Source: https://diercks-digital-recht.de/2019/12/personalmanagementsoftware-und-die-dsgvo-berliner-datenschutzbehoerde-prueft-software-zur-bewertung-von-arbeitnehmerinnen-bei-zalando/
Timestamp: 2020-07-09 14:43:19
Document Index: 307731674

Matched Legal Cases: ['Art. 5', 'Art. 83', 'Art. 58', 'Art. 12', 'Art. 25', 'Art. 32', 'Art. 35', '§ 87', '§ 26', '§ 26', '§ 26', '§ 87', 'Art. 2', 'Art. 1']

Personalmanagementsoftware und die DSGVO - Berliner Datenschutzbehörde prüft Software zur Bewertung von ArbeitnehmerInnen bei Zalando | Diercks Digital Recht
Der Fall „Zonar“ von Zalando
Die Software „Zonar“ ist im Rahmen einer Studie „Ratings als arbeitspolitisches Konfliktfeld – Das Beispiel Zalando“ der gewerkschaftsnahen Hans Böckler Stiftung untersucht worden. Die Studie stützt sich maßgeblich auf die Aussagen von einigen Mitarbeitern. Nicht auf eine Betrachtung der Software selbst. Nach der Veröffentlichung der Studie wurde die Berliner Datenschutzbeauftragte auf den Einsatz der Software aufmerksam. In der Öffentlichkeit wurde der Vorgang insbesondere dadurch bekannt, dass Netzpolitik.org den Fall im Rahmen ihres Artikels „Datenschützer prüfen Mitarbeiter-Scoring bei Zalando“ aufgriff.
Bei der Software „Zonar“ von Zalando handelt es sich um eine App, mit welcher Mitarbeiter einander bewerten können. Diese Bewertungen haben wiederum Einfluss auf Gehalt und Aufstiegschancen im Unternehmen. Demnach handelt es sich also dem Grunde nach um eine Peer-Review-Software, die an dem 360-Grad-Feedback-Modell ansetzt und um digitale Auswertungsmöglichkeiten ergänzt. Zonar wurde vorwiegend im Office-Bereich von Zalando am Berliner Sitz eingesetzt und betraf rund 2.000 Mitarbeiter.
In einem Interview der Personalwirtschaft erläuterte der SVP People and Organisation, Ewenstein, noch im September 2018, welche positiven Effekte der Personalführung von dem ganzheitlich gedachten Ansatz des „Talent Flywheels“ ausgehen sollten: „Unser ganzheitlich konzipiertes Talent Flywheel umfasst fünf zentrale HR-Prozesse, beginnend beim Recruiting über Performance Management, Learning sowie Workforce Management und People Analytics“ In einer zentralen Talente-API sollten alle Prozesse miteinander verzahnt werden und so ein ganzheitlicher Blick auf den Mitarbeiter geworfen werden, statt die Personalbeurteilung nur dem Vorgesetzten zu überlassen. Laut Ewenstein ist maßgeblicher Baustein eine selbst entwickelte Software für das Performance Management, die erlaubt, dass Kollegen Feedbacks zum Mitarbeiter geben. Die Idee dahinter ist, dass damit eine „relevante Bewertung, die passgenau für den jeden einzelnen Mitarbeiter und sein Performance-Modell ist“ erlangt wird. Unter anderem diese Daten sollten dann im Rahmen des „Flywheels“ mittels „People Analytics“ weiter ausgewertet werden.
Kurz: Der Traum eines jeden Analysisten und zeitgleich absolut Algorithmen-Gläubigen.
Und dem Grunde nach eine schöne Idee: Der Mitarbeiterentwicklungsprozess sollte transparent und fair sein. Es sollte für alle erkennbar sein, warum etwa ein neuer Mitarbeiter schneller befördert wird als ein alteingessener Kollege. Doch wie das so ist, mit den guten Ideen – manchmal wartet die eine oder andere Tücke.
Die Mitarbeiterbewertungen im Rahmen von Zonar
Doch zunächst kurz zum zentralen Baustein des Systems. Dies ist, wie bereits ausgeführt, ein Rating- und Scoringsystem auf Basis des Mitarbeiterfeedbacks. Die in dem System befindlichen und mittels dessen bewerteten Mitarbeiter werden im Ergebnis in drei Gruppen eingeteilt:
Top Performer – Potentialkandidaten für weitere Karrierewege
Good Performer – Mitarbeiter, die ihre Aufgaben erledigen
Low Performer – Mitarbeiter, deren Leistungen unter dem Schnitt liegen.
Daneben fließen Daten aus Arbeitsprozessen ein. Etwa wie schnell bestimmte Tätigkeitsschritte vollzogen wurden. Die Bewertungen bestehen somit aus einem quantifizierenden Rating, welches durch eine qualitative Rezension begründet wird. (vgl. Ratings als arbeitspolitisches Konfliktfeld – Das Beispiel Zalando, S. 15, im Einzelnen ab S. 17)
What could possibly go wrong?! – Oder: Kritik an Zonar seitens der Hans Böckler Stiftung
Im Rahmen der genannten Studie der Hans Böckler Stiftung wird kritisiert, dass Zalando mit Zonar klassisch marktwirtschaftliche Instrumente (Rating- und Rezensionssysteme) nach innen anwendet, um die Arbeitswelt digital durch Apps und Algorithmen zu evaluieren (vgl. Ratings als arbeitspolitisches Konfliktfeld – Das Beispiel Zalando, S. 15). Die Hans Böckler Stiftung bemerkt in der Studie weiter, es entstehe mit der totalen, einseitigen Transparenz ein omnipräsentes Kontrollsystem, welches zu einer ständigen Arbeits- und Leistungskontrolle führe und die Mitarbeiter unter einen ständigen gegenseitigen Überwachungsdruck setze. Dies wirke sich entsprechend schlecht auf das Betriebsklima aus. (vgl. Ratings als arbeitspolitisches Konfliktfeld – Das Beispiel Zalando, S. 25/26,).
Hinzu komme der Faktor Mensch: Aus der Angst heraus schlecht bewertet zu werden, hätten sich die Kollegen untereinander verabredet, möglichst wenige und wenn dann möglichst positive Bewertungen abzugeben (vgl. Ratings als arbeitspolitisches Konfliktfeld – Das Beispiel Zalando, S. 40 ff.). Dies verzerrt im Ergbenis natürlich die Berechnung der grundsätzlich unbeugsamen Algorithmen. Hier versuchte Zalando mit der sog. „Zonar 2.0“ gegenzusteuern, in dem die Beschäftigten sowohl gute wie auch schlechte Bewertungen abzugeben gezwungen wurden (Studie, S. 41).
Weiter sieht die Studie kritisch, dass die Software als „innerbetriebliche Mitbestimmung“ gegenüber den Mitarbeitern verkauft wurde, aber Mitbestimmung im Sinne des Betriebsverfassungsgesetz bei Zalando kaum vorhanden sei.
Und schließlich wirft die Studie die Frage auf, ob der Einsatz einer solchen Software mit der Datenschutzgrundverordnung (DSGVO) vereinbar sei und sieht dies äußerst kritisch. (Studie, S. 49 ff.)
Was ist von der Kritik durch die Hans Böckler Stiftung zu halten?
Die Kritik der Hans Böckler Stiftung ist nicht einfach von der Hand zu weisen. Dennoch sollte die Studie selbst sowohl aus personalfachlicher wie auch rechtlicher Sicht mit einem kritischen Auge gelesen werden.
Aus personalfachlicher Sicht
Wie der äußerst geschätzte Kollege und Fachberater Personalmarketing und Employer Branding bei der DATEV eG Stephan Scheller auf dem bekannten HR Blog persoblogger.de bereits schrieb, ist nicht zu vergessen, dass die Arbeitsleistung von Beschäftigten nun einmal das Kernelement des Arbeitsvertrages und damit der Beziehung zwischen Unternehmen und Beschäftigten darstellt. In Folge dessen besteht nun einmal ein ebenso grundlegendes wie berechtigtes Interesse des Arbeitgebers daran, zu wissen, wie sich Arbeitsleistung gestaltet und/oder entwickelt.
Vor diesem Hintergrund setzte sich Scheller in dem Artikel Zonar von Zalando: Algorithmisches Management, People Analytics und Mitarbeiter-Ratings in der Diskussion – anders als zahlreiche andere Analysen – mit dem ruhigen Blick des Personalers bzw. des Arbeitgebers mit der Methodik von Zonar (soweit diese bekannt ist) sowie den sonst üblichen Bewertungsmethoden auseinander. Das Ganze ist äußerst lesenswert. Zumal das Verständnis für die grundlegende Methodik für die rechtliche Bewertung solcher Modelle unerlässlich ist.
Aus arbeits- wie datenschutzrechtlicher Sicht ist eine konkrete Beurteilung von Zonar so nicht möglich. Hierzu bedürfte es mehr als der Erkenntnisse aus einer Studie, die maßgeblich auf den Aussagen von 10 Beschäftigten beruht. Die Funktion der Algorithmen, die Bewertungsmaßstäbe, die Art der Eingaben und vieles mehr müsste dafür bekannt sein. Kurz: Die Software müsste tatsächlich einmal untersucht werden.
Festgehalten werden kann nur:
Richtig ist, dass eine solche Software grundsätzlich massive arbeits- wie datenschutzrechtliche Fragen aufwirft.
Richtig ist aber auch: Eine algorithmengestützte Bewertung von Mitarbeitern ist nicht zwingend unzulässig.
Wie immer kommt es auch hier auf den Einzelfall an.
Mehr zum Thema Scoring in der HR-Praxis können Sie hier nachlesen:
Diercks, Big Data-Analysen & Scoring in der (HR-)Praxis – Dürfen aus allgemein zugänglichen personenbezogenen (Arbeitnehmer-)Daten Score-Werte erstellt und genutzt werden?, PinG 01/16, S. 30
Big Data, Scoring & Recht – Teil 1: Grundlagen (Datenschutz noch nach BDGS alt bewertet)
Big Data, Scoring & Recht – Teil 2: Ein Praxisbeispiel aus dem HR-Bereich (Datenschutz noch nach BDGS alt bewertet)
Big Data im Zeitalter der EU-Datenschutzgrundverordnung (DSGVO) (Erläuterung zu Big Data Analysen unter der DSGVO in Gegenüberstellung zum BDSG-alt.)
Und da wir (ich) den Fall „Zonar“ eben gerade nicht en Detail kenne und mir in Folge dessen kein Urteil erlauben kann, wenden wir uns jetzt einmal den grundsätzlichen arbeits- und datenschutzrechtlichen Rahmenbedingungen von Personalsoftware zu.
Arbeits- und datenschutzrechtliche Rahmenbedingungen von Personalsoftware
Mit Personalsoftware sind nachfolgend sowohl Bewerbungs- also auch Personalmanagementsoftware wie auch Personalentwicklungsoftware gemeint.Wie wir alle wissen, lässt sich heutzutage Bewerbungsmangementsoftware erwerben, die so gleich einen Social Media Abgleich vornimmt und (vermeintlich) berufsrelevante Daten in die Bewerbungsakte speichert und/oder algorithmische Auswertungen von Lebensläufen ermöglicht. Personalmanagement- und – entwicklungssoftware bietet über die reine Verwaltung heutzutage mannigfaltige Funktionen. So können diese mit Leistungsfunktionen verknüpft werden, etwa wie viele Bearbeitungsschritte ein Sachbearbeiter pro Tag erfolgreich erledigt werden. Oder mit Scoring-Funktionen, wie etwa eben Bewertungen durch Vorgesetzte oder Kollegen. Ferner können Kranken- und Urlaubstage auf Knopfruf für einzelne Mitarbeiter, Abteilungen oder die ganze Belegschaft abgerufen werden. Des Weiteren gibt es Software – wie in dem obigen Aufsatz und Blogartikel beschrieben – die die Wahrscheinlichkeit errechnet, mit der ein Mitarbeiter ein Unternehmen verlässt. Der Technik allein sind hier kaum Grenzen gesetzt. Für diese gilt das Recht.
Und wenn wir über die Digitalisierung solcher Personalprozesse sprechen, sprechen wir stets auch über Datenverarbeitungen. Das heißt, dass das Arbeits- und Datenschutzrecht an dieser Stelle zunehmend auf der tatsächlichen Sachebene verschmilzt. Eine nur arbeitsrechtliche oder ausschließlich datenschutzrechtliche Betrachtung solcher Software muss damit fehlschlagen.
Sehen wir uns also beides an und beginnen wir mit den, man mag es kaum glauben, eher einfachen, rein datenschutzrechtlichen Anforderungen an derartige Software.
Datenschutzrechtliche Anforderungen an Personalsoftware
Die grundsätzlichen datenschutzrechtlichen Anforderungen an Personalsoftware sind diejenigen, die für jede Software gelten:
Zunächst einmal müssen Daten gemäß der Grundsätze des Art. 5 DSGVO verarbeitet werden. Dies bedeutet, dass die Daten
rechtmäßig und transparent,
nur für eindeutige und legitime Zwecke,
auf eben diese Zwecke und das notwendige Maß beschränkt,
nur für die benötigte Dauer und
in einer Art und Weise, die den Schutz und die Sicherheit der Daten gewährleistet
verarbeitet werden dürfen. Dies klingt vielleicht undramatisch, muss jedoch eben im Einzelfall umgesetzt und gewährleistet werden. Wichtig ist dabei, dass der Verantwortliche, d.h. der, der die Software einsetzt (nicht: der Hersteller!), nachzuweisen hat, dass all diese Grundsätze eingehalten sind.
Dies DSGVO führt die Anforderungen an diese Grundsätze im Weiteren aus. Hinsichtlich aller – auch der sogleich aufgeführten – Anforderungen gilt, dass ein Verstoß gegen diese nach Art. 83 DSGVO mit Bußgeldern von bis bis zu 2% des bzw. 4% des weltweiten Jahresumsatzes geahndet werden kann. Ferner kann die Behörde den Einsatz einer solchen Software nach Art. 58 DSGVO unmittelbar untersagen.
Zu den weiteren Anforderungen, die die DSGVO stellt, gehörden unter anderem diese:
Die Betroffenen, d.h. bei dem Einsatz von Personalsoftware die Beschäftigten, müssen transparent und leicht verständlich im Sinne der Art. 12, 13 DSGVO über die Datenverarbeitungen informiert werden. Ihnen müssen also entsprechende Informationen zur Datenverarbeitung zukommen.
Die Software muss selbst den Grundsätzen von privacy by design & default nach Art. 25 DSGVO entsprechen. Dies bedeutet zum einen, dass die vom Verantwortlichen (also dem Arbeitgeber) eingesetzten Technologien vornherein so konzipiert sein, dass sie unter Beachtung der Grundsätze des Schutzes personenbezogener Daten operieren können. Die Software muss also etwa über Löschkonzepte verfügen (etwas, was die Revisionssoftware der Deutschen Wohnen SE nicht vermochte und in Folge dessen ein Bußgeld in Höhe von 14,5 Millionen EUR gegen diese verhängt wurde). Zum anderen muss die fertige Technologie über die datenschutzfreundlichsten Voreinstellungen verfügen. So dürfen etwa Bewerberdaten nicht einfach automatisch in den Talentpool übernommen werden. Vielmehr muss die Voreinstellung sein, dass eine eine automatische Löschung erfolgt, wenn die Daten (etwa nach 8 Monaten nach Stellenbesetzung) nicht mehr benötigt werden. Eine Übernahme in den Talentpool darf hingegen nur bei einer Einwilligung erfolgen. Anders ausgedrückt ist bei dem Grundsatz Privacy by Design zu fragen „Benötige ich diese Daten wirklich?“ und bei dem Grundsatz Privacy by Default „Gibt es eine datenschutzschonendere Alternative?“.
Weiter ist selbstverständlich die Datensicherheit nach Art. 32 DSGVO zu gewährleisten.
Und viel zu wenig Beachtung findet beim Einsatz von Personalsoftware Art. 35 DSGVO, die sogenannte Datenschutzfolgeabschätzung. Hier heißt es wörtlich:
Und die Aufsichtsbehörden sind bezüglich des Einsatzes von Personalsoftware an dieser Stelle sehr explizit. Wenn die
„umfangreiche Verarbeitung von personenbezogenen Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit derart eingesetzt werden können, dass sich Rechtsfolgen für die Betroffenen ergeben oder diese Betroffenen in anderer Weise erheblich beeinträchtigt werden“,
dann ist nach der sog. „Blacklist“ der Datenschutzbehörden eine Datenschutzfolgeabschätzung zwingend durchzuführen. [Mehr zur Datenschutzfolgeabschätzung können Sie in unserer Serie zur DSGVO unter Ziffer 2c nachlesen.]
Das heißt bei einem Bewertungssystem wie Zonar, aber auch bei jeder anderen Personalsoftware, die Leistungs- und Verhaltenskontrolle ermöglicht (diese muss nicht (!) durchgeführt werden!), ist eine Datenschutzfolgeabschätzung vorzunehmen.
Und wie der dem Arbeitsrecht nicht ganz abgeneigte Leser unmittelbar erkennt, spiegelt sich diese Anforderung der Datenschutzbehörde zur Durchführung einer Datenschutzfolgeabschätzung auch in der Rechtsprechung zu § 87 Abs. 1 Nr. 6 BetrVG, wonach eine Mitbestimmung eben schon dann besteht, wenn nur die Möglichkeit der Überwachung des Verhaltens oder der Leistung von Mitarbeitern durch technische Einrichtungen gegeben ist. (Vgl. statt vieler: BAG, Beschl. v. 13.12.2016, 1 ABR 7/15).
Und damit sind wir schon beim Beschäftigtendatenschutz und dem Arbeitsrecht.
Beschäftigtendatenschutz und Arbeitsrecht
Die Norm, die das Datenschutz- und Arbeitsrecht unmittelbar miteinander verknüpft, ist § 26 BDSG. Demnach dürfen
Personenbezogene Daten von Beschäftigten […] für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung […] erforderlich ist.
Unter der Erforderlichkeit des § 26 BDSG (vormals 32 BDSG alt) ist nach der ständigen Rechtsprechung des Bundesarbeitsgerichts eine vollständige Verhältnismäßigkeitsprüfung vorzunehmen. Im Rahmen der Verhältnismäßigkeit sind bekanntermaßen
der legitime Zweck der Datenverarbeitung,
die Geeignet des Mittels (der Datenverarbeitung) den legitimen Zweck zu erreichen,
die Frage, ob nicht ein gleich geeignetes aber milderes Mittel zur Zweckerreichung zur Verfügung steht und
die Verhältnismäßigkeit der Maßnahme (der Datenverarbeitung) im engeren Sinne
Wenn also eine Datenschutzfolgeabschätzung (DSFA) im Hinblick auf eine Personalsoftware durchzuführen ist, weil die Möglichkeit besteht, dass durch „umfangreiche Verarbeitung von personenbezogenen Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit derart eingesetzt werden können„, dann ist im Rahmen der DSFA selbstverständlich die Zulässigkeit der Verarbeitung dieser Daten im Rahmen von § 26 BDSG zu prüfen. Dabei sind Kenntnisse von personalfachlichen Methoden (siehe der Beitrag von Stefan Scheller) unabdingbar, um die Geeignetheit und das umd das Vorhandensein eines gleich geeigneten, aber milderen Mittels zu prüfen. Und spätestens in der Verhältnismäßigkeit sind dann arbeitsrechtliche Grundsätze bei der Interessensabwägung zwischen den Interessen bzw. der Rechte der Arbeitnehmer sowie der des Arbeitgebers anzulegen. Gegegebenenfalls ist vorab oder inzident zu prüfen, ob ein Fall des § 87 Abs. 1 Nr. 6 BetrVG vorliegt. Das gilt im Ergebnis übrigens auch dann, wenn kein Betriebsrat im Unternehmen besteht. Schließlich stellt sich das allgemeine Persönlichkeitsrecht aus Art. 2 Abs. 1 iVm Art. 1 Abs. 1 GG in diesen Fällen gleichermaßen schützend vor den Beschäftigten. (vgl. Einsatz von „Keyloggern“ zur Mitarbeiterüberwachung grundsätzlich unzulässig (BAG, Az. 2 AZR 681/16)).
Wie Sie sehen, es ist zwar kein Hexenwerk die arbeits- wie datenschutzrechtliche Zulässigkeit von Personalsoftware zu beurteilen, aber ganz so trivial ist es auch wieder nicht. Keinesfalls verlassen sollte man sich auf irgendwelche Zitate wie „ISO geprüft“ oder „TÜV zertifiziert“. Dies bedeutet nämlich noch lange keine DSGVO-Compliance. Geprüft sein kann in solch einem Fall nänlich schlicht die Sicherheit des Informationssicherheitsmanagementsystem und sonst… nichts. Diese Erfahrung musste kürzlich etwa die Techniker Krankenkasse mit ihrer App Ada machen.
Es gilt: Wenn Sie vermeiden möchten, dass Ihnen die Behörde die Verwendung der teuer angeschafften und unter hohen Ressourcen implementierten Personalsoftware untersagt und/oder Sie gar noch mit einem Bußgeld belegt, dann sollten sich dringend der vorgenannten Mühen unterziehen.
Davon ab: Das Personal ist das Herzstück ihres Unternehmens. Also sollten Sie es auch so behandeln.