III. Voice Recognition im Geltungsbereich des Datenschutzrechts

1. Qualifikation von Stimm- und Sprachdaten

Eine fundamentale Unterscheidung beim Einsatz von Voice Recognition ist, ob das System Stimm- oder Sprachdaten bearbeitet. Die Stimme ist ein biometrisches Merkmal^[25] und weist als solches in jedem Fall einen Personenbezug auf. Während biometrische Daten unter dem gegenwärtigen DSG grundsätzlich als «gewöhnliche» Personendaten zu qualifizieren sind,^[26] gelten sie unter dem revidierten Datenschutzgesetz^[27] als besonders schützenswerte Personendaten, wenn sie eine Person eindeutig identifizieren.^[28] Diese Formulierung dürfte schon aufgrund der technischen Unmöglichkeit nicht so zu verstehen sein, dass das angewandte Verfahren eine hundertprozentige Sicherheit der Identifikation bewerkstelligt. Vielmehr bemisst sich der Erfolg des technischen Verfahrens anhand eines vordefinierten Schwellenwertes (threshold).^[29] So sind Aufnahmen der Stimme als biometrische Daten zu qualifizieren, wenn das Verfahren dem Zwecke der Identifikation dient.^[30]

Lassen Stimmdaten Rückschlüsse auf die Gesundheit oder Rassenzugehörigkeit zu, so können bereits unter geltendem Recht besonders schützenswerte Daten vorliegen.^[31] Entscheidend sind die Geeignetheit der Daten und der Bearbeitungszweck. Werden Anzeichen einer Depression diagnostiziert, liegen Gesundheitsdaten vor, hingegen genügen temporäre Gemütszustände oder der Wahrheitsgehalt einer Aussage nicht.^[32] Zudem können Unterschiede in Aussprache, Wortwahl, Dialekt und syntaktischen Strukturen mit geografischen und sozialen Faktoren und letztlich der Rasse i.S.v. Ethnizität in Verbindung gebracht werden.^[33]

Die Sprache - im Gegensatz zur Stimme - ist primär ein Medium, das dem Informationstransfer dient.^[34] Diese Informationen sind als (besonders schützenswerte) Personendaten zu qualifizieren, wenn sie die gesetzlichen Anforderungen erfüllen.^[35] Zu beachten ist jedoch, dass die Natur der Daten nicht im Voraus erkennbar und dementsprechend keine separate Bearbeitung realisierbar ist, womit konsequenterweise für sämtliche Sprachdaten der strengere Massstab der besonders schützenswerten Personendaten angelegt werden muss.^[36] Fraglich ist allerdings, ob die Sprache an sich ein Personendatenwert sein kann. In der Regel werden Sprachdaten durch ein auf den Arbeitnehmer zurückzuführendes Endgerät bearbeitet. Folglich lassen sich die Daten regelmässig einer bestimmten Person zuordnen, wodurch ein Personenbezug anzunehmen ist. Dies gilt umso mehr für internetfähige Endgeräte, welche eine einmalige IP-Adresse besitzen.^[37]

Ausserdem ist im Kontext von Big Data und People Analytics für einen weiten Anwendungsbereich des DSG zu plädieren. Moderne technische Möglichkeiten erlauben selbst bei eigentlich anonymisierten Daten eine Re‑Identifizierung.^[38] Insofern ist es schwer denkbar, dass man sich in der Bearbeitung von Stimm- und Sprachdaten ausserhalb des Geltungsbereiches des DSG bewegt.

2. Persönlichkeitsprofile / Profiling

Unter der Revision des DSG ersetzt das Profiling das bisherige Persönlichkeitsprofil.^[39] Profiling setzt eine automatisierte Bearbeitung voraus, auf deren Basis persönliche Aspekte der betroffenen Person vorhergesagt oder beurteilt werden.

Das rDSG folgt einem risikobasierten Ansatz, sodass nur an Profiling mit hohem Risiko strengere Rechtsfolgen zu knüpfen sind. Ein solches liegt vor, wenn es mit einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person verbunden ist. Dies ist wiederum nichts anderes als das Persönlichkeitsprofil unter geltendem Datenschutzrecht.^[40]

Die Bearbeitung von Sprach- und Stimmdaten erfolgt bei Voice Recognition naturgemäss automatisiert. Spracherkennende Systeme betreiben Profiling, wenn persönliche Aspekte des Nutzers bewertet werden. Sprachassistenten können den Arbeitnehmer mitunter bezüglich Interessen, beruflichen Schwerpunkten und persönlichen Präferenzen analysieren und ggf. darauf basierend selbständige Handlungen vornehmen.^[41] Profiling im Rekrutierungsprozess liegt vor, wenn Charakterzüge, der emotionale Zustand oder die Arbeitsweise des Bewerbers analysiert werden.^[42] Stimmanalysierende Zutrittskontrollen betreiben nur Profiling, wenn die Anzahl der Zutrittskontrollen griffige Rückschlüsse auf den Bewegungsablauf, das Verhalten oder den Aufenthaltsort eines Arbeitnehmers ermöglichen.^[43]

Offen bleibt, ob durch das Profiling Persönlichkeitsprofile entstehen, die zu einem hohen Risiko für die betroffene Person führen. Dies hängt wiederum von den im konkreten Fall getroffenen Schutzmassnahmen ab.^[44]

IV. Ausgewählte datenschutzrechtliche Problemfelder

1. Bearbeitung innerhalb des arbeitsrelevanten Bereichs

Der Datenschutz ist in seiner Natur vordergründig Persönlichkeitsschutz.^[45] Gemäss Art. 328b OR^[46] liegt im Arbeitsverhältnis eine persönlichkeitsverletzende Datenbearbeitung vor, wenn sie über den für das konkrete Arbeitsverhältnis relevanten Bereich hinaus geht.^[47]

Der wohl herrschende Teil der Lehre betrachtet die Norm als Verbotsnorm, was ein Durchbruch zum Prinzip der grundsätzlichen Erlaubnis mit Verbotsvorbehalt aufzufassen ist.^[48] Die Berufung auf einen Rechtfertigungsgrund i.S.v. Art. 13 DSG^[49] wäre folglich nicht möglich.^[50] Nach einer liberaleren und hier vertretenen Ansicht ist Art. 328b OR als ein auf das Arbeitsverhältnis beschränkter Bearbeitungsgrundsatz zu verstehen,^[51] der den Grundsatz der Verhältnismässigkeit konkretisiert.^[52] In diesem Sinne ist eine Verletzung von Art. 328b OR ebenso durch einen Rechtfertigungsgrund heilbar.^[53]

Ein Arbeitsplatzbezug ist insb. bei der Verwendung von Spracherkennung als Arbeitsmittel zu bejahen. Beim Keyword Spotting oder der Stimmanalyse ist ein solcher ebenfalls zu vermuten, sofern sich die Analyse der Leistung oder des Verhaltens betrieblich begründen lässt.^[54] Dabei ist aber insb. zu berücksichtigen, wie flächendeckend solche Analysen durchgeführt werden, ob auch private Unterhaltungen ausgewertet werden und ob die Analyse dem Arbeitnehmer bekannt ist.^[55]

Charaktereigenschaften wie Belastbarkeit, Teamfähigkeit oder Kommunikationsfähigkeit zählen zu den beruflichen Qualifikationen, weshalb bei Stimm- und Sprachanalysen im Bewerbungsverfahren ebenfalls ein Arbeitsplatzbezug zu vermuten ist.^[56] Die Analyse weiterer Charaktereigenschaften, die der persönlichen Qualifikation zuzurechnen sind, kann sich im konkreten Fall ebenfalls aufdrängen, besonders wenn dies aufgrund von Haftungs- und Reputationsrisiken geboten ist.^[57] Dieselben Überlegungen sind auch während des Arbeitsverhältnisses anzustellen. Anders ist die Rechtslage hingegen, wenn anhand von bestehenden Schlüsselmitarbeitern ein Wunschprofil als Referenz für Bewerbende erstellt wird. In diesem Fall erfolgt die Bearbeitung nicht im Zusammenhang mit dem persönlichen Arbeitsverhältnis.^[58]

Biometrische Stimmdaten, die zur Identifikation oder Verifikation verwendet werden, weisen einen Arbeitsplatzbezug auf, sofern sie für Sicherheitszwecke notwendig sind.^[59] Werden anhand von Stimmdaten Krankheiten diagnostiziert, liegt i.d.R. kein Arbeitsplatzbezug vor.^[60]

2. Arbeitnehmerüberwachung

Das Abhören und die Aufnahme fremder Gespräche ist gemäss Art. 179^bis StGB^[61] verboten. Die Norm dürfte allerdings im Zusammenhang mit Voice Recognition kaum einschlägig sein. Zunächst wäre im Einzelfall zu klären, ob die registrierte Sequenz überhaupt ein Gespräch i.S. eines Gedanken- und Informationsaustausches darstellt.^[62] Die definitionsgemäss vorausgesetzte Einwilligung kann ausdrücklich oder stillschweigend erfolgen,^[63] wodurch sie sich bereits konkludent durch die Aktivierung des entsprechenden Systems ergibt. Bei fortlaufend aktiven Systemen kann die Einwilligung auch in Form einer arbeitsvertraglichen Klausel vorliegen.^[64] Zudem schränkt Art. 179^quinquies Abs. 1 StGB den Anwendungsbereich von Art. 179^bis StGB zusätzlich ein.

Relevanter dürfte Art. 26 ArGV 3^[65] sein, der den Einsatz von Überwachungs- und Kontrollsystemen verbietet, sofern sie nicht aus anderen Gründen, wie namentlich zur Sicherheits- oder Leistungsüberwachung, erforderlich sind.^[66] Solche Systeme dürfen die Gesundheit und Bewegungsfreiheit der Arbeitnehmer nicht beeinträchtigen.^[67] Die Abgrenzung von zulässigen und unzulässigen Systemen ist bisweilen problematisch, zumal Leistung und Verhalten stark miteinander verknüpft sind.^[68] Die Zulässigkeit ist letztlich von derVerhältnismässigkeit (Art. 4 Abs. 2 DSG)^[69] der konkreten Einsatzweise abhängig und inwieweit die Arbeitgeberin berechtigte Betriebsinteressen geltend machen kann.^[70] Liegen besonders schützenswerte Daten vor, ist grundsätzlich Zurückhaltung gefragt.^[71] In jedem Fall ist die Datenbearbeitung auf den konkreten Informationsbedarf der Arbeitgeberin zu beschränken und die Arbeitnehmer vorgängig anzuhören (Art. 5 und 6 ArGV 3).^[72]

Sprachgesteuerte Systeme sind regelmässig durch Produktivitätsgewinne rechtfertigbar. Hingegen sind sie unzumutbar, wenn sie gleichzeitig die Identität oder Gemütslage analysieren oder generell lückenlos aufzeichnen, was auch private Unterhaltungen beinhalten kann.^[73]

Das Verhalten des Arbeitnehmers gegenüber Kunden oder Geschäftspartnern stellt grundsätzlich eine zulässige Leistungskontrolle dar. Erfolgt nun aber eine Stimmanalyse oder Keyword Spotting andauernd und lückenlos, liegt ein unzulässiges Überwachungssystem vor.^[74] Es ist allerdings zu beachten, dass die Arbeitgeberin ein berechtigtes Interesse daran hat, die Leistung der Arbeitnehmer zu überwachen. Es ist deswegen erforderlich, die Zwecke der eingesetzten Systeme genau zu bestimmen und nicht erforderliche Datenbearbeitungen klar abzugrenzen.^[75] M.a.W. kommt dem Grundsatz der Zweckbindung (Art. 4 Abs. 3 DSG) grosse Bedeutung zu. In der Bewerbungsphase gesammelte Stimm- und Sprachdaten dürfen nicht zur Persönlichkeitsdurchleuchtung oder für das anschliessende Arbeitsverhältnis verwendet werden, wenn dies nicht vom Bewerber akzeptierten Zweck gedeckt ist.^[76] Allgemein dürfen Stimm- und Sprachdaten nicht über längere Zeit systematisch gesammelt und verwaltet werden (sog. Data Warehousing) oder ggf. mit anderen Daten kombiniert werden (sog. Data Mining). Entstehen dadurch neue sog. Sekundärdaten, werden diese i.d.R. nicht vom ursprünglich angegebenen Zweck erfasst, zumal dieser bei der Datenbeschaffung gar nicht ersichtlich sein konnte.^[77]

Zugangskontrollen, die mittels Stimmerkennung Stimmdaten bearbeiten, sind so zu gestalten, dass keine Erstellung eines Verhaltensprofils des Arbeitnehmers möglich ist, d.h. keine detaillierten Bewegungsabläufe ersichtlich sind.^[78] Zugangskontrollen sind auf sensible Räumlichkeiten und Ressourcen zu beschränken. Weiter ist von einer zentralen Speicherung von biometrischen Daten abzusehen.^[79] Denkbar ist die Hinterlegung des Stimmabdrucks auf einer Smartcard oder dem dienstlichen Mobiltelefon.^[80] Überdies sind Systeme vorzuziehen, die keine abschliessende Identifikation vornehmen, sondern durch anonymisierte Daten abgleichen, ob der konkrete Mitarbeiter zum Kreis der berechtigten Personen gehört.^[81]

3. Verlust von Arbeitnehmerdaten

Die Anwendung von Voice Recognition stellt die Datensicherheit in verschiedener Hinsicht vor Herausforderungen. Namentlich bei Sprachassistenten, die sich durch einen Schlüsselbegriff aktivieren und daher permanent aufzeichnen, besteht ein gewisses Abhör- und Manipulationsrisiko.^[82]

Der Datenschutz soll den Einsatz von Cloud-Lösungen nicht unnötig beschränken.^[83] Regelmässig ist die Auslagerung gar wünschenswert, namentlich wenn der Cloud-Provider spezialisierte Ressourcen zur Erfüllung der datenschutzrechtlichen Anforderungen aufweist.^[84] Es ist indes zu beachten, dass die Auslagerung in die Cloud einen Kontrollverlust über die Daten mit sich bringt.^[85] Es obliegt somit der Verantwortung der Arbeitgeberin, den Cloud-Provider entsprechend auszuwählen, die richtigen Instruktionen zu erteilen und zu überwachen.^[86] Die zu treffenden Massnahmen hängen im Einzelfall von der Arbeitgeberin, der Sensitivität der Daten sowie der Organisation der eingesetzten Cloud-Lösung ab.^[87] Werden Daten verschiedener Nutzer in der Cloud ungenügend isoliert, steigt das Risiko für Konsolidierungsschäden, wie Distributed Denial of Services oder Hacker-Attacken.^[88] Der Cloud-Provider muss die Datenbearbeitungen verschiedener Cloud-Nutzer strikt voneinander getrennt ausführen und darum besorgt sein, dass es zu keiner Durchmischung der Daten kommt. Es empfiehlt sich deswegen, Datenschutz-Qualitätszeichen oder Zertifizierungen zu berücksichtigen^[89] und im Rahmen der Auftragsdatenbearbeitung festzuhalten, dass der Cloud-Provider die angemessenen Massnahmen im Rahmen des Gesetzes kennt und erfüllt.^[90] Tritt dennoch ein ungewollter Verlust oder eine Offenlegung von Daten ein, so lässt sich eine Informationspflicht aus dem Grundsatz von Treu und Glauben ableiten.^[91]

Biometrische Daten bergen zudem die latente Gefahr des Identitätsdiebstahls.^[92] Der Grundsatz der Datensicherheit muss auf allen Ebenen eines Erkennungssystems beachtet werden. Voice-Recognition-Systeme sollten lediglich die zum Identifikationsabgleich erforderlichen Merkmale extrahieren, die Rohdaten aber wieder vernichten. Im Weiteren sollten die Daten nur komprimiert und/oder verschlüsselt bearbeitet werden.^[93] Zudem ist, wenn immer möglich, eine dezentrale Speicherung der Daten zu bevorzugen.^[94]

4. Datenrichtigkeit

Die Arbeitgeberin ist gem. Art. 5 Abs. 1 DSG verpflichtet, die Richtigkeit der Daten sicherzustellen. Die digitale Verarbeitung der Sprache und Stimme ist ein komplexer Vorgang, bei dem an verschiedenen Stellen Fehler auftreten können, was konsequenterweise zu unrichtigen Daten führt. Zudem sind die der Voice Recognition zugrundeliegenden Algorithmen oft so komplex, dass ein allfälliger Fehler in der Bearbeitung im Nachhinein kaum rekonstruierbar ist (Black-Box-Problematik).^[95] Präventiv wirkende technische Massnahmen dürften daher vermehrt in den Vordergrund rücken.^[96]

Sprachassistenten können Eingaben falsch verstehen und in der Folge falsche Präferenzen für den Arbeit­nehmer ableiten. Ein Assistent sollte demnach so gestaltet sein, dass falsche Eingaben unkompliziert bspw. im Nutzerprofil abgeändert oder gelöscht werden können.^[97]

Obschon ein tendenziell konstantes biometrisches Merkmal,^[98] kann sich die Stimme im Laufe der Zeit verändern.^[99] Es ist deswegen eine angemessene Akzeptanzschwelle (threshold) zu definieren^[100] und der Stimmabdruck in regelmässigen Abständen zu aktualisieren. In diesem Zusammenhang bieten Cloud-Lösungen den Vorteil einer fortlaufenden Echtzeitanalyse (continuous real-time analysis), wodurch die Stimmdaten in einem dynamischen Prozess aktualisiert werden.^[101]

Der Einsatz von Cloud-Lösungen entbindet die Arbeitgeberin nicht von der Gewährleistung der Datenrichtigkeit.^[102] Es scheint aber angebracht, den Cloud-Betreiber, der regelmässig über sämtliche Daten verfügt, im Rahmen der Auftragsdatenbearbeitung entsprechend zu beauftragen.^[103]

5. Rechtfertigungsgründe

Im Allgemeinen ist bei der Anwendung von Rechtfertigungsgründen Zurückhaltung zu üben.^[104] Im Kontext eines Arbeitsverhältnisses ist umstritten, ob die Rechtfertigungsgründe nach Art. 13 DSG überhaupt aufgerufen werden können. Nach der hier vertretenen Auffassung ist dieser Umstand zu bejahen.^[105]

In der Arbeitswelt dürfte die Einwilligung in der Praxis der bedeutsamste Rechtfertigungsgrund darstellen. Private Interessen könnten zwar in Form von wirtschaftlichen Interessen angeführt werden, eignen sich jedoch kaum zur Rechtfertigung einer Persönlichkeitsverletzung.^[106] Das rDSG anerkennt, in Anlehnung an Art. 6 Abs. 1 lit. b DSGVO, ein überwiegendes privates Interesse, wenn die Bearbeitung in unmittelbarem Zusammenhang mit einem Vertragsverhältnis steht, somit bspw. wenn sie zwecks Abklärung der Eignung eines Arbeitnehmers für eine konkrete Stelle erfolgt.^[107] Aber auch dieser Aspekt dürfte im spezifischen Anwendungsgebiet des Arbeitsvertrages aufgrund der Anforderungen von Art. 328b OR in den Hintergrund treten.^[108] Öffentliche Interessen sind in privatrechtlichen Verhältnissen ohnehin von nebensächlicher Bedeutung.^[109] Sodann ist keine Gesetzesbestimmung ersichtlich, welche als Rechtfertigungsgrund herangezogen werden könnte.

Bei der Bearbeitung von besonders schützenswerten Personendaten und Persönlichkeitsprofilen, resp. beim Profiling mit hohem Risiko unter revidiertem Recht, muss die Einwilligung ausdrücklich erfolgen (Art. 4 Abs. 5 DSG resp. Art. 6 Abs. 7 rDSG).

Die Arbeitgeberin hat den Arbeitnehmer bezüglich allfälliger Risiken der Datenbearbeitung in der Cloud aufzuklären.^[110] Bei Stimmanalysen genügt die Information, dass Gespräche zu Trainingszwecken analysiert werden können, nicht. Die Arbeitgeberin muss darüber aufklären, was mit den Daten geschieht und in welchem Umfang sie verwendet werden, damit der Arbeitnehmer die Tragweite der Einwilligung einschätzen kann.^[111] Überdies muss die Arbeitgeberin bei der Verwendung eines Stimmabdruckes ausdrücklich über die Risiken aufklären, die mit der Nutzung des biometrischen Datenwerts einhergehen und welche Massnahmen sie dagegen ergreift.^[112]

An die Freiwilligkeit sind im Arbeitsverhältnis hohe Anforderungen zu stellen.^[113] Bei Bewerbern, die in Datenbearbeitungen einwilligen, um ihre Chancen in weiteren Runden für die Stelle überhaupt aufrecht erhalten zu können, fehlt es wohl an der Freiwilligkeit.^[114] Indessen ist zu berücksichtigen, dass die Einwilligung ohnehin obsolet wird, wenn die Bearbeitung für die Eignung des Arbeitsverhältnisses erforderlich ist.^[115] Stehen für biometrische Eintrittskontrollen keine Alternativen bereit, ist die Freiwilligkeit der Einwilligung des Arbeitnehmers fraglich.^[116] Es kann indessen nicht erwartet werden, dass die Arbeitgeberin in jedem Fall eine Alternative zur Stimmerkennung zur Verfügung stellen muss. Ob alternative Zugangsmechanismen eingerichtet werden müssen, hängt insb. von der Sensitivität der zu schützenden Ressourcen oder Räumlichkeiten ab.^[117]

V. Neue Instrumente unter dem revidierten Datenschutzgesetz

1. Automatisierte Einzelentscheidung

Mit Art. 21 rDSG enthält das Konzept der automatisierten Einzelentscheidung Einzug in das Datenschutzrecht. Im Gegensatz zum europäischen (als Recht formuliertes) Verbot von automatisierten Einzelentscheidungen^[118] statuiert das Schweizer Pendant lediglich eine Informationspflicht des Verantwortlichen.^[119]

Stimmerkennende Zutrittskontrollen funktionieren i.d.R. automatisiert. Es ist allerdings anzuzweifeln, dass diese Entscheidung über die geforderte Komplexität verfügt. Rudimentäre Wenn-Dann-Entscheidungen werden vom gesetzlichen Begriff nicht abgedeckt. Vielmehr muss dem System hinsichtlich der Entscheidung ein gewisser Interpretationsspielraum zukommen.^[120]

Vollständig automatisierte Einzelentscheidungen können vorliegen, wenn Sprachassistenten selbständig Handlungen vornehmen, wie bspw. automatisierte Terminplanung oder Dienstreisebuchungen.^[121]

Entscheidet ein Rekrutierungssystem über die Berücksichtigung eines Kandidaten,^[122] ist zunächst ausschlaggebend, ob das System gänzlich autonom entscheidet oder der Endentscheid von einer Person zumindest beeinflusst werden kann.^[123] Zudem muss die Entscheidung mit einer Rechtsfolge verbunden sein oder die betroffene Person erheblich beeinträchtigen. Der Nichtabschluss eines Vertrages zieht noch keine rechtlichen Folgen nach sich,^[124] jedoch ist die Arbeitsstelle grundsätzlich jenen Bereichen zuzuordnen, die eine hohe Bedeutung für die individuelle Lebenssituation und -gestaltung aufweisen. Der Arbeitnehmer ist aus wirtschaftlicher Sicht abhängig vom Entscheid im Rekrutierungsprozess und wird dadurch erheblich beeinträchtigt.^[125] Die Kündigung eines bestehenden Arbeitsverhältnisses ist klar mit einer Rechtsfolge verbunden und fällt folglich in den Anwendungsbereich von Art. 21 rDSG.^[126]

2. Datenschutz-Folgenabschätzung

In Art. 22 schreibt das rDSG neu eine Pflicht zur Vornahme einer Datenschutz-Folgenabschätzung vor, wenn die Datenbearbeitung voraussichtlich mit einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person einhergeht. Ein solches kann sich namentlich aufgrund der Art der Daten oder der Art und dem Zweck der Bearbeitung manifestieren.^[127] Werden besonders schützenswerte Personendaten umfangreich bearbeitet, so ist die Datenschutz-Folgenabschätzung in jedem Fall durchzuführen.^[128] Im Umkehrschluss dürften gelegentliche Bearbeitungen der Stimme, wie der situationsbedingte Abgleich des Stimmabdruckes unterhalb der Hürde der Datenschutz-Folgenabschätzung liegen. Im Grundsatz gilt: Je umfangreicher die Bearbeitung besonders schützenswerter Personendaten, desto eher drängt sich eine Datenschutz-Folgenabschätzung auf, bspw. wenn ein Rekrutierungsprozess unter Zuhilfenahme der Stimmanalyse mit einer Vielzahl von Bewerbern durchgeführt wird.

3. Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Die Arbeitgeberin muss durch technische und organisatorische Massnahmen sicherstellen, dass die Datenschutzvorschriften eingehalten werden (Privacy by Design)^[129] und mittels geeigneter Voreinstellungen dafür sorgen, dass die Bearbeitung möglichst datenschutzfreundlich erfolgt (Privacy by Default)^[130].

Privacy by Design ist im Grunde nichts Neues, zumal bereits heute die Voraussetzungen für eine datenschutzkompatible Bearbeitung ex ante zu treffen sind.^[131] Privacy by Default setzt in erster Linie voraus, dass eine Datenbearbeitung vorliegt, die der betroffenen Person Eingriffsmöglichkeiten gewährt. Ob und in welchem Umfang die betroffene Person Einstellungen ändern darf, liegt im Ermessen der Arbeitgeberin.^[132] Ermöglicht allerdings eine Bearbeitung keine Einflussnahme von aussen durch die betroffene Person, fällt auch das Regelungskonzept des Privacy by Design mangels möglicher Einstellungen ausser Betracht.^[133] Dies dürfte bei den meisten Stimmerkennungs- und -analysesystemen der Fall sein. Hingegen gewähren Sprachassistenten regelmässig solche Einflussmöglichkeiten im Rahmen von Benutzereinstellungen. Zu beachten ist, dass der Umfang solcher Benutzereinstellungen in der Disposition des Herstellers liegt. Die Arbeitgeberin kann den entsprechenden Datenschutz nur bei der Auswahl des Produktes bzw. der Software berücksichtigen.^[134]

VI. Schlussbetrachtung

Voice Recognition umfasst vielversprechende Technologien, die bereits heute mannigfaltig und nutzenbringend in der Arbeitswelt eingesetzt werden. Jedoch bringen die vielseitigen Einsatzmöglichkeiten und die Fülle an bearbeiteten Daten eine Gefährdung der Persönlichkeitsrechte des Arbeitnehmers mit sich. Anknüpfungspunkte zur Vermeidung solcher Persönlichkeitsverletzungen ergeben sich vordergründig aus dem Datenschutzrecht.

Die datenschutzrechtliche Analyse hängt von vielen Umständen ab ‑ eine Universallösung lässt sich nicht konstruieren. Ausgangspunkt ist stets die Unterscheidung nach Sprach- und Stimmdaten. Sodann liegt der Fokus auf der Frage, ob der Einsatz im konkreten Fall verhältnismässig ist. Insgesamt findet Voice Recognition im Arbeitsverhältnis ihre Grenzen an der unzulässigen Arbeitnehmerüberwachung.

Mit dem rDSG wird sich das Datenschutzniveau dem DSGVO-Standard angleichen. Obwohl viele Regelungskonzepte an die europäische Blaupause erinnern, wurden sie im Swiss Finish bedeutend abgeschwächt. Sodann werden für den Einsatz von Voice Recognition im Arbeitsverhältnis unter dem zukünftigen Datenschutzregime nur wenige nennenswerte Praxisänderungen notwendig sein.