Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts

5.9 Löschpflicht

5.9.1 Norminhalt

Aus dem allgemeinen Rechtsgrundsatz der Verhältnismässigkeit (Art. 4 Abs. 2 DSG, Art. 5 Abs. 2 E-DSG, Art. 6 Abs. 2 rev-DSG) fliesst die Pflicht der Arbeitgeberin, die Daten nach einer bestimmten Zeit zu löschen. Der spezifische Datenbearbeitungsgrundsatz der Zweckbindung (Art. 4 Abs. 3 DSG, Art. 5 Abs. 3 E-DSG, Art. 6 Abs. 3 rev-DSG) konkretisiert, dass die Aufbewahrung (eine Form des Bearbeitens, vgl. Art. 3 lit. e DSG, Art. 4 lit. d E-DSG, Art. 5 lit. d rev-DSG) unzulässig ist, sobald die Daten für den Zweck, der zu ihrer Erhebung geführt hat, nicht mehr benötigt werden. Werden Daten zu mehreren Zwecken analysiert, sind sie zu löschen, wenn der letzte Zweck erfüllt worden ist. Korrespondierend fliesst aus dem Recht auf informationelle Selbstbestimmung für den Arbeitnehmer ein Anspruch auf Datenvernichtung (vgl. Art. 12 Abs. 2 lit. b DSG, Art. 26 Abs. 2 lit. b E-DSG, Art. 30 Abs. 2 lit. b rev-DSG). Die Begriffe der «Löschung» und «Vernichtung» von Daten werden vorliegend gleichbedeutend verwendet.

Der Löschpflicht des DSG liegt der Schutz der subjektiven Persönlichkeitsrechte des Betroffenen zugrunde (vgl. Art. 1 DSG, Art. 1 E-DSG, Art. 1 rev-DSG). Die Löschpflicht ist nach vorliegender Auffassung nicht an eine starre Frist gebunden. Es handelt sich somit um eine implizit zeitbezogene Norm; dies im Gegensatz zu explizit zeitbezogenen Normen, die den Informationsbestand an sich schützen und Aufbewahrungszeiträume vordefinieren. Somit ist im Sinne einer risikoorientierten Auslegung in jedem Einzelfall abzuwägen, ob das Interesse des Betroffenen an der Löschung oder dasjenige der Verantwortlichen an der Datennutzung, etwa durch Wiederverwertung oder Lizenzierung an Dritte, überwiegt.

5.9.2 Umsetzung der Löschung

Von technischer Seite her sollten die Daten der Arbeitnehmer mit Metadaten versehen werden, die den Zeitpunkt der Datenerhebung und die voraussichtliche Gültigkeitsdauer der Daten und des erlaubten Bearbeitungszwecks festhalten. Für die Löschung braucht es ein Zusammenwirken von unterschiedlichen Löschungsverfahren und begleitenden Schutzmassnahmen gegen eine Datenwiederherstellung über alle vernetzten Systeme und Datenträger hinweg. Es wird ins Feld geführt, anstelle einer Löschung von Personendaten könne auch ihre Anonymisierung genügen. Dies ist angesichts der Schwierigkeiten zur Bewerkstelligung einer irreversiblen Anonymisierung nur mit Zurückhaltung zu bejahen.

Bevor die Daten endgültig gelöscht oder anonymisiert werden, kann ein vorläufiges Sperren bzw. eine Einschränkung der Bearbeitung (vgl. Art. 18 DSGVO) sinnvoll sein. Dies erlaubt ein Entsperren von Datensätzen, falls aufgrund fachlicher oder technischer Fehler ein Datensatz irrtümlich gesperrt wurde. Dienen die Daten mehreren Zwecken, ist Sperren das Mittel, um sicherzustellen, dass die gesperrten Datensätze nur noch für die übrigen, noch aktuellen Zwecke von den dafür zuständigen Personen bearbeitet werden. Umgesetzt wird das Sperren durch Verschlüsselung und Verteilung der Zugangsschlüssel nur an die berechtigten Personen. Der EDÖB empfiehlt, am letzten Arbeitstag das E-Mail-Konto des austretenden Mitarbeiters sowie alle anderen EDV-Konten zu sperren, um sie nach einer gewissen Zeit zu löschen.

Eine definitive Vernichtung von Daten ist technisch schwierig umzusetzen, weil dieselben Daten oft automatisch an verschiedenen physischen Speicherorten und in verschiedenen Systemen im Unternehmen sowie, im Fall der Auftragsdatenbearbeitung, auch bei Dritten abgelegt werden. Es kommt praktisch nie vor, dass nur eine einzige Kopie existiert. Deshalb sind hohe Anforderungen an die Datenvernichtung zu stellen. Nach der Rechtsprechung des Bundesverwaltungsgerichts genügt es nicht, nur den Datenträger unbrauchbar zu machen (z.B. durch Durch-bohrung oder Durchlochung einer CD oder eines USB-Sticks), sondern auch alle Kopien (inkl. sämtlicher Back-ups) müssen so behandelt werden, dass die Daten nicht mehr lesbar gemacht werden können.

Zur Löschung sind auch rechtliche Massnahmen zu ergreifen: Die anwendbaren abstrakten Grundsätze sind in einem für die Belegschaft zugänglichen betriebsinternen Reglement über die Nutzung von Informatikmitteln festzuhalten und durch Schulungen zu vertiefen. Der (automatisierte oder manuelle) Löschungsprozess im konkreten Fall ist detailliert zu dokumentieren. Dies hilft bei Beweisschwierigkeiten; denn die Tatsache der Löschung selbst lässt sich naturgemäss nicht nachweisen, wenn das Datum nicht mehr da ist.

5.10 Rechtfertigungsmöglichkeiten

5.10.1 Übersicht zu den relevanten Bestimmungen

Ein Verstoss gegen Datenschutzbestimmungen und eine daraus resultierende Persönlichkeitsverletzung ist nicht schlechthin widerrechtlich. Das DSG beschreibt drei Rechtfertigungsgründe, bei deren Vorliegen eine Persönlichkeitsverletzung zulässig ist: Einwilligung, überwiegendes privates oder öffentliches Interesse sowie Gesetz (Art. 13 DSG, Art. 27 E-DSG, Art. 31 rev-DSG). In diesem Zusammenhang ist vorneweg klarzustellen, dass Grundsatzverstösse (Art. 12 Abs. 2 lit. a DSG, Art. 26 Abs. 2 lit. a E-DSG, Art. 30 Abs. 2 lit. a rev-DSG) rechtfertigbar sind und die Bearbeitung allgemein zugänglich gemachter Personendaten (Art. 12 Abs. 3 DSG, Art. 26 Abs. 3 E-DSG, Art. 30 Abs. 3 rev-DSG) gegebenenfalls einer Rechtfertigung bedarf (dazu sogleich).

5.10.2 Rechtfertigungsmöglichkeit für Grundsatzverstösse

Die Arbeitgeberin darf nicht Personendaten entgegen den Grundsätzen von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG bearbeiten (Art. 12 Abs. 2 lit. a DSG, Art. 26 Abs. 2 lit. a E-DSG, Art. 30 Abs. 2 lit. a rev-DSG). Nach dem scharfen Gesetzeswortlaut kann ein Grundsatzverstoss nie gerechtfertigt werden, während bei anderen Persönlichkeitsverletzungen eine Rechtfertigungsmöglichkeit besteht (vgl. Art. 12 Abs. 2 lit. b und c DSG: «Rechtfertigungsgrund»). Ein Blick zurück auf die Gesetzgebungsgeschichte scheint diese Auslegung zu bestätigen: Im Zuge der Revision des DSG vom 24.03.2006 wurde der Vorbehalt des Rechtfertigungsgrunds bei einer Verletzung von Grundsätzen der Datenbearbeitung gestrichen. Dies hat Anlass zur Annahme gegeben, das Gesetz fingiere eine unwiderlegbare widerrechtliche Persönlichkeitsverletzung, wenn die Arbeitgeberin die Datenbearbeitungsgrundsätze missachte. Die Datenschutzbestimmungen sind nicht im Hinblick auf die Besonderheiten von People Analytics entwickelt worden, und so tun sich Zielkonflikte im Verhältnis zu den datenschutzrechtlichen Prinzipien der Zweckbindung, der Erkennbarkeit, der Datenminimierung und der Löschpflicht auf. In der Konsequenz würde dies bedeuten, dass People Analytics in aller Regel widerrechtlich wäre.

Der Gesetzeswortlaut ist jedoch zu relativieren: Der Berichterstatter der ständerätlichen Kommission erläuterte ausführlich, dass es sich bei der Änderung von Art. 12 Abs. 2 lit. a DSG (bzw. Art. 26 Abs. 2 lit. a E-DSG bzw. Art. 30 Abs. 2 lit. a rev-DSG) um eine Klarstellung dessen handle, was bereits bis dahin gegolten habe. Datenbearbeitungen entgegen den Grundsätzen können somit mit den üblichen Gründen gerechtfertigt werden (vgl. Art. 13 DSG, Art. 27 E-DSG, Art. 31 rev-DSG). Trotz der Abwiegelung durch den Ständerat behält Art. 12 Abs. 2 lit. a DSG (bzw. Art. 26 Abs. 2 lit. a E-DSG bzw. Art. 30 Abs. 2 lit. a rev-DSG) eine eigenständige Bedeutung: Das Bundesgericht bejaht die Rechtfertigungsgründe für einen Grundsatzverstoss im konkreten Fall nur mit grosser Zurückhaltung.

5.10.3 Bearbeitbarkeit allgemein zugänglich gemachter Daten

a) Tatbestandsmerkmale und Rechtsfolge

In der Regel liegt keine Persönlichkeitsverletzung vor, wenn die betroffene Person ihre Personendaten «allgemein zugänglich» gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat (Art. 12 Abs. 3 DSG, Art. 26 Abs. 3 E-DSG, Art. 30 Abs. 3 rev-DSG). Die allgemeine Zugänglichkeit ist ein unbestimmter Rechts-begriff. Zur Prüfung, ob sie vorliegt, können die Erkenntnisse zur Informationsverbreitung in sozialen Netzwerken herangezogen werden. Demnach ist der Kontext einer informationellen Interaktion für die Verbreitungsgeschwindigkeit der Daten mindestens so entscheidend wie die Tatsache der Informationsbekanntgabe selbst. Die Beschaffenheit der Information und der Empfängerkreis beeinflussen die Geschwindigkeit: Eine interessante oder schockierende Information wird sich in Windeseile in weitem Umkreis verbreiten, sodass sie bald allgemein zugänglich sein wird. Demgegenüber wird eine komplexe Information in einem locker verbundenen Netzwerk schwerlich die Runde machen. Hier dürfte allein mit der Bekanntgabe der Information an ein anderes Netzwerkmitglied noch keine allgemeine Zugänglichkeit vorliegen.

Die Formulierung, dass die Information allgemein zugänglich «gemacht» worden ist (vgl. Art. 12 Abs. 3 DSG, Art. 26 Abs. 3 E-DSG, Art. 30 Abs. 3 rev-DSG), enthält ein subjektives Element. Nicht nur die tatsächliche Zugänglichkeit für die Allgemeinheit, sondern auch der aus den Umständen ersichtliche Veröffentlichungszweck ist zu würdigen. Stellt die betroffene Person eine Information einem begrenzten Publikum zur Verfügung mit der impliziten Auflage, die Nachricht für sich zu behalten, muss die Betroffene sich nicht gefallen lassen, dass die Daten an die Allgemeinheit weitergereicht werden.

Die gesetzliche Vermutung der fehlenden Persönlichkeitsverletzung greift nur, wenn die betroffene Person die Datenbearbeitung «nicht ausdrücklich untersagt hat» (Art. 12 Abs. 3 DSG, Art. 26 Abs. 3 E-DSG, Art. 30 Abs. 3 rev-DSG). Auszuscheiden sind Informationen, die erkennbar gegen den Willen des Arbeitnehmers ins Internet gestellt worden sind (Art. 12 Abs. 2 lit. b DSG, Art. 26 Abs. 2 lit. b E-DSG, Art. 30 Abs. 2 lit. b rev-DSG). Nach einer restriktiven Meinung, die jedoch im Wortlaut keine Stütze findet, dürften nach einer Suche im Internet nur Daten bearbeitet werden, deren Veröffentlichung der Betroffene explizit wollte.

Die Bearbeitung allgemein zugänglich gemachter Daten ist «in der Regel» zulässig (Art. 12 Abs. 3 DSG, Art. 26 Abs. 3 E-DSG, Art. 30 Abs. 3 rev-DSG). Das Gesetz behält somit Ausnahmen vor, in denen selbst für die Bearbeitung allgemein zugänglich gemachter Daten ein Rechtfertigungsgrund erforderlich ist. In Art. 328b OR ist eine solche Ausnahmeregel zu sehen, sodass im Arbeitsverhältnis auch öffentlich zugängliche Daten des Arbeitnehmers nur bearbeitet werden dürfen, wenn ein Zusammenhang mit dem Arbeitsplatz besteht. Die Arbeitgeberin darf nicht gezielt nach privaten Daten suchen. Untersagt ist auch eine generelle Forschung nach Informationen über Arbeitnehmer im Internet (screening), weil die Arbeitgeberin regelmässig auf Personendaten stossen wird, die weder der Eignungsabklärung dienen noch für die Vertragsdurchführung erforderlich sind, und zudem die Datenrichtigkeit nicht gewährleistet ist.

Die Rechtsfolge von allgemein zugänglich gemachten Daten (im Sinne von Art. 12 Abs. 3 DSG bzw. Art. 26 Abs. 3 E-DSG bzw. Art. 30 Abs. 3 rev-DSG) ist eine gesetzliche Vermutung, dass die Datenbearbeitung zulässig ist. Es handelt sich nicht um eine unumstössliche Fiktion. Der betroffenen Person steht es offen, die Vermutung zu widerlegen. Bei der Annahme, dass trotz allgemeiner Zugänglichkeit eine Persönlichkeitsverletzung vorliege, ist Zurückhaltung geboten.

b) Zugänglichkeit von Internetdaten

Der Begriff der allgemein zugänglich gemachten Daten sei am Beispiel von Internetdaten, die hergeben, ob ein Mitarbeiter abwanderungswillig ist, illustriert: Die Arbeitgeberin kann mithilfe des Active Sourcings individuelle Fluktuationsprognosen erstellen.

Auszugehen ist von einer Fluktuationsprognose anhand einer Internetrecherche, die ein Mensch mit einer gewöhnlichen Suchmaschine durchführt (sog. Googeln). Die Arbeitgeberin muss dem Arbeitnehmer gegenüber klar zu verstehen geben, dass sie eine solche Nachforschung durchführt. Zu fordern ist eine organisatorische Trennung zwischen der Person, welche das Googeln und die Fluktuationsprognose durchführt, und dem Personal-Entscheidungsträger, sodass Erstere Letzterem bloss die gefilterten Daten mit Arbeitsplatzbezug zur Kenntnis bringt.

Quasi ein Unterfall des Googelns ist die Suche nach Informationen in den immer beliebteren sozialen Netzwerken. Mehr als ein Drittel (36 Prozent) der Unternehmen weltweit überwachte 2012 die Benutzung von sozialen Netzwerken durch ihre Arbeitnehmer. Es ist zwischen den verschiedenen Arten sozialer Netzwerke zu unterscheiden.

Die Analyse berufsbezogener sozialer Netzwerke (z.B. LinkedIn oder Xing) erscheint generell zulässig, da die Mitglieder ihr Profil bewusst zu beruflichen Zwecken allgemein zugänglich machen und mit der Einsichtnahme durch einen Personalverantwortlichen rechnen oder rechnen müssen. Gleiches muss in Bezug auf Daten von Arbeitnehmern in unternehmensinternen Foren gelten (z.B. Yammer von Microsoft, SuccessFactors von SAP, Chatter von Salesforce oder Workplace von Facebook).

Die Zulässigkeit der Analyse freizeitorientierter sozialer Netzwerke (z.B. Facebook) ist umstritten. Restriktiv ist die Haltung, die solche Datenerhebungen wegen des privaten Zwecks des Netzwerks generell verbieten will. Dies gelte unabhängig von den konkreten Datenschutzeinstellungen, da diese oft schwierig zu handhaben seien und von den Anbietern laufend geändert würden. Selbst bei jüngeren Arbeitnehmern, die mit Social Media aufgewachsen und technisch versiert sind, könne die Arbeitgeberin nicht von einer Zustimmung zur Analyse ausgehen. Ausser Acht bleibt dabei, dass es jedem frei steht, ein soziales Netzwerk zu verlassen. Mit der Nutzung geht die Selbstverantwortung zur Kontrolle der Einstellungen und eine wachsende Netzkompetenz des Betroffenen einher. Nach hier vertretener Meinung kann es nicht allein auf den Zweck des sozialen Netzwerks ankommen, weil gewisse soziale Netzwerke genauso gut zu privaten wie beruflichen Zwecken genutzt werden können (z.B. Instagram oder Twitter). Entscheidend für die Kategorisierung als allgemein zugänglich muss der öffentliche (oder eben private) Charakter der einzelnen Inhalte sein. Orientierungspunkt sind die Umstände des Einzelfalls, insbesondere die Kontoeinstellungen. In Anwendung der beschriebenen Erkenntnisse zur Informationsverbreitung in sozialen Netzwerken muss sich der Arbeitnehmer vorhalten lassen, mit wem er die Daten teilt: Zulässig erscheint selbst bei freizeitorientierten sozialen Netzwerken die Analyse von Daten, auf die ein praktisch unbegrenzter Kreis von Personen zugreifen kann. Letzteres ist der Fall, wenn die Mitglieder bewusst die Öffentlichkeit suchen und auf die Weiterverbreitung ihrer Mitteilungen keinen Einfluss haben (z.B. bei Twitter). Unklar ist, ob die Arbeitgeberin, die nicht direkt mit dem Arbeitnehmer über das soziale Netzwerk befreundet ist, Beiträge einsehen darf, die dieser für «Freunde von Freunden» geöffnet hat. Nach der hier vertretenen Ansicht dürfte dies zulässig sein, weil diese Einstellung gerade für solche Situationen geschaffen wurde, in denen lediglich eine indirekte Online-Bekanntschaft zwischen der schreibenden und der lesenden Person besteht. Mit der Wahl dieser Einstellung nimmt der Arbeitnehmer in Kauf, dass die Arbeitgeberin die Information liest.

Die Arbeitgeberin kann die Suche durch einen Algorithmus ausführen lassen. Im Gegensatz zu einem Menschen kann ein Algorithmus zur Internetrecherche einerseits im Deep Web Daten aufspüren, die nicht im Sinne von Art. 12 Abs. 3 DSG (bzw. Art. 26 Abs. 3 E-DSG bzw. Art. 30 Abs. 3 rev-DSG) allgemein zugänglich gemacht sind. Andererseits kann er allgemein zugängliche Daten zusammenführen, Folgerungen ableiten und Informationen zu Tage fördern, die der Arbeitnehmer so nie offenlegen wollte. Der Arbeitnehmer kann seine Daten gegenüber einer derart ungleich mächtigeren Arbeitgeberin nicht kontrollieren. Entsprechende kommerzielle Dienste zur Kontrolle stehen in der Regel nicht zur Verfügung. Es wird daher vorliegend vertreten, dass Big Data-Internetrecherchen, im Gegensatz zum Googeln, höchstens im Einzelfall zulässig sein sollten. Zu denken ist an einen Algorithmus, der der Arbeitgeberin zwar die Sucharbeit abnimmt, ihr aber im Endeffekt nicht mehr vermittelt, als ein Mensch mit Googeln und genügend Zeit hätte herausfinden können und dürfen.

5.10.4 Einwilligung im Arbeitskontext

a) Rückblick auf die arbeitsrechtlichen Bedingungen der Einwilligung

Die Frage der Einwilligung ist bereits unter dem Aspekt der arbeitsvertragsrechtlichen Zweckbeschränkung aktuell geworden. Es ist dafür argumentiert worden, dass eine Einwilligung in eine Datenbearbeitung ohne sachlichen Bezug zum Arbeitsplatz (d.h. entgegen Art. 328b Satz 1 OR) nur zulässig ist, wenn die Datenbearbeitung zugunsten des Arbeitnehmers erfolgt. Kumulativ zu den arbeitsrechtlichen Schranken der Einwilligung sind jedoch auch die datenschutzrechtlichen Anforderungen zu erfüllen (vgl. Art. 328b Satz 2 OR). Diese werden im Folgenden erläutert.

b) Datenschutzrechtliche Voraussetzungen der Einwilligung

aa) Übersicht

Das DSG nennt als ersten von drei möglichen Rechtfertigungsgründen einer Persönlichkeitsverletzung die Einwilligung des Verletzten (Art. 13 Abs. 1 DSG, Art. 27 Abs. 1 E-DSG, Art. 31 Abs. 1 rev-DSG). Das Recht, in eine persönlichkeitsverletzende Datenbearbeitung einzuwilligen, ist Teil des informationellen Selbstbestimmungsrechts und Eckpfeiler der privatrechtlichen Datenschutzerlasse rund um den Globus.

Eine Einwilligung ist unter den Voraussetzungen gültig, dass sie freiwillig, informiert und – bei der Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen – ausdrücklich erfolgt (vgl. Art. 4 Abs. 5 DSG, vgl. Art. 5 Abs. 6 E-DSG, vgl. Art. 6 Abs. 6–7 rev-DSG; zu diesen Voraussetzungen sogleich). Umstritten ist, ob eine Einwilligung sich auf eine spezifische Bearbeitung beziehen muss. Nach dem vorliegend vertretenen Standpunkt muss die Spezifikation unter schweizerischem Datenschutzrecht nicht als selbständige Voraussetzung abgehandelt werden; stattdessen wird sie im Rahmen der (spezifischen) angemessenen Information thematisiert. Eine Einwilligung darf ferner nicht gegen zwingende Schutznormen und höherrangiges Recht verstossen; zu denken ist an das Verbot der übermässigen Selbstbindung (Art. 27 Abs. 2 ZGB).

bb) Freiwilligkeit

Die Freiwilligkeit einer Einwilligung muss im Arbeitsbereich grundsätzlich äusserst kritisch betrachtet werden, da der Arbeitnehmer von der Stelle abhängig ist und sich wegen des strukturellen Machtungleichgewichts unter Druck fühlen kann. Eine freiwillige Einwilligung im Arbeitsverhältnis ist jedoch nicht schlechthin ausgeschlossen. Das deutsche Recht und die DSGVO (E. 155: «auf der Grundlage einer Einwilligung») lassen eine Einwilligung zu, solange die konkreten Umstände im Einzelfall eine «echte und freie Wahl» (E. 42 DSGVO) zulassen.

Es ist eine Einzelfallbetrachtung erforderlich, um zu beurteilen, ob eine eingeholte Einwilligung freiwillig erfolgt ist. Dabei sind die folgenden Kriterien massgeblich: Negativ definiert darf kein Willensmangel vorliegen. D.h., die Einwilligung darf nicht infolge einer Überrumpelung oder Übervorteilung (Art. 21 OR), eines Irrtums (Art. 23 ff. OR), einer Täuschung (Art. 28 OR) oder einer Furchterregung bzw. Drohung (Art. 29 OR) erfolgen. Ebenso wenig darf es zur Inaussichtstellung übermässiger Vorteile kommen, wie dies etwa der Fall wäre, wenn die Arbeitgeberin im Rahmen eines Gewinnspiels ein Extra-Monatsgehalt verlosen würde. Tendenziell unfreiwillig dürfte die Zustimmung erfolgen, wenn die Datenbearbeitung ausschliesslich die Handlungs- und Kontrollmöglichkeiten der Arbeitgeberin erweitert.

Die negative Formel «ohne Willensmangel», bisweilen auch «ohne Zwang», hat eine enge Bedeutung: Es kann nicht die Rede von Willensmangel oder Zwangsausübung sein, wenn ein Arbeitnehmer bloss befürchtet, bei einem Nein möglicherweise Nachteile zu erleiden, oder wenn ein Bewerber auch nach der Verweigerung der Zustimmung noch die Wahl zwischen anderen vergleichbaren Angeboten hat; und doch handelt er nicht wirklich freiwillig. Freiwilligkeit bedeutet mehr als das Fehlen von Willensmängeln. Das DSG stellt nicht auf die Abwesenheit von Willensmängeln oder Zwang ab, sondern wählt eine positive Formulierung («freiwillig», «exprime sa volonté librement», «espresso liberamente», Art. 4 Abs. 5 Satz 1 DSG, Art. 5 Abs. 6 Satz 1 E-DSG, Art. 6 Abs. 6 rev-DSG). Freiwilligkeit kann vorliegen, wenn für den Arbeitnehmer ein gewisser «Verhandlungsspielraum» oder eine mögliche Alternative besteht. Ein deutlicher Hinweis der Arbeitgeberin, dass der Arbeitnehmer berechtigt ist, die Zustimmung ohne übermässige nachteilige Folgen zu verweigern, stellt ein Indiz für die Freiwilligkeit dar. Beispielsweise ist die Freiwilligkeit gewahrt, wenn auf dem Betriebsareal für einen Werbeclip gefilmt wird und die Arbeitgeberin denjenigen Arbeitnehmern, die nicht im Hintergrund der Aufnahmen erscheinen möchten, für die Dauer der Videoarbeiten einen gleichwertigen anderen Arbeitsplatz anbietet. Auf Freiwilligkeit deutet es hin, wenn ein rechtlicher oder wirtschaftlicher Vorteil für den Arbeitnehmer resultiert oder Arbeitnehmer und Arbeitgeberin gleichgelagerte Interessen verfolgen.

Die Phase des Arbeitnehmer-Lebenszyklus, in welcher sich der Einwilligende gerade befindet, ist für die Beurteilung der Freiwilligkeit wegweisend: In der Rekrutierungsphase steht der Bewerber unter besonderem Druck, weshalb Einwilligungen in der Regel nicht als Rechtfertigungsgrund taugen können. Nur ausnahmsweise ist eine Einwilligung sinnvoll, etwa wenn Bewerbungsunterlagen für eine bestimmte, im Voraus festgelegte Dauer aufbewahrt werden und anzunehmen ist, dass die Daten demnächst wieder gebraucht werden. Eine solche Aufbewahrung kann im Interesse des Bewerbers liegen, wenn dieser die Anforderungen der Stellenbeschreibung zwar nicht erfüllt, aber zu einem späteren Zeitpunkt für eine andere Stelle infrage kommen könnte. Es braucht hierfür eine Einwilligung, weil die übrigen Rechtfertigungsgründe ausscheiden: Weder existiert eine gesetzliche Aufbewahrungspflicht, noch sind überwiegende Interessen erkennbar (vgl. Art. 13 Abs. 1 DSG, Art. 27 Abs. 1 E-DSG, Art. 31 Abs. 1 rev-DSG), noch sind die Daten zur Eignungsabklärung für eine konkrete Stelle oder Vertragsdurchführung erforderlich (vgl. Art. 328b OR).

Im laufenden Arbeitsverhältnis würde ein genereller Ausschluss der Einwilligung zu weit führen. Die Stellung des Arbeitnehmers ist zu berücksichtigen: Schlüsselmitarbeiter haben insoweit eine stärkere und freiere Verhandlungsposition, als die Arbeitgeberin sie mehr als andere behalten will.

Bei der Beendigung des Arbeitsverhältnisses ist wiederum zu differenzieren: Solange das Arbeitszeugnis noch nicht ausgestellt ist, verfügt die Arbeitgeberin über ein starkes Druckmittel. Danach wird die für laufende Arbeitsverträge und Bewerbungsverfahren typische Machtasymmetrie entfallen, weshalb eine freiwillige Zustimmung vorstellbar ist. Die Einwilligung muss sich auf einen bestimmten Bearbeitungszweck beziehen, etwa auf die Pflege des Alumni-Netzwerks des Unternehmens.

Ein Indiz für eine unfreiwillige Einwilligung ist schliesslich gegeben, wenn die Vertragserfüllung von der Einwilligung in eine Datenbearbeitung, die für die Erfüllung des Vertrags nicht erforderlich ist, abhängig gemacht wird. Nach dem europäischen Datenschutzrecht muss «in grösstmöglichem Umfang» berücksichtigt werden, ob die Einwilligung wegen einer vertragsfremden Koppelung erteilt worden ist (vgl. Art. 7 Abs. 4 DSGVO). Das schweizerische DSG enthält dagegen kein explizites Koppelungsverbot. Für den EDÖB ist es eine Frage des Arbeitsrechts, wenn eine Arbeitgeberin eine Anstellung an die Bedingung knüpft, dass der Arbeitnehmer der Erfassung des Fingerabdrucks zustimmt. Datenschutzrechtlich sei es (lediglich) «wünschenswert», auch Alternativen zur biometrischen Zeiterfassung zur Verfügung zu haben. Wie dargelegt verlangt das schweizerische Arbeitsrecht einen sachlichen Zusammenhang zwischen der Datenbearbeitung und der Arbeit (vgl. Art. 328b OR), welcher nicht nur «wünschenswert», sondern einseitig zwingend ist.

cc) Informiertheit

Voraussetzung einer gültigen Einwilligung ist eine «angemessene Information» (Art. 4 Abs. 5 Satz 1 DSG, Art. 5 Abs. 6 Satz 1 E-DSG, Art. 6 Abs. 6 rev-DSG). Diese muss insbesondere enthalten, welche Daten erhoben werden, zu welchem Bearbeitungszweck, wer die verantwortliche Stelle ist und wer Zugriff auf die Daten hat. Zudem muss die Information aktuell, spezifisch und verständlich sein. Die Einwilligung darf nicht auf einseitiger Beratung basieren. Entscheidend ist, dass der Betroffene die Konsequenzen der Datenbearbeitung abschätzen kann. Es kommt auf dessen Urteilsfähigkeit (vgl. Art. 16 ZGB), nicht aber auf dessen Handlungsfähigkeit (vgl. Art. 13 ZGB) an.

Die Informiertheit ist bereits dadurch infrage gestellt, dass die Information nicht beim Betroffenen ankommt. Datenschutzerklärungen werden nicht gelesen oder nicht verstanden. Wenn ein gewöhnlicher Internetbenutzer alle Datenschutz-Erklärungen, denen er während eines Jahres begegnet, mit eiserner Disziplin lesen würde, bräuchte er dafür mindestens 30 Arbeitstage – ein volkswirtschaftlicher Unsinn. Hinzu kommt, dass ein Unternehmen seine Datenschutz-Erklärung ändern kann, sodass die Betroffenen sie mehrfach lesen müssten. Niemand kann all diese Datenschutz-Erklärungen bewältigen. Auch im Arbeitsverhältnis werden die Datenschutzerklärungen im Zuge von People Analytics zunehmen (müssen), sodass die hier gemachten Ausführungen über Internetbenutzer zumindest sinngemäss auch für Arbeitnehmer gelten. Die Flut an Datenschutz-Erklärungen ist rechtlich zu kritisieren, führt sie doch zu einer «Informationsvergiftung»: Der vermeintliche Schutz durch Transparenz ist nicht nur ineffektiv, sondern entmachtet letztlich die Individuen, indem er sie mit endlosen Schriftstücken überfordert und von einer rationalen Entscheidung über die Aushändigung ihrer Daten abhält. Eine Anfrage um Zustimmung sollte den Betroffenen eigentlich dazu veranlassen, innezuhalten und aktiv über die Folgen der Einwilligung nachzudenken. Transparenz und Informationspflicht führen aber zu einer «Abstumpfung» («consent desensitisation»), sodass Einwilligungen meistens blind erteilt werden.

Neben der Masse an Information kämpfen die Betroffenen auch mit der Qualität der Texte. Diese sind schwer verständlich, weil sie rechtliches Vokabular einerseits und Fachbegriffe der Informatik und Analytik andererseits miteinander vereinen. Gewisse Webseiten bemühen sich zwar um eine Vereinfachung, etwa im Zusammenhang mit Cookies: Hier kann der Besucher mancherorts unkompliziert wählen, ob nur die Cookies aufgezeichnet werden sollen, die für den Betrieb der Seite notwendig sind, oder ob Informationen zu weiteren Zwecken (z.B. Marketing oder Personalisierung der Dienste) gespeichert werden dürfen. Doch selbst solchermassen simpel ausgestaltete Informationen (auch warnende Boxen oder standardisierte Labels und Symbole) tragen weder zur Informiertheit der Nutzer bei noch wirken sie sich auf das Einwilligungsverhalten aus. Diese Idee einer selbstbestimmten Einwilligung scheitert somit in der Praxis.

Ein mögliches rechtliches Linderungsmittel für das Problem der blind erteilten Einwilligungen könnte in einer Rechtsprechung bestehen, die die Einwilligenden vor unklaren und ungewöhnlichen Klauseln schützt, so wie dies in Bezug auf AGB praktiziert wird. Auch AGB werden in der Regel global übernommen, da es ähnlich lange wie bei den Datenschutz-Erklärungen dauern würde, um alle AGB, denen man begegnet, zu lesen. Begleitend dazu könnte die Einwilligung eine Aufwertung erfahren, wenn sie an den Browser oder an ein technisches Gerät der betroffenen Person delegiert werden könnte. Dieses könnte bei jedem signalisierten Bearbeitungsvorgang im Hintergrund die Datenschutzerklärungen prüfen, akzeptieren oder verwerfen. Diese Ansätze sind jedoch nicht mehr als Symptombekämpfung, da sie die Informationsschwemme nicht an der Quelle zu stoppen vermögen.

Ein weiterer wunder Punkt bzgl. der Informiertheit über Datenbearbeitungen liegt darin, dass sich die Wirkung von Informationen über die Zeit kaum kontrollieren lässt. Bei People Analytics akzentuiert sich dieses Problem, weil die Daten, einmal elektronisch aufgezeichnet, in der Regel verewigt sind. Beispielsweise lässt sich im Zeitpunkt der Einwilligung nicht vorhersagen, in welchem Kontext die Daten künftig bearbeitet werden. Werden zwei scheinbar harmlose, aggregierte Datensätze übereinandergelegt, können sie «Babydaten» erzeugen, deren Aussagekraft für den Betroffenen unvorhersehbar ist. Der Einzelne kämpft mit einer «invisible visibility»: Für ihn ist nicht erkennbar, wie durchsichtig er infolge der Ableitungen aus Datensätzen ist. Wie überrascht war doch die Kundin im dargestellten Beispiel, als Target von ihrer Schwangerschaft wusste, noch ehe sie es ihrem Vater verkünden konnte. Der Mangel an Kontrollierbarkeit über die Zeit zeigt sich auch etwa, wenn ein einziger Arbeitnehmer den Betrieb verlässt und daher aus einer monatlich durch die Arbeitgeberin erstellten anonymen Statistik herausfällt: Ist einerseits erkennbar, dass die Statistik im Vergleich zum Vormonat genau einen Datensatz weniger aufweist, und ist andererseits bekannt, wer das Unternehmen verlassen hat, so ist es ein Leichtes, aus der vormals anonymen Statistik personenbezogene Aussagen über den ehemaligen Arbeitskollegen abzuleiten. Ferner stellen mutierende Algorithmen, wie sie bei maschinellem Lernen vorkommen, eine Herausforderung für die informierte Einwilligung dar. Selbst wenn der Arbeitnehmer die Parameter der algorithmischen Verwandlung kennen würde, kann sich der Algorithmus derart grundlegend ändern, dass er das mit der Einwilligung abgesteckte Feld verlässt. Ein Algorithmus verfügt nicht über die Selbstreflexions-Kompetenz eines Menschen, um einzuschätzen, wann er eine neue Einwilligung einholen muss.

Mit einer nachträglichen Einwilligung liesse sich dem Problem der fehlenden Informiertheit begegnen: Anders als bei einer vorgängigen Einwilligung besteht im Nachhinein eine Übersicht über die Datenbearbeitung. Beispielsweise könnte die Arbeitgeberin den Arbeitnehmer nachträglich über einen neuen Bearbeitungszweck für die bereits beschafften Daten informieren. Nach der schweizerischen Rechtslage kann die nachträgliche Genehmigung die Persönlichkeitsverletzung heilen, wobei die Voraussetzungen einer gültigen Einwilligung (Art. 4 Abs. 5 DSG, Art. 5 Abs. 6 E-DSG, Art. 6 Abs. 6–7 rev-DSG) erfüllt sein müssen. Ungeklärt ist, ob die Einwilligung auch unter der DSGVO nachträglich erfolgen darf.

dd) Ausdrücklichkeit

Die Einwilligung kann grundsätzlich formlos erfolgen, insbesondere auch stillschweigend. Selbst eine hypothetische Einwilligung ist nicht durchs Band weg ausgeschlossen. Jedoch ist mit zunehmender Schwere der Persönlichkeitsverletzung eine stillschweigende Einwilligung zurückhaltender anzunehmen. Aus Beweisgründen ist die Schriftlichkeit zu bevorzugen.

Wird eine Einwilligung eingeholt, so muss diese ausdrücklich erfolgen, wenn die Bearbeitung besonders schützenswerte Personendaten (Art. 3 lit. c DSG, Art. 4 lit. c E-DSG, Art. 5 lit. c rev-DSG) oder Persönlichkeitsprofile (Art. 3 lit. d DSG, vgl. zum Profiling Art. 4 lit. f E-DSG und Art. 5 lit. f–g rev-DSG) betrifft (Art. 4 Abs. 5 Satz 2 DSG, Art. 5 Abs. 6 Satz 2 E-DSG, Art. 6 Abs. 7 lit. a rev-DSG). Dies dürfte in der Praxis oft vorkommen. Für die Ausdrücklichkeit genügt das Ankreuzen eines Kästchens (Opt-in-Modell). Nicht genügen kann jedoch ein bereits angekreuztes Kästchen, das die Einwilligung signalisiert, sodass diese durch Klicken aus der Welt geschafft werden muss (Opt-out-Modell), ebenso wenig das Stillschweigen und die Untätigkeit der betroffenen Person.

c) Jederzeitiges Widerrufsrecht

Eine Einwilligung kann nur als informiert gelten, wenn der Arbeitnehmer Kenntnis von seinem Widerrufsrecht hat. Aus dem Verbot der übermässigen Selbstbindung (Art. 27 ZGB) folgt, dass der Arbeitnehmer seine Einwilligung jederzeit widerrufen kann. Dem Arbeitnehmer dürfen aus dem Widerruf keine oder höchstens die Nachteile entstehen, die allein darin begründet sind, dass er die Vorteile des datenintensiveren Systems nicht nutzt.

Der Grundsatz von Treu und Glauben (Art. 4 Abs. 2 DSG, Art. 5 Abs. 2 E-DSG, Art. 6 Abs. 2 rev-DSG; Art. 2 Abs. 1 ZGB) kann dem Widerrufsrecht Schranken setzen. Ein Widerruf der Einwilligung wäre beispielsweise rechtsmissbräuchlich, wenn der Betroffene seine Einwilligung allein widerruft, um der verantwortlichen Stelle zusätzlichen Aufwand zu verursachen. Nach der bundesgerichtlichen Rechtsprechung können ausserdem Persönlichkeitsgüter, die nicht zum Kernbereich der menschlichen Existenz gehören, Gegenstand von vertraglichen und unwiderruflichen Verpflichtungen sein, wenn bei der fraglichen Verpflichtung wirtschaftliche Interessen im Vordergrund stehen. Beispielsweise ist es möglich, Rechte am eigenen Bild und Namen oder an der eigenen Stimme zum Zweck der Vermarktung rechtlich verbindlich abzutreten, sodass ein Widerruf nicht mehr jederzeit und frei möglich ist. Diese Rechtsprechung kommt zum Tragen, wenn wirtschaftliche Interessen des Arbeitnehmers an einer Abtretung bestehen. Bei People Analytics stehen aber in der Regel wirtschaftliche Interessen der Arbeitgeberin im Vordergrund, da sie aus der Analyse Vorteile ziehen will. Somit erscheint ein Widerruf der Einwilligung zu keiner Zeit a priori als treuwidrig.

Wenn ein Arbeitnehmer seine Einwilligung widerruft, liegt für die Arbeitgeberin nichts näher, als retrospektiv auf einen anderen Rechtfertigungsgrund – etwa das überwiegende private Interesse – auszuweichen, um die Datenbearbeitung fortzusetzen. Ein solches Ansinnen ist kritisch zu würdigen. Unter der DSGVO stehen die möglichen Rechtfertigungsgründe alternativ zueinander, d.h., die Arbeitgeberin muss sich von Anfang an für einen (den richtigen) von ihnen entscheiden. Beschreitet sie den Weg der Einwilligung, muss sie einen allfälligen Widerruf respektieren und die Datenbearbeitung stoppen. Die Bitte um Zustimmung schürt beim Arbeitnehmer eine Erwartung zur betreffenden Datenbearbeitung; möglicherweise schafft die Arbeitgeberin gar einen vertraglichen Anspruch auf Einholung der Einwilligung bei künftigen Änderungen der Datenbearbeitung. Ein Ignorieren des Widerrufs würde gegen Treu und Glauben verstossen. Dies muss nach der hier vertretenen Ansicht für People Analytics-Projekte in der Schweiz erst recht gelten, da der Grundsatz von Treu und Glauben im Datenschutz- (Art. 4 Abs. 2 DSG, Art. 5 Abs. 2 E-DSG, Art. 6 Abs. 2 rev-DSG) und im Vertragsrecht (Art. 328 OR i.V.m. Art. 2 ZGB) gleich doppelt verankert ist.

d) Zwischenfazit zur Einwilligung

Zusammenfassend erweist sich die Vorstellung eines informationell selbstbestimmt einwilligenden Arbeitnehmers als Traumfigur. Die Voraussetzung der Freiwilligkeit ist wegen des arbeitsrechtlichen Subordinationsverhältnisses kritisch zu sehen, und an der Voraussetzung der Informiertheit nagen Zweifel angesichts der regelmässig blinden Erteilung von Einwilligungen. Aus Sicht der Arbeitgeberin bildet die Einwilligung ein fragiles Rechtfertigungsfundament, weil jederzeit ein Widerruf droht. Gerade im Arbeitsverhältnis kann bereits das Nein einer relativ geringen Zahl von Arbeitnehmern der analytischen Untersuchung die Repräsentativität nehmen.

Nebenbei bemerkt entfaltet die Einwilligung auch negative Externalitäten, denn je mehr Arbeitnehmer eines Betriebs ihre Einwilligung erteilen, desto stärker schrumpft der verbleibende Pool der durch Privatheit Geschützten. Aus den Daten der Einwilligenden können Ableitungen über einen Dritten resultieren, welcher seine Daten gerade nicht preisgeben wollte. Wenn beispielsweise eine genügende Anzahl Arbeitnehmer mit dem Stirnband «Muse» ihre Stressgefühle aufzeichnen lässt, so kann die Arbeitgeberin Aussagen zum inneren Gefühlszustand von Arbeitskollegen treffen, die sich in einer vergleichbaren Situation befinden (z.B. Erledigung gleicher Aufgaben), die aber das Stirnband nicht tragen wollen.

Das Abstellen auf eine Einwilligung sollte somit nur die «ultima ratio» sein, wenn das Gesetz es ausdrücklich anordnet (etwa bei automatisierten Entscheidungen im Einzelfall, Art. 19 Abs. 3 lit. b E-DSG, Art. 21 Abs. 3 lit. b rev-DSG, Art. 22 Abs. 2 lit. c DSGVO) oder wenn kein anderer Rechtfertigungsgrund zur Verfügung steht. Nach europäischem Datenschutzrecht ist das Einholen einer Einwilligung im Arbeitsverhältnis sogar verboten, wenn eine andere Rechtsgrundlage (z.B. eine gesetzliche Pflicht oder ein überwiegendes Interesse der Arbeitgeberin) für die Datenbearbeitung zur Verfügung steht. Dies geht aus einem rechtskräftigen Urteil der griechischen Datenschutz-Aufsichtsbehörde hervor. Es handelt sich hierbei zwar «nur» um ein Urteil eines EU-Mitgliedstaats, doch auch der Europäische Datenschutzausschuss verweist auf seiner öffentlich zugänglichen Webseite darauf. Dem griechischen Entscheid zufolge ist aufgrund der Prinzipien der Rechtmässigkeit, der Datenbearbeitung nach Treu und Glauben und der Transparenz (Art. 5 Abs. 1 lit. a DSGVO) das Ausweichen auf die Einwilligung erst dann gestattet, wenn es an jeder anderen Rechtsgrundlage (im Sinne von Art. 6 Abs. 1 DSGVO) mangelt. Das griechische Urteil nimmt eine Pionierstellung ein: Soweit ersichtlich und gemäss Direktauskunft der griechischen Datenschutz-Aufsichtsbehörde an den Autor der vorliegenden Arbeit ist es das erste Mal, dass eine europäische Datenschutz-Aufsichtsbehörde entschieden hat, dass das Anfragen einer Zustimmung der Arbeitnehmer unzulässig ist, wenn eine andere, angemessenere Rechtsgrundlage besteht.

Gestützt auf die vorangehenden Ausführungen resultiert, dass die Einwilligung zwar theoretisch als Rechtfertigungsgrund für Datenbearbeitungen im Arbeitsverhältnis vorgesehen ist, dass aber in der Praxis aus Sicht der Arbeitgeberin kaum Möglichkeiten bestehen, eine rechtsgültige Einwilligung zu erlangen. Im Hinblick auf die zentrale Forschungsfrage, nämlich wie eine Neuausrichtung des Datenschutzrechts aussehen könnte, bei welcher die Rechtsdurchsetzung im Zusammenhang mit People Analytics gewährleistet ist, kann jetzt schon festgehalten werden, dass die Einwilligung bei dieser Neuausrichtung höchstens eine untergeordnete Rolle spielen wird.

5.10.5 Überwiegendes Interesse

a) Gesetzessystematik

Der zweite Rechtfertigungsgrund von drei möglichen bei einer Persönlichkeits-verletzung ist das überwiegende private oder öffentliche Interesse des Daten-bearbeiters (Art. 13 Abs. 1 DSG, Art. 27 Abs. 1 E-DSG, Art. 31 Abs. 1 rev-DSG). Dieser Rechtfertigungsgrund ist untrennbar mit dem Verhältnismässigkeitsprinzip (Art. 4 Abs. 2 DSG, Art. 5 Abs. 2 E-DSG, Art. 6 Abs. 2 rev-DSG) verbunden, weil Letzteres eine Interessenabwägung impliziert. Deshalb ist es im zivilrechtlichen Anwendungsbereich des DSG dogmatisch richtig, die Verhältnismässigkeit auf der Stufe der Widerrechtlichkeit zu prüfen.

b) Privates Interesse

WOLFER wägt die widerstreitenden Interessen bei der elektronischen Überwachung im privatrechtlichen Arbeitsverhältnis sorgfältig und ausführlich gegeneinander ab. An dieser Stelle ist daher nur an die wichtigsten Interessen der Arbeitgeberin zu erinnern: Zunächst hat sie ein Interesse an wirtschaftlicher Entfaltung (vgl. Art. 27 BV), Informationsbeschaffung (vgl. Art. 16 BV) und betrieblichem Fortschritt durch datenbasierte Forschung (vgl. Art. 20 BV). Sie ist letztlich für die Produktivität der Angestellten verantwortlich (allenfalls gegen-über den Besitzern des Unternehmens, vgl. zur Aktiengesellschaft: Art. 716a Abs. 1 Ziff. 1 und 5, Art. 754 Abs. 1 OR). Auch besteht ein Interesse am Vermögensschutz (vgl. Art. 26 Abs. 1 BV, Art. 641 ZGB). Mit der zunehmenden Verbreitung von Arbeitssituationen, in denen die Arbeitgeberin den Arbeitnehmer aus den Augen verliert, wie beispielsweise bei der Telearbeit, wächst das Interesse der Arbeitgeberin an elektronischer Kontrolle der Tätigkeiten.

Nach Beendigung eines Arbeitsverhältnisses sind die den Ehemaligen betreffenden Daten grundsätzlich zu vernichten. Eine befristete Aufbewahrung von Daten kann ausnahmsweise zur Beweissicherung bei Rechtsstreitigkeiten oder zur Durchsetzung eines Konkurrenzverbotes gerechtfertigt werden. Nur diejenigen Daten dürfen aufbewahrt werden, die dazu weiterhin erforderlich (Art. 328b Satz 1 OR) sind.

c) Öffentliches Interesse

Die Machtverschiebung zugunsten der Arbeitgebenden kann eine Vielzahl von Arbeitsverhältnissen betreffen, da People Analytics sektorübergreifend zur An-wendung kommt. Somit können öffentliche Interessen an der Regulierung von People Analytics bestehen. Diese müssen in die Interessenabwägung einfliessen (vgl. Art. 13 Abs. 1 DSG, Art. 27 Abs. 1 E-DSG, Art. 31 Abs. 1 rev-DSG). Sie sind zum Teil gleichläufig mit den Individualinteressen.

Zu gewährleisten ist eine pluralistische Gesellschaft, in deren Zentrum die Menschenwürde steht und in welcher der Einzelne nicht als austauschbar gilt, etwa weil ihm das gleiche Profil wie anderen zugeschrieben wird. Ein «Daten-Determinismus» in der Art, dass Personen hauptsächlich aufgrund von Korrelationen und Gruppenwahrscheinlichkeiten beurteilt werden, läuft der bisher meritokratischen Gesellschaft, in der die tatsächlichen Handlungen und Leistungen am Arbeitsplatz von entscheidendem Belang sind, zuwider. Die grobe Einteilung in Gruppen kann eine Polarisierung der ohnehin schon gegensätzlichen Interessen der Arbeitgeber und -nehmer sowie eine Polarisierung unter den Arbeitnehmern zur Folge haben. Zudem können die Meinungsfreiheit und die Demokratie bedroht sein, wenn sich Personen wegen der Überwachung nicht trauen, sich nicht-konform zu äussern und zu verhalten.

Kollektiv bedeutsam ist das Interesse am Schutz vor Manipulation von persönlichen Einstellungen und Werthaltungen, beispielsweise zwecks Verhaltenssteuerung. Nur wenn alle Beteiligten wissen, was beim Einsatz von People Analytics passiert, können wir noch behaupten, in einer freien Demokratie zu leben. Die Daten sollten genutzt und nicht die Arbeitnehmer ausgenutzt werden.

Arbeitsmarktpolitische Argumente stehen hinter der Antidiskriminierungs-Gesetzgebung. In dem Masse, wie es gelingt, durch privatrechtlichen Diskriminierungsschutz soziale Ausgrenzung (vom Arbeitsmarkt) zu vermeiden, müssen die Kosten für die sozialen Ausgleichsmassnahmen nicht vom Staat bzw. von den Sozialversicherungen und Institutionen der sozialen Hilfe getragen werden.

Umgekehrt sollte aber zugunsten von People Analytics auch das öffentliche Interesse an einem soliden Arbeitsmarkt sowie am innovativen Wirtschafts- und Forschungsstandort Schweiz in der Waagschale Platz finden. Auch das öffentliche Archivwesen kann ein Interesse an den Daten haben, um einen rationalen Umgang mit der Vergangenheit zu ermöglichen. Schliesslich sollte berücksichtigt werden, ob eine Technologie sozial akzeptiert ist.

d) Forschung, Planung und Statistik

Das DSG konkretisiert, dass ein überwiegendes Interesse der bearbeitenden Person insbesondere in Betracht fällt, wenn diese Personendaten zu nicht personen-bezogenen Zwecken namentlich in der Forschung, Planung und Statistik bearbeitet und die Ergebnisse so veröffentlicht werden, dass die betroffenen Personen nicht bestimmbar sind (Art. 13 Abs. 2 lit. e DSG, vgl. Art. 27 Abs. 2 lit. e Ziff. 1–3 E-DSG, vgl. Art. 31 Abs. 2 lit. e Ziff. 1–3 rev-DSG). Dieser Rechtfertigungsgrund ist näher zu beleuchten, weil People Analytics dazu dient, das Humankapital zu erforschen, die Personalplanung und Gebäudeplanung zu optimieren, und weil die dabei gesuchten Korrelationen aus Statistiken hervorgehen.

Der Begriff der Forschung ist ein unbestimmter Rechtsbegriff. Die EU legt den Begriff der «wissenschaftlichen Forschungszwecke» (E. 159 Satz 2 DSGVO) weit aus und versteht darunter jedes Forschungsprojekt, das nach fachspezifischen methodischen und ethischen Regeln und bewährten Verfahren durchgeführt wird. Eingeschlossen ist auch die privat finanzierte Forschung (E. 159 Satz 2 DSGVO), was auch unter dem schweizerischen DSG zutreffen dürfte. Umstritten ist, ob nur die Forschung in einem engeren Sinn privilegiert werden soll und somit nicht jede Analyse oder Aufbereitung von Daten in Zeiten von People Analytics. Eine solche Einschränkung des Forschungsbegriffs wird vorliegend abgelehnt, würde sie doch bedeuten, dass die meisten People Analytics-Projekte der Praxis nicht vom Forschungsprivileg profitieren könnten.

Die Forschungsergebnisse müssen «veröffentlicht werden» (Art. 13 Abs. 2 lit. e DSG, Art. 27 Abs. 2 lit. e Ziff. 3 E-DSG, Art. 31 Abs. 2 lit. e Ziff. 3 rev-DSG). Die Arbeitgeberin kann nur vom Forschungsprivileg profitieren, wenn sie die Resultate jedermann zur Verfügung stellt. Es wird vermutet, dass das Forschungsprivileg im privatrechtlichen Arbeitsverhältnis wenig von Bedeutung ist, weil die Arbeitgeberin hier in der Regel ein starkes Interesse an der Wahrung der Geschäftsgeheimnisse hat.

Vorausgesetzt wird weiter, dass die Personendaten «nicht zu personenbezogenen Zwecken» bearbeitet werden und die betroffenen Personen anhand der Ergebnisse nicht re-identifizierbar sind (Art. 13 Abs. 2 lit. e DSG, vgl. Art. 27 Abs. 2 lit. e E-DSG, vgl. Art. 31 Abs. 2 lit. e rev-DSG). Somit sind beispielsweise Genealogen und Historiker, die explizit personenbezogene Forschung betreiben, nicht von dieser Bestimmung erfasst. People Analytics kann folglich nicht vom Forschungsprivileg profitieren, wenn einzelne Arbeitnehmer bestimmbar sind.

Im Arbeitskontext ist für den Rechtfertigungsgrund der Forschung zusätzlich vorausgesetzt, dass People Analytics letztlich einen Arbeitsplatzbezug aufweist (vgl. Art. 328b OR). Das OR findet kumulativ zum DSG Anwendung.

Sind die geschilderten Voraussetzungen der Spezialnorm erfüllt, kann die Persönlichkeitsverletzung gerechtfertigt werden. Unter der DSGVO ist eine erleichterte Weiterbearbeitung der Daten nach Erfüllung des Zwecks möglich, weil die Daten-bearbeitung zu Forschungszwecken nicht als unvereinbar mit den ursprünglichen Zwecken gilt (Art. 5 Abs. 1 lit. b Teilsatz 2 DSGVO). Die Daten dürfen länger gespeichert werden als für den Bearbeitungszweck erforderlich (Art. 5 Abs. 1 lit. e Teilsatz 2 DSGVO). Die Betroffenenrechte auf Information (Art. 14 Abs. 5 lit. b DSGVO) und Löschung (Art. 17 Abs. 3 lit. d DSGVO) und gegebenenfalls weitere Rechte (vgl. Art. 89 Abs. 2–4 DSGVO) erfahren Einschränkungen.

e) Arbeitnehmerinteressen

Den arbeitgeberseitigen Interessen steht das Interesse der Arbeitnehmer entgegen, dass sich die dem beschriebenen Machtungleichgewicht innewohnenden Risiken von People Analytics nicht verwirklichen. Dies betrifft die diskutierten Rechts-probleme der Persönlichkeitsverletzung (Manipulation, Verlust von Autonomie und Persönlichkeitsdurchleuchtung), Diskriminierung (etwa durch ungerechtfertigte, auf falschen Daten beruhende Nichtanstellung, Nichtbeförderung, Kündigung oder überhöhte Leistungsvorgabe) und Mitwirkung.

f) Fehlende Methode zur Interessenabwägung

Eine Methode der Interessenabwägung spezifisch für das privatrechtliche Datenschutzrecht gibt es nicht; jede Bewertung der einzelnen Interessen verlangt letztlich ein Werturteil. Dies führt zu Rechtsunsicherheit. Nach der bundesgerichtlichen Rechtsprechung darf ein überwiegendes privates oder öffentliches Interesse an einer Datenbearbeitung nur zurückhaltend bejaht werden. Als übergeordnete Erwägung gegen die Zulässigkeit von People Analytics kann auf die durch People Analytics verursachte Machtverschiebung hingewiesen wer-den. Für die Zulässigkeit spricht hingegen, dass die rechtlichen und tatsächlichen Folgen einer Datenanalyse für den Arbeitnehmer gering ausfallen, wenn Personalmassnahmen unterstützt werden, die auch ohne die Datenbearbeitung hätten getroffen werden können.

Das Fehlen einer Methodik zur Interessenabwägung bedeutet, dass die Gesamtheit aller Umstände des konkreten Einzelfalls einzubeziehen ist. Der Kontext der Datenbearbeitung erlangt somit eine starke Bedeutung. Gerade bei Daten ist der Kontext bedeutsam, weil sie in ihrer Eigenschaft als Wertchance erst einen Wert erlangen, wenn sie in einen Kontext gesetzt werden. Der hohe Stellenwert des Kontexts verlangt, dass die Personen, die mit People Analytics umgehen, fähig sind, die Situation umfassend zu analysieren und sich in die verschiedenen Interessenspositionen, die zu gewichten sind, hineinzuversetzen.

5.10.6 Gesetzliche Rechtfertigung

Zunächst können aus dem DSG herrührende Pflichten eine Datenbearbeitung notwendig machen. Zu denken ist insbesondere an die Pflicht zur Gewährleistung der Datensicherheit (Art. 7 DSG, Art. 7 E-DSG, Art. 8 rev-DSG) und an die Auskunftspflicht (Art. 8 DSG, Art. 23 E-DSG, Art. 25 rev-DSG), die eine Aufbewahrung von Daten gebieten und einer Löschung oder Datenminimierung entgegenstehen können.

Sodann trifft die Arbeitgeberin eine arbeitsrechtliche Schutzpflicht gegenüber dem Arbeitnehmer (vgl. Art. 328 OR). Beispielsweise kann es zur Vermeidung von Verletzungen bei der Zusammenarbeit von Mensch und Roboter geboten sein, Daten über Bewegung und Standort der Arbeitskraft zu erheben. Eine solche Datenerhebung kann auch deshalb angezeigt sein, weil die Arbeitgeberin Dritten gegenüber delikts- und strafrechtlich für die Handlungen ihrer Arbeitnehmer haften muss (vgl. Art. 55 und Art. 101 OR; Art. 102 StGB). Die gesetzliche Pflicht zur Ausstellung oder späteren Berichtigung eines Zeugnisses und zur Erteilung von Referenzen (Art. 330a OR) kann eine Aufbewahrung von Personendaten über die Beendigung des Arbeitsvertrags hinaus rechtfertigen. Der Arbeitnehmer hat während zehn Jahren (Art. 127 OR) nach Beendigung des Arbeitsverhältnisses einen Anspruch darauf. Verlangt er die Vernichtung seiner Daten, ist dies – unter Vorbehalt der Unverzichtbarkeit im ersten Monat nach dem Austritt (Art. 341 Abs. 1 OR) – als konkludenter (unwiderruflicher) Verzicht auf die Ausstellung eines Zeugnisses zu werten.

Ferner existieren andere gesetzliche Aufbewahrungspflichten. Zu nennen ist die Pflicht zur zehnjährigen Aufbewahrung der Geschäftsbücher (Art. 958f OR). Sie kann E-Mails erfassen, wenn diese buchhaltungsrelevante Daten enthalten. Sie kann aber nicht als Rechtfertigungsgrund für eine allgemeine E-Mail-Aufbewahrung greifen, wenn bloss ein kleiner Teil der E-Mails Informationen zu den Geschäftsbüchern enthält. Art. 328b OR geht in diesem Fall als lex specialis vor. Gleiches muss in Bezug auf sozialversicherungs-, steuer- und aufsichtsrechtliche Aufbewahrungspflichten gelten. Aus den Bestimmungen zu finanzmarktrechtlichen Organisations- und Risikomanagement-Pflichten (z.B. Gewährspflicht) kann kein Rechtfertigungsgrund für die Bearbeitung von Personendaten entgegen den Datenschutz-Grundsätzen (vgl. Art. 12 Abs. 2 lit. a DSG, Art. 26 Abs. 2 lit. a E-DSG, Art. 30 Abs. 2 lit. a rev-DSG) abgeleitet werden. Sie stellen zwar Spezialnormen dar, die Vorrang gegenüber dem allgemeinen Gesetz geniessen, in diesem Fall vor dem DSG. Nur sehen sie inhaltlich keine gegenteilige Regelung zu den Datenschutz-Grundsätzen vor. Unzulässig wäre es somit, unter dem Vorwand der Compliance aus den (nicht anonymisierten) Daten eines erfolglosen Ex-Arbeitnehmers ein Profil unerwünschter Bewerber zu erstellen oder ihn auf eine schwarze Liste zu setzen, um seinen Wiedereintritt in einer anderen Unternehmensabteilung oder Konzerngesellschaft zu verhindern.

Einzelne der genannten gesetzlichen Pflichten vermögen eine Datenbearbeitung in stärkerem Ausmass zu rechtfertigen. So können die eingangs bekannt gemachten Lösungen zur Einhaltung der Arbeitssicherheits-Richtlinien (z.B. die Drohnen, die Bahngeleise-Arbeiter beaufsichtigen) zur Erfüllung der Fürsorgepflicht behilflich sein. Die Mehrheit der mit People Analytics verfolgten Zwecke dürfte aber nicht durch das Gesetz gedeckt sein, denn die meisten der beschriebenen Anwendungen in den Bereichen Rekrutierung, Leistungssteuerung, Arbeits- und Arbeitsplatzgestaltung sowie Mitarbeiterbindung sind betriebswirtschaftlich motiviert und nicht etwa durch ein allgemeines Interesse, das gesetzlich verankert ist. In diesen Fällen ist auf den Rechtfertigungsgrund der überwiegenden privaten Interessen der Arbeitgeberin zurückzugreifen. Insgesamt spielt von der Trias der Rechtfertigungsgründe – Einwilligung, überwiegende Interessen und Gesetz (Art. 13 Abs. 1 DSG, Art. 27 Abs. 1 E-DSG, Art. 31 Abs. 1 rev-DSG) – der Rechtfertigungsgrund der überwiegenden privaten Interessen bei People Analytics im privatrechtlichen Arbeitsverhältnis eine dominante Rolle.

Gabriel Kasper in: People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts; 2021; Dike Verlag, Zürich

https://creativecommons.org/licenses/by-nc-nd/3.0/ch/

DOI: https://doi.org/10.3256/978-3-03929-009-3

Zur einfacheren Lesbarkeit wurden die Quell- und Literaturverweise entfernt.

11/2022

Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts

2.4 Verbreitung und praktische Relevanz

2.4.1 NFP75-Daten zur Verbreitung in der Schweiz

Im zweiten Modul des NFP75-Projekts wurde mit einer Online-Umfrage systematisch die gegenwärtige Verbreitung von People Analytics in der Schweiz erforscht. Die Online-Umfrage ergibt, dass knapp zwei Drittel der befragten Schweizer Unternehmen People Analytics verwenden (65 Prozent oder 102 von 158 Betrieben).

Bei grösseren Unternehmen ist People Analytics verbreiteter als bei kleineren (siehe Abb. 5). Es ist davon auszugehen, dass die Grenzkosten für People Analytics sinken und der Nutzen von Datenbearbeitungen steigt, je grösser das Unternehmen ist. Kleine und mittlere Unternehmen werden vielfach informelle Lösungen präferieren.

People Analytics ist in allen Schweizer Wirtschaftszweigen verbreitet (siehe Abb. 6). Führend ist der Informations- und Kommunikationssektor, gefolgt vom Finanz- und Versicherungswesen.

Die Umfrageergebnisse deuten darauf hin, dass sich People Analytics im Ausland bereits weiter als in der Schweiz entwickelt hat. Zwar wurden ausschliesslich Unternehmen mit Sitz in der Schweiz befragt, und von ihnen verwenden zwei Drittel People Analytics (66 Prozent). Jedoch hebt sich von diesem Durchschnitt eine kleine Gruppe von Unternehmen ab, die zu einem Konzern mit Hauptsitz im Raum USA und Kanada gehören: Alle von ihnen setzen People Analytics ein (100 Prozent).

Es resultiert folgende Verbreitung nach Verwendungszwecken von People Analytics (siehe Abb. 7): Am häufigsten ist die Nutzung von People Analytics im Bereich der Mitarbeiterbindung (61 Prozent). Hier kommen Online-Befragungen zur Zufriedenheit der Arbeitnehmenden vor, um das Betriebsklima zu verbessern.

Auch gibt es zur Verbesserung der Feedback-Qualität Smartphone-Applikationen, die eine 360°-Rückmeldung von Arbeitskollegen, Vorgesetzten und Kunden ermöglichen. Bereits seit Längerem bekannt sind computerbasierte Austrittsbefragungen, um die Personalpolitik anzupassen. Zur Gestaltung der Arbeit und des Arbeitsplatzes (38 Prozent) sowie zur Leistungssteuerung (37 Prozent) findet People Analytics ungefähr gleich oft Anwendung. Im ersten Fall existieren zum Beispiel Video-Überwachungsanlagen zur Verbesserung der Arbeitsabläufe oder Softwares zur erleichterten Zusammenarbeit im Team, wie u.a. eine Software, die Stimmen erkennt und die Webcam in virtuellen Teamsitzungen steuert. Im letztgenannten Fall treten RFID-Ausweise zur Geolokalisierung und elektronische Zugangskontrollen auf. Ungefähr jedes fünfte Unternehmen, das People Analytics einsetzt, ist im Bereich der Rekrutierung aktiv (21 Prozent). Die Arbeitgeber nutzen vor allem Anwendungen, die automatische Suchprozesse und einen Abgleich (matching) von Fähigkeiten der Bewerber mit Stellenanforderungen ermöglichen.Ähnlich viele (18 Prozent) verwenden People Analytics für das Compliance-Management, etwa zur Auswertung von Telefonaten und E-Mails.

Die beliebtesten Instrumente sind in dieser Reihenfolge: webbasierte Zufriedenheitsumfragen, Video-Überwachungsanalagen, Austrittsbefragungen, RFID-Aus-weise und Feedbackinstrumente. Demgegenüber kaum genutzt werden derzeit Roboter zur Rekrutierung oder Stimmungsanalysen (siehe Abb. 8). Im Vergleich zu den Beispielen aus Literatur und Presse erweisen sich die beobachteten Datenanalysen als eher konservativ. Allerdings könnten die Daten zu neuen Zwecken wiederverwertet werden, wodurch der Grad an Einsicht in das Leben des Arbeitnehmers steigen würde. Beispielsweise verraten die elektronischen Ausweise Bewegungsmuster und Verhaltensprofile, wenn die Arbeitnehmer während der Arbeitszeit mehrfach ihren Aufenthaltsort wechseln und dabei immer wieder Zutrittsschranken passieren müssen.

Die meisten Unternehmen begnügen sich nicht mit einer einzigen der erwähnten Techniken. Knapp die Hälfte (46 Prozent) aller befragten Unternehmen hat parallel mindestens drei verschiedene Anwendungsformen von People Analytics im Einsatz. Bei jedem vierten (27 Prozent) aller befragten Unternehmen sind es mindestens fünf. Vier befragte Unternehmen geben an, zehn oder mehr Tools gleichzeitig im Einsatz zu haben.

2.4.2 Verbreitung in der Welt

Die Zahlen, die im NFP75-Projekt über People Analytics im schweizerischen Arbeitsmarkt erhoben wurden, bilden keine Ausnahme im Vergleich zu den Zahlen zur gegenwärtigen Verbreitung in der restlichen Welt, welche in der Literatur zu finden sind. Die technologiebasierte Überwachung und Kontrolle der Arbeitnehmenden wird sowohl auf der nördlichen als auch auf der südlichen Hemisphäre praktiziert. Im Jahr 2014 gab jedes vierte (26 Prozent) befragte deutsche Unternehmen in einer Umfrage an, People Analytics zu betreiben. 2015 nutzte bereits fast jedes dritte (32 Prozent) der weltweit befragten Unternehmen Big Data zur Unterstützung des Personalbereichs. People Analytics wird auch von öffentlich-rechtlichen Arbeitgebern betrieben.

Vorliegend wurden entlang dem Mitarbeiter-Lebenszyklus fünf Zwecke von People Analytics identifiziert, nämlich Rekrutierung, Leistungssteuerung, Compliance-Management, Arbeits- und Arbeitsplatzgestaltung sowie Mitarbeiterbindung. Hinsichtlich der Bewerbungsphase ist bekannt, dass in den USA und Grossbritannien bis zu 70 Prozent der Bewerber automatisiert von algorithmischen Entscheidungssystemen bewertet und vorausgewählt werden, bevor ein Rekrutierer sich die verbliebenen Kandidaten ansieht. Erst jedoch jedes zwanzigste deutsche Grossunternehmen (6 Prozent) benutzt vergleichbare Verfahren. Auch in der Schweiz kommt das sog. Hiring by Algorithm oder E-Recruiting vor.

Im Bereich der Leistungssteuerung verfolgten 2012 knapp zwei Drittel (62 Pro-zent) der Firmen ihre Aussendienstmitarbeiter über GPS. In jedem fünften europäischen Unternehmen (18 Prozent) benutzten Arbeitnehmer 2015 Wearables zu Arbeitszwecken. Die Verbreitung von Wearables ist aber, gemessen an ihrem Potenzial, noch bescheiden. Wearables können in Gesundheitsprogrammen verwendet werden. Diese wiederum kommen in den USA in Grossunternehmen flächendeckend vor.

Zur Compliance-Überwachung kontrollierte schon 2002 jede fünfte Schweizer Arbeitgeberin (18 Prozent) die E-Mails ihrer Angestellten. Zur gleichen Zeit überwachten bereits drei Mal so viele amerikanische Arbeitgeberinnen die Internetnutzung ihrer Arbeitnehmer. 2010 verfolgten drei von vier US-Arbeitgeberinnen (75 Prozent) die Kommunikation der Mitarbeiter und andere Arbeitstätigkeiten. Heute überwachen in den USA und in Grossbritannien praktisch alle (98 Prozent) Grossunternehmen digitale Aktivitäten der Angestellten. Auch bestimmen mittlerweile biometrische Fingerabdrücke, Gesichtserkennung und Iris-Scans in fast zwei von drei Unternehmen (62 Prozent), wer Zugang zu Gebäuden erhält.

2.4.3 Steigende künftige Verbreitung

People Analytics ist eine relativ junge Disziplin, deren Anfänge auf die 2000er-Jahre zurückdatieren. Aufgrund der gestiegenen Zahlen der Vergangenheit ist anzunehmen, dass People Analytics auch künftig für die Unternehmensführung an Bedeutung zulegen wird. Gewichtige Anbieter wie SAP, IBM, HP, Oracle und weitere investieren grosszügig in die Entwicklung von Analytik-Produkten. Auf der Nachfrageseite entstehen neue Stellenprofile, wie beispielsweise der Data Scientist, Datenanalyst, People Analytics Leader oder Chief Operating Officer of Culture. Prognosen gehen von einem Marktwachstum in Milliardenhöhe aus. Die Beobachtungen in der Nische People Analytics stehen vor dem Hintergrund einer Reihe von Trends – sog. Megatrends –, die die Gesellschaft in grossem Stil tiefgreifend verändern. Es ist nun zu zeigen, wie einige dieser Megatrends People Analytics tragen.

Durch die Globalisierung entsteht ein erdumspannender Wettbewerb, in dem die Talente mobil sind. Sie sind besser informiert über die Vorteile anderer Arbeitgeber. Der Aufwand steigt, um die Talente anzuziehen und zu behalten. Als Reaktion darauf schneiden die Unternehmen die Mitarbeiterführung mithilfe von Analytik auf den Einzelnen zu (workforce of one) durch Anbieten personalisierter Dienstleistungen wie gegenüber Kunden (consumerisation of HR).

Eine jüngere Facette der Globalisierung zeigt sich in stärker wissensbasierten Prozessen, geschürt durch das Internet als Informationsmedium. In dieser Wissensgesellschaft erblüht der Dienstleistungssektor, der mittlerweile die Mehrheit der Bevölkerung beschäftigt. Routineaufgaben entfallen durch Automatisierung; komplexe Spezialistentätigkeiten erfordern ausgebildete Fachkräfte und menschliche Kreativität. Für die Arbeitgeberin ist es wichtig, dass sie die individuellen Stärken ihrer Angestellten gründlich kennt.

Wegen des demografischen Wandels, der eine Alterung und Schrumpfung der arbeitenden Bevölkerung mit sich bringt, wird sich der Fachkräftemangel zuspitzen. Dies erfordert eine effiziente Steuerung der knappen Arbeitskräfte. Denkbar ist, dass der Stress am Arbeitsplatz zunehmen wird, wenn weniger Personal die gleiche Arbeit erledigen muss. Damit könnten Stimmungsanalysen sowie das Stress- und Pausenmanagement an Bedeutung gewinnen.

Ein kultureller Wertewandel hat eingesetzt, der sich durch eine neue Vielfalt der Lebensentwürfe und den Wunsch der Individuen nach einer Work-Life-Balance und Wertschätzung auszeichnet. Wirtschafts- und Arbeitswelt sollen sich dem Menschen anpassen und nicht umgekehrt. Um aber die individuellen Wünsche zu kennen, müssen Arbeitgeberinnen hierüber Daten erheben.

Schliesslich erlangen neue Arbeitsformen neben dem Standardarbeitsvertrag auf tiefem Niveau langsam an Bedeutung: Temporäre und Teilzeitarbeitnehmer, freie Mitarbeiter sowie agiles Arbeiten unter Auflösung von Hierarchien erschweren die Kontrolle über ein Team. Auch gegenüber Arbeitnehmern im Homeoffice will die Vorgesetzte ihr Kontroll- und Weisungsrecht behalten. Dies beschwingt People Analytics insbesondere zum Zweck der Leistungskontrollen.

2.4.4 Zwischenfazit

Die Zahlen zur gegenwärtigen Verbreitung zeigen, dass People Analytics in einer Mehrheit der Schweizer Betriebe zur Realität gehört. Auch global gesehen wird People Analytics vermehrt zum festen Bestandteil der Geschäftsmodelle, wobei die Verbreitung von Land zu Land unterschiedlich weit fortgeschritten ist. Es ist jedoch davon auszugehen, dass die Verbreitung überall zunehmen wird.

Nach der hier vertretenen Einschätzung sind die Zahlen zur Verbreitung vorsichtig zu lesen. Die Ausbreitung verläuft je nach Betrieb verschieden schnell. Zudem hat People Analytics nicht für jeden Betrieb die gleiche Bedeutung. Die meisten Unternehmen existieren seit Langem und werden nur nach und nach einzelne Anwendungen in ihre bestehenden Geschäftsabläufe integrieren. People Analytics wird hier zu einer Modalität des Geschäftsmodells, gehört aber nicht zu dessen Kern. Dagegen operieren andere, vor allem jüngere Organisationen von Grund auf mit People Analytics-Daten. Zu denken ist etwa an das Taxi-Dienstleistungsunternehmen Uber, das ohne Daten über die Fahrer nicht funktionieren würde. Insgesamt resultiert aber selbst bei dieser zurückhaltenden Lesart der Statistiken eine fortgeschrittene gegenwärtige und steigende künftige Verbreitung.

2.5 Unterschiede zu älteren Überwachungsformen

2.5.1 Vorbemerkungen

Nachdem aufgrund der weiten Verbreitung von People Analytics die Relevanz des Themas in quantitativer Hinsicht erstellt ist, sind nun auch dessen qualitativ neue Aspekte herauszuarbeiten. Es ist etwas Abstand vom Phänomen zu nehmen, um es als Ganzes zu erkennen. Ein Vergleich mit älteren Überwachungsformen am Arbeitsplatz ist erforderlich (dazu sogleich). Danach sind die drei Kernelemente aufzuzeigen, durch die sich People Analytics von den früheren Formen der Überwachung am Arbeitsplatz abhebt: Es sind dies nach der hier vertretenen Auffassung die Ubiquität, die Interoperabilität und die steigende KI.

2.5.2 Geschichtliche Vorläufer der Mitarbeiterüberwachung

Die Überwachung, ob die Arbeitnehmenden die Arbeit pflichtgemäss erledigen, ist so alt wie der Arbeitsvertrag selbst. Zunächst war es die Arbeitgeberin persönlich oder ihre Stellvertreterin, die den Arbeitnehmern über die Schulter schaute. Vom britischen Philosophen und Sozialreformer Jeremy Bentham (1748–1832) stammt das «Panoptikum», ein Idealbauplan für Gefängnisse, aber auch Fabriken, welcher einer einzelnen Person erlaubt, viele Menschen aufs Mal zu überwachen. Im Mittelpunkt dieser Bauwerke steht ein Wachturm, von dem aus das gesamte Areal sichtbar ist. Weil der Beobachtungsposten des Wärters verdunkelt ist, die Arbeitsplätze aber sonnenbeschienen sind, wissen die Arbeitnehmer oder Gefängnisinsassen nie genau, ob sie gerade beobachtet werden. Überwachungspraktiken beschränkten sich aber nicht auf das Betriebsareal: Agenten der 1850 in Chicago gegründeten Detektei Pinkerton infiltrierten das Leben von Arbeitnehmern, die Arbeitgebende wegen ihrer Gewerkschaftszugehörigkeit als Bedrohung empfanden. Im Jahr 1914 gründete Henry Ford (1863–1947) eine firmeneigene soziologische Abteilung, deren Ermittler zu Hause bei den Arbeitnehmern inspizierten, ob diese den Ford-Verhaltenskodex einhielten, was Voraussetzung für den Anspruch auf gewisse Lohnbestandteile war.

Arbeitgeber griffen schon früh zu technischen Hilfsmitteln, die die Kontrolle erleichterten: Ende des 19. Jh. kamen Stoppuhren auf, mit denen die Vorgesetzten verglichen, wer wie lange für einen Arbeitsschritt benötigte. Der amerikanische Ingenieur Frederick Winslow Taylor (1856–1915) nutzte die Stoppuhr zur Begründung einer eigentlichen Arbeitswissenschaft. Um 1915 löste der flache Modern Efficiency Desk, der dem Vorgesetzten eine leichte Sicht auf die Arbeitsfläche verschaffte, den hohen Sekretär ab, hinter dem Arbeitnehmende zuvor einen gewissen Grad an Privatsphäre genossen hatten.

Bald wurde der Wert der Analyse von Datensätzen erkannt. Im Jahr 1922 konnte aufgezeigt werden, dass die systematische Auswertung des vergangenheitsbezogenen Verhaltens und des biografischen Hintergrunds dem Bauchgefühl bei der Prognose zukünftigen Verhaltens überlegen ist. In den 1990er- und frühen 2000er-Jahren setzte die amerikanische Baseballmannschaft Oakland Athletics bei der Suche nach Talenten auf objektive Statistiken statt auf Expertenmeinungen und feierte in der Folge mit von Experten als mittelmässig eingestuften Spielern sportliche Erfolge.

Spätestens seit der Verbreitung von persönlichen Computerterminals (PC) in den 1980er-Jahren setzte eine Automatisierung der Überwachung ein. Jedenfalls die Phase der Datenerhebung wurde automatisiert; die Analyse der Aufzeichnungen dürfte anfangs noch weitgehend durch Menschen erfolgt sein.

2.5.3 Drei Kernelemente von People Analytics

a) Ubiquität

Die Datenbearbeitungen sind heute allgegenwärtig (lat. ubique: überall; vgl. engl. ubiquitous computing). Erst einmal handelt es sich um eine örtliche Ubiquität:Ob der Schritt von den Grossrechnern zum PC, die Entwicklung der Smartphones und Tablets oder aber der Wechsel zur Cloud gemeint sind – sie alle bewirken eine Dezentralisierung der Datenbearbeitungen. Die Miniaturisierung trägt das ihrige dazu bei, dass die Prozessoren überall mit von der Partie sind, etwa in Form von Wearables direkt am Körper.

Die Allgegenwart der Datenbearbeitungen ist auch von zeitlicher Dimension. Die elektronische Überwachung kann rund um die Uhr stattfinden. Sie kann teilweise nicht gestoppt werden, weil die Geräte keine Ausschaltfunktion haben. Dies wird bei der RFID-Technologie augenscheinlich: Hier versorgt das Lesegerät (der Arbeitgeberin) den Transponder (des Arbeitnehmers) mit Energie, sodass dieser seine Position durchgibt. Somit entscheidet primär die Arbeitgeberin, wann sie Aufzeichnungen vornehmen möchte. Die Datenerhebung erfolgt in Echtzeit, nicht in Quartalsberichten und jährlichen Mitarbeitergesprächen. Langfristig erfassen die Analysen den gesamten Arbeitnehmer-Lebenszyklus von der Bewerbung bis zur Beendigung des Vertragsverhältnisses. Sind die Daten einmal aufgezeichnet, sind sie in der Regel verewigt. Daten werden oft nicht gelöscht, sondern immer wieder aufs Neue aufbereitet und verwertet. Es entsteht ein digitales Gedächtnis oder eine temporale Version von Benthams Panoptikum, sodass Betroffene nie sicher sein können, ob nicht gerade jemand Einsicht in lange vergessene Aufzeichnungen nimmt. Menschen müssen lernen, mit ihrer aufgezeichneten Vergangenheit zu leben und müssen vorsichtiger sein, wenn sie etwas von sich preisgeben.

In personeller Hinsicht interessiert die Auswertung ganzer Teams und Belegschaften. Dies übersteigt die Überwachung in einzelnen begründeten Fällen (wie etwa bei konkretem Verdacht, dass ein Mitarbeiter gegen rechtliche Bestimmungen verstossen hat). Die Arbeitnehmenden sind nicht nur passive Betroffene, sondern speisen oft auch selbst Daten über sich in das System ein, beispielsweise indem sie sich mit dem Chatbot Mya von L’Oréal unterhalten. Die Daten stammen des Weiteren, wie der Big Data-Aspekt variety zeigt, von Dritten und aus dem Internet. Jedermann kann über das Internet Beobachtungen vornehmen, sodass sich der Betroffene nicht einem einzigen Big Brother, sondern «abertausenden Little Brothers» ausgesetzt sieht.

Die Datenbearbeitungen durchdringen schliesslich auch inhaltlich alle Lebensbereiche (pervasiveness). Naturwissenschaftler nennen es die «Informatisierung des Alltags». Umfassende Datenbearbeitungen über das menschliche Treiben werden zur Routine im Sinne eines «passiven Monitorings», im Gegensatz zum «aktiven Tracking». Möglich wird dadurch die Erhebung von sog. kontextuellen, d.h. nicht aufgabenbezogenen Leistungsdaten, wie beispielsweise Mitarbeiterengagement, allgemeiner Gesundheitszustand oder Verhalten der Arbeitnehmer ausserhalb des Arbeitsplatzes. Selbst wenn Dienstliches und Privates nie glasklar getrennt waren, so wirft das ubiquitous computing doch die Frage der Entgrenzung und der Trennung von Beruf und Privatleben in einer neuen Qualität auf. Zu dieser Unschärfe tragen auch die Arbeitnehmer bei, wenn sie ihren Dienstcomputer nicht nur zu beruflichen Zwecken nutzen.

b) Interoperabilität

Die Datenbearbeitungs-Systeme sind zunehmend imstande, im Sinne von Interoperabilität nahtlos miteinander zusammenzuarbeiten, sodass eine Kommunikation über die Grenzen einzelner Systeme hinweg möglich ist. Interoperabilität darf dabei nicht mit Gleichheit verwechselt werden: Sind mehrere Systeme zu 100 Prozent interoperabel, können sie nach wie vor verschiedenartig sein. People Analytics verknüpft Datenquellen, die in der Vergangenheit getrennt gehalten wurden. Die Datafizierung giesst die digitalen Daten in ein Standardformat, und das Internet fungiert als Medium für den Austausch von Information. Dadurch entfallen herkömmliche Schwierigkeiten beim Zusammenführen von Dateien aus mehreren Datenbanken. Die Interoperabilität zeigt sich beispielsweise darin, dass verschiedene Gerätetypen zusammenwachsen, weil die Software für den PC auch als App für das Tablet bereitsteht. Auch wächst die Interoperabilität an der Schnittstelle zwischen Hardware und Software: Sensoren zur Datenerhebung und Analyse-Algorithmen präsentieren sich als Ensemble, beispielsweise werden Videokameras mit integrierter Gesichtserkennungs-Software verkauft.

Der Big Data-Teilaspekt variety steht sinnbildlich für die Interoperabilität. Aus der Verknüpfung von Datenquellen, die scheinbar nichts miteinander zu tun haben, beispielsweise Daten aus dem Personalbereich mit anderen Unternehmensdaten oder externen Daten, entstehen Erkenntnisse von neuer Qualität. «Rätselhaft» ist, dass auch intime Einsichten sich aus trivialen, teils generell verfügbaren Informationen speisen, etwa daraus, wie lange die Computermaus auf einem Inserat verharrt, von welcher zu welcher Webseite jemand surft oder von wo bis wo jemand im öffentlichen Verkehr fährt. Anonyme Daten bleiben nicht unbedingt namenlos, wenn sie mit anderen Daten kombiniert werden; gewählte Telefonnummern, besuchte Webseiten und E-Mail-Metadaten können genauso viele persönliche und private Informationen preisgeben wie die Inhalte der Kommunikation selbst.

c) Steigende künstliche Intelligenz

Die Entwicklung von Quantencomputern und die Nutzung der Cloud-Technologie versprechen eine exponentiell wachsende Leistungsfähigkeit von Prozessoren und Verbesserungen der Speichertechnik – gleichzeitig sacken die Preise für die Infrastruktur in sich zusammen. Sogar die Zukunft wird greifbar, denn die prädiktive Analytik konzipiert realistische Zukunftsszenarien, und präskriptive Algorithmen schlagen frühzeitig Massnahmen zur Erreichung von Unternehmenszielen vor. Die Arbeitgeberin kann somit die Zukunft antizipieren und ist dem Arbeitnehmer stets einen Schritt voraus.

Die Arbeitgeberin kann sich immer mehr auf eine autonom agierende, intelligente Infrastruktur verlassen. Selbstlernende Algorithmen nehmen über Sensoren den Menschen wahr und können sich ihm anpassen. Roboter sind imstande, komplexe, nichtrepetitive Tätigkeiten selbständig oder in enger Zusammenarbeit mit dem Menschen zu erledigen. Algorithmen übernehmen Denkarbeit und Führungsaufgaben, wie beispielsweise Risikoabschätzungen. Sie beaufsichtigen Arbeitnehmer, etwa ob diese ihre Schutzausrüstung tragen, und benachrichtigen gegebenenfalls den Vorgesetzten. Dadurch entsteht eine Umweltintelligenz (ambient intelligence), d.h., autonome intelligente Umgebungen treffen eine beispiellose Anzahl von Entscheidungen für das private und öffentliche Wohl. Tastatur und Bildschirm werden als Schnittstellen zwischen Mensch und Maschine entfallen; stattdessen wird die Umwelt selbst, gespickt mit unsichtbaren Sensoren, zu ebendieser Schnittstelle.

Algorithmen gelten als eine Quelle sozialer Ordnung. Damit ist gemeint, dass die KI das Zweipersonenverhältnis zwischen Arbeitgeberin und Arbeitnehmer beeinflusst. Das Dazwischenfunken einer dritten (wenn auch nicht rechtsfähigen) Person weckt Ängste: Selbstlernende Algorithmen, die sich verändern und ihrerseits wieder neue Algorithmen schreiben, entziehen einem die Kontrolle. Arbeitnehmende könnten durch verhaltenssteuernde Algorithmen «automatisiert» werden. Ohne zu beurteilen, wie begründet diese Sorgen sind: Recht ist eines von mehreren möglichen Mitteln zur Einwirkung auf diese Entwicklung.

2.5.4 Zwischenfazit zu den drei Kernelementen

Während die Überwachung der Leistungserbringung schon immer zum Arbeitsverhältnis gehört hat, nimmt sie durch People Analytics eine neue Dimension an. Sie zeichnet sich durch Ubiquität, Interoperabilität und steigende KI aus. D.h., die Datenbearbeitungen sind allgegenwärtig; aus dem Zusammenführen von Datensätzen resultieren neue Erkenntnisse, die früher nicht möglich waren; und die KI der Algorithmen stärkt die Stellung der Arbeitgeberin im Arbeitsvertragsverhältnis. Diese drei Kernelemente hat der Autor vorliegend herausgearbeitet basierend auf der Detailanalyse der technischen Umgebung und der Verwendungszwecke von People Analytics sowie nach einem Blick zurück auf die geschichtlichen Vorläufer der Mitarbeiterüberwachung.

Nach der hier vertretenen Auffassung, zu welcher der Autor auch aufgrund seiner empirischen Forschungserfahrung gelangt ist, finden sich die drei Kernelemente von People Analytics in der Praxis aber nicht überall gleichmässig vor. Beispielsweise der virtuelle Karriereassistent führt zwar Daten zur Arbeitsmarktentwicklung mit Daten aus dem Lebenslauf und den Zeugnissen zusammen (Interoperabilität) und errechnet daraus selbständig das Risiko, dass die betreffende Stelle der Digitalisierung zum Opfer fallen wird (steigende KI). Doch ist diese Anwendung kaum allgegenwärtig (fehlende Ubiquität), weil der Karriereassistent nicht täglich, sondern vielleicht nur einige Male pro Jahr für die berufliche Weiterorientierung konsultiert wird. Der Umstand, dass die Datenbearbeitung nicht ubiquitär erfolgt, kann für die rechtliche Beurteilung entscheidend sein, weil in der Regel umso weniger Risiken für die Persönlichkeit entstehen, je weniger Daten bearbeitet werden. Hierauf ist später zurückzukommen.

2.6 Zwischenfazit: neuartiges, weit verbreitetes Phänomen

In Kapitel 2 ist das Phänomen «People Analytics» beschrieben worden. Die Betrachtung des Daten-Lebenszyklus hat gezeigt, dass eine umfassende technische Apparatur hinter dem Forschungsgegenstand steckt. Es wurde festgestellt, dass entlang dem Arbeitnehmer-Lebenszyklus zahllose mannigfaltige Zwecke für die Verwendung von People Analytics existieren. Ausserdem hat das Phänomen bereits in weiten Teilen des Arbeitslebens Einzug gehalten und wird sich künftig zunehmend verbreiten. People Analytics ist ein neuartiges Phänomen, das sich im Unterschied zu seinen geschichtlichen Vorläufern durch Ubiquität, Interoperabilität und steigende KI auszeichnet.

Insgesamt verbleibt von der vorliegenden Phänomenbeschreibung der Eindruck, dass sich People Analytics faktisch ungehindert ausbreitet und zu immer neuen Zwecken verwendet wird. Der technologische Fortschritt ermöglicht dies. Wenn aber die Technik keine Grenzen setzt, drängt sich die Frage auf, ob das Recht wirksame Schranken zum Schutz der Betroffenen bereithält. Dieser rechtlichen Seite des Phänomens sind die folgenden Kapitel gewidmet. Es ist zunächst zu prüfen, welche Rechtsprobleme durch die beliebige Entfaltung von People Analytics entstehen (dazu sogleich).

3 Rechtsprobleme

3.1 Übersicht

Nachdem in Kapitel 2 das Phänomen People Analytics beschrieben worden ist, wenden wir uns in den folgenden Kapiteln dessen rechtlicher Seite zu. Hierfür ist mit der Eruierung der Rechtsprobleme zu beginnen. Das Grundproblem von People Analytics besteht darin, dass es zu einer Machtverschiebung von den Arbeitnehmern hin zur Arbeitgeberin kommt oder zumindest kommen kann (dazu sogleich). Daraus folgen drei Rechtsprobleme, die nacheinander dargestellt werden: Persönlichkeitsverletzungen, Diskriminierungen und die Verletzung von Mitwirkungsrechten (Unterkapitel 3.3–3.5).

3.2 Machtverschiebung als Grundproblem

Die drei dargestellten Charakteristika von People Analytics – Ubiquität, Interoperabilität und steigende künstliche Intelligenz – schaffen in ihrer Summe ein neues Problem, nämlich eine Informations- und Machtakkumulation bei der Arbeitgeberin in einem bisher nicht dagewesenen Ausmass.

Mit People Analytics hat die Arbeitgeberin die Möglichkeit, zu tiefen Grenzkosten wertschöpfende und entscheidungsrelevante Erkenntnisse zu erlangen. Wenn sie mit People Analytics ein Werkzeug zum Wissensgewinn in der Hand hält, der Arbeitnehmer dieses Werkzeug aber weder beeinflussen noch vollständig überschauen kann, führt dies zu einem Informationsgefälle. Dieses verstärkt sich durch den Skaleneffekt in Plattformmärkten, welcher bewirkt, dass die Analysekosten pro Nutzer bei steigender Nutzerzahl sinken. Der Skaleneffekt dürfte am Arbeitsplatz zwar weniger stark zum Tragen kommen als etwa bei sozialen Netzwerken mit Millionen von Nutzern, weil die wenigsten Unternehmen so viele Beschäftigte haben. In grossen Unternehmen mit zehntausenden Angestellten mag er mehr ausmachen als in kleinen und mittleren Unternehmen. Doch darf nicht vergessen werden, dass auch kleine Unternehmen, die systematisch Daten ihrer Arbeitnehmer sammeln, sich einen umfangreichen Datenschatz aufbauen können. Das Datenvolumen, das im Arbeitsverhältnis entsteht, ist gross, weil die Arbeitnehmer regelmässig einen grossen Anteil der Gesamtzeit an der Arbeit verbringen. Kaum ein anderes Rechtsverhältnis gibt Anlass zur Erhebung und Bearbeitung personenbezogener Daten verschiedenster Art in solch grossem Umfang und während so langer Zeit wie das Arbeitsverhältnis.

«Wissen ist Macht», ein Zitat des englischen Philosophen, Juristen und Staatsmannes BACON (1561–1626), bedeutet, dass aus dem Informationsungleichgewicht ein Machtgefälle folgt. Big Data vermittelt «Macht zur Vorhersage, Macht zur Gestaltung und Macht, Entscheidungen zu treffen, die das Leben der einfachen Menschen beeinflussen». Zwischen kommerziellen Datensammlern und Betroffenen besteht ein strukturelles Ungleichgewicht. Die Investitionen in die Entwicklung von Profilbildungstechnologie übersteigen diejenigen für die Entwicklung von Technologien, die die Privatsphäre schützen, um ein Vielfaches.

Die Regulierung von Informationsflüssen ist, wie aufgezeigt, eine Aufgabe des Informationsrechts. Die gerechte Zuweisung von Macht, wie sie etwa in der öffentlich-rechtlichen Gewaltenteilung zum Ausdruck kommt, ist ebenfalls eine Aufgabe des Rechts. Somit handelt es sich bei der beschriebenen Machtverschiebung zugunsten der Arbeitgeberin um ein Problem, das rechtlich gelöst werden kann.

Manche Autoren greifen zu einer Rhetorik, die geradezu einen neuen Gesellschaftsvertrag fordert. Sie stören sich am Umstand, dass einige Private durch die Informatisierung der Gesellschaft eine Machtposition erlangen, die mit der Macht staatlicher Träger vergleichbar ist, weil sie die Grundrechte anderer beeinträchtigen können. Das Datenschutzrecht, dessen Schwerpunkt ursprünglich auf der Abwehr staatlicher Eingriffe in Grundrechte lag, dient vermehrt auch dem Ausgleich zwischen privatwirtschaftlichen Interessen. Diese Argumente böten Stoff für eine rechtsphilosophische oder staatsrechtliche Abhandlung. Die vorliegenden Betrachtungen beschränken sich aber auf privatrechtliche Fragen.

Die grassierende Informations- und Machtdiskrepanz bildet gewissermassen eine Bodenströmung, die auf den ersten Blick unsichtbar bleibt. Bemerkbar wird sie an der Oberfläche, wenn den betroffenen Arbeitnehmern Rechtsgüter oder Ansprüche weggerissen werden. Namentlich drohen als rechtliche Folgeprobleme Verletzungen der Persönlichkeitsrechte, des Diskriminierungsschutzes und der Mitwirkungsrechte, wie sogleich darzulegen ist.

3.3 Persönlichkeitsverletzungen

3.3.1 Umfassender Persönlichkeitsschutz

Die Rechtsfragen, die People Analytics aufwerfen kann, drehen sich im Kern um den Persönlichkeitsschutz der Arbeitnehmer. Die Datenbearbeiter versuchen, Aussagen über Personen und ihr Verhalten zu gewinnen. Klagen der Arbeitnehmer wegen unrechtmässiger Bearbeitung von Personendaten durch die Arbeitgeberin richten sich nach dem zivilrechtlichen Schutz der Persönlichkeit (Art. 328 Abs. 1 Satz 1 OR i.V.m. Art. 328b Satz 2 OR i.V.m. Art. 15 Abs. 1 Satz 1 DSG i.V.m. Art. 28 f. ZGB; Art. 28 Abs. 2 Satz 1 E-DSG, Art. 32 Abs. 2 Satz 1 rev-DSG).

Das Gesetz enthält keine Legaldefinition des Begriffs «Persönlichkeit» (vgl. Art. 28 ZGB). Die Botschaft zu Art. 28 ZGB zählt «alle physischen, psychischen, moralischen und sozialen Werte, die einer Person kraft ihrer Existenz zukommen», zur Persönlichkeit. Für das Bundesgericht besteht die Persönlichkeit aus all dem, «was zur Individualisierung einer Person dient und im Hinblick auf die Beziehungen zwischen den einzelnen Individuen und im Rahmen der guten Sitte als schutzwürdig erscheint». Somit ist der Begriff der Persönlichkeit umfassend zu verstehen, unter Einbezug der physischen, psychischen, sozialen und seelischen Persönlichkeit.

Persönlichkeitsrechte sind diejenigen Rechte, die den infrage stehenden Persönlichkeitsaspekt schützen. Mit der Verletzung der Persönlichkeit ist notwendigerweise immer auch das betreffende Persönlichkeitsrecht verletzt. Das Gesetz spricht von einer Verletzung «der Persönlichkeit» (Art. 28 Abs. 1 ZGB) und nicht des Persönlichkeitsrechts. Vorliegend wird diese Begriffswahl fortgeführt, gemeint ist also immer auch die Missachtung des entsprechenden Rechts.

3.3.2 Ausgewählte Aspekte der Persönlichkeit

a) Privatsphäre

People Analytics tangiert hauptsächlich die Persönlichkeitsaspekte der Privatsphäre und der psychischen Integrität. Die Privatsphäre bezeichnet einen Bereich, in dem die betreffende Person frei von Anpassungsdruck in der Authentizität ihres Verhaltens, in ihrer Spontaneität sowie freien Meinungs- und Willensbildung nicht gestört wird. In diesem Bereich darf die betreffende Person sich selbst sein, darf auch etwas eigentümlich sein (lat. privatus: persönlich, einer einzelnen Person gehörig, eigen, eigentümlich).

Permanente Überwachungen können zu einem Verlust von Authentizität und Kontrolle über die Selbstdarstellung sowie zu einer Störung von Beziehungsgestaltungen führen. Dies ist etwa denkbar bei der eingangs vorgestellten Software Intelligent Edge von Microsoft, die zur Überwachung der Einhaltung von Sicherheitsrichtlinien am Arbeitsplatz pro Sekunde 27 Millionen Aufzeichnungen liefert. Eine intensive elektronische Überwachung, deren sich die überwachte Person bewusst ist, ist geeignet, sie zu einer Anpassung ihres Verhaltens zu zwingen: Ein sozialwissenschaftliches Forschungsexperiment brachte hervor, dass Arbeitnehmer mehr Geld in die Kaffeekasse im Pausenraum steckten, wenn Augäpfel das Schild, das sie zur Zahlung anhielt, zierten, um ein Gefühl des Beobachtet-Werdens zu vermitteln. Menschen beginnen, ihr Verhalten an den Analyse-Tools auszurichten, beispielsweise, um zu möglichst guten Bewertungen zu kommen. Ein authentisches Verhalten ist nur möglich, wenn man sich vor Einblicken durch andere schützen kann. Auf den Punkt gebracht: «Authentizität gedeiht nur in der Dunkelheit. Wie Sellerie.»

Die grosse Herausforderung von People Analytics ist die Bewahrung von Autonomie als Aspekt der Privatsphäre: Je mehr Wissen die Arbeitgeberin über den Arbeitnehmer hat oder zumindest Hypothesen zu seinen Eigenschaften, seinem Verhalten und seinen Bedürfnissen, desto einfacher kann sie ihn beeinflussen, beispielsweise mit personalisierten Diensten. Der Arbeitnehmer wird dadurch manipulierbar. Dies zeigt sich am Beispiel von Uber: Für den Fahrdienstvermittler ist es überlebenswichtig, jederzeit genügend Autos im Angebot zu haben. Während der Zeiten, in denen die Nachfrage tief und weniger Geld zu verdienen ist, verzichten viele Fahrer auf das Anbieten ihrer Dienstleistung. Um dieser Tendenz entgegenzuwirken, sendet Uber den Chauffeuren Nachrichten, die sie an ihr Zieleinkommen erinnern und so zum Fahren stimulieren. Während der Eingriff in die Autonomie im Uber-Beispiel begrenzt erscheinen mag, steigt das Manipulationsrisiko je nach Technik, die bei People Analytics zur Anwendung gelangt. Beispielsweise bergen Anwendungen mit starker KI ein höheres Manipulationspotenzial in sich als solche mit schwacher KI. Die prädiktive Analytik geht davon aus, dass sich Arbeitnehmer mit ähnlichen Attributen in vergleichbaren Situationen gleich verhalten. Wenn eine Arbeitgeberin einen Entscheid für alle mit einem bestimmten Profil fällt, ohne die Arbeitnehmer anzuhören, kann es sein, dass sie Entscheidungen vorwegnimmt, die der Arbeitnehmer fällen müsste. Im Extremfall führt die Annahme, dass menschliches Verhalten berechenbar sei, zur Negierung des freien Willens.

Dem Verständnis von Privatsphäre haftet etwas Subjektives an. Weltweit gesehen besteht kein Konsens bzgl. der Konkretisierung des Rechts auf Privatsphäre im digitalen Zeitalter. Pessimisten sehen das «Ende der Privatsphäre» kommen, wähnen sich gar im «Post-Privacy-Zeitalter», weil die Digitalisierung immer mehr familiäre und intime Aspekte des Lebens für Dritte zugänglich macht. Diese Angst mag bei einem rein räumlichen, eindimensionalen und mittlerweile antiquierten Verständnis von Privatsphäre, welches vom Schutz des (Grund-)Eigentums herkommt, begründet sein. Zu bedenken ist jedoch, dass sich das individuelle und gesellschaftliche Bedürfnis nach Privatsphäre über die Zeit geändert hat und ändern wird. Die neue Omnipräsenz der Datenbearbeitungen wird die gesellschaftlichen Normen und Erwartungen an die Privatsphäre beeinflussen. Das moderne Verständnis von Privatsphäre ist subjektivierter und betont stärker die Erwartungen, Wünsche und Vorstellungen des Einzelnen. Selbst zum gleichen Zeitpunkt innerhalb des gleichen Landes können die Erwartungen von Individuen bzgl. des Schutzes der Persönlichkeit stark auseinanderdriften. Das Recht muss somit People Analytics nicht im Keim ersticken, sondern einen Weg finden, um die kontextuellen Normen zur Privatsphäre zu respektieren. Im Arbeitsverhältnis existieren unzählige solcher Kontextnormen, die je nach Arbeitsumgebungen, Beschäftigungsarten und Erwartungen der einzelnen Arbeitnehmer und Arbeitgeberinnen verschieden sind. Beispielsweise ist denkbar, dass die Mitarbeiter eines IT-Unternehmens, das People Analytics-Anwendungen entwickelt, eher gewillt sind, sich auswerten zu lassen, da sie auf diese Weise die selbst entwickelten Produkte testen können. Auch könnte die Bereitschaft zur Überwachung höher sein in Berufen, die ohnehin schon beaufsichtigt sind, etwa durch die Finanzmarktaufsicht. Von der Arbeitgeberin ist Fingerspitzengefühl gefordert, um die Erwartungshaltung ihrer Arbeitnehmer an die Privatsphäre einschätzen zu können.

b) Psychische Integrität

Zur psychischen Integrität gehört der seelisch-emotionale Lebensbereich einer Person, der von zahlreichen äusseren und inneren Einflüssen bestimmt wird. Unterschieden werden die Teilgehalte des seelischen Wohlbefindens und der psychischen Gesundheit. Ersteres bezeichnet einen Zustand der positiven Gefühle und Stimmungen, Letztere eine Abwesenheit von besonders schweren psychischen Beanspruchungen, die psychiatrische Krankheitsfolgen nach sich ziehen können. In vielen Berufen findet eine Verschiebung von vormals physischen zu überwiegend psychischen Anforderungen statt. People Analytics tangiert die psychische Integrität, wenn beispielsweise durch permanente Ortung des Arbeit-nehmers ein erheblicher psychischer Überwachungsdruck, Stress und eine Einschränkung der Bewegungsfreiheit entstehen. Stress ist die hauptsächliche negative Auswirkung von intensivierten technischen Überwachungen auf die Psyche des Arbeitnehmers.

c) Recht am eigenen Wort und Bild

Von People Analytics betroffen sein kann auch das Recht am eigenen Wort und an der eigenen Stimme, das den Schutz der verbalen Lebensäusserungen vor heimlicher Aufnahme, Manipulation und Weiterverbreitung an einen anderen als den zu erwarteten Personenkreis bezweckt. Ein weiterer Persönlichkeitsaspekt ist das Recht am eigenen Bild, welches zur Bestimmung über die Verwendung jeder Gestaltungsform und Darstellung, mit deren Hilfe ein Abbild geschaffen werden kann, berechtigt, also namentlich fotografische oder filmische Aufnahmen. Das Recht am eigenen Wort und Bild wird beispielsweise tangiert, wenn Instrumente zur Stimmanalyse oder Videokameras bei People Analytics verwendet werden.

3.4 Diskriminierungen

3.4.1 Problembeschreibung

People Analytics bringt nicht immer die Objektivität in die Personalentscheidungen hinein, die verheissen wird. Der Interpretation von Daten haftet immer etwas Subjektives an: Die Lichtstrahlen, die dem Datenempfänger das Abbild eines Wortes im Auge liefern, durchlaufen beim Lesenden einen komplexen inneren Prozess, der aus dem physikalischen Input (z.B. aus den Buchstaben «B-a-l-l») ein Bild (Ball) macht, wobei jeder Leser an etwas anderes denken kann (kugelförmiges Sportgerät oder festliche Tanzveranstaltung). Bei der Herstellung von «Verständnis» begegnet der eingehende Impuls einem Vorrat an früher erworbener Information, Zeichen- und Sprachkompetenz. Für die Frage der Objektivität ist somit entscheidend, wie bei People Analytics die Daten interpretiert und die Techniken angewendet werden.

People Analytics birgt von Natur aus ein Risiko für Diskriminierungen in sich, weil gestützt auf Statistiken, scheinbar rational, zwischen Individuen «unterschieden» wird (lat. discriminare: (geistig) unterscheiden, trennen, absondern). Die Arbeitnehmer werden durch Profiling in Kategorien unterteilt, und Personalentscheidungen treffen jeweils Kategorien von Mitarbeitern mit vorbestimmten Profilen. Die algorithmischen Modelle unterscheiden stets zwischen Gewinnern und Verlierern: Suchresultate gibt der Algorithmus in einer Rangfolge bekannt, weil die Programmierung ihm befiehlt, die Informationen über Arbeitnehmer nach Relevanz zu sortieren. Wiederholt sind Vorurteile bzgl. Rassen- und Geschlechtszugehörigkeit in der Personalverwaltung nachgewiesen worden. Die erwähnten Versprechen betreffend mehr Objektivität durch Algorithmen werden daher entweder direkt bestritten oder zumindest in Zweifel gezogen.

3.4.2 Begriffserklärung

Der Begriff der Diskriminierung ist verfassungsrechtlich nicht legaldefiniert. Hingegen findet sich eine Legaldefinition im internationalen Recht: Als Diskriminierung gilt jede Unterscheidung, Ausschliessung oder Bevorzugung aufgrund verpönter Gründe, welche dazu führt, die Gleichheit der Chancen oder der Behandlung in Beschäftigung oder Beruf aufzuheben oder zu beeinträchtigen. Verpönte Merkmale sind namentlich Rasse, Hautfarbe, Geschlecht, Glaubensbekenntnis, politische Meinung, nationale Abstammung und soziale Herkunft. Ist eine solche Unterscheidung in den Erfordernissen der Beschäftigung begründet, gilt sie nicht als Diskriminierung (vgl. Art. 1 Abs. 1–2 Übereinkommen 111).

Es ist zwischen direkter und indirekter Diskriminierung zu differenzieren. Eine direkte Diskriminierung besteht, wenn eine Differenzierung zwischen Menschen ausdrücklich an ein verpöntes Merkmal anknüpft und nicht mit qualifizierten Gründen gerechtfertigt werden kann. Eine indirekte Diskriminierung liegt vor, wenn eine nach dem Wortlaut neutrale Massnahme in ihren praktischen Auswirkungen eine Gruppe von Menschen mit einem verpönten Merkmal wesentlich stärker als alle anderen trifft, ohne dass dies sachlich begründet wäre. Während bei der direkten Diskriminierung die individuelle Dimension interessiert, stehen bei der indirekten Diskriminierung die Ergebnisse betreffend die Gruppe im Fokus.

Im Kontext von People Analytics ist die indirekte die relevantere Form von Diskriminierung, da die Algorithmen tendenziell seltener explizit an verpönte Merkmale anknüpfen, sondern Arbeitnehmer nach neutralen Kriterien einteilen. Da die indirekte Diskriminierung nur widerrechtlich ist, wenn sie eine Gruppe wesentlich stärker trifft als eine andere, ist zu klären, wann diese Schwelle der Wesentlichkeit erreicht ist. Die schweizerische Rechtsprechung legt zur Feststellung, ob eine geschützte Gruppe wesentlich stärker benachteiligt wird, keine starren Grenzwerte fest; Kriterien zur Feststellung sind Werte aus Statistiken und die allgemeine Lebenserfahrung. Die europäische Rechtsprechung handhabt dies gleich. Das amerikanische Common Law wiederum orientiert sich noch stärker an statistischen Grenzwerten, was dort jedoch auf Kritik stösst.

3.4.3 Ursachen der algorithmischen Diskriminierung

a) Diskriminierungen während des gesamten Daten-Lebenszyklus

Die Ursachen, die zu einer indirekten Diskriminierung führen können, sind entlang des gesamten Daten-Lebenszyklus, vor allem aber in der Phase der Datenanalyse zu verorten. Die Phase der Datenanalyse dient der eigentlichen Entscheidfindung mithilfe eines Algorithmus und ist weiter zu unterteilen in die Teilphasen «Eingabe» (input), «Modell zur Datenanalyse» und «Ausgabe» (output). In der Eingabephase werden die Daten aufbereitet. Der grösste Teil der personenbezogenen oder nichtpersonenbezogenen Eingabedaten dient dazu, den (Roh-)Algorithmus zu trainieren (sog. Trainingsdaten), während der kleinere verbleibende Datensatz erst später in den Algorithmus eingeführt wird, um zu testen, ob dieser richtig funktioniert (sog. Testdaten), bevor er in der Praxis zum Einsatz kommt. In der Modellphase werden die real zu untersuchenden Daten durch den Algorithmus bewertet und interpretiert. Die Ausgabephase beschreibt den Prozess, bei dem gestützt auf die vom Modell errechneten Ergebnisse Entscheidungen getroffen oder Massnahmen angeordnet werden. Auf die drei Teilphasen und die damit einhergehenden Diskriminierungsrisiken ist nun näher einzugehen.

b) Diskriminierungen in der Eingabephase

Zunächst ist es möglich, dass die in der Eingabephase verwendeten Trainingsdaten an Mängeln leiden, etwa weil sie schlecht ausgewählt, unvollständig, doppelt, nichtrepräsentativ, subjektiv voreingenommen, veraltet oder falsch sind. Dies will die vorliegende Arbeit anhand des Signalproblems und des Problems historischer Stereotypen illustrieren.

Den Trainingsdaten kann es wegen des sog. Signalproblems an Repräsentativität fehlen. Die bei People Analytics verwendeten Daten lassen diejenigen Gruppen ausser Acht, die ihre Interessen nicht «signalisieren» (können). Mit People Analytics droht eine systematische soziale Ausgrenzung der Menschen, die aufgrund von Armut, Geographie oder Lebensstil weniger Daten über sich selbst produzieren als die durchschnittliche Bevölkerung. Prädiktive Algorithmen bevorzugen diejenigen Menschengruppen, die in den Trainingsdaten üppig repräsentiert sind, da mit diesen Vorhersagen weniger Unsicherheit verbunden ist. Beispielsweise sah sich die Swisscom mit dem Problem auseinandergesetzt, dass die Hälfte ihrer Belegschaft ihre Teilnahme an einem Smart Data-Pilotprojekt verweigert hat, mit dem das Unternehmen herausfinden wollte, welche Art von Zusammenarbeit Stress verursacht. Auch mangelnder Zugang zu Internet, Computer und Smartphones kann zu Ungleichheiten und Diskriminierungen führen. Arbeitgeberinnen müssen erforschen, wie sich solch verschiedene Zugangsmöglichkeiten auf die Trainingsdaten auswirken. D.h., es genügt nicht, bloss die vorhandenen Daten zu kennen. Stattdessen muss die Arbeitgeberin auch ermitteln, welche Daten ihr fehlen und ob sie gewisse Gruppen vergisst, die keine Datensignale von sich geben. Angesichts des auf europäischer Ebene neu eingeführten Rechts auf Vergessenwerden (Art. 17 DSGVO) mag dies paradox klingen: Aber das Diskriminierungsrecht pocht auf das «Recht, nicht vergessen zu werden».

Selbst in einem repräsentativen Datensatz können sich Diskriminierungen einschleichen: Historische Stereotypen der Gesellschaft können sich in den Trainings-Datensätzen fortsetzen und gar verschärfen, weil die Algorithmen die in vergangenen Daten enthaltenen Vorbilder nachahmen. Dies zeigt sich etwa bei Programmen zur Stimmerkennung und Sprachanalyse: Die Wörter «weiblich» und «Frau» werden mehr mit Geisteswissenschaften verbunden; «männlich» und «Mann» dagegen mehr mit Mathematik und Ingenieurberufen. Euro-amerikanische Namen sind in Sprachmustern eher mit angenehmen, afroamerikanische mit unangenehmen Begriffen verbunden. Der Algorithmus schlägt infolgedessen bei identischen Lebensläufen mit 50 Prozent höherer Wahrscheinlichkeit die Einladung zu einem Bewerbungsgespräch vor, wenn der Name des Bewerbers euro-amerikanisch ist. Die medizinische Fakultät St. George’s der University of London nutzte bereits in den 1980er-Jahren einen Algorithmus zur Bewerbungsselektion, um aufgrund früherer Bewerbungen vorherzusagen, wem eine erfolgreiche Arztkarriere beschieden sei. Das System neigte dazu, Frauen und Bewerber mit nichteuropäisch klingenden Namen ungeachtet ihrer akademischen Leistungen abzulehnen. Der Algorithmus von Amazon hat sich beigebracht, dass männliche Kandidaten vorzuziehen sind, und wertete Bewerbungen ab, in welchen Begriffe wie «Frauen-Schachclub» oder Namen von Frauen-Colleges vorkamen. Und auch Google zeigt Inserate für gut bezahlte Stellen Männern überproportional häufiger an als Frauen.

c) Diskriminierendes Modell

Das mathematische Modell ist der Schritt zwischen Eingabe- und Ausgabephase, bei welchem die eingegebenen Daten mit einer Wertung versehen, analysiert und in einen Entscheidvorschlag umformuliert werden. Zunächst fliessen das Weltbild und die Überzeugungen der betreffenden Programmierer in die Modellierung ein. Somit können Algorithmen die Vorurteile der Programmierer widerspiegeln und an Fehlern leiden. Nehmen die Programmierer gewisse Begriffe nicht in das Modell auf, droht der Algorithmus, Bewerbungen fälschlicherweise wegen fehlender Schlüsselwörter auszusortieren, obwohl sie zum Stellenprofil passen würden. Die Sicht des Algorithmus ist stets auf diejenige des Programmierers beschränkt. Der Algorithmus kann sich nicht in die Situation des Betroffenen versetzen und ignoriert beispielsweise, dass die Mutter eines Arbeitnehmers gerade im Spital liegt und dieser Umstand auf die Stimmung und Leistung des Arbeitnehmers drückt.

Ein Diskriminierungsrisiko besteht, selbst wenn auf diskriminierungsrelevante Attribute verzichtet wird. Der Verzicht schliesst zwar eine direkte Diskriminierung aus; die Gefahr einer indirekten Diskriminierung besteht aber weiter. Denn die verbleibenden Attribute können Stellvertreter geschützter Merkmale sein (sog. stellvertretende oder «Proxy-Variable», daher auch «Proxy-Diskriminierung»). Bereits relativ triviale Informationen können eng mit geschützten Charakteristika korrelieren. Beispielsweise korrelieren Facebook-Likes mit Geschlecht und politischer Gesinnung oder verwendeter Wortschatz mit Rasse. Eine weitere Ausprägung der indirekten Diskriminierung am Arbeitsplatz ist die Geokodierung (auch weblining, abgeleitet von redlining, dem Ziehen von roten Linien auf Landkarten im Zusammenhang mit der Vergabe von Finanzkrediten). Hier kann die Arbeitgeberin aus dem neutralen Kriterium der Wohnadresse des Betroffenen auf dessen ethnische Zugehörigkeit schliessen, wenn in gewissen Quartieren vorwiegend Personen der gleichen Ethnie wohnen. Wie schon angesprochen stellte das Software-Unternehmen Evolv fest, dass Mitarbeiter, die 0–5 Meilen von ihrem Arbeitsplatz entfernt wohnen, um 20 Prozent länger ihrer Stelle treu bleiben als diejenigen, die weiter weg wohnen. Die Arbeitgeberin kann auf diesem Weg die Demografie ihres Bewerberpools beeinflussen, indem sie etwa Stelleninserate nur für Personen mit einer bestimmten IP-Adresse freischaltet.

Diskriminierungen können sich ferner aus einem unzureichenden Stand der Technik ergeben: So erteilte eine Software zur Sprachanalyse in einem Call-Center Nichtmuttersprachlern und Arbeitnehmern mit starkem Sprachakzent oder einer Sprachbehinderung eine tiefere Bewertung, weil der Algorithmus die Sprechgewohnheiten nicht einordnen konnte. Oder das US-amerikanische behördliche System E-Verify verweigert fälschlicherweise Arbeitsbewilligungen, weil es mit Namen von Ausländern und Frauen, die nach der Heirat den Namen wechseln oder mehrere Nachnamen tragen, nicht zurechtkommt. Des Weiteren können Homonyme, also gleichlautende Wörter, die für verschiedene Begriffe stehen, zu Verwechselungen führen: Als ein Forschungsteam 2011 die Arbeitslosenquote der USA ermittelte, indem es in sozialen Netzwerken nach Begriffen wie «jobs» suchte, verzerrte die zeitgleiche Flut von Beiträgen zum Tod von Apple-Gründer Steve Jobs die Forschungsergebnisse. Ein Algorithmus kann zudem nur Grössen berücksichtigen, die nach dem Stand der Technik messbar sind. Hierzu zählen beispielsweise Verkaufszahlen, Produktionszeit und Dienstalter. Schwieriger ist etwa die Messung, wie gut ein Lehrer seine Klasse motivieren kann. Weil eine Evaluation an amerikanischen Schulen dies übersah und die Lehrpersonen weitgehend aufgrund der Prüfungsresultate der Schüler einstufte, kam es zu zahlreichen ungerechtfertigten Entlassungen.

Schliesslich können Diskriminierungen aus Übersetzungsschwierigkeiten zwischen der Rechts- und der Computerwissenschaft hervorgehen. In der Literatur fehlt eine einheitliche formelhafte Definition von Diskriminierung für Programmierer und Computerwissenschaftler. Diese Berufsgattungen haben verschiedene mathematische Definitionen von Gerechtigkeit vorgeschlagen. Die verschiedenen Perspektiven bei der Einschätzung, welches Kriterium das richtige sein soll, schliessen sich teilweise gegenseitig aus, sodass Kompromisse unumgänglich sind, wie anhand der folgenden drei Problemfelder aufzuzeigen ist.

Erstens besteht ein Konflikt zwischen der Gerechtigkeit für die Gruppe und für Einzelpersonen. Es ist angeblich statistisch erwiesen, dass die besten Informatiker diejenigen mit einer Vorliebe für Manga-Comics sind. Daher erscheint es aus Gruppenperspektive gerecht, die Gruppe der Manga-Liebhaber gegenüber dem Rest bei der Bewerbung oder bei Beförderungen zu bevorzugen. Auf Individualebene kann es jedoch ungerecht sein, einem talentierten Informatiker, der keine Manga liest, sein Talent abzusprechen. Der Algorithmus muss sich entscheiden, ob er einen Entscheid fällt, der für die Gruppe oder für die Einzelpersonen gerecht ist. Auch eine Mischrechnung ist denkbar, sodass etwa die maximal vorstellbare Gerechtigkeit für die Gruppe zu 60 Prozent und diejenige für den Einzelnen zu 40 Prozent erfüllt werden.

Zweitens ist die Gerechtigkeit zwischen verschiedenen Gruppen zu verteilen, was insbesondere in Fällen der Proxy-Diskriminierung Mühe bereiten kann: Ein Algorithmus mag beispielshalber errechnen, dass ein Arbeitnehmer, dem die negative Eigenschaft X fehlt, bessere Leistungen als andere Angestellte erbringt. Daraufhin stellt sich jedoch heraus, dass die Bevorzugung aller, denen die Eigenschaft X fehlt, gleichzeitig eine Benachteiligung aller Arbeitnehmer mit einem verpönten Merkmal Y bedeutet (Proxy-Diskriminierung). Dies könnte zutreffen, wenn X bedeutet, dass jemand immer etwas früher als die Kollegen die Arbeit verlässt, und Y bedeutet, dass die Angestellte eine Frau ist; alle im Betrieb angestellten Frauen sind zudem alleinerziehende Mütter, die früher gehen, weil sie am Abend ihre Kinder rechtzeitig von der Krippe abholen müssen. Hier muss dem Algorithmus beigebracht werden, ob er sich gegenüber der Gruppe derjenigen, denen die negative Eigenschaft X fehlt, oder gegenüber derjenigen mit dem verpönten Merkmal Y gerecht verhalten soll. Angezeigt ist in diesem Beispiel nicht eine Umprogrammierung des Algorithmus, sondern eine Flexibilisierung der Arbeitszeiten.

Drittens zeigt auch das sog. Simpson-Paradoxon, das einen scheinbaren Widerspruch zwischen der Gesamtpopulation und den Subpopulationen beschreibt, dass die Frage der Gleichbehandlung davon abhängt, wie man die Daten gruppiert. Nicht alles, was ungerecht aussieht, ist eine Diskriminierung: Facebook sah sich dem Vorwurf ausgesetzt, die Codes seiner Programmiererinnen zu 35 Prozent häufiger zurückzuweisen als diejenigen der männlichen Angestellten. Facebook entgegnete, dass mehrheitlich junge Frauen, die noch lernen und daher Kritik erhalten, bei Facebook arbeiten, während Frauen auf der Stufe Senior Engineering untervertreten sind. Nähme man statt der gesamten Belegschaft nur die Subpopulation der Jungen als Massstab, wäre das Risiko, kritisiert zu werden, für Frauen geringer als dasjenige für Männer.

d) Diskriminierungen in der Ausgabephase

Diskriminierend ist die falsche Folgerung von der Gruppenwahrscheinlichkeit auf den Einzelnen, weil sie eine Gleichbehandlung von Ungleichem bedeutet. Beispielsweise wäre es falsch, jemandem, der online nach einer Fritteuse sucht, ungesunde Essensgewohnheiten zu attestieren, da die Fritteuse möglicherweise als Geschenk für Dritte gedacht ist. Die Arbeitgeberin, die gesunde Angestellte rekrutieren will, würde übereilt und diskriminierend handeln, wenn sie solche Bewerbungen aussortieren würde.

3.5 Verletzung von Mitwirkungsrechten

3.5.1 Zweck und zwingende Geltung der Mitwirkungsrechte

In allen Fragen des Gesundheitsschutzes am Arbeitsplatz sind die Mitwirkungsrechte zu berücksichtigen (Art. 48 Abs. 1 lit. a ArG). Zum Gesundheitsschutz zählt der für People Analytics typische Einsatz von Überwachungs- und Kontrollsystemen, die das Verhalten der Arbeitnehmer am Arbeitsplatz überwachen (vgl. Art. 26 ArGV 3). Die Mitwirkung der Arbeitnehmer auf betrieblicher Ebene wird gesetzlich einerseits durch das MitwG, andererseits durch Art. 37–39 ArG (sowie Art. 67–68 ArGV 1) betreffend Betriebsordnung geregelt.

Die Mitwirkung bezweckt die Information und Mitsprache der Arbeitnehmer in den Betrieben (vgl. Titel des MitwG). Sie bringt den Arbeitnehmern Teilhabe, Kontrolle und informationelle Mitbestimmung beim Einsatz von People Analytics. Umgekehrt kann die Arbeitgeberin in einem frühen Stadium die Akzeptanz geplanter People Analytics-Massnahmen abschätzen. Denn die Auffassungen zur Privatsphäre variieren sowohl zwischen den Betrieben als auch innerhalb desselben Betriebs. Zudem erhöht ein aktiver Dialog die Produktivität des Unternehmens.

Das MitwG ist als Rahmengesetz konzipiert, das im Wesentlichen die institutionellen Voraussetzungen der betrieblichen Mitwirkung normiert. In welchen Bereichen und in welchem Umfang Mitwirkungsrechte bestehen, steht in den entsprechenden Spezialgesetzen (OR, ArG). Wichtig ist, zu sehen, dass die betriebsverfassungsrechtlichen Rechte des MitwG relativ zwingendes Gesetzesrecht darstellen: Von den Mitwirkungsrechten (Art. 9–10 MitwG) darf nicht zuungunsten der Arbeitnehmer abgewichen werden, auch nicht durch Gesamtarbeitsvertrag (vgl. Art. 2 Satz 2 MitwG). Eine Abweichung zugunsten der Arbeitnehmer ist jedoch zulässig (Art. 2 Satz 1 MitwG, sog. Günstigkeitsprinzip). Die relativ zwingende und kollektive Natur der Mitwirkungsrechte bedeutet, dass nicht durch individuelle Einwilligungen auf sie wirksam verzichtet werden kann.

Eine Verwirkung dieser Rechte fällt ausser Betracht. Auch erlöschen die datenschutzbezogenen Mitwirkungsrechte nicht, wenn die Arbeitgeberin einen Datenschutzverantwortlichen bezeichnet, der unabhängig (ebenfalls) die betriebsinterne Einhaltung der Datenschutzvorschriften überwacht (vgl. Art. 11a Abs. 5 lit. e DSG; vgl. Art. 9 E-DSG, Art. 10 rev-DSG).

3.5.2 Informationsrecht

Die Mitwirkungsrechte können stufenweise in Informations-, Mitsprache- und Mitentscheidungsrechte unterteilt werden. Die schwächste Form der Mitwirkung stellt das Informationsrecht dar. Es besteht ein Anspruch auf rechtzeitige und umfassende Information über alle Angelegenheiten, deren Kenntnis Voraussetzung für eine ordnungsgemässe Erfüllung der Aufgaben der Arbeitnehmervertretung ist (Art. 9 Abs. 1 MitwG). Die Aufgaben der Arbeitnehmervertretung bestehen darin, gegenüber der Arbeitgeberin die gemeinsamen Interessen der Arbeitnehmer wahrzunehmen und Letztere regelmässig über ihre Tätigkeit zu informieren (Art. 8 MitwG). People Analytics betrifft in der Regel den gesamten Betrieb oder ganze Abteilungen, weshalb gemeinsame Arbeitnehmerinteressen angesprochen sind und ein Informationsrecht besteht. Abzugrenzen ist das Informationsrecht des Arbeitnehmerkollektivs von der Information und der Anleitung der individuellen Arbeitnehmer (Art. 5 ArGV 3), auf welche vorliegend nicht näher eingegangen wird.

Das Informationsrecht beschränkt sich auf die Mitteilung; ein Mitberaten ist ausgeschlossen. Die Bedeutung des Informationsrechts liegt darin, dass es die Voraussetzung für alle weitergehenden Formen der Mitwirkung ist. Die «umfassende» Information (Art. 9 Abs. 1 MitwG) muss somit zumindest hinreichend für die weitere Aufgabenerfüllung sein, die bei People Analytics in der Mitsprache besteht, wie noch gezeigt werden wird. Tendenziell dürfte eine stichwortartige Schilderung des People Analytics-Systems genügen, während etwa der Quellcode eines verwendeten Algorithmus von den legitimen Geheimhaltungsinteressen der Arbeitgeberin gedeckt bleibt, solange dessen Kenntnis für die Mitsprache beim Gesundheitsschutz nicht erforderlich ist. Jedenfalls besteht eine Verschwiegenheitspflicht hinsichtlich der betrieblichen Angelegenheiten, die jemand in der Eigenschaft als Arbeitnehmervertreter erfährt (Art. 14 MitwG). Die Information umfasst auch die Arbeitnehmerrechte im Zusammenhang mit der Bearbeitung von Personendaten. Hinzuweisen ist etwa auf Art. 328b OR, auf das Auskunftsrecht (Art. 8 DSG, Art. 23 E-DSG, Art. 25 rev-DSG) und auf behördliche Anordnungen zum Gesundheitsschutz (Art. 6 Abs. 2 Satz 2 ArGV 3).

Die Information muss rechtzeitig erfolgen (Art. 9 Abs. 1 MitwG). Rechtzeitig bedeutet frühzeitig. Angemessen erscheint ein Zeitpunkt, der die Arbeitnehmervertretung in die Lage versetzt, die weitergehenden Mitwirkungsrechte auszuüben, etwa durch Entwicklung eigener Vorschläge und Bedenken, die bei der Planung berücksichtigt werden können. Als allgemeiner Richtwert für eine angemessene Frist werden zwei Wochen erwähnt. Doch ist ein abstrakter zeitlicher Richtwert nach der vorliegend vertretenen Auffassung nicht tauglich. Vielmehr beurteilt sich nach Treu und Glauben (vgl. Art. 11 Abs. 1 MitwG) und den Umständen des Einzelfalls (z.B. Komplexität und Dringlichkeit der Fragen sowie konkrete Aufgabe der Arbeitnehmervertretung), ob eine Information rechtzeitig erfolgt. Das Bundesgericht hält eine Konsultationsfrist von 24 Stunden im Hinblick auf eine Massenentlassung für zu kurz. Bei People Analytics erscheint eine frühe Information als zumutbar, weil die Arbeitgeberin entsprechende Projekte in der Regel planmässig einführt. In der Praxis kommt es vor, dass die neuen Geräte und Softwares zunächst als Pilotprojekt mit einer Gruppe von freiwilligen Arbeitnehmern getestet werden. Erst wenn diese Testphase erfolgreich verlaufen ist, entscheidet die Geschäftsleitung, ob und in welcher Form sie die People Analytics-Anwendung im gesamten Unternehmen auf obligatorischer Basis einführen wird. Idealerweise wird die Arbeitnehmervertretung ins Pilotprojekt eingebunden. So ist ein genügend früher Zeitpunkt für den Beginn der Mitwirkung sichergestellt. Spätestens aber bevor entschieden wird, dass und in welcher Form das Projekt unternehmensweit lanciert werden soll, muss die Arbeitnehmervertretung informiert und ihr eine angemessene Zeit zum Einbringen von Vorschlägen gewährt werden.

Über die Form der Information äussern sich weder das ArG noch die ArGV 3. Möglich sind die mündliche Information an einer Sitzung der Arbeitnehmerve

rtretung oder an einer Betriebsversammlung, ein internes Schreiben oder eine E-Mail an die Arbeitnehmervertretung bzw. die Belegschaft, der Aushang eines Informationsschreibens ans schwarze Brett oder die Publikation in der Firmenzeitung. Aus Beweisgründen ist es vorzuziehen, die Information schriftlich zu dokumentieren.

3.5.3 Mitspracherecht

Ein umfassendes Mitspracherecht existiert bzgl. aller Fragen des Arbeitnehmer-Gesundheitsschutzes (Art. 10 lit. a MitwG i.V.m. Art. 48 Abs. 1 lit. a ArG; vgl. Art. 6 Abs. 3 Satz 1 ArG; Art. 6 ArGV 3). Diese Fragen schliessen People Analytics ein, weil die Überwachung der Arbeitnehmer eine Frage des Gesundheitsschutzes ist (vgl. Art. 26 ArGV 3). Wenn diesbzgl. Betriebsbesuche der Vollzugsbehörde stattfinden, gilt ebenfalls das Mitspracherecht.

Das Mitspracherecht geht eine Stufe weiter als das Informationsrecht. Es umfasst den Anspruch auf Anhörung und Beratung (Art. 48 Abs. 2 ArG). Anhören bedeutet, dass die Arbeitnehmer das Recht haben, (einseitig) Vorschläge zu unterbreiten (Art. 6 Abs. 1 Satz 2 ArGV 3). Der Begriff des Beratens bedeutet «gemeinsam überlegen und besprechen». Die Arbeitgeberin muss sich im (wechselseitigen) Dialog mit den Vorschlägen der Arbeitnehmerseite auseinandersetzen, ehe sie entscheidet. Es genügt nicht, dass die Arbeitgeberin die Anliegen der Arbeitnehmerseite bloss zur Kenntnis nimmt. Die Arbeitgeberin ist jedoch nicht verpflichtet, den Vorschlägen der Arbeitnehmer zu folgen. Dies ergibt sich aus dem Anspruch auf Begründung des Entscheids, wenn dieser den Einwänden der Arbeitnehmerseite nicht oder nur teilweise Rechnung trägt (Art. 48 Abs. 2 Teilsatz 2 ArG).

Heikel ist die Frage, wer innerhalb des Unternehmens die Arbeitnehmer anhört (und wer nicht). Dies ist im Einzelfall festzustellen und dürfte von Unternehmen zu Unternehmen verschieden sein. Idealerweise tritt diejenige Person ins Gespräch mit der Arbeitnehmerseite, welche befugt ist, den infrage stehenden Entscheid auszuführen.

Über die Form der Anhörung äussert sich das Gesetz nicht. Die Arbeitnehmer können ihre Anliegen und Vorschläge mündlich oder schriftlich einbringen. Für die Beratung erscheint der mündliche Weg naheliegend. Aufgrund der Beweisbarkeit empfiehlt es sich aber, den Ablauf des Konsultationsverfahrens und das Ergebnis der Konsultation schriftlich genau zu dokumentieren.

Zeitlich muss die Anhörung erfolgen, bevor die Arbeitgeberin den Entscheid trifft (Art. 48 Abs. 2 ArG). Für den unbestimmten Rechtsbegriff der «frühzeitigen» Anhörung (Art. 6 Abs. 1 ArGV 3) kann an die Ausführungen zur rechtzeitigen Information erinnert werden.

Zu ergänzen ist, dass die aktive Rolle in der Mitsprache die Verpflichtung der Arbeitnehmer mit sich bringt, die Arbeitgeberin in der Durchführung der Vorschriften über den Gesundheitsschutz zu unterstützen (Art. 6 Abs. 3 Satz 2 ArG i.V.m. Art. 10 ArGV 3). Dies umfasst insbesondere eine Meldepflicht, wenn der Arbeitnehmer Mängel feststellt, welche den Gesundheitsschutz beeinträchtigen (Art. 10 Abs. 2 Satz 2 ArGV 3).

3.5.4 Fehlendes Mitentscheidungsrecht

Die stärkste Form der Mitwirkung ist das Mitentscheidungsrecht. Hier haben die Arbeitnehmer bzw. deren Vertretung das Recht, sich unmittelbar am Entscheidungsprozess zu beteiligen, wobei das Ausmass der Mitentscheidung variieren kann. Mitentscheidungsrechte haben Arbeitnehmer namentlich in Bezug auf die Arbeits- und Ruhezeit (z.B. Art. 10 Abs. 2 Satz 1 ArG) und den Sonderschutz für schwangere Frauen und stillende Mütter (z.B. Art. 35a Abs. 1 und 3 ArG). Im Zusammenhang mit der Überwachung am Arbeitsplatz sieht das Gesetz jedoch kein Mitentscheidungsrecht vor (vgl. Art. 6 Abs. 3, Art. 48 ArG). Diese Rechtslage entspricht den Anforderungen des Europarats und der IAO an die Mitwirkung bei der automatisierten Bearbeitung von Daten über Arbeitnehmer. Durch das Ausbleiben von Mitentscheidungsrechten bei People Analytics unterscheidet sich die Rechtslage in der Schweiz aber von derjenigen in Deutschland und Österreich.

3.6 Zwischenfazit: Rechtsprobleme vom Kontext abhängig

People Analytics forciert das Machtungleichgewicht in Arbeitsverhältnissen. Dies kann zu rechtlich problematischen Folgeerscheinungen wie Persönlichkeitsverletzungen, Diskriminierungen oder Verletzungen der Mitwirkungsrechte führen. Diese Probleme betreffen sowohl Individuen (bei Persönlichkeitsverletzungen und direkten Diskriminierungen) als auch Gesellschaftsgruppen (bei indirekten Diskriminierungen und Verletzungen von Mitwirkungsrechten).

Doch nach der vorliegend vertretenen Meinung sind nicht immer Rechtsprobleme mit People Analytics verbunden. Beispielsweise hängen die subjektiven Erwartungen an den Schutz der Privatsphäre vom Kontext ab, sodass die identische Anwendung in einem Betrieb zu Privatsphäreverletzungen führen kann, im andern jedoch nicht. Ferner kann etwa eine Anwendung aus der Sicht einer Einzelperson diskriminierend sein, während sie für gesamte Gruppen von Betroffenen gerechte Resultate hervorbringt. Daher ist eine differenzierte Sicht auf People Analytics erforderlich. Es kann nicht das Ziel sein, People Analytics von Grund auf zu verbieten. Stattdessen sind rechtliche Optionen gesucht, die der sich versteifenden Machtasymmetrie entgegenwirken und die nötige Flexibilität in die Arbeitsbeziehungen zurückbringen. Zur Prüfung dieser Optionen ist im Folgenden zunächst zu fragen, welche rechtlichen Erlasse überhaupt für People Analytics relevant sind (dazu sogleich).

Gabriel Kasper in: People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts; 2021; Dike Verlag, Zürich

https://creativecommons.org/licenses/by-nc-nd/3.0/ch/

DOI: https://doi.org/10.3256/978-3-03929-009-3

Zur einfacheren Lesbarkeit wurden die Quell- und Literaturverweise entfernt.