Szenarien – Digitalisierung am Arbeitsplatz

09/2022

III.   SZENARIEN – DIGITALISIERUNG UND PRIVATSPHÄRE AM ARBEITSPLATZ

1. Einleitung

Die nachfolgenden Szenarien beschreiben im Zusammenhang mit der Digitalisierung stehende und das Berufsleben betreffende Sachverhalte, in welchen eine Verletzung der Privatsphäre von Arbeitnehmenden durch Arbeitgebende möglich ist. Ziel dieses Abschnitts ist es (1) grundrechtlich relevante Sachverhalte zum Schutz der Privatsphäre von Arbeitnehmenden im Zeitalter der Digitalisierung zu identifizieren und (2) die Anwendbarkeit des bestehenden rechtlichen Rahmens (in der Schweiz) auf diese Sachverhalte zu untersuchen.

Die in den Szenarien geschilderten Sachverhalte wurden vom Projektteam entworfen und in Konsultationen mit wichtigen Akteuren des Arbeitsmarktes – privatrechtliche und öffentlich-rechtliche Arbeitgebende, Arbeitgebendenverbände, Gewerkschaften und Datenschutzbeauftragte – auf ihre Relevanz überprüft. Bei der Auswahl der Technologien hat das Projektteam darauf geachtet, sowohl aktuelle, als auch zukünftig relevante Technologien in den Szenarien einzubeziehen. «Ältere» Technologien wie z.B. die Telefonüberwachung wurden hingegen ausgeklammert.

Die ausgewählten Szenarien beschränken sich auf das Verhältnis zwischen Arbeitgebenden und Arbeitnehmenden und befassen sich nicht mit potenziellen Verletzungen der Privatsphäre von Arbeitnehmenden durch Drittparteien (z.B. Bewertung von Lehrpersonen durch Schulkinder, Bewertung von Uber-Fahrdienst durch Kundschaft) und von Drittparteien durch Arbeitgebende (z.B. unbefugte Weitergabe von Kundendaten) aus.

2. Szenario 1: Informationsbeschaffung im Internet/in sozialen Netzwerken während des Bewerbungsverfahrens

2.1. Sachverhalt

Während des Auswahlprozesses für die Besetzung einer vakanten Arbeitsstelle gibt es heute eine Vielzahl von Möglichkeiten für Arbeitgebende, sich zusätzlich zum Gespräch mit Stellenbewerbenden und den von diesen eingereichten Unterlagen über das Internet und digitale soziale Netzwerke weitere Informationen über die Bewerbenden zu verschaffen. Diese digital verfügbaren Informationen werden oft von den bewerbenden Personen selbst oder von Dritten «aufgeschaltet», sind häufig öffentlich zugänglich und bleiben ohne spezielle Vorkehrungen in zeitlicher Hinsicht für andere Internetnutzende praktisch unbeschränkt abrufbar.

Die Informationsbeschaffung über Stellenbewerbende im Internet kann zum einen manuell durch Arbeitgebende selber vorgenommen werden. Zum andern gibt es auch auf Algorithmen basierte Programme, welche das Internet nach diesen Informationen durchsuchen und Bewerbende gestützt auf (programmierte) Kriterien auf deren Eignung für eine ausgeschriebene Stelle bewerten.

Das vorliegende Szenario befasst sich mit der rechtlichen Beurteilung der manuellen online-Informationsbeschaffung durch Arbeitgebende. Die automatisierte Informationsbeschaffung innerhalb eines Bewerbungsprozesses wird in Szenario 2 (infra Ziff. 3) behandelt.

2.2. Relevanz und Problembereiche

Bereits vor mehr als zehn Jahren haben gemäss den Erläuterungen des Eidgenössischen Daten- schutzbeauftragten (EDÖB) zu sozialen Netzwerken rund zwei Drittel aller Personalverantwortlichen Internetsuchmaschinen benutzt, um zusätzliche Informationen über bewerbende Personen zu erhalten. Vergleichbare aktuelle Schätzungen liegen für das Durchforsten von beruflichen und sozialen Medien (social media screening) von Bewerbenden vor.

Im Rahmen der qualitativen Umfrage bei den relevanten Akteuren wurden als mögliche Mittel der Informationsbeschaffung in einem Bewerbungsprozess insbesondere Suchmaschinen («googeln»), persönliche Webseiten und Blogs sowie soziale Netzwerke mit oder ohne beruflichen Bezug (z.B. LinkedIn, Xing bzw. Facebook, Instagram) genannt. Dabei ergibt sich hinsichtlich der Häufigkeit und Art der verwendeten Methoden kein einheitliches Bild. Vergleichsweise oft wird die Informationsbeschaffung über soziale Netzwerke mit beruflichem Bezug genutzt, gefolgt von der gewöhnlichen Internetrecherche («googeln»). Die meisten Unternehmen geben an, soziale Netzwerke ohne beruflichen Bezug eher selten zu konsultieren. Verschiedene Interviewpartner haben überdies darauf hingewiesen, dass die Unternehmen inzwischen aktiv über berufliche soziale Medien rekrutieren (active sourcing).

Bei der Beschaffung von Informationen über Bewerbende aus dem Internet befürchten die konsultierten Akteure, dass aufgrund von frei verfügbaren und einsehbaren persönlichen Daten nicht arbeitsplatzrelevante Informationen bei der Beurteilung einer Bewerbung mitberücksichtigt werden. Zudem wurde der praktische Aspekt der «Verwechslungsgefahr» hervorgehoben. Gerade bei sehr geläufigen Namen bestünde ein Risiko, dass persönliche Informationen einer anderen Person in die Beurteilung der Bewerbung einflössen. Andererseits wird auch die Eigenverantwortung jeder Einzelperson für die Veröffentlichung von persönlichen Informationen auf (teils öffentlich zugänglichen) Plattformen hervorgehoben. Damit verbunden ist die Frage, ob es sich bei öffentlich zugänglichen Informationen wirklich um private oder nicht doch um öffentliche Informationen handelt.

Bei sozialen Netzwerken ohne beruflichen Bezug überwog die Ansicht, dass eine Einwilligung der Bewerbenden grundsätzlich notwendig ist, wenn über diese Plattformen Informationen beschafft werden. Hinsichtlich dem Erwerb von Informationen über soziale Medien mit beruflichem Bezug wurde diese Ansicht hingegen nur vereinzelt vertreten, da solche Plattformen einem beruflichen Zweck und somit der Eigenvermarktung dienten und deshalb eine stillschweigende Einwilligung bereits vorhanden sei. Jede vermeintlich «freiwillige» Einwilligung im Arbeitsbereich (einschliesslich des Bewerbungsverfahrens) sei jedoch aufgrund des dem Arbeitsverhältnis zugrundeliegenden Subordinationsverhältnisses kritisch zu überprüfen.

Andere Untersuchungen zeigen, dass stellensuchende Personen der Praxis des social media screening im Rahmen von Bewerbungsprozessen – auch hinsichtlich ihrer öffentlich zugänglichen Daten – sehr skeptisch gegenüberstehen, da es nicht möglich ist, festzustellen, wie diese Daten von Drittpersonen tatsächlich genutzt werden.

Die nachfolgende Analyse beschränkt sich angesichts der grossen Anzahl an unterschiedlichen Online-Plattformen auf drei Methoden/Medien: die gewöhnliche Internetrecherche sowie soziale Netzwerke mit (z.B. LinkedIn) und ohne beruflichen Bezug (z.B. Facebook). Aufgrund der Vielzahl von Konstellationen, wie das Internet und unterschiedliche soziale Medien von einzelnen Personen genutzt werden können, beinhalten die nachfolgenden Aussagen gewisse Verallgemeinerungen.

2.3. Grund- und menschenrechtliche Fragestellungen

Vorab ist zu definieren, welche Daten im Zusammenhang mit Bewerbungsverfahren privat sind und welche Kriterien (z.B. Urheberschaft) für diese Beurteilung gelten. Hinsichtlich der Urheberschaft muss beachtet werden, dass die Privatsphäre betreffende Informationen ohne das Wissen und auch gegen den Willen einer Person im Internet vorhanden sein können. Weiter stellt sich die Frage, ob öffentlich zugängliche Informationen im Internet und auf beruflichen/freizeitlichen sozialen Netzwerken grundsätzlich als öffentlich gelten, da sie oft ohne Zugangsbeschränkung abrufbar sind. Abzuklären ist auch, ob Informationen von beruflichen sozialen Netzwerken (z.B. LinkedIn, Xing) rechtlich anders zu beurteilen sind als Informationen aus freizeitlichen sozialen Medien (z.B. Facebook, Instagram). Schliesslich ist zu prüfen, unter welchen Voraussetzungen private Daten durch potenzielle Arbeitgebende dennoch bearbeitet werden können und welche Grundsätze der Datenbearbeitung für das Bewerbungsverfahren gelten.

2.4. Rechtliche Beurteilung

• Rechtliche Grundlagen

Obwohl Art. 328b OR dem Wortlaut nach nur auf das Verhältnis zwischen Arbeitgebenden und Arbeitnehmenden anwendbar ist, erstreckt sich dessen zeitlicher Anwendungsbereich auch auf den Bewerbungsprozess. Bei der Prüfung, ob sich Bewerbende für die in Frage stehende Stelle eignen, ist es grundsätzlich erlaubt, Informationen im Rahmen eines Einstellungsgesprächs oder durch das Einholen von Referenzen, Zeugnissen etc. zu erheben. Dieser Informationsbeschaffung sind aber rechtliche Grenzen gesetzt.

Arbeitgebende dürfen nach Art. 328b OR nur Informationen einholen, welche sich objektiv auf die Eignung der bewerbenden Person für die in Frage stehende Anstellung beziehen. Zusätzlich zu Art. 328b OR kommt Art. 4 DSG zur Anwendung, da alle Angaben von Bewerbenden Personendaten im Sinne des DSG darstellen. Art. 4 DSG definiert die Grundsätze, welche im Rahmen von Datenbearbeitungen eingehalten werden müssen, wobei in casu v.a. die Verhältnismässigkeit nach Art. 4 Abs. 2 DSG von Bedeutung ist. In einem Bewerbungsprozess notwendig und geeignet sind insbesondere Daten «über die fachliche und persönliche Eignung einer Stellenbewerberin oder eines Stellenbewerbers für die Ausübung der ausgeschriebenen Stelle.»

Das Einholen von zusätzlichen Informationen, welche das Privatleben von Bewerbenden betreffen, ist deshalb grundsätzlich nicht zulässig. Dabei handelt es sich um alle Informationen, welche die bewerbende Person als Privatsache definiert haben möchte. Bekannte Beispiele für eine unzulässige Datenerhebung im Rahmen von Rekrutierungsprozessen betreffen z.B. eine Schwangerschaft, Lebensgewohnheiten, Kinderwünsche, die sexuelle oder politische Ausrichtung oder den allgemeinen Gesundheitszustand. Das Fragerecht der Arbeitgebenden findet seine Grenzen somit in der Persönlichkeit und der Privatsphäre der Bewerbenden. Informationen über Bewerbende müssen zudem grundsätzlich bei diesen selber eingeholt werden, um die Richtigkeit der Daten nach Art. 5 DSG zu gewährleisten.

• Internetrecherche

Vor der Beantwortung der relevanten rechtlichen Fragen im Zusammenhang mit der Internetrecherche von Arbeitgebenden ist die Rolle von Internetsuchmaschinenbetreibern bei der Bereitstellung von personenbezogenen Daten im Internet kurz zu erläutern. Diese Intermediäre stellen personenbezogene Daten nicht von sich auch ins Internet, sondern geben «nur» bereits vorhandene Informationen wieder. Der EuGH hat sich 2014 in Google Spain SL, Google Inc. gegen Agencia Española de Protección de Datos ausführlich dazu geäussert. Eine natürliche Person hatte vor nationalen Gerichten beantragt, dass ihn betreffende personenbezogene Daten nicht mehr in den Suchergebnissen von Google erscheinen und/oder gelöscht werden sollen. Der Gerichtshof hielt fest, dass Suchmaschinenbetreiber durch das Durchforsten des Internets, die Indexierung von Suchresultaten und die Wiedergabe der Ergebnislisten personenbezogene Daten verarbeiten und deshalb als Datenverantwortliche anzusehen sind. Mittels den von den Suchmaschinenbetreibern zur Verfügung gestellten Ergebnislisten könnten Suchende deshalb leichter an Informationen kommen, welche sie ohne die Suchmaschine nicht gefunden hätten. Die Betreiber hätten so einen «massgeblichen Anteil an der weltweiten Verbreitung personenbezogener Daten» sowie deren Sichtbarmachung gegenüber Dritten. Bezüglich der beantragten Löschung der Daten hat der Gerichtshof festgehalten, dass eine Löschung des Links zur fraglichen Information – nicht die Löschung der Information selbst – möglich ist, «wenn die Daten für die Zwecke, für die sie erhoben oder verarbeitet worden sind, [in Anbetracht der verstrichenen Zeit] nicht mehr erforderlich sind.» Mit dieser Argumentation hat der EuGH die datenschutzrechtliche Verantwortung von Suchmaschinenbetreibern und ein Löschungsrecht des Antragstellers bejaht. Dieser etwas unpräzis als «Recht auf Vergessenwerden» bezeichnete Anspruch wurde daraufhin auch in Art. 17 DSGVO verankert.

Ein Recht auf Vergessenwerden ist in der Schweiz nicht explizit normiert. Dies hängt u.a. damit zusammen, dass ein solches Recht in technischer Hinsicht gar nicht umsetzbar ist. Vielmehr geht es darum, dass personenbezogene Informationen von den Suchmaschinenbetreibern nicht mehr indexiert und angezeigt werden dürfen. In der Schweiz schafft Art. 12 Abs. 2 lit. b DSG Abhilfe. So dürfen Daten gegen den ausdrücklichen Willen einer Person nur bearbeitet werden, wenn ein Rechtfertigungsgrund vorliegt. Ist dies nicht der Fall, liegt eine widerrechtliche Persönlichkeitsverletzung vor und betroffenen Personen stehen die Rechtsansprüche von Art. 15 DSG offen.

Während die datenschutzrechtliche Verantwortlichkeit von Internetsuchdiensten durch den EuGH bestätigt wurde und auch gemäss DSG gilt, stellt sich die weitergehende Frage, ob Arbeitgebende davon profitieren dürfen, dass diese Betreiber personenbezogene Daten von Bewerbenden mit oder ohne deren Wissen in strukturierter Form wiedergeben. Diese Frage ist unter Einbezug der in Art. 328b OR und Art. 4 DSG genannten Grundsätze zu beantworten. Demnach dürfen Arbeitgebende nur Daten von Bewerbenden aus dem Internet erheben und bearbeiten, welche die Eignung eines Bewerbenden für das Arbeitsverhältnis betreffen. Eine generelle online-Durchleuchtung von Bewerbenden ist unzulässig, da beruflich Relevantes nicht auf Anhieb von anderen Informationen zu unterscheiden ist. Des Weiteren muss bei der Internetrecherche der Grundsatz der Datenrichtigkeit nach Art. 5 DSG beachtet werden. Dieser verlangt, dass sich Datenbearbeitende vergewissern, dass die von ihnen erhobenen und bearbeiteten Daten richtig sind. In einem Bewerbungsverfahren ist dies in der Regel nicht möglich, da Arbeitgebende nur über sehr eingeschränkte Informationen zu den Bewerbenden verfügen (z.B. den Lebenslauf). Aufgrund der Tatsache, dass die Auflistung der Suchergebnisse in Internetsuchmaschinen von den betroffenen Personen nicht oder nur sehr beschränkt beeinflussbar ist, können zudem Daten gegen den Willen von betroffenen Personen im Netz vorhanden und auffindbar sein.

Zusammenfassend lässt sich festhalten, dass die online-Informationsbeschaffung von Arbeitgebenden über Bewerbende weder mit Art. 328b OR noch mit den Grundsätzen im DSG vereinbar ist und eine widerrechtliche Persönlichkeitsverletzung nach Art. 12/13 DSG darstellt.

• Soziale Medien
• Freizeitliche Soziale Medien

Freizeitliche soziale Medien enthalten typischerweise Informationen über das Privatleben der nutzenden Personen, wie z.B. soziale Kontakte, Freizeitaktivitäten oder andere persönliche Informationen. In der Schweiz populär sind u.a. Facebook, Twitter, Instagram, WhatsApp oder Pinterest. Allerdings werden auch diese Medien – je nach Person, beruflichem Kontext oder geographischen Hintergrund – für berufliche Zwecke genutzt. Für die Zwecke der vorliegenden Studie wird der Einfachheit halber davon ausgegangen, dass freizeitliche soziale Medien nur private Informationen enthalten.

Obwohl sich die konsultierten Akteure hinsichtlich der Informationsbeschaffung über freizeitliche soziale Medien eher zurückhaltend geäussert haben (supra Ziff. 2.2), gibt es durchaus Hinweise darauf, dass diese Art der Informationsgewinnung von vielen Arbeitgebenden regelmässig genutzt wird. Auf diesen Plattformen werden private Informationen mit einem mehr oder weniger breiten Benutzerkreis (bis hin zu einer breiteren Öffentlichkeit) geteilt. Durch das Einsehen von freizeitlichen sozialen Medien können Arbeitgebende private Informationen über Bewerbende, deren familiäre Situation, sexuelle Orientierung, politische und persönliche Überzeugungen, Freizeitaktivitäten oder über deren Freundeskreis erfahren. Dadurch ist es ihnen möglich, ein Profil der bewerbenden Person zu erstellen, welches mehr private Informationen beinhaltet als die eingereichten Bewerbungsunterlagen offenlegen. Diese Art der Informationsgewinnung – analog zur gewöhnlichen Internetrecherche (supra Ziff. 2.4.2) – ist nicht mit Art. 328b OR und somit unzulässig.

Im Zusammenhang mit der Preisgabe von privaten Informationen auf freizeitlichen sozialen Medien bleibt allerdings zu prüfen, ob die betroffene Person auf den sozialen Medien bewusst einen offenen Adressatenkreis gewählt hat und private Informationen deshalb auch für nicht «befreundete» Arbeitgebende uneingeschränkt zugänglich sind (Art. 12 Abs. 3 DSG). Diese Rechtfertigungsbestimmung beruht auf der Überlegung, dass von einer Person allgemein zugänglich gemachte Daten die Privatsphäre und Persönlichkeit dieser Person nicht verletzen. Im Kontext des Beschäftigungsverhältnisses ist diese Argumentation jedoch abzulehnen. Wie bereits unter Ziff. II.4.3.2 er- läutert, müssen grundsätzlich alle Datenbearbeitungen im Bewerbungsprozess oder im Arbeitsverhältnis einen Arbeitsplatzbezug aufweisen – Art. 328b OR kommt hier eine eigenständige Bedeutung und Vorrang gegenüber Art 12 Abs. 3 DSG zu.

Selbst wenn eine Verletzung von Art. 328b OR den Rechtfertigungsmöglichkeiten von Art. 12 Abs. 3 und Art 13 DSG unterliegen würde – so Rosenthal und Jöhri –, ist die Rechtmässigkeit für eine solche «freizeitliche» Recherche abzulehnen. Dies deshalb, da sich der Charakter der Information nicht über den Adressatenkreis, sondern deren Inhalt definiert. Die Tatsache, dass jemand eine private Information zugänglich macht, bedeutet nicht automatisch, dass diese auch für Zwecke verwendet werden darf, an welche der Dateninhaber bei der Veröffentlichung nicht gedacht hatte. Analog zur Internetrecherche stellt sich zudem auch bei Profilen in sozialen Me- dien das Problem, dass Firmen nicht wissen können, ob eine bewerbende Person ein solches Profil tatsächlich selber veröffentlicht hat. Wesentlich ist auch, dass eine Veröffentlichung online oftmals einen permanenten Charakter aufweist und eine nachträgliche Löschung der Daten unmöglich oder zumindest schwierig ist. Nur aufgrund von (nicht manuell angepassten) Privatsphäre- Einstellungen sollte ebenfalls nicht pauschal von einer konkludenten Einwilligung ausgegangen werden, da die Betreiber von sozialen Medien standardmässig oft ein eher geringeres Schutzniveau der Privatsphäre der Nutzerinnen und Nutzer gewährleisten und die Anpassung der Einstellungen in technischer Hinsicht nicht immer einfach ist. Obwohl es in der jüngeren Vergangenheit Bestrebungen von Betreibern von sozialen Medien gegeben hat, die Privatsphäre-Einstellungen benutzerfreundlicher auszugestalten, so scheint noch kein grundlegender Paradigmenwechsel diesbezüglich stattgefunden zu haben.

Eine Konsultation von freizeitlichen Profilen von Bewerbenden auf sozialen Medien kann hingegen erlaubt sein, wenn es die Art der Arbeit verlangen würde, über gewisse private Aktivitäten Bescheid zu wissen, z.B. bei sog. Tendenzbetrieben. So können im Rahmen einer beruflichen Tätigkeit für eine religiöse/politische Gemeinschaft die religiöse/politische Ausrichtung einer Person zu den berufsrelevanten Informationen zählen – in diesen Fällen würde eine entsprechende Datenbearbeitung auch dem Grundsatz von Art. 328b OR entsprechen.

Wird wie durch ROSENTHAL UND JÖHRI die Ansicht vertreten, dass es sich bei Art. 328b OR nicht um eine Verbotsnorm handelt und dass eine Bearbeitung privater Daten durch Arbeitgebende durch die in Art. 13 DSG aufgelisteten Gründe gerechtfertigt werden kann, bleibt zudem zu prüfen, ob das Zusammentragen von persönlichen Aspekten von Bewerbenden als «Persönlichkeitsprofil» im Sinne des DSG qualifiziert werden kann. Hierzu müssten die von Arbeitgebenden gewonnenen Informationen geeignet sein, um «wesentliche (Teil-)Aspekte» der Persönlichkeit eines Bewerbenden beurteilen zu können. Ist dies der Fall, liegt ein Persönlichkeitsprofil vor, das nur erhoben werden darf, wenn die betroffene Person ausdrücklich in die Datenbearbeitung eingewilligt hat oder ein anderer Rechtfertigungsgrund vorliegt.

Grundsätzlich ist jedoch davon auszugehen, dass nicht jede Zusammenstellung von zusätzlichen Informationen von Bewerbenden ausreicht, um als Persönlichkeitsprofil im Sinne des DSG zu gelten. Vielmehr dürfte es nötig sein, dass diese persönlichen Aspekte mit einer gewissen Systematik zusammengetragen und in Beziehung zueinander gesetzt werden. Diese zurückhaltende Interpretation ist ebenfalls im Einklang mit dem neuen DSG, in welchem der Begriff «Persönlichkeitsprofil» durch «Profiling» ersetzt wird (Ziff. II.4.2.2). Ein solches verlangt analog zur DSGVO eine automatisierte Datenverarbeitung; manuelle Recherchen fallen gar nicht erst nicht darunter.

Analog zur Internetrecherche kann geschlussfolgert werden, dass die manuelle Informationsbeschaffung von Arbeitgebenden über Bewerbende in freizeitlichen sozialen Medien eine widerrechtliche Persönlichkeitsverletzung nach Art. 328b OR i.V.m. Art. 12/13 DSG darstellt, sofern diese Informationen nicht berufsrelevant sind (z.B. bei Tendenzbetrieben). Aufgrund der fehlenden Systematik handelt es sich bei der manuellen Recherche im Normalfall wohl auch nicht um ein Persönlichkeitsprofil (Art. 3 lit. d DSG), welches von Arbeitgebenden erstellt wird.

• Berufliche Soziale Medien

In beruflichen sozialen Netzwerken (u.a. LinkedIn, Xing) können Nutzerinnen und Nutzer ein Profil erstellen, um ihren beruflichen Werdegang mit anderen Personen zu teilen und ein professionelles Netzwerk zu pflegen. Solche Profile dienen der beruflichen Selbstdarstellung, der Aufrechterhaltung von geschäftlichen Kontakten und sie können die Chancen auf eine neue Anstellung erhöhen. Das Profil kann, je nach Einstellungen, von den verlinkten Kontakten oder einer breiteren Öffentlichkeit eingesehen werden. Wie bereits erwähnt, nutzen Unternehmen diese Plattformen auch zur proaktiven Personalrekrutierung – d.h. Unternehmen recherchieren von sich aus geeignete Kandidatinnen und Kandidaten und stellen den Kontakt zu diesen selber her (active sourcing).

Recherchen von Arbeitgebenden auf den beruflichen Profilen von Bewerbenden sind im Unterschied zur Recherche auf freizeitlichen sozialen Netzwerken oder der Internetrecherche zulässig, da sie einen genügenden Beschäftigungsbezug nach Art. 328b OR i.V.m. Art. 4 DSG aufweisen. Folglich lässt sich aus einer Recherche solcher Profile keine Persönlichkeitsverletzung i.S. des DSG ableiten, unabhängig von den Benutzereinstellungen zur «Öffentlichkeit» des Profils.

2.5. Fazit

Arbeitgebende dürfen über Arbeitnehmende nach Art. 328b OR nur Daten bearbeiten «soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind». Mit Blick auf das Internet beschränkt sich die Rechtmässigkeit der Informationsbeschaffung im Rahmen eines Bewerbungsverfahrens deshalb auf die von den Bewerbenden erstellten Profile in den beruflichen sozialen Medien, selbst wenn die Bewerbungsunterlagen der Kandidaten keinen Verweis auf diese Profile beinhalten. Die Verwendung dieser Informationen ist zulässig, da Bewerbende damit ihre beruflichen Qualifikationen und Erfahrungen einem beruflichen Nutzerkreis zugänglich machen und diese Daten die berufliche Eignung betreffen. Dies ist bei freizeitlichen Informationen im Internet/sozialen Medien – mit wenigen Ausnahmen, z.B. bei sog. Tendenzbetrieben – nicht der Fall. Bei privaten Informationen spielt es auch keine Rolle, ob diese allgemein, oder nur für einen bestimmten Benutzerkreis, zugänglich sind.

Die durchgeführten Konsultationen zeigen, dass sich die befragten Unternehmen dieser Rechtslage grösstenteils bewusst sind. Weitere Quellen weisen hingegen darauf hin, dass es dennoch Unternehmen gibt, welche sich zusätzlich zu den von den Bewerbenden zur Verfügung gestellten Unterlagen private Informationen über die bewerbende Person im Internet einholen und Bewerbende gestützt darauf ablehnen.

Für abgelehnte Bewerbende ist es jedoch kaum möglich nachzuweisen, dass unrechtmässig erlangte und nicht die Eignung für das Arbeitsverhältnis betreffende private Informationen einen negativen Einfluss auf den Einstellungsentscheid gehabt haben. So existiert weder ein Recht auf Einstellung noch ein Anspruch auf eine Begründung bei einer Nichteinstellung. Sollte dieser Nachweis dennoch gelingen, so stünden den in ihren Persönlichkeitsrechten Verletzten gegenüber privatrechtlichen Arbeitgebenden grundsätzlich die Klagen auf (a) Schadenersatz und/oder (b) Genugtuung nach Art. 28a Abs. 3 ZGB offen. Somit müssen abgewiesene Bewerbende (a) einen spezifischen Schaden (z.B. Kosten für die Bewerbung) und/oder (b) eine über den finanziellen Schaden hinausgehende schwere Verletzung der Persönlichkeit nachweisen. Öffentlich- rechtliche Arbeitgebende hingegen sind in jedem Fall an die Grundrechte gebunden; eine Verletzung der Privatsphäre könnte somit vor einem zuständigen Verwaltungsgericht angefochten werden.

Lediglich Art. 8 Abs. 1 GLG sieht bei Verdacht auf eine geschlechterbezogene Diskriminierung die Möglichkeit vor, dass Bewerbende eine Begründung hinsichtlich des negativen Einstellungsentscheides verlangen können. Im Falle einer Nichtanstellung aufgrund einer Diskriminierung kann der betroffenen Person eine Entschädigung zugesprochen werden.

3. Szenario 2: Verwendung von Algorithmen und KI im Bewerbungsverfahren

3.1. Sachverhalt

„HR Analytics„, «Hiring by Algorithm» oder «E-Recruiting“ – in heutigen Anstellungsverfahren werden zusätzlich zu herkömmlichen Evaluierungsmethoden immer häufiger Algorithmen (Ziff. II.2.2.1) und Systeme der künstlichen Intelligenz (KI – Ziff. II.2.2.5) eingesetzt, um Arbeitgebende im Auswahlprozess zu unterstützen und entlasten. Es gibt Systeme, die automatisiert Bewerbungsunterlagen erfassen und auswerten, nach geeigneten Kandidatinnen und Kandidaten in sozialen Netzwerken suchen und, je nach Grad der Automatisierung, Empfehlungen zu geeigneten Bewerbenden abgeben. Andere Anwendungen können automatisiert Bewerbungsinterviews ohne menschliche Einwirkung durchführen, analysieren und auswerten. Bei der Verwendung von Algorithmen und KI in Bewerbungsverfahren scheinen zwei Szenarien mit Blick auf die Privatsphäre von Stellenbewerbenden von besonderer Relevanz:

• auf Algorithmen gestützte Internet-Datenanalysen: Mithilfe von Algorithmen werden im Internet vorhandene Daten von Bewerbenden zusätzlich zu den vorhandenen Bewerbungsunterlagen zum Zweck der Persönlichkeitsbewertung analysiert. Solche Anwendungen können mit Informationen über die Werdegänge sowie mit beruflichen und/oder persönlichen Merkmalen von aktuellen/früheren Mitarbeitenden und Personen in vergleichbaren Positionen gespiesen und für die zu besetzende Stelle programmiert werden. Unternehmen verwenden solche Datenanalysesysteme wie beschrieben auch dazu, proaktiv geeignete Kandidaten zu finden, um diese aktiv anzuwerben (active sourcing, supra 2.4.3.B. ).
• Verwendung von KI-Systemen im Rahmen von Bewerbungsgesprächen: Bei der Verwendung von KI im Rahmen von Bewerbungsgesprächen wird der/die Arbeitgebende durch ein auf KI basiertes System ersetzt, welches das Interview selbständig führen, auf Fragen Folgefragen formulieren und die Antworten von Bewerbenden sowie deren Emotionen und physiologische Reaktionen – wie z.B. den Gesichtsausdruck, die Sprache oder den Herzschlag – analysieren kann.

3.2. Relevanz und Problembereiche

Gemäss den Konsultationen spielt der Einsatz von KI im Rahmen von Bewerbungsprozessen bei den befragten Akteuren bislang keine grosse Rolle. Zwei der Befragten gaben an, dass «nicht intelligente» auf Algorithmen basierte Systeme bei der Analyse von Lebensläufen eingesetzt werden, um eingereichte Bewerbungen anhand von Stichworten auf deren Eignung zu priorisieren und eine Vorselektion vorzunehmen (sog. applicant tracking systems (ATS)). Hierbei werde darauf geachtet, dass die Systeme «nur» eine Priorisierung vornähmen und keine Anstellungsentscheidungen träfen. Mit Blick auf die genannten Systeme wurde auf die Problematik hingewiesen, dass Algorithmen, welche auf stereotypen Kriterien basieren, diskriminierende Auswirkungen haben können. Da es in der vorliegenden Untersuchung um die Privatsphäre von bewerbenden Personen geht, werden rechtliche Fragen zum diskriminierungsfreien Zugang zum Arbeitsplatz an dieser Stelle jedoch nicht weiter vertieft.

Der Grund, weshalb die im Sachverhalt genannten Methoden bei den konsultierten Unternehmen bislang (noch) nicht verbreitet sind, scheint in einer Skepsis gegenüber dem Reifegrad algorithmischer Systeme zu liegen. Diese äusserte sich in der Befragung etwa in Befürchtungen, dass durch den Einbezug solcher Systeme gute Bewerbungen, welche nicht den programmierten Kriterien entsprechen, gar nicht mehr angeschaut würden oder dass wichtige persönlichkeitsrelevante Eigenschaften von Bewerbenden dadurch unberücksichtigt blieben. Als problematisch erachtet wurde auch, dass Entscheidungen von komplexen KI-Systemen von Menschen nicht mehr nachvollzogen werden könnten. Allgemein mit Blick auf die Verwendung solcher Systeme wurde kritisiert, dass Unternehmen zu wenig transparent darlegen würden, wann sie solche Systeme einsetzen und auf welchen Parametern die angewendeten KI-Systeme basieren.

Der EDÖB erhielt im Berichtsjahr 2019/20 vermehrt Anfragen zur Verwendung von KI im Zusammenhang mit der automatisierten Analyse von Online-Bewerbungsgesprächen, was darauf hindeutet, dass auch in der Schweiz zunehmend auf solche Systeme zurückgegriffen wird. Zum Thema Verhaltens- und Stimmanalysen hatte er sich zudem bereits in seinem Tätigkeitsbericht 2018/9 geäussert. Auch andere Quellen deuten darauf hin, dass die Verwendung von Algorithmen/KI innerhalb des Bewerbungsprozesses insbesondere bei grösseren Unternehmen zunehmend relevant wird.

3.3. Grund- und menschenrechtliche Fragestellungen

• Algorithmengestützte Internet-Datenanalysen

Analog zu Szenario 1 besteht bei auf Algorithmen gestützten Internet-Datenanalysen – je nachdem, welche Handlungsanweisung dem Algorithmus zugrunde liegt – das Risiko, dass nicht nur berufliche, sondern auch nicht-stellenrelevante, freizeitliche Informationen ausgewertet werden und in eine Entscheidung über die Stellenvergabe miteinfliessen. Mit Blick auf die Privatheit/Öffentlichkeit der im Internet zugänglichen Informationen sind bei der Verwendung von Algorithmen dieselben rechtlichen Grundsätze wie bei einer manuellen Recherche anwendbar und es kann an dieser Stelle auf das vorhergehende Szenario verwiesen werden (supra Ziff. 2.4).

Allerdings sind algorithmische Systeme zur automatisierten Durchforstung des Internets/sozialen Medien verglichen mit einem Menschen sehr viel effizienter. Mithilfe von Big Data-Analysen können umfassende Persönlichkeitsprofile von potenziellen Arbeitnehmenden, einschliesslich beruflichen und privaten Informationen, erstellt werden. Da die Privatsphäre von bewerbenden Personen hierbei ungleich stärker betroffen ist als bei der manuellen Recherche, stellt sich die Frage, welchen erhöhten rechtlichen Anforderungen eine automatisierte Datenbearbeitung standhalten muss.

• KI-Systeme im Rahmen von Anstellungsinterviews

Wie bei «normalen» Bewerbungsinterviews müssen im automatisierten Interviewprozess gestellte Fragen ebenfalls den Anforderungen an rechtlich zulässige Interviewfragen genügen (supra Ziff. 2.4.1). Dies gilt hinsichtlich eines möglichen Eingriffs in die Privatsphäre der Stellenbewerbenden auch dann, wenn Bewerbungsgespräche von KI-Systemen «autonom», d.h. ohne menschliche Einflussnahme, geleitet werden und in deren Verlauf rechtlich geschützte Interessen von Arbeitgebenden (Fragerecht) und Stellenbewerbenden (Recht auf Privatsphäre) gegeneinander abgewogen werden müssen.

Gewisse KI-Systeme ermöglichen es überdies, Emotionen und physiologische Reaktionen von Stellenbewerbenden z.B. anhand von Gesichtsausdruck, Sprache oder Puls zu messen, so dass vielfältige persönliche Daten der Stellenbewerbenden in automatisierte Entscheidungsprozesse einfliessen können. Deshalb muss geklärt werden, welche Datenbearbeitungsgrundsätze im Zusammenhang mit sensiblen Daten anwendbar sind.

3.4. Rechtliche Beurteilung

• Algorithmengestützte Datenanalysen

Wie unter Ziff. II.4.2.2 ausgeführt, unterscheidet das DSG beim Begriff «Persönlichkeitsprofil» nicht zwischen einer automatisierten oder manuellen «Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt». Sowohl Art. 4 Abs. 4 DSGVO als auch Art. 5 lit. f. N-DSG weichen von dieser Definition ab und verlangen, dass eine Bewertung von persönlichen Aspekten einer natürlichen Person durch eine automatisierte Datenbearbeitung erfolgt. Persönliche Aspekte können z.B. die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort, Ortswechsel oder ähnliches sein.

Im Rahmen von auf Algorithmen gestützten Internet-Datenanalysen findet grundsätzlich eine automatisierte Durchforstung des Internets nach personenbezogenen Daten von Bewerbenden statt. Ein solcher Vorgang erfüllt sowohl die Kriterien der Erstellung eines Persönlichkeitsprofils nach aktuellem DSG als auch jene des «Profilings» nach N-DSG. Eine Datenbearbeitung im Zusammenhang mit Persönlichkeitsprofilen unterliegt qualifizierten gesetzlichen Anforderungen.

Art. 14 DSG verlangt, dass die betroffene Person über die Erstellung eines Persönlichkeitsprofils und die damit verfolgten Zwecke informiert wird. Das N-DSG sieht überdies vor, dass betroffene Personen immer dann informiert werden, wenn sie einer automatisierten Entscheidung unterworfen werden, welche ihre Rechte in erheblicher Weise beeinträchtigt. Diese Informationspflicht wird mit dem Antragsrecht einer betroffenen Person verbunden, dass diese automatisierte Entscheidung von einer natürlichen Person überprüft wird. Die DSGVO geht diesbezüglich noch etwas weiter und verankert für betroffene Personen ein Recht, nicht einer automatisierten Entscheidung unterworfen zu werden, wenn diese eine rechtliche Wirkung entfaltet.

Sowohl die DSGVO als auch das N-DSG sehen eine Ausnahme von der Informationspflicht vor, wenn die automatisierte Einzelentscheidung (a) «mit dem Abschluss oder der Abwicklung eines Vertrages zwischen dem Verantwortlichen und der betroffenen Person» im Zusammenhang steht oder (b) eine ausdrückliche Einwilligung der betroffenen Person vorliegt. Wie erwähnt enthält auch das DSG in Art. 13 analoge Rechtfertigungsbestimmungen. Aufgrund der dem Arbeitsverhältnis innewohnenden Machtasymmetrie sind diese Rechtfertigungsbestimmungen zur vertraglichen und ausdrücklichen Einwilligung im Kontext des Arbeitsrechts allerdings nur mit Zurückhaltung anzunehmen (vgl. Ziff. II.4.3.2).

Wie bei der manuellen Recherche gelten auch für das automatische Profiling im Bewerbungsverfahren die Grundsätze von Art. 328b OR und Art. 4 DSG. Somit dürfen nur Daten über Bewerbende bearbeitet werden, welche sich objektiv auf die Eignung der bewerbenden Person für die in Frage stehende Anstellung beziehen. Ein automatisiertes Profiling, welches persönliche Aspekte von Bewerbenden umfasst, die nicht für die ausgeschriebene Stelle relevant sind, stellt somit in jedem Fall eine unzulässige Datenbearbeitung nach Art. 328b OR dar. Auch eine vorgängige Information nach Art. 14 DSG oder eine ausdrückliche Einwilligung vermag ein solche Datenbearbeitung nicht zu rechtfertigen, es sei denn sie erfolgt zugunsten der Arbeitnehmenden (Art. 362 Abs. 1 OR).

Auch active sourcing kann automatisiert erfolgen. Analog zur vorhergehenden Schlussfolgerung sind auch hier grundsätzlich nur jene Datenbearbeitungen rechtmässig, welche die berufliche Qualifikation von recherchierten Personen betreffen (z.B. LinkedIn – supra Ziff. 2.4.3.B. ).

• Verwendung von KI-Systemen im Rahmen von Anstellungsinterviews

Wie bereits unter supra Ziff. 2.4.1 ausgeführt, findet im Bewerbungsgespräch das Fragerecht der Arbeitgebenden (und somit die Auskunftspflicht der Bewerbenden) seine Grenzen in der Persönlichkeit und der Privatsphäre der Bewerbenden. Fragen sind nur erlaubt, wenn sie die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind. Diese Anforderungen gelten auch für den automatisierten Interviewprozess.

Auch die automatisierte Analyse von persönlichen Eigenschaften wie Emotionen oder physiologischen Reaktionen von Stellenbewerbenden tangiert deren Privatsphäre. Die Bearbeitung solcher Daten stellt regelmässig eine Verletzung der Persönlichkeit nach Art. 12 Abs. 1 DSG dar, da kein plausibler Zusammenhang zur Eignung für das Arbeitsverhältnis nach Art. 328b OR i.V.m. Art. 4 Abs. 2 DSG besteht. Eine Einwilligung der Bewerbenden vermag daran wie bereits ausgeführt grundsätzlich nichts zu ändern.

Der EDÖB kam im Zusammenhang mit der Anwendung von Verhaltens- oder Stimmanalysesystemen in Bewerbungsverfahren zum Schluss, dass solche Datenbearbeitungen als Persönlichkeitsprofil i.S.v. Art. 3 lit. d DSG zu qualifizieren sind und deshalb geeignete Massnahmen zur Datensicherheit ergriffen werden müssen. Zudem müssten die Auswertungen verhältnismässig sein und die Bewerbenden vorgängig über Art und Zweck der Verwendung der Ergebnisse, die Dauer der Aufbewahrung sowie ihr Auskunftsrecht informiert werden. Ob solche Datenbearbeitungen mit Art. 328b OR in Einklang sind, war nicht Gegenstand der Untersuchung. Offen blieb auch, ob es sich bei den personenbezogenen Daten im Kontext von Analysesoftware um Gesundheitsdaten i.S.v. Art. 3 lit. c Ziff. 2 DSG handeln kann (infra Ziff. 5.4).

3.5. Fazit

Während zumindest gewisse internationale Studien darauf hinweisen, dass «HR Analytics», «Hiring by Algorithm» oder «E-Recruiting» von grossen Unternehmen bereits heute systematisch verwendet werden, steht diese Entwicklung in der Schweiz noch am Anfang. Die Anwendung von Systemen zum Profiling von Bewerbenden wurde von den konsultieren Akteuren ebenso verneint, wie das Einsetzen von KI-Systemen zur Durchführung von Bewerbungsgesprächen. Insbesondere wurde darauf hingewiesen, dass solche Systeme in der Praxis noch nicht die verlangte Zuverlässigkeit und Fairness bieten und grosse rechtliche Risiken beinhalten würden.

Mit Blick auf eine mögliche Verletzung der Privatsphäre hat die rechtliche Beurteilung bestätigt, dass die Risiken für die Bewerbenden im Zusammenhang mit algorithmischen Systemen/Systemen der KI grösser sind als bei der manuellen Datenbearbeitung. Ein Grund liegt darin, dass solche Systeme in hoher Geschwindigkeit ein allein mit menschlichen Ressourcen nicht bearbeitbares Volumen an Daten erheben und in Bezug zu anderen Daten(sätzen) setzen können (Big Data Analysen, Ziff. II.2.2.2). «Intelligente» Systeme können überdies anhand von Erfahrungsbeispielen darauf trainiert werden, Daten und somit menschliche Verhaltensweisen zu analysieren, interpretieren und basierend darauf selbständig (Ermessens-)Entscheide zu fällen (vgl. Ziff. II.2.2.5/Ziff. II.4.2.2).

Bei der Verwendung von automatisierten Datenanalysesystemen besteht deshalb eine hohe Wahrscheinlichkeit, dass sowohl private, als auch geschäftlich relevante Informationen bearbeitet und umfassende Persönlichkeitsprofile von Bewerbenden erstellt werden. Sofern private Informationen im Bewerbungsprozess von algorithmischen Systemen bearbeitet werden, handelt es sich um eine unrechtmässige Datenbearbeitung von Seiten der Arbeitgebenden, es sei denn, die erhobenen Daten sind für die Eignung der Arbeitsstelle relevant – z.B. bei sog. Tendenzbetrieben.

Zur einfacheren Lesbarkeit wurden die Quellen und Quellenhinweise entfernt.

https://creativecommons.org/licenses/by-sa/4.0/deed.de

http://dx.doi.org/10.48350/163074

SCHWEIZERISCHES  KOMPETENZZENTRUM  FÜR  MENSCHENRECHTE (SKMR), Digitalisierung und Privatsphäre im Arbeitsverhältnis. Rechtliche Grundlagen und aktuelle Problemfelder, verfasst von Kaufmann Christine/ Schuerch Res, Bern 2021