personenbezogene Daten einer Benutzerin oder eines Benutzers haben will. Das ist bei fast allen aus einer Cloud oder aus dem Internet aufgerufenen Programmen oder Seiten der Fall. Die Datensammler begnügen sich leider nicht, nur für die Zeit der Verbindung dafür zu sorgen, dass ein Kontakt zwischen Sender und Empfänger aufrecht erhalten wird, sondern greifen allerhand Informationen über die Benutzer ab. Deshalb muss man z.B. bei fast jedem Aufruf einer Internet-Seite sogenannte Cookies akzeptieren. Bei vielen weiteren Softwareangeboten muss man ebenfalls teils ellenlangen Datenschutzerklärungen zustimmen. Das alles nervt und würde - wenn man es ernst nähme - ziemlich viel Zeit kosten. Also klickt man lieber auf .

Jetzt wissen Sie wahrscheinlich überhaupt nicht, wozu Sie zugestimmt haben.

Das Ergebnis: Frustration und Gleichgültigkeit. Datenschutz wird als Belästigung empfunden, die man lieber nicht mehr ernstnimmt. Die Sensibilität für Datenschutz hat auf breiter Front abgenommen.

Die EU-Datenschutzgrundverordnung (DS-GVO) umfasst ausgedruckt auf 124 DIN-A-4-Seiten ein Dokument, das erst einmal 50 Seiten lang in Erwägung von 173 Gründen dann auf 74 weiteren Seiten in 99 Artikeln, aufgeteilt auf 12 Kapitel, einen für Laien nur schwer lesbaren und noch schwerer verständlichen Gesetzestext präsentiert. Sie enthält jedoch keine spezifischen Vorschriften zur Verarbeitung personenbezogener Daten im Beschäftigungskontext. Sie kann als gelungenes Meisterwerk erfolgreicher Lobbyarbeit begriffen werden, das große Interpretationsspielräume eröffnet und dem Datenschutz eher einen Bärendienst erwiesen hat. Motto: Nichts ohne mein Anwaltsbüro.

Das Datenschutzrecht gewährt den Beschäftigten eine Menge von Rechten. Die Verarbeitung ihrer Daten ist nur im Rahmen rechtlicher Grundlagen erlaubt. Die Beschäftigten sind vor allem über ihre gespeicherten persönlichen Daten zu informieren.

§ 26 Abs. 1 BDSG nennt das „berechtigte Interesse“ des Arbeitgebers ausdrücklich als Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Wortlaut.

Mangels Präzisierung in den Datenschutzgesetzen (EU-Datenschutz-Grundverordnung, deutsches Datenschutzgesetz BDSG Wortlaut) besteht hier aber ein großer Interpretationsspielraum. Im Zweifelsfall bestimmt dies der Arbeitgeber.

Allerdings sind dabei die Grundsätze der

• Zweckbinding: genaue Festlegung des Verwendungszwecks der Daten
• Verhältnismäßigkeit: Daten dürfen nur in dem Umfang erhoben und verarbeitet werden, der zur Erfüllung der Verarbeitungszwecke erforderlich ist.
• Normeklarheit: Die Regeln der Verarbeitung müssen für alle betroffenen Personen transparent sein.

einzuhalten.

Gängige elektronische Verfahren der Arbeitnehmerdatenverarbeitung sind Zeiterfassungs- und Personalabrechnungssysteme wie z.B SAP-HCM oder Workday. Viele Unternehmen haben darüber hinaus spezifische Verfahren, die zu einer beachtlichen Vermehrung der Verarbeitung von Arbeitnehmerdaten führen können, z.B. digitale Personalakten mit ausführlicher Historie der Personalentwicklung, Skill Management-Systeme und Performance-Management-Systeme mit Zielvereinbarungen und Beurteilungsverfahren. In vielen Fällen gilt hier der Abschluss einer Betriebsvereinbarung als Rechtsgrundlage. Zum Glück für Beschäftigte und Führungskräfte können diese Managementmethoden heutzutage als ziemlich überholt betrachtet werden und sind entsprechend seltener geworden.

Produktions- und Logistikbereiche haben oft spezielle Softwaresysteme, bei denen die Arbeitnehmerdatenverarbeitung nicht das erklärte Ziel ist und nur eine Randrolle spielt. Oft stellt sich in diesen sogenannten Betriebsdaten aber auch ein Personenbezug her, da meist Ort und Zeit des Geschehens bekannt und somit auf die betroffene Person Rückschlüsse möglich sind.

Genau so sieht es aus für Bereiche mit überwiegender Bürotätigkeit. Das Mail-System, der Internet-Zugang, Programme für die Computersicherheit und vor allem die Office-Programme (Textverarbeitung, Tabellenkalkulation, Präsentationssoftware, elektronische Konferenz-Systeme) sind nahezu in jedem Betrieb präsent und besonders ausgeprägt, wenn es sich um Systeme der Firma Microsoft handelt (z.B. Microsoft 365, früher Office 365).

In allen diesen Systemen wird sehr ausführlich protokolliert, was die Benutzerinnen und Benutzer tun. Der „eigentliche" Inhalt der dabei verarbeiteten Daten hat meist gar nichts mit den Personen der Beschäftigten zu tun. Der Personenbezug kommt aber auch hier dadurch zustande, dass fast bei jedem Tastenschlag in den Systemen festgehalten wird, wann das war (Datum und Uhrzeit) und wer das getan hat bzw. an welchem Ort, welcher Maschine oder welchem Arbeitsplatz der Vorgang bearbeitet wurde.

Bei der Nutzung von Textverarbeitungs- oder Tabellenkalkulationsprogrammen hat man sich bis vor zehn Jahren unter dem Gesichtspunkt Datenschutz keine Gedanken gemacht. Doch vor allem die als harmlos erscheinenden Office-Programme haben zu einer Veränderung der Szene geführt. Insbesondere die Programme der Firma Microsoft haben sich zu fleißigen Datensammlern gemausert.

Arbeitsbeziehungen in Microsoft Graph

Graph ist das Hintergrund-Programm der Office-Software von Microsoft. Hier werden die Arbeitsbeziehungen der Beschäftigten umfänglich abgebildet, eine Fundgruppe für die neuen Anwendungen der Künstlichen Intelligenz, mit denen das komplette Office-System zurzeit angereichert wird. Hier eine kurze Auflistung.

Ein ernster Konflikt bahnt sich zwischen einem Konzept, das unter dem Begriff
Compliance gehandelt wird und dem Datenschutz an. Wie man die hier behaupteten Compliance-Verletzungen (z.B. Geldwäsche, Aufdecken geheimer Absprachen) anhand der Nutzung von Bürosoftware erkennen kann, bleibt allerdings das Geheimnis von Microsoft.

Mustererkennung ist eine Leistung des Maschinellen Lernens. Sie lässt sich gut auf die Graph-Daten anwenden. Dann kann man - orientiert entweder am statistischen Durchschnittsverhalten oder an ausgewählten Compliance Regeln - ein Muster für sogenanntes „normales“ Verhalten festlegen und das tatsächliche Verhalten von Beschäftigten damit abgleichen. Völlig neuartige Auswertungen werden auf dieser Grundlage möglich.

Seit November 2022 ist alles anders. Alle reden von ChatGPT Jeder, wirklich jeder kann jetzt mitmachen. Ein mächtiges Werkzeug mit Antworten für alle und auf fast alle Fragen, aus dem Stand nutzbar: Das Tool kann Texte zusammenfassen, neue Texte schreiben, Routineaufgaben lösen, Zeit freischaufeln für anspuchsvolle Sachen und Arbeitsplätze einsparen. Was die einfachen Chatbots (wie ChatGBT oder Googles Gemini) mit Sprache können, geht auch mit Video- und Audiomaterial: Aufgrund weniger Angaben lassen sich Bilder erzeugen oder bestehende Bilder verändern und Videoclips künstlich herstellen. Mustererkennung lässt sich auch auf Mimik und Körpersprache anwenden, bekannt unter Sentimentanalyse. Hier können - gemäß Werbung der Systemanbieter - Produktivität, Loyalität und die Bindung von Beschäftigten an das Unternehmen beobachtet und gemanagt werden. Die Systeme sollen dahin entwickelt werden, Emotionen zu erkennen, zu simulieren und darauf zu reagieren - neue Dimensionen für das Management und neue Probleme für den Schutz der Persönlichkeitsrechte.

Und was heißt das jetzt für den Datenschutz?

• Digitalisierung: Für alles, was einmal digitalisiert wurde, gilt: Kaum noch etwas bleibt geheim. Fast alles kann man herausfinden und in beliebigen anderen Zusammenhängen weiterverwenden.
• Das datenschutzrechtliche Gebot der Zweckbestimmung für die Verarbeitung personenbezogener Daten ist so gut wie aufgehoben.
• Verlorene Kontrolle: Die Einhaltung der Verabredung, persönliche Daten im Betrieb nur nach vereinbarter Zweckbestimmung zu verwenden, ist technisch nicht mehr überprüfbar.
• Datensparsamkeit wird zum einzig wirksamen Schutz. Daten, die nicht vorhanden sind, können auch nicht missbraucht werden.
• Transparenz der Verarbeitung lässt sich nicht mehr herstellen. Die den Chatbots und den meisten anderen KI-Anwendungen zugrundeliegende Technik der Large Language Models und Neuronalen Netze kann nicht erklären, wieso sie zu ihren Ergebnissen kommt. Die Systeme wurden in zigtausendfachen Wiederholungen nur auf Mustererkennung trainiert.
• Das Wissen der Benutzerinnen und Benutzer über die Funktionsweise und vor allem die Leistungsgrenzen der aktuellen KI-Technik ist wichtiger denn je. Man muss die „Halluzinationsgefahr“ der Technik kennen.
• Das Zusammenspiel zwischen Technik und menschlicher Arbeit wird sich verändern.Wir haben uns auf eine andere Beziehung zwischen Menschen und Maschinen einzustellen. Welche Grenzen der KI-Technik dabei gesetzt werden, muss noch herausgefunden werden.
• Eine große Herausforderung wird es sein, eine Polarisierung der Welt - sowohl der Beschäftigten als auch der Unternehmen und Gesellschaften - zu vermeiden. Um auf der Höhe der Zeit mit der neuen Technik umzugehen, bedarf es gut überlegter Initiativen des Managements und gründlicher Qualifizierungskonzepte für die Beschäftigten.
• Wir verfügen zur Zeit über keine Blaupausen oder fertigen Konzepte. Erfahrungen müssen gesammelt und gemeinsam bewertet werden.

Von der Politik ist zur Zeit (leider) wenig zu erwarten. Nicht vorhandene Regulierungen müssen derweil durch betriebsinterne Regeln ersetzt werden. Diese sollten für Informiertheit und Aufmerksamkeit der Beschäftigten sorgen, ihnen ein paar Verhaltengrundsätze vermitteln und eine offenen Kommunkationskultur fördern.

Stolpersteine: Vor diesem Hintergrund sind die Marktmacht der großen Tech-Konzerne, die Ahnungslosigkeit und Verschlafenheit der Politik, die Blindheit der Verbände (Gewerkschaften und Arbeitgeberorganisationen gleichermaßen) und die Ferne der Unternehmenszentralen - vor allem internationaler Konzerne - von der konkreten Arbeit alles andere als vertrauensbildend.