Profiling für Arbeitnehmer?

Bisher hat sich die Datenschutzkonferenz der Aufsichtsbehörden von Bund und Ländern zur Analytics-Thematik noch nicht offiziell geäußert. Marit Hansen hat sich für Golem.de die "Wohlbefinden"-Analyse näher angesehen. Sie sieht einen Personenbezug gegeben, "denn das System kennt beispielsweise nicht nur einen Zähler für die Zugriffe für ein Dokument, sondern auch, wer zugegriffen hat, selbst wenn später diese Information für eine Analytics-Auswertung nicht dem Arbeitgeber, der Teamleitung oder den Beschäftigten dargestellt wird."

Marit Hansen sieht darin ein "Profiling" nach der DSGVO: "Es findet ein Profiling im Hintergrund statt, das den Nutzern erst einmal gar nicht bewusst ist." Dass jeder Klick, jede Interaktion mit anderen und auch jede Nicht-Interaktion gemessen und interpretiert werden kann, hält sie für "bedenklich". Für sie ist klar: "Das verstößt gegen den Datenschutzgrundsatz, dass nur die erforderlichen Daten verarbeitet werden dürfen." Hier müsse dargelegt werden, warum diese Analysen in ihrem Umfang und ihrer Ausführlichkeit notwendig sein sollen.

Datenschutzfolgenabschätzung erforderlich

"Ein Profiling findet nicht statt", sagt hingegen der Microsoft-Compliance-Experte Ralf Wigand, "denn dem Unternehmen stehen die Daten aus MyAnalytics nicht zur Verfügung". Der Mitarbeiter könnte überdies frei über die Nutzung entscheiden, weil es sich um keine geschäftskritische Anwendung handle. Microsofts Sicherheitsexperte Komotoglou stellt klar: "Die Standardeinstellung von MyAnalytics besteht darin, dass der Nutzer als einziger Zugriff auf seine eigenen Daten hat." Selbst ein Admin hat keinen Zugriff auf diese Daten, das System ist entsprechend abgesichert.

Marit Hansen weist allerdings darauf hin, dass bei einem KI-Einsatz durch einen globalen Dienstleister im Beschäftigtenverhältnis ein "voraussichtliches hohes Risiko für die betroffenen Personen" nicht fern liege. Daher müsste eine Datenschutz-Folgenabschätzung durchgeführt werden. "Die Datenschutzfolgen-Abschätzung ist Sache des Unternehmens, das Office 365 einsetzt", betont Wigand. Microsoft hat Hilfestellungen für die Datenschutz-Folgenabschätzung entwickelt, die sich allerdings nicht auf die MyAnalytics-Funktion, sondern auf den verwandten, sehr viel mächtigeren Auswertedienst "Workspace Analytics" bezieht, der Analysen für den Arbeitgeber bereitstellt.

Hier wünscht sich Marit Hansen klarere Informationen: "Wie hängen diese verschiedenen Analytics-Auswertungen zusammen?" Hier sei Transparenz für Betriebsräte und Datenschutzbeauftragte nötig. Doch ein Grundproblem bleibe, so Hansen: "Wir haben es mit einem komplexen System zu tun, das sich ständig verändern kann. Schon deswegen stoßen Personalvertretungen und Datenschutzbeauftragte, die solche Verfahren prüfen sollen, an Grenzen."

Nachdem weitere Mitarbeiter bei Golem.de die E-Mail von MyAnalytics bekommen hatten, hat der Systemadministrator inzwischen das Tool firmenweit deaktiviert. Nun müssen die Redakteure auch ohne Microsofts Hilfe merken, ob sie mal einen ruhigen Tag hatten.