Darf mein Arbeitgeber meine KI-Prompts überwachen? Ja. Die Logs zu besitzen ist die schwierigere Frage
Firmen-KI-Tools protokollieren jede Eingabe von Werk aus, und das europäische Arbeitsrecht lässt Arbeitgebern dabei erstaunlich viel Spielraum. Ungeklärt bleibt, wem das Protokoll gehört, wozu es später verwendet werden darf, und ob der Betriebsrat überhaupt gefragt wurde.
Darf mein Arbeitgeber meine KI-Prompts überwachen? Auf Firmensystemen sollte man von Ja ausgehen. Microsofts Dokumentation zu Audit-Protokollen für Copilot und KI-Anwendungen beschreibt, dass jede Nutzerinteraktion automatisch einen Audit-Eintrag erzeugt: wer wann in welcher Anwendung promptete und welche Dateien der Assistent dabei zur Beantwortung heranzog. OpenAIs Datenschutzzusagen für Unternehmenskunden legen Zugriff und Aufbewahrung in die Hände der Workspace-Administratoren. Firmen kaufen die Enterprise-Stufe teils genau wegen dieser Transparenz, eine Zusatzkonfiguration braucht es dafür nicht.
Die eigentlich interessante Frage liegt eine Ebene tiefer. Das europäische Arbeits- und Datenschutzrecht beschäftigt sich seit einem Vierteljahrhundert damit, wann ein Arbeitgeber seine Beschäftigten beobachten darf. An die Frage, was er mit einem maschinenlesbaren Protokoll ihres Denkens anfangen darf, hat es sich bislang kaum herangewagt. Genau in dieser Lücke, zwischen geklärter Sichtbarkeit und ungeklärtem Eigentum, liegt inzwischen das Risiko für beide Seiten, auch für deutsche Unternehmen, die dieselben Copilot- und ChatGPT-Enterprise-Lizenzen einsetzen wie ihre britischen Wettbewerber.
Was darf der Arbeitgeber bei der Überwachung von KI-Eingaben wirklich?
Überwachung am Arbeitsplatz ist rechtens, wenn sie offen und verhältnismäßig erfolgt. Die britische Datenschutzaufsicht ICO veröffentlichte im Oktober 2023 einen Leitfaden zur Überwachung von Beschäftigten: Arbeitgeber brauchen eine Rechtsgrundlage, müssen Art, Umfang und Zweck jeder Überwachung offenlegen, müssen bei voraussichtlich hohem Risiko eine Folgenabschätzung durchführen und dürfen nur in Ausnahmefällen verdeckt überwachen. Nichts davon verbietet das Protokollieren von Prompts, es zwingt die Praxis lediglich ins Licht und macht sie rechenschaftspflichtig, ein Grundsatz, der sich in der DSGVO ganz ähnlich wiederfindet.
Die Rechtsprechung zieht in dieselbe Richtung, und zwar europaweit. In der Rechtssache Bărbulescu gegen Rumänien stellte die Große Kammer des Europäischen Gerichtshofs für Menschenrechte fest, dass ein Arbeitgeber, der Nachrichten eines Beschäftigten ohne ausreichende Vorabinformation mitlas, dessen Recht auf Privatleben verletzt hatte. Das Urteil benennt die Faktoren, die betriebliche Überwachung rechtfertigen: vorherige Ankündigung, begrenzter Umfang, legitime Gründe und die Prüfung milderer Mittel. Genau gelesen ist das Urteil eher eine Gebrauchsanweisung für rechtmäßige Überwachung als ein Schutzschild dagegen, und diese Vier-Faktoren-Prüfung taucht seither auch in Entscheidungen deutscher Arbeitsgerichte zu Art. 8 EMRK auf. Ein Unternehmen, das den Einsatz eines KI-Assistenten anordnet, das Protokollieren in seiner Nutzungsrichtlinie ankündigt und es auf dienstliche Konten beschränkt, wird diese Hürde in aller Regel nehmen.
Wem gehört ein Protokoll darüber, wie jemand denkt?
Sichtbarkeit und Eigentum sind zwei verschiedene Rechtsfragen, und bei der zweiten geht der Vertragstext meist aus. Der stärkste Anspruch des Arbeitgebers stützt sich auf Urheberrecht. Nach Section 11(2) des britischen Urheberrechtsgesetzes von 1988 gehört ein Werk, das ein Beschäftigter im Rahmen seines Arbeitsverhältnisses schafft, standardmäßig dem Arbeitgeber, sofern der Vertrag nichts anderes regelt. Ein sorgfältig formulierter Prompt ist plausibel ein Sprachwerk, und ein vorgeschriebener Arbeitsablauf fällt eindeutig unter die Ausübung der Tätigkeit. Section 39 des britischen Patentgesetzes von 1977 regelt Erfindungen entsprechend. Deutschland tickt hier grundlegend anders: Das deutsche Urheberrecht kennt keinen automatischen Rechteübergang nach britischem Vorbild, das Urheberrecht am Werk verbleibt beim Beschäftigten selbst, der Arbeitgeber erwirbt in aller Regel nur ein Nutzungsrecht kraft Arbeitsvertrag. Wäre das schon die ganze Analyse, würden Arbeitgeber in Großbritannien den gesamten Prompt-Bestand besitzen, in Deutschland wäre die Lage von vornherein diffuser.
Damit ist es aber nicht getan, denn ein Prompt-Protokoll ist zweierlei zugleich. Es ist Arbeitsergebnis, und es ist zugleich personenbezogene Daten über die beschäftigte Person: ein zeitgestempelter Nachweis, wie jemand ein Problem strukturiert, Zwischenschritte setzt und Fehler korrigiert. Für personenbezogene Daten gilt der Grundsatz der Zweckbindung, der im britischen wie im deutschen Recht auf denselben europäischen Wurzeln beruht: Daten dürfen nur für festgelegte, eindeutige Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet werden. Ein Unternehmen, das seiner Belegschaft mitteilt, es protokolliere die Assistentennutzung aus Sicherheits- und Qualitätsgründen, und diese Protokolle später nutzt, um ein System zu trainieren, das das Urteilsvermögen einer Fachkraft nachbildet, oder um eine Stelle neu einzugruppieren, verfolgt einen neuen Zweck. Nach der DSGVO müsste es entweder die Vereinbarkeit begründen oder offen auf seine Beschäftigten zugehen, bevor es dazu übergeht. Genau die stille Zweckentfremdung soll der Grundsatz verhindern.
Und dann ist da noch die Mitbestimmungslücke, allerdings mit umgekehrten Vorzeichen als in Großbritannien. Britische Beschäftigte haben keinen Betriebsrat mit vergleichbaren Rechten: Die Informations- und Konsultationsvorschriften von 2004 gelten nur für Unternehmen ab 50 Beschäftigten und werden erst durch einen förmlichen Antrag ausgelöst. In Deutschland ist die Lage grundsätzlich anders, wenn auch keineswegs geklärt: Nach überwiegender Auffassung fällt die Einführung technischer Überwachungseinrichtungen unter das Mitbestimmungsrecht des Betriebsrats nach dem Betriebsverfassungsgesetz, sodass ein KI-Logging-System ohne Betriebsvereinbarung rechtlich angreifbar sein kann. Das verschiebt die Auseinandersetzung nach Deutschland eher auf die Verhandlungsebene, löst die eigentliche Frage nach der späteren Verwendung der Daten aber nicht, denn Betriebsvereinbarungen regeln meist die Einführung eines Systems, selten dessen sämtliche künftigen Auswertungszwecke.
Warum die Frage der Weiterverwendung nicht theoretisch bleibt
Der Anreiz ist bereits aktenkundig. Meta-Chef Mark Zuckerberg begründete geplante Stellenstreichungen mit den steigenden KI-Investitionen und bezeichnete Recheninfrastruktur und Personal als die beiden größten Kostenblöcke des Konzerns, in derselben Phase, in der Meta öffentlich mehr als 600 Milliarden US-Dollar an US-Investitionen bis 2028 in KI-Technologie und Infrastruktur zusagte. Das ist die Rechnung eines einzelnen Unternehmens, formuliert vom eigenen Vorstandsvorsitzenden, und sie sollte die Lesart dieser Abwägung insgesamt schärfen. Konkurrieren Personalkosten und KI-Infrastruktur um dieselbe Budgetzeile, gewinnt jeder Datensatz an Wert, der Fachwissen von Beschäftigten auf Software übertragbar macht, ganz gleich, ob ein Vertrag ihn bereits benannt hat. Prompt-Protokolle sind genau dieser Datensatz.
Das Regelwerk klären, bevor der Streit kommt
Die praktische Antwort unterscheidet sich je nach Rolle. Geschäftsführungen sollten Prompt-Protokolle als Vermögenswert mit Haftungsrisiken behandeln: Eigentum, Aufbewahrung und zulässige Zweitverwendung bewusst festlegen, in eine Richtlinie gießen und die Entscheidung dort ansiedeln, wo sie hingehört, bei der Technologiestrategie, statt sie in Tenant-Einstellungen zu vergraben. Genau das ist das Argument aus praktische KI mit menschlicher Kontrolle: Die Governance-Ebene zählt mehr als das Werkzeug dahinter. Beschäftigte sollten die Nutzungsrichtlinie lesen und schriftlich nachfragen, was protokolliert wird, wie lange die Daten aufbewahrt werden und ob die Protokolle für Training oder Stellenneugestaltung verwendet werden dürfen. Nach den Transparenzpflichten der DSGVO verdienen diese Fragen eine Antwort, und ein Arbeitgeber, der sie nicht liefern kann, hat damit selbst offenbart, wie weit seine Governance hinter seinem Werkzeugpark zurückliegt.
Häufige Fragen
Kann mein Arbeitgeber meine ChatGPT-Prompts einsehen?
Auf einem Enterprise-Workspace sollten Sie von Ja ausgehen. OpenAIs Dokumentation zu den Datenschutzzusagen für Unternehmenskunden gibt Workspace-Administratoren die Kontrolle über Zugriff und Aufbewahrung, vergleichbare Produkte schreiben jede Interaktion standardmäßig ins Audit-Protokoll des Unternehmens. Auch auf einem privaten Konto kann Aktivität auf einem Diensthandy oder im Firmennetz über gewöhnliches Endpoint- und Netzwerkmonitoring sichtbar sein. Behandeln Sie alles, was Sie auf Firmensystemen eingeben, als potenziell einsehbar.
Wem gehören die KI-Prompts, die ich bei der Arbeit schreibe?
Das hängt vom anwendbaren Recht ab. In Großbritannien fällt Urheberrecht an Werken, die im Rahmen eines Arbeitsverhältnisses entstehen, nach Section 11(2) des Copyright, Designs and Patents Act 1988 standardmäßig an den Arbeitgeber. Deutsches Recht kennt diesen automatischen Übergang nicht; Arbeitgeber erwerben in der Regel nur ein Nutzungsrecht. Das Protokoll über Sie ist in beiden Rechtsordnungen zusätzlich personenbezogene Daten, deren Weiterverwendung die Zweckbindung der DSGVO begrenzt. Prüfen Sie die Regelungen zu geistigem Eigentum und Überwachung in Ihrem Vertrag und fragen Sie schriftlich nach der Aufbewahrungs- und Weiterverwendungsrichtlinie.
Darf mein Arbeitgeber meine KI-Chatprotokolle zum Training von Systemen oder zur Leistungsbeurteilung nutzen?
Nur innerhalb der Grenzen des Datenschutzrechts. Der Grundsatz der Zweckbindung bedeutet, dass Protokolle, die für einen bestimmten Zweck wie Sicherheit erhoben wurden, nicht still für einen damit unvereinbaren Zweck zweckentfremdet werden dürfen, und die britische Aufsichtsbehörde ICO verlangt in ihrem Leitfaden, dass Arbeitgeber Art, Umfang und Gründe der Überwachung offenlegen. In Deutschland kommt hinzu, dass die Einführung solcher Systeme häufig der Mitbestimmung des Betriebsrats unterliegt. Ein Arbeitgeber, der Protokolle für Training oder Stellenneugestaltung nutzen will, sollte das offen ansagen, und Sie haben das Recht, schriftlich nachzufragen, ob das geschieht.
Verwandte Artikel
- KI-Dequalifizierung: Das Risiko, das Ihr Vorstand nicht einpreist
- KI-Therapie: Ihr Business Case ist ein Boden, keine Decke
- Das Speicher-Oligopol, das die KI-Kosten explodieren lässt
- AI & Automation
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.