Gläserner Mensch „mit ohne“ Datenschutz: Überwachung am Arbeitsplatz

Von Peter Leppelt und Dieta Heilmann

Bereits vor den Enthüllungen von Edward Snowden waren die Möglichkeiten technologischer Überwachung mehr oder weniger bekannt. Wirklich? Dieser Beitrag bricht die „Large-scale-Überwachung“, also die sehr groß angelegte Datenüberwachung der NSA auf den Arbeitsalltag von Arbeitnehmerinnen und Arbeitnehmern in Deutschland herunter. Im Kontext von Schlagworten wie ‚Bring your own device‘, ‚Mobile-Device-Management‘, der internen Kommunikation und externer Kommunikation am Beispiel von ‚Ambient Assisted Living‘ werden Wege zur Steuerung und Kontrolle der Ressource Mensch nachgezeichnet und auch, was diese Technologien für Wiedereingliederungsmaßnahmen bedeuten können.

Bringen Sie ihren persönlichen Datenfundus einfach mit!

Bring your own device (BYOD, private Hard- und Software im Unternehmen)

BYOD bedeutet, das Arbeitnehmerinnen und Arbeitnehmer ihre eigene IT mit in das Unternehmen bringen und sie auch entsprechend im betrieblichen Kontext verwenden: Mit Dokumenten, die das Unternehmen angehen. Wenn diese Dokumente möglicherweise der Geheimhaltung unterliegen oder personenbezogene Daten mit sich tragen, so bedeutet dies, das das erst einmal illegal ist und es juristisch justiert werden muss. Beispielsweise mit einer Betriebsvereinbarung. Über den Betriebsrat oder mit den einzelnen Menschen im Betrieb. Auf der einen Seite ist dies gut, da es ‚Compliance‘ schafft, also Regeltreue. Auf der anderen Seite ist das für die Betroffenen schwierig, weil die IT des Unternehmens die Geräte administrieren können muss, um zum Beispiel Schadsoftware zu bekämpfen. Dementsprechend hat die IT vollen Zugriff auf alle Daten des Gerätes, nachdem unterschrieben wurde, dass die IT das darf. Ob die IT das dann auch tut, sei einmal dahingestellt, auf jeden Fall darf sie es.

Um das Beispiel Smartphone aufzugreifen: es ist ein unglaublich privates Gerät. Jedes Smartphone baut ein Bewegungsprofil der Nutzer auf, die gesamte Surfhistorie ist enthalten, auch die App-Nutzung. Wer zum Beispiel eine Gesundheits-App benutzt, hat im Smartphone alle personenbezogenen Daten, die überhaupt nur vorstellbar sind. Puls, Blutdruck und so weiter. Ein Smartphone bietet da schon einen sehr profunden Datenfundus. Das ist sehr kritisch für den Datenschutz und die Privatsphäre, jedoch übliche Praxis.

Mobile-Device-Management (MDM, Mobilgeräteverwaltung)

Auch hier geht es um die zentrale Administration der mobilen Geräte, private oder unternehmenseigene. Und da tragbare Datenverarbeitung, die so genannten ‚Weareables‘ wie Armbanduhren, ‚Smartwatches‘, oder auch Brillen, ‚Smartglasses‘, mehr und mehr kommen werden, entstehen auch hier sehr persönliche Daten, die ungeschützt gesammelt und verarbeitet werden können.

Interne Kommunikation

Gängig sind inzwischen Instant-Messaging und E-Mail. Aus der Länge einer E-Mail und dem Versendedatum lässt sich schließen, wie lange daran gearbeitet wurde. Es entstehen auch Metadaten dahingehend, wann wer mit wem wie oft gechattet hat. Wer kommuniziert mit wem und warum. Und worüber. Und je nach dem, wie fortgeschritten das Unternehmen ist, sind daraus sehr interessante Daten abzuleiten.

Ein Beispiel an dieser Stelle: Google verkauft inzwischen ein Produkt, mit dem ein Unternehmen seine gesamte IT-Infrastruktur in die Google-Cloud auslagern kann. Dies bedeutet, dass alle Menschen im Betrieb dazu angehalten sind, die Google-Dienste für den betrieblichen Kontext zu verwenden. Also Google-Docs, Tabellen, Mails, Instant-Messaging und so weiter und so fort, es ist sehr umfangreich.

Dadurch sammelt Google extrem viele Metadaten, auf deren Basis im Kontext mit den Nutzungsdaten Google mit Wahrscheinlichkeitsberechnungen (Data-Mining) Vorhersagen treffen kann, wie sich die Mitarbeitenden fühlen, zum Beispiel. Es kann ausgewertet werden, wenn Mails kürzer werden. Harscher. Wenn Gespräche mit Kolleginnen und Kollegen weniger werden. Wenn andere bevorzugt und öfter befördert werden. Diese Indikatoren für Unzufriedenheit werden erfasst und im Kontext mit statistisch berechneten ‚Weissagungen‘ weiter gegeben. Das ist dann ein sehr interessantes Instrument, wenn bei der Führungskraft ein Fenster aufpoppt und darin steht „Herr Müller ist unzufrieden und wird wahrscheinlich bald kündigen. Was wollen Sie tun?“. Und dann etwa gibt es zwei Buttons mit Feuern oder Fördern. Der Oberbegriff ist ‚Business Intelligence‘ (BI) und auf deutlich aufsteigendem Ast. Google gehört nur mit zu den Ersten, die es entwickelt haben.

Externe Kommunikation am Beispiel von Ambient Assisted Living (AAL, Altersgerechte Assistenzsysteme für ein selbstbestimmtes Leben)

Für Personal in Pflegeberufen ist im Zusammenhang mit Erfassung und Auswertung persönlicher Daten AAL sehr interessant. Pflegepersonal wird angesichts demografischer Überalterung rar und die Zukunft des ‚Roboting‘ ist unausweichlich, um Alten und Kranken Hilfen zur Seite zu stellen. Die Japaner sind mit diesen Technologien sehr weit und ohne Berührungsängste. Technikverliebt gewissermaßen.

Wie beim Smart-Office entsteht hier die gleiche Problematik: alles hört alles mit, alles denkt alles mit, alles versucht, Dinge sinnvoll zu tun und alles verlässt irgendwie auch das Haus, die Daten jedenfalls. Eine Zwickmühle, denn einerseits soll Autonomie erhalten bleiben, doch das betrifft auch personenbezogene Daten: „Mit wem will ich eigentlich teilen, dass ich gerade umgefallen bin? Mit wem will ich teilen, dass meine Blase nicht mehr gut funktioniert?“ Mündige Entscheidungen können nicht mehr getroffen werden, wenn die Technik gar nicht mehr durchschaut werden kann.

Und das Pflegepersonal in diesen „AAL-Wohnungen“, das ja durchaus ein bis zwei Mal am Tag zur Pflege kommt, wird natürlich auch getrackt und erfasst. Was wurde in welcher Zeit gewerkelt, gewaschen, gepflegt und gesprochen? Die Umgebung, oder auch „Big-Data“ hört und filmt mit. Ohne dass das Pflegepersonal selbst dafür Codes eingeben oder Zeiterfassungsbögen ausfüllen muss. Klingt nach Arbeitserleichterung, doch die Erfassung und Übermittlung von sehr persönlichen Daten wird ungemein größer.

Verhaltensveränderung bei Überwachung

Verändern Menschen ihr Verhalten, wenn sie wissen oder auch nur denken, dass sie überwacht werden? Ja, das ist inzwischen allgemein bekannt und es gibt eine Vielzahl an Studien, die sich mit dem Panoptikon befassen, einer Art Rundumüberwachung in Gefängnis- und Fabrikarchitektur. Der französische Philosoph Michel Foucault prägte den Begriff Panoptismus, der die Entwicklung von Disziplinargesellschaften beschreibt.

An dieser Stelle erscheint jedoch ein kleines Forschungsprojekt der englischen Universität Newcastle-upon-Tyne am augenscheinlichsten und einfachsten zur Verdeutlichung: Die Verhaltensbiologin Melissa Bateson hat im Jahr 2006 an der psychologischen Fakultät mit einer Kaffeekasse und den freiwilligen, nicht überwachten Einzahlungen experimentiert.

Der Tatort: Für die Fakultätsangehörigen steht eine Kaffeemaschine bereit, daneben ein Sammelbecher und alle Kaffeetrinker sollen ihren Obulus in den Becher zahlen. Soweit nichts Ungewöhnliches. Während zu Beginn der gemeinsamen Kaffeekasse alle Beteiligten gut am Start waren, ließ im Laufe der Zeit die Zahlungsmoral deutlich nach. Hier kam Melissa Bateson ins Spiel, ohne dass es den Beteiligten bekannt war. Sie hängte im Wechsel verschiedene Bilder neben die Kaffeemaschine, Blumen zum Beispiel. Doch zeitweise auch ein paar Augen auf einfachem Papier. Kein Gesicht, nur Augen, die einen bei der Kaffeemaschine anschauen.

In den Zeiten, wenn das Augenbild am Tatort hing, stiegen die Einnahmen im Sammelbecher deutlich an. Wenn „streng blickende“ Augen plakatiert waren, stiegen die Einnahmen sogar überdimensional an. Es ist erstaunlich, dass es reicht, sich beobachtet zu fühlen, obwohl es rational erkennbar niemand wirklich tut, um sein Verhalten zu verändern oder auch anzupassen. Die Ergebnisse dieser und vieler anderen Studien zeigen recht deutlich, dass Menschen sich sozial angepasster verhalten (oder was darunter verstanden wird), wenn sie beobachtet werden oder auch nur dieses Gefühl haben. Das mag gelegentlich stimmig sein, ist jedoch mindestens rechtsstaatlich eine Katastrophe.

Was nun bedeuten diese einfachen Erkenntnisse für gläserne Menschen im Betrieb, denen mehr und mehr bewusst wird, was Unternehmen über sie wissen und prophezeien „könnten“?

Entstehen hier systemkonforme Mensch-Maschinen, die sich den Arbeitsvorgaben und Zeiterfassungen anpassen, um ihre Arbeitsplätze scheinbar besser zu sichern?

Kann es solchen Menschen am Arbeitsplatz überhaupt noch gut gehen? Was wohl Puls und Blutdruckwerte über Stressfaktoren voraussagen werden?

Für die Burnout-Forschung eröffnet sich hier ein interessantes Feld. An dieser Stelle geht der Fokus nur einmal auf die gläsernen Arbeitnehmerinnen und Arbeitnehmer, die bereits aufgrund einer langen und schweren Erkrankung aus der Mühle herausgefallen sind.

Wiedereingliederungsaspekte für erkrankte Berufsrückkehrer

Betrachten wir zunächst ein Szenario, das nicht wenige aus ihrem eigenen Umfeld kennen: Corinna H. ist bei einem mittelständischen Betrieb für Buchhaltung und Personalabrechnung angestellt. Sie hat einen Bildschirmarbeitsplatz mit überwiegend sitzender Tätigkeit. Nun ist sie bereits seit vielen Monaten wegen eines wiederholten Bandscheibenvorfalls nach einer Operation krank geschrieben. Von dieser Diagnose ist ihr Arbeitgeber informiert. Corinna ist jedoch auch wegen einer Erschöpfungsdepression in ärztlicher Behandlung und hat eine Psychotherapie begonnen. Dort lernt sie unter anderem, sich gegen zu hohe Anforderungen abzugrenzen und mit sinnvollen Pausen entspannend für sich zu sorgen. Corinna wurde eine berufliche Wiedereingliederungsmaßnahme vorgeschlagen. Sie zögert jedoch noch, da sie Angst hat, die alten Anforderungen nicht mehr erfüllen zu können. Bereits in Gedanken daran bekommt sie Schweißausbrüche und Corinna möchte auf keinen Fall, dass Arbeitgeber, Kolleginnen und Kollegen von ihrer psychischen Behandlung erfahren … Ist das überhaupt möglich und sinnvoll?

Aus Sicht des Datenschutzes sollte das Krankheitsgeheimnis auf jeden Fall Bestand haben. Ein Arbeitnehmer sollte auf keinen Fall Auskunft geben müssen. Ob das aus rein menschlicher Sicht Sinn macht, gehört sicher in die Gespräche mit den behandelnden Ärzten und Therapeuten. Eine stufenweise Wiedereingliederung (Hamburger Modell) hat ja zum Ziel, arbeitsunfähigen Beschäftigten unter ärztlicher Aufsicht und Verordnung mit einem Stufenplan die Rückkehr an den alten oder einen alternativen Arbeitsplatz zu ermöglichen. Betriebsrat und Betriebsarzt sollten einbezogen werden.

Sicherlich macht es wenig Sinn, mit Vorgesetzten persönlich zu verhandeln, wenn ihnen kein Vertrauen entgegengebracht werden kann. In Anbetracht der hier beschriebenen Kontroll- und Überwachungsmöglichkeiten am Arbeitsplatz könnten Berufsrückkehrer zum Beispiel über den Betriebsrat ermitteln, welche Daten von Vorgesetzten ausgewertet und interpretiert werden. Wenn ein Berufsrückkehrer weiß oder vermutet, dass persönliche Daten wie Puls und Blutdruck übermittelt werden, ergibt es sicher noch keinen Sinn, mit angstvollen Schweißausbrüchen beim bloßen Gedanken an diesen Arbeitsplatz dort eine Maßnahme zu beginnen.

Unternehmen, die „Big-Data-Algorithmen“ auf ihr „Smart-Office“ gelegt haben, können in jedem Fall schon aus Briefwechseln und Korrespondenz Depressionen erkennen. Die Frage ist a: ob sie das dürfen und b: ob diese Unternehmen überhaupt wissen, dass solche Daten automatisch ermittelt, übertragen und gespeichert werden.

Die „Bösen“ und die „Guten“: Big-Data-Sammlungen bleiben ungeschützt

Nehmen wir als Beispiel einen Mittelständler, vielleicht mit 100 Beschäftigten. Der wird sich eine „Smart-Office-Lösung“ nicht selber bauen, sondern greift eher auf stimmig scheinendes „Superangebot“ seines Telekommunikationsanbieters zu: alles wird günstiger und besser. So ein Unternehmen geht in der Regel nicht mit dem Ziel daran „ich überwache mein Personal jetzt total“. Der Plan sieht ja vor, dass alle zufriedener werden, weil alles besser läuft und die Daten ’sicher‘ sind.

Nun wird ein Dienstleister beauftragt, die Betriebsdaten über eine ‚Cloud‘ mit multiplen Datenkopien zur Sicherung auf multiplen Serverfarmen abzuwickeln. Es ist überhaupt nicht ungewöhnlich, dass das Unternehmen gar nicht weiß, was mit diesen Daten alles möglich ist. Cloud-Dienste gehen vielfach auf US-amerikanische Server, denn deutsche Anbieter sind an dieser Stelle einfach noch nicht sehr weit. Damit ist klar, dass alle Daten das Unternehmen verlassen und sehr wahrscheinlich auch das Land. Die Daten werden an irgendeiner Stelle auf der Welt ausgewertet, mit Algorithmen, von denen das Unternehmen nichts weiß, geschweige denn, dass sie überhaupt existieren. Und sehr wahrscheinlich werden dann auch solche Informationen existieren, die die Befindlichkeiten von Arbeitnehmerinnen und Arbeitnehmern betreffen. In sehr vielen Fällen werden die Daten, die durch „Data-Mining“ entstehen, gar nicht an die Auftraggeber in Deutschland übermittelt. Sie entstehen und werden für die ureigensten Zwecke des Cloudanbieters verwendet (und gegebenenfalls für die Geheimdienste, falls Bürgerinnen und Bürger, Unternehmerinnen und Unternehmer vorsichtshalber stets unter Generalverdacht stehen). Im Unternehmen erfährt es niemand.

Im Fall der oben genannten Corinna H. würde bei einer Wiedereingliederungsmaßnahme irgendwann das Datum Depression im Protokoll entstehen und übermittelt. Es wird vermutlich nie wieder zu löschen sein, da im Unternehmen niemand weiß, dass solche Daten existieren, geschweige denn wo. Das Unternehmen selbst kann so „gut und lieb sein“ wie es will und solche Unternehmen sind der überwiegende Anteil, die den Mitarbeitenden progressiv im Miteinander begegnen wollen. Und dennoch können diese Unternehmen ungewollt und unwissend Eier legen … sprich persönliche und schützenswerte Daten weitergeben, die für Datenschutz nach deutschem Recht völlig illegal kommerziell ausgewertet und nie wieder gelöscht werden. Auch Staaten haben mit ihren Geheimdiensten bisher unkontrollierbaren Zugriff auf solche Unternehmensdaten. Das birgt immense Kontroll- und Manipulationsmöglichkeiten. Darin besteht für die Zukunft eine viel größere Gefahr als das alte Gewerkschaftsfeindbild des bösen Unternehmens aus Klein- und Mittelstand mit gezielter Totalüberwachung.

Quellenangaben und Literatur:

Überwachen und Strafen – Die Geburt des Gefängnisses. Michel Foucault, Frankfurt/M. 1992

Biology Letters (2006) 2, 412–414, veröffentlicht online am 27. Juni 2006 Melissa Bateson, Daniel Nettle, Gilbert Roberts: Cues of being watched enhance cooperation in a real-world setting
https://www.staff.ncl.ac.uk/melissa.bateson/Bateson_etal_2006.pdf