Die kurze Antwort: Es kommt darauf an, wo Sie arbeiten und was man Ihnen gesagt hat

Die Überwachung durch Arbeitgeber mithilfe von KI ist weder einheitlich erlaubt noch einheitlich verboten. Die Rechtslage unterscheidet sich erheblich je nach Rechtsordnung und, entscheidend, danach, ob Sie informiert wurden. In den meisten großen Rechtsordnungen darf Ihr Arbeitgeber Sie mit KI-Werkzeugen auf betrieblichen Systemen überwachen, jedoch nur bei angemessener Offenlegung, verhältnismäßigem Zweck und Einhaltung des Datenschutzrechts. Verdeckte KI-Überwachung ohne Ihr Wissen ist in den meisten Rechtsordnungen rechtswidrig.

Wie KI-Überwachung heute tatsächlich aussieht

Die Überwachung am Arbeitsplatz geht heute weit über das Verfolgen der Internetnutzung und das Zählen von Tastenanschlägen hinaus. Moderne KI-Überwachungswerkzeuge können: E-Mail- und Nachrichteninhalte auf Stimmung, Themen oder Compliance-Risiken analysieren; Computeraktivitäten überwachen, darunter geöffnete Anwendungen, besuchte Websites und aufgerufene Dokumente; die Produktivität anhand von Dokumenterstellung, Kommunikationshäufigkeit und Aufgabenerledigung verfolgen; die Qualität von Callcentern und Kundenservice durch die Analyse aufgezeichneter Gespräche bewerten; die Teilnahme und das Engagement in Besprechungen durch Videoanalyse beurteilen; Standort und Bewegung in Lager- und Einzelhandelsumgebungen messen; biometrische Daten analysieren (Erkennung von Ermüdung, in manchen Kontexten Emotionserkennung); und all dies zu Risikobewertungen oder Leistungsprofilen von Beschäftigten zusammenführen.

Werkzeuge wie Microsoft 365 Copilot können, wenn sie mit vollen Berechtigungen eingesetzt werden, den gesamten digitalen Fußabdruck einer beschäftigten Person über E-Mail, Teams, Dokumente und Kalender hinweg analysieren. Diese Fähigkeit verändert die Lage grundlegend, denn sie bedeutet, dass KI-Überwachung nun jeder Organisation mit einer Microsoft-Enterprise-Lizenz zur Verfügung steht, nicht nur denjenigen, die eigens Überwachungssoftware beschaffen.

Rechtsordnung für Rechtsordnung: Was erlaubt ist und was nicht

Australien: Der Privacy Act verlangt einen offenen und transparenten Umgang mit personenbezogenen Informationen (APP 1). Arbeitgeber müssen Ihnen mitteilen, welche personenbezogenen Informationen erhoben werden und warum, dazu gehören auch Überwachungsdaten. Bundesstaatliche Überwachungsgesetze fügen weitere Einschränkungen hinzu. Der Workplace Surveillance Act 2005 (NSW) verlangt eine vorherige schriftliche Ankündigung der Computerüberwachung; offene Überwachung muss durch eine schriftliche Richtlinie offengelegt werden. South Australia, Queensland und andere Bundesstaaten haben ähnliche Anforderungen. Verdeckte Überwachung, also Überwachung ohne Ihre Kenntnis, erfordert in NSW eine gerichtliche Anordnung und in den meisten Bundesstaaten eine gleichwertige Befugnis. KI-Überwachung, die sensible Informationen erhebt (biometrische Daten, Gesundheitsinformationen), erfordert Ihre Einwilligung oder eine gesetzliche Ausnahme.

Vereinigtes Königreich: Der Leitfaden des ICO „Employment Practices: Monitoring at Work“ verlangt, dass die Überwachung in Ihrem Arbeitsvertrag, im Mitarbeiterhandbuch oder in der Datenschutzerklärung offengelegt wird. Vor dem Einsatz von Überwachungstechnik, die Beschäftigte erheblich betrifft, ist eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) erforderlich. Das UK GDPR verlangt eine Rechtsgrundlage, in der Regel berechtigte Interessen, die in einer Abwägung der berechtigten Interessen gegen die Datenschutzrechte der Beschäftigten abgewogen werden müssen. Diese Abwägung fällt umso schwerer, je eingriffsintensiver die Überwachung ist. Verdeckte Überwachung ist nur bei einem konkreten Verdacht auf strafbare Handlungen zulässig und muss selbst dann dokumentiert und vor der Anwendung von einer leitenden Führungskraft geprüft werden.

EU: Die DSGVO gilt für Daten aus der Beschäftigtenüberwachung. Die meisten EU-Mitgliedstaaten stellen zusätzliche Anforderungen. Deutschland verlangt vor der Einführung von Leistungsüberwachungssystemen die Zustimmung des Betriebsrats bzw. dessen Mitbestimmung, dies verschafft den Beschäftigten praktisch eine kollektive Verhandlungsmacht über die Bedingungen der KI-Überwachung. Die französische CNIL verlangt eine transparente Offenlegung der Überwachung und eine regelmäßige Überprüfung ihrer Erforderlichkeit. Das spanische Arbeitsrecht verlangt, dass die Arbeitnehmervertreter vor dem Einsatz über KI-Kontrollmechanismen informiert werden.

Vereinigte Staaten: Das Bundesrecht (ECPA) enthält eine weit gefasste Arbeitgeberausnahme, die die Überwachung arbeitgebereigener Systeme während der Arbeitszeit erlaubt, sofern die Beschäftigten benachrichtigt wurden. Mehrere Bundesstaaten verlangen eine schriftliche Benachrichtigung; das New Yorker Electronic Monitoring Law (in Kraft seit 2022) verpflichtet Arbeitgeber, neue Beschäftigte bei der Einstellung zu benachrichtigen und einen Aushang anzubringen. Connecticut und Delaware haben ähnliche Anforderungen. Es gibt kein bundesweites Verbot der KI-Überwachung von Beschäftigten auf arbeitgebereigenen Systemen, sofern eine Benachrichtigung erfolgt. Der Einsatz von KI-Überwachung, um Beschäftigte zu identifizieren oder gegen sie vorzugehen, die sich gewerkschaftlich organisieren, verstößt jedoch unabhängig von der Offenlegung gegen den NLRA.

Was Ihr Arbeitgeber unabhängig von der Rechtsordnung nicht darf

In allen großen Rechtsordnungen gibt es Grenzen. Ihr Arbeitgeber darf im Allgemeinen nicht: Ihre privaten E-Mail-Konten oder privaten Geräte ohne Ihre spezifische, informierte Einwilligung überwachen; KI einsetzen, um gewerkschaftliche Organisierungsaktivitäten zu überwachen oder Beschäftigte für die Teilnahme an geschützten gemeinschaftlichen Aktivitäten zu benachteiligen; Sie mit biometrischer Technik ohne angemessene Offenlegung und, in vielen Rechtsordnungen, ohne Einwilligung überwachen; Überwachungsdaten für Zwecke verwenden, die über die offengelegten hinausgehen (etwa die Verwendung von Daten aus der Überwachung des Mitarbeiterwohls im Leistungsmanagement ohne Offenlegung); oder KI-gestützte Emotionserkennung oder biometrische Überwachung am Arbeitsplatz einsetzen, ohne bestimmte gesetzliche Anforderungen zu erfüllen, was an EU-Arbeitsplätzen nach den Bestimmungen des EU AI Act zu verbotenen KI-Praktiken (Artikel 5, in Kraft seit Februar 2025) untersagt ist.

Ihre praktischen Rechte

In allen großen Rechtsordnungen gilt: Lesen Sie Ihren Arbeitsvertrag, die Richtlinie zur zulässigen IT-Nutzung und die Datenschutzerklärung im Hinblick auf die Offenlegung von Überwachung; stellen Sie einen Antrag auf Auskunft bzw. Datenzugang zu Ihren personenbezogenen Daten einschließlich der Überwachungsdaten; wenden Sie sich mit Ihren Bedenken an den Datenschutzbeauftragten oder die Personalabteilung Ihres Arbeitgebers; kontaktieren Sie die zuständige Aufsichtsbehörde (ICO im Vereinigten Königreich, OAIC (Office of the Australian Information Commissioner) in Australien, die nationale Datenschutzbehörde in den EU-Mitgliedstaaten), wenn Sie die Überwachung für rechtswidrig halten; und wenden Sie sich in den USA an das NLRB, wenn Sie glauben, dass die Überwachung dazu genutzt wird, geschützte gewerkschaftliche Aktivitäten zu beeinträchtigen.

Weiterführende Lektüre

Weiterführende Lektüre: OECD AI and the Future of Work