Meta hat ein internes Tracking-Programm zur Auswertung von Mitarbeitertätigkeiten vorerst eingestellt. Die Software soll seit einigen Monaten genutzt worden sein, um die Arbeit von Beschäftigten am Computer für Zwecke des KI-Trainings zu erfassen. Hintergrund der Aussetzung sind datenschutzrechtliche Bedenken: Offenbar könnten mehr sensible Beschäftigtendaten für andere Mitarbeitende zugänglich gewesen sein als zunächst angenommen. Meta prüft die Vorwürfe, betont jedoch, bereits zu Beginn des Programms entsprechende Schutzmaßnahmen ergriffen zu haben.
Tracking der Maus- und Tastaturbetätigung
Das interne Programm „Model Capability Initiative“ (MCI) soll erfassen, wie Mitarbeitende an ihren Arbeitscomputern mit digitalen Anwendungen umgehen. Dazu gehören insbesondere Mausbewegungen, Klicks und Tastatureingaben; nach Medienberichten sollen teilweise auch Bildschirminhalte bzw. Screenshots erfasst worden sein. Meta nutzt die so gewonnenen Daten sollen für das Training von KI-Systemen, die menschliche Tätigkeiten am Computer besser verstehen, imitieren und perspektivisch übernehmen können.
Der Fall zeigt zugleich, wie stark KI inzwischen in interne Arbeitsprozesse großer Technologieunternehmen eingebunden wird. Auch gegenüber Nutzerinnen und Nutzern ist KI-Training bei Meta bereits ein relevantes Thema: Mehr zur Nutzung von Facebook- und Instagram-Inhalten für KI-Training lesen Sie in unserem Beitrag vom 12. Juni 2025
Mitarbeitertracking für KI-Zwecke: Wo liegen die Grenzen?
Nach Darstellung von Meta sollen die erfassten Daten nicht zur Leistungsbewertung genutzt werden, sondern ausschließlich dem KI-Training dienen. Datenschutzrechtlich bleibt ein solches Programm jedoch hoch sensibel. Denn Interaktionsdaten am Arbeitsplatz können Rückschlüsse auf Verhalten, Kommunikation, Arbeitsabläufe und Arbeitsleistung von Beschäftigten zulassen.
Damit bewegt sich ein solches Tracking schnell im Bereich der Mitarbeiterüberwachung. Nach der DSGVO wären insbesondere die Grundsätze der Zweckbindung, Transparenz sowie Integrität und Vertraulichkeit betroffen. Problematisch wäre etwa, wenn nicht klar ist, wer Zugriff auf die Daten hat, für welche Zwecke sie tatsächlich verwendet werden oder wie zuverlässig ausgeschlossen wird, dass die Daten doch zur Arbeitskontrolle oder Leistungsbewertung genutzt werden.
In Deutschland käme zusätzlich der Beschäftigtendatenschutz nach § 26 Bundesdatenschutzgesetz (BDSG) in den Blick. Danach dürfen Beschäftigtendaten grundsätzlich nur verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses oder zur Erfüllung gesetzlicher bzw. kollektivrechtlicher Pflichten erforderlich ist. Eine besonders intensive Überwachung kann allenfalls in engen Ausnahmefällen gerechtfertigt sein, etwa wenn ein konkreter und nachweisbarer Verdacht auf eine Straftat besteht. Ein allgemeines KI-Training dürfte diese Anforderungen nur schwer erfüllen.
KI-Training in der Unternehmenspraxis gerechtfertigt?
Für die Entwicklung und Verbesserung von KI-Systemen kann grundsätzlich ein berechtigtes Interesse in Betracht kommen. Die Anforderungen daran sind jedoch hoch: Es braucht einen legitimen Zweck, eine Erforderlichkeitsprüfung und eine sorgfältige Abwägung mit den Interessen und Grundrechten der betroffenen Personen.
Auch die französische Datenschutzbehörde CNIL betont, dass KI-Training auf Grundlage berechtigter Interessen nur unter strengen Voraussetzungen möglich ist. Eine Einwilligung wäre aus datenschutzrechtlicher Sicht oft der sicherere Weg, ist aber bei großen Datenmengen oder indirekter Datenerhebung in der Unternehmenspraxis schwer umzusetzen.
In jedem Fall müssen die Grundsätze der DSGVO, unter anderem die Transparenz, Zweckbindung sowie Integrität und Vertraulichkeit eingehalten werden. Die Verbindung von KI-Entwicklung und Datenschutzkonformität bleibt damit eine äußerst anspruchsvolle Aufgaben im modernen Datenschutzrecht.
Fazit
Dass Meta das Tracking zu KI-Training nach einem internen Sicherheitsvorfall vorerst pausiert hat, zeigt, wie sensibel solche Verarbeitungsvorgänge sind. Bis die offenen Fragen geklärt und ausreichende Schutzmaßnahmen sichergestellt sind, dürfte der Einsatz der Software zunächst ausbleiben; unklar bleibt derzeit, wie lange diese Pause dauern wird.
KI-Compliance ist bereits für sich genommen komplex. Hinzu kommt, dass der Einsatz von KI im Arbeitsalltag oder das Training von KI-Systemen regelmäßig auch datenschutzrechtlich relevant bleiben. Unternehmen sollten ihre Datenschutzprozesse, ihr Verzeichnis von Verarbeitungstätigkeiten und ihre KI-relevanten Verarbeitungsvorgänge daher laufend aktuell halten. Unsere Datenschutzbeauftragten und KI-Beauftragten unterstützen Sie dabei, solche Prozesse rechtssicher zu bewerten, zu dokumentieren und umzusetzen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
