Die kurze Antwort: Es kommt darauf an, wo Sie arbeiten und was man Ihnen gesagt hat

Die Überwachung durch Arbeitgeber mithilfe von KI ist weder einheitlich erlaubt noch einheitlich verboten. Die Rechtslage unterscheidet sich erheblich je nach Rechtsordnung und, entscheidend, danach, ob Sie informiert wurden. In den meisten großen Rechtsordnungen darf Ihr Arbeitgeber Sie mit KI-Werkzeugen auf betrieblichen Systemen überwachen, jedoch nur bei angemessener Offenlegung, verhältnismäßigem Zweck und Einhaltung des Datenschutzrechts. Verdeckte KI-Überwachung ohne Ihr Wissen ist in den meisten Rechtsordnungen rechtswidrig.

Wie KI-Überwachung heute tatsächlich aussieht

Die Überwachung am Arbeitsplatz geht heute weit über das Verfolgen der Internetnutzung und das Zählen von Tastenanschlägen hinaus. Moderne KI-Überwachungswerkzeuge können: E-Mail- und Nachrichteninhalte auf Stimmung, Themen oder Compliance-Risiken analysieren; Computeraktivitäten überwachen, darunter geöffnete Anwendungen, besuchte Websites und aufgerufene Dokumente; die Produktivität anhand von Dokumenterstellung, Kommunikationshäufigkeit und Aufgabenerledigung verfolgen; die Qualität von Callcentern und Kundenservice durch die Analyse aufgezeichneter Gespräche bewerten; die Teilnahme und das Engagement in Besprechungen durch Videoanalyse beurteilen; Standort und Bewegung in Lager- und Einzelhandelsumgebungen messen; biometrische Daten analysieren (Erkennung von Ermüdung, in manchen Kontexten Emotionserkennung); und all dies zu Risikobewertungen oder Leistungsprofilen von Beschäftigten zusammenführen.

Werkzeuge wie Microsoft 365 Copilot können, wenn sie mit vollen Berechtigungen eingesetzt werden, den gesamten digitalen Fußabdruck einer beschäftigten Person über E-Mail, Teams, Dokumente und Kalender hinweg analysieren. Diese Fähigkeit verändert die Lage grundlegend, denn sie bedeutet, dass KI-Überwachung nun jeder Organisation mit einer Microsoft-Enterprise-Lizenz zur Verfügung steht, nicht nur denjenigen, die eigens Überwachungssoftware beschaffen.

Rechtsordnung für Rechtsordnung: Was erlaubt ist und was nicht

Australien: Der Privacy Act verlangt einen offenen und transparenten Umgang mit personenbezogenen Informationen (APP 1), doch aufgrund der Ausnahme für Beschäftigtendaten (s 7B(3)) gelten die APPs für den Umgang privater Arbeitgeber mit bereits vorhandenen Beschäftigtendaten größtenteils nicht, sodass die bundesstaatlichen Überwachungsgesetze die Hauptquelle der Informationspflichten sind. Der Workplace Surveillance Act 2005 (NSW) verlangt eine mindestens 14-tägige vorherige schriftliche Ankündigung der Überwachung sowie eine bereits bestehende, mitgeteilte Richtlinie zur Computerüberwachung (ss 10, 12). Das Australian Capital Territory (ACT) kennt eine ähnliche Regelung nach dem Workplace Privacy Act 2011; andere Bundesstaaten, darunter Queensland und South Australia, stützen sich nur auf allgemeine Gesetze zu Überwachungsgeräten ohne eine dem NSW-Modell entsprechende Ankündigungspflicht. Verdeckte Überwachung, also Überwachung ohne Ihre Kenntnis, erfordert in NSW eine von einem Magistrate erteilte Genehmigung für verdeckte Überwachung, mit einer ähnlichen Regelung im ACT; die meisten anderen Bundesstaaten kennen keine arbeitsplatzspezifische Genehmigungspflicht für verdeckte Überwachung. KI-Überwachung, die sensible Informationen erhebt (biometrische Daten, Gesundheitsinformationen), erfordert Ihre Einwilligung oder eine gesetzliche Ausnahme.

Vereinigtes Königreich: Der Leitfaden des ICO „Employment practices and data protection: Monitoring workers“ (Oktober 2023, der den früheren Entwurfsleitfaden „Monitoring at Work“ ersetzt) verlangt, dass die Überwachung in Ihrem Arbeitsvertrag, im Mitarbeiterhandbuch oder in der Datenschutzerklärung offengelegt wird. Eine Datenschutz-Folgenabschätzung (DPIA) ist nach Artikel 35 UK GDPR rechtlich vorgeschrieben, wenn die Überwachung voraussichtlich ein hohes Risiko für die Rechte der Beschäftigten zur Folge hat, was bei biometrischer und KI-gestützter Überwachung in der Regel der Fall ist; der ICO geht in seiner Leitlinie darüber hinaus und erwartet eine DPIA vor jeder Überwachung von Beschäftigten, auch wenn sie nicht zwingend erforderlich ist. Das UK GDPR verlangt eine Rechtsgrundlage, in der Regel berechtigte Interessen, die in einer Abwägung der berechtigten Interessen gegen die Datenschutzrechte der Beschäftigten abgewogen werden müssen. Diese Abwägung fällt umso schwerer, je eingriffsintensiver die Überwachung ist. Verdeckte Überwachung ist nur bei einem konkreten Verdacht auf strafbare Handlungen zulässig und muss selbst dann dokumentiert und vor der Anwendung von einer leitenden Führungskraft geprüft werden.

EU: Die DSGVO gilt für Daten aus der Beschäftigtenüberwachung. Die meisten EU-Mitgliedstaaten stellen zusätzliche Anforderungen. In Betrieben mit Betriebsrat hat dieser nach deutschem Recht (BetrVG § 87 Abs. 1 Nr. 6) ein Mitbestimmungsrecht bei Technik zur Leistungsüberwachung, wobei Streitigkeiten von einer Einigungsstelle entschieden werden. In Frankreich verlangt der Code du travail (Artikel L.1222-4) eine transparente Offenlegung der Überwachung, wobei die CNIL-Leitlinien Verhältnismäßigkeit und eine regelmäßige Überprüfung betonen. Das spanische Arbeitsrecht verlangt, dass die Arbeitnehmervertreter vor dem Einsatz über KI-Kontrollmechanismen informiert werden.

Vereinigte Staaten: Das Bundesrecht (ECPA) enthält eine weit gefasste Arbeitgeberausnahme, die die Überwachung arbeitgebereigener Systeme während der Arbeitszeit erlaubt, sofern die Beschäftigten benachrichtigt wurden. Mehrere Bundesstaaten verlangen eine schriftliche Benachrichtigung; das New Yorker Electronic Monitoring Law (in Kraft seit 2022) verpflichtet Arbeitgeber, neue Beschäftigte bei der Einstellung zu benachrichtigen und einen Aushang anzubringen. Connecticut und Delaware haben ähnliche Anforderungen. Es gibt kein bundesweites Verbot der KI-Überwachung von Beschäftigten auf arbeitgebereigenen Systemen, sofern eine Benachrichtigung erfolgt. Der Einsatz von KI-Überwachung, um Beschäftigte zu identifizieren oder gegen sie vorzugehen, die sich gewerkschaftlich organisieren, verstößt jedoch unabhängig von der Offenlegung gegen den NLRA.

Was Ihr Arbeitgeber unabhängig von der Rechtsordnung nicht darf

In allen großen Rechtsordnungen gibt es Grenzen. Ihr Arbeitgeber darf im Allgemeinen nicht: Ihre privaten E-Mail-Konten oder privaten Geräte ohne Ihre spezifische, informierte Einwilligung überwachen; KI einsetzen, um gewerkschaftliche Organisierungsaktivitäten zu überwachen oder Beschäftigte für die Teilnahme an geschützten gemeinschaftlichen Aktivitäten zu benachteiligen; Sie mit biometrischer Technik ohne angemessene Offenlegung und, in vielen Rechtsordnungen, ohne Einwilligung überwachen; Überwachungsdaten für Zwecke verwenden, die über die offengelegten hinausgehen (etwa die Verwendung von Daten aus der Überwachung des Mitarbeiterwohls im Leistungsmanagement ohne Offenlegung); oder KI einsetzen, um am Arbeitsplatz auf Ihre Emotionen zu schließen, was Artikel 5 Absatz 1 Buchstabe f des EU AI Act in der EU seit dem 2. Februar 2025 vollständig verbietet, mit Ausnahme von Einsätzen, die aus medizinischen Gründen oder aus Sicherheitsgründen vorgesehen sind. Sonstige biometrische Überwachung am Arbeitsplatz ist durch den AI Act nicht generell verboten. Sie gilt als Hochrisiko-Anwendung nach Anhang III, und die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat die eigenständigen Hochrisiko-Pflichten des Anhangs III auf den 2. Dezember 2027 verschoben, sodass bis dahin Artikel 9 DSGVO und das nationale Arbeitsrecht die maßgeblichen Schranken bleiben.

Ihre praktischen Rechte

In allen großen Rechtsordnungen gilt: Lesen Sie Ihren Arbeitsvertrag, die Richtlinie zur zulässigen IT-Nutzung und die Datenschutzerklärung im Hinblick auf die Offenlegung von Überwachung; stellen Sie einen Antrag auf Auskunft bzw. Datenzugang zu Ihren personenbezogenen Daten einschließlich der Überwachungsdaten; wenden Sie sich mit Ihren Bedenken an den Datenschutzbeauftragten oder die Personalabteilung Ihres Arbeitgebers; kontaktieren Sie die zuständige Aufsichtsbehörde (ICO im Vereinigten Königreich, OAIC (Office of the Australian Information Commissioner) in Australien, die nationale Datenschutzbehörde in den EU-Mitgliedstaaten), wenn Sie die Überwachung für rechtswidrig halten; und wenden Sie sich in den USA an das NLRB, wenn Sie glauben, dass die Überwachung dazu genutzt wird, geschützte gewerkschaftliche Aktivitäten zu beeinträchtigen.

Weiterführende Lektüre

Weiterführende Lektüre: OECD, KI und Arbeit