Datenschutz in KCS und Swarming

Ah ja, intelligentes Wissensmanagement. Man kann so viele tolle Sachen damit machen. Und dem diametral gegenüber: das Recht auf Vergessen. Wenn uns aktuell bei unseren Methoden-Workshops etwas umtreibt, ist es der Datenschutz.

KCS und Intelligent Swarming sind selbst, von der reinen Methodik her, unproblematisch, denn keine von beiden Methodologien definiert seine Vorgehensweisen so detailliert, dass sie zur Auswertung personenbezogener Daten zwingt. Sobald wir aber die Theorie verlassen, müssen wir diese praktischen Details zwangsläufig ausarbeiten – und darauf wollen wir heute etwas genauer eingehen.

Recht auf vergessen

Das Datenschutzrecht wird häufig als „das Recht auf Vergessen“ zusammengefasst: ich habe als Person ein Recht darauf, dass Dinge über mich gelöscht werden und nicht ohne mein Wissen oder Einverständnis langfristig gespeichert werden, sofern Sie auf mich zurückführbar sind. Das Dilemma haben wir 2018 alle erlebt, als wir zum ersten Mal in ein Wartezimmer gestolpert sind und gefragt wurden, ob man uns denn namentlich aufrufen dürfte. Denn theoretisch könnte ein anderer Patient im Wartezimmer unseren Namen hören und sich merken, dass wir beim Arzt waren (eine hoch-private Angelegenheit) – ohne dass wir die Kontrolle über die Speicherung dieser Daten (im Gedächtnis dieser Person) hätten.

Die meisten haben kurz die Augen gerollt und ihr Einverständnis gegeben, es zeigt aber auch, dass gewisse Funktionen (hier: namentliches Aufrufen) uns nicht zur Verfügung stehen, wenn wir nicht der Verarbeitung unserer Daten zustimmen.

Ein bisschen heikler wurde es, als uns (insbesondere IT-)Unternehmen nun verpflichten mussten, in die Datenverarbeitung einzuwilligen, bevor wir ihre Dienste (wie Facebook, Instagram, etc.) überhaupt nutzen konnten. Denn diese ellenlangen AGB haben vielen Endnutzern zum ersten Mal bewusst gemacht, wie viele Daten verarbeitet werden müssen, um gewissen Funktionen ausführen zu können: wer Bilder und Videos hochladen will, muss den Zugriff auf dem Speicher erlauben, und wer die anwendungseigenen Aufnahmefunktionen nutzen will, muss auch Kamera und Mikro freigeben. Und manche Funktionen sind nicht hauseigen, sondern von extern eingekauft. Also müssen wir die Verarbeitung durch Drittanbieter erlauben.

Intelligenz: wissen, wie was zusammengehört

Irgendwo leuchtet das auch ein, wenn wir bedenken, dass wir häufig unter Intelligenz verstehen, Dinge in einen funktionalen Zusammenhang zu bringen (die wissenschaftliche Definition von Intelligenz bleibt übrigens weiterhin hoch umstritten). Damit ich etwas in einen Zusammenhang bringen kann, muss ich nicht nur wissen, dass es da ist: ich muss auch seine Eigenschaften kennen. Da unterscheidet sich unsere Fähigkeit, Sudokus zu lösen oder Puzzle zu vervollständigen nicht dramatisch von den Matching-Algorithmen von Google, Apple und Co. Je smarter, cleverer, ausgeklügelter meine Lösung sein soll, desto besser muss ich Eigenschaften und ihre Interaktionen verstehen, um Sie bezogen auf mein Ziel in den richtigen Zusammenhang zu bringen. Vereinfacht gesagt: Je mehr Daten, desto besser die Lösung, desto angenehmer die Nutzung und desto besser das Ergebnis. Intelligente Lösungen interessieren uns, weil sie weniger Aufwand und Umwege versprechen.

Personenbezogene Daten im Datenschutz

Bei Puzzles und Sudokus ist das noch ganz okay, aber die sind auch nicht wirklich, worauf das Datenschutzgesetz abzielt. Es geht um den sehr spezifischen Satz „personenbezogene Daten“, also alles, was Eigenschaften mit einer echten Person verknüpft. Und hier liegt der Hase im Pfeffer, denn selbst wenn nicht jeder von uns sich morgens auf Arbeit erstmal elektronisch anmelden müsste, so brauchen elektronische Geräte für die Kommunikation untereinander eine IP-Adresse, die sie nicht durcheinanderbringen können. Und spätestens die kann man wieder mit der Person zusammenbringen, die jeden Tag an diesem Gerät sitzt. Alles, was auch nur minimal personalisiert wird, macht alles, womit es in Berührung kommt, zu personenbezogenen Daten. Das ist potenziell jede Aktion, die Sie mit Technik ausführen: der Druck, das Einstempeln, der Klick neben die Schaltfläche und sogar die Zeiten, in denen Sie keinen einzigen Knopf drücken.

Das Problem ist also, dass sich unpersönliche Daten, die für das Datenschutzrecht vollkommen unproblematisch sind, und personenbezogene Daten, aktuell nicht vollständig trennen lassen.

Opt-In-Datenschutz – Zustimmung erteilen

Die meisten gehen den Weg, der uns schon vor 2018 bei vielen IT-Firmen skeptisch gemacht hat, und fordern vorab die Zustimmung (bspw. im Arbeitsvertrag). Im Rahmen der Vertragsfreiheit steht es Ihnen nämlich zu, einem Unternehmen vertraglich zuzusichern, dass es Ihre personenbezogenen Daten eben doch erheben darf. Sie müssen nur eine Wahl haben, und theoretisch können Sie den Job ablehnen, wenn Sie das nicht möchten. Oder die App nicht laden. Oder den Service nicht nutzen.

Die meisten von uns sehen die Sache dann pragmatisch und stimmen zu, weil die Vorteile die Nachteile in ihren Augen klar aufwiegen. Für viele ist die größte Sorge, gezielte Werbeansprachen zu erhalten – und viele Anwender begrüßen diese Werbung gegenüber noch irrelevanteren Inhalten fast schon. Bei KCS® und Intelligent Swarming® ist das Vorteil-Nachteil-Gleichgewicht allerdings ein bisschen sensibler als zielgerichtete Anzeigen der Firma, die diesen Monat zu viel Geld in ihre Kampagne gesteckt hat.

Beide Methodiken erheben Daten, um:

• Die Nachfrage zu verstehen
• Daraus den Nutzen von Inhalten abzuleiten
• Verbesserungen an häufigen Defekten vorzunehmen
• Mitarbeitern zu helfen, effizienter und genauer zu werden

Drei dieser vier Punkte sollten theoretisch nicht datenschutzrechtlich relevant sein, aber mit dem vierten Punkt landen wir wieder bei: Alles, was auch nur minimal personalisiert wird, macht alles, womit es in Berührung kommt, zu personenbezogenen Daten.

Und der schlimmste Fall ist hier nicht die Werbung für eine Biermarke, die Sie eh schon seit Jahren kaufen, sondern die Sorge, dass Ihnen wegen schlechter Leistung gekündigt wird.

Wir können hier aus zwei Gründen nicht genauer auf die arbeitsrechtlichen Aspekte eingehen: 1. Wird dieser Text so schon zu lang und 2. Sind wir keine Arbeitsrechtler. Ich habe nicht mal ein, geschweige denn zwei Staatsexamina. Schlechtleistung nachzuweisen ist juristisch ein ziemlich schwieriges Unterfangen, zu dem ein Anwalt sehr viel besser Auskunft geben kann als wir.

Wie realistisch das juristisch gesehen ist beiseite – die Sorge reicht, um uns davon abzuhalten, unsere Einwilligung zu erteilen. Die Vorteile müssten enorm sein – und das hängt nicht nur von der eigenen Motivation, besser zu werden, sondern auch der betrieblichen Anerkennung dafür ab. So einfach die Opt-In-Lösung also scheint – sie ist auch sehr tückisch.

Manuelles Matching vs Automatisierung

Was wäre also, wenn niemand diese Daten auswerten kann – zumindest kein Mensch? Automatisierungen sind oft eine Blackbox, was hier sehr nützlich sein kann. Jedenfalls, wenn dieser Ansatz eher futuristisch als dystopisch wirkt. Denn wenn kein Mensch mehr die Auswertung macht, wie können wir prüfen, dass der Algorithmus gut funktioniert? Und wenn ein Mensch es nachprüfen kann: wer garantiert Integrität? Ist das nicht sofort ein Einfallstor und eine Schwachstelle?

Sie müssen sich fragen, ob willentlich blind für die Verarbeitung dieser Daten zu sein, vielversprechend ist. Intelligent Swarming® schlägt diesen Ansatz zumindest für einige Aspekte seiner Fähigkeitsprofile sogar explizit vor. Wenn keiner sieht, was vorgeht, dann kann niemand diskriminiert und niemand sabotiert werden (vorausgesetzt, der Algorithmus dahinter verzerrt nicht systematisch).

Nichts ist auch keine Lösung

Wenn Ihnen beide Lösungsansätze nicht wirklich gefallen, sind Sie nicht alleine. Das gute daran ist, dass Leute wie Sie weiter nach anderen Lösungen suchen, die das Dilemma vielleicht eleganter lösen. Wenn Sie einen dritten Weg haben, sind wir gespannt ihn zu hören! Vielleicht können wir damit ja gemeinsam das nächste Kapitel von KCS® und Intelligent Swarming® schreiben?