Meine Studie zu "digitaler Überwachung und Kontrolle am Arbeitsplatz". Welche Technologien gibts und wie nutzen Unternehmen Daten über (und gegen) Beschäftigte? Eine Bestandsaufnahme mit vielen Beispielen: crackedlabs.org/daten-arbeitsp…
Ein Ergebnis ist diese "Landkarte" betrieblicher Datenpraktiken und Systeme, die einen Überblick darüber gibt, welche Software in Unternehmen welche Arten von Beschäftigtendaten zu welchen Zwecken verarbeitet.
"Mit Software können Unternehmen jede Tätigkeit ihrer Mitarbeiter verfolgen"
@DIEZEIT hat einen Exklusivbericht, Schwerpunkt auf Produkte für die Analyse "betrieblicher Abläufe" und IT-Sicherheit, die exzessive Daten über den Arbeitsalltag auswerten [€]: zeit.de/2021/38/ueberw…
Die Studie ist das Hauptergebnis eines Projekts, das in Kooperation mit den zwei österreichischen Gewerkschaften GPA und PRO-GE durchgeführt und vom Digitalisierungsfonds der @Arbeiterkammer Wien unterstützt wurde.
Die großartige Titelillustration stammt von Pascale Osterwalder.
Ein Mitarbeiter einer UniCredit-Tochter hat anonymisiert mit @evawolfangel von der ZEIT gesprochen.
Dort wird die Software Securonix eingesetzt, die genutzte Websites, Programme, E-Mail-Versand und viele andere Aktivitäten überwachen kann, um "anormales" Verhalten zu erkennen.
Cyberangriffe müssen verhindert werden, ja. Aber manche IT-Sicherheitssysteme ermöglichen eine Totalüberwachung des Arbeitsalltags, berechnen laufend kafkaeske Risiko-Scores, und sehen - wie hier bei Forcepoint - "unzufriedene Beschäftigte" und "interne Aktivisten" als Bedrohung.
Hier eine Liste verdächtiger Verhaltensweisen bei Forcepoint (Studie S. 103) und ein Werbevideo von Securonix:
…ein Einsatz für ganze Betriebe ist völlig unverhältnismäßig. Beide Firmen sind übrigens eng mit dem Militär- und Geheimdienstsektor verbunden.
Ganz anderer Bereich, die Münchner Firma Celonis analysiert Massen an Aktivitätsdaten aus Systemen von SAP, Oracle, Microsoft oder Salesforce, und damit Daten über Arbeitstätigkeiten, um betriebliche Abläufe effizienter zu machen und "unerwünschte Aktivitäten" zu identifizieren.
Sogar Bildschirm-, Tastatur- und Mausdaten können in Analysen einbezogen werden. Die meistens auf Gruppenebene erfolgen, wird betont. Celonis wirbt aber auch mit Ranglisten von Einzelpersonen.
Andere Funktionen nutzen die Daten, um automatisiert Aufgaben zu erteilen.
(S. 95)
In der Studie gibts viele andere Beispiele. Callcenter-Software ermöglicht eine sekundengenaue Überwachung von Arbeitstätigkeiten. Leistungskennzahlen & Ranglisten sind allgegenwärtig. Gespräche können aufgezeichnet, automatisiert bewertet und nach Stichwörtern durchsucht werden.
Manche Anbieter werten automatisiert aus, ob Callcenter-MitarbeiterInnen richtige oder falsche Wörter und Phrasen verwenden, ob sie zu lange Sprechpausen machen, ob sie genug Komplimente machen oder versprechen gar, zu berechnen, ob genug "Empathie" gezeigt wird.
(Studie S. 77)
Software für die Betrugserkennung im Handel von Oracle und anderen Herstellern wertet Kassendaten aus, um ungewöhnliches Verhalten zu erkennen.
Kassa-MitarbeiterInnen werden laufend mit Risiko-Scores bewertet. "Hochrisiko"-Beschäftigte kommen unter spezielle Beobachtung.
Zusatzprodukte von Oracle nutzen die gleichen Kassendaten dazu, Geschwindigkeit und Leistung von Kassa-MitarbeiterInnen zu bewerten.
Auch Kassensoftware für Handel und Gastronomie von Anbietern in Österreich und Deutschland bietet Funktionen zur Leistungsbewertung.
(S. 89)
Eine Firma für 'Workplace Analytics' verkauft ein Produkt namens 'OccupEye', das Anwesenheit mit unter Schreibtischen montierten Bewegungsmeldern überwacht. Deren Partner, der Netzwerktechnologie-Gigant Cisco, erstellt Bewegungsmuster in Innenräumen mittels WLAN-Router.
(S. 111)
Eine Firma namens 'Humanyze' bewirbt seit Jahren ein tragbares Gerät mit eingebautem Mikrofon, das Interaktionen und Bewegungen von Büroangestellten auswertet und Kennzahlen über 'Engagement' und 'Produktivität' berechnet. Viele andere Daten können einbezogen werden.
(S. 114)
Dubios? Ja. Rechtlich in AT und DE einsetzbar? Eher nein.
Aber. Microsoft 'Workplace Analytics' berechnet ähnlich esoterische Kennzahlen. Statt Mikrofondaten werden exzessive Kommunikationsdaten von E-Mail/Outlook bis Teams ausgewertet, Betreffzeilen sogar im Volltext.
(S. 70)
Ich hab unlängst einen kleinen Sturm über ein anderes Microsoft-Tool verursacht (
Was nicht daran ändert, dass Microsoft 365 ungefähr alles aufzeichnet und auch Zugriff darauf ermöglicht.
Der IT-Gigant IBM verspricht, Sicherheit und Gesundheit bei riskanten Tätigkeiten mit Totalüberwachung auf Basis von Körpersensoren zu verbessern. Während einzelne Funktionen vielleicht Sinn machen, fragt die App sogar, wie lange jemand letzte Nacht geschlafen hat 🤦
(S. 118)
Handscanner, die jeden Arbeitsschritt vorgeben und Sekunden herunterzählen. Automatisierte Kündigungen wegen mangelnder Produktivität. Ich hab außerdem zusammengefasst, was wir über algorithmische Kontrolle in den Logistikzentren von Amazon wissen - global und in DE/AT.
(S. 126)
Das System eines österr. Anbieters für Fuhrparkverwaltung erfasst GPS-Standorte, Motor-Leerläufe, Beschleunigung und andere Daten. Vorgesetzte können benachrichtigt werden, wenn das Fahrzeug definierte Bereiche verlässt.
Man könne das Gerät "gut versteckt verbauen".
(S. 122)
Neben der Landkarte und vielen Fallstudien über verfügbare Technologien hat Hans Christian Voigt (@kellerabteil) im Rahmen des Projekts eine kleinere Untersuchung über Datenpraktiken in österreichischen Firmen auf Basis von Interviews mit BetriebsrätInnen durchgeführt.
(S. 137)
@kellerabteil Das Beispiel Außendienst im Anlagenbau zeigt, es geht auch ohne GPS-Tracking oder versteckt ausgewertete Verhaltensdaten.
Ein rigides System digitaler Kontrolle geht auch mit manueller Eingabe von Arbeitsschritten und Zeitpunkten von Besuchen bei KundInnen in eine App.
(S. 137)
Auch die anderen interviewbasierten Fallbeispiele sind spannend.
Im Sozial-/Gesundheitsbereich ist ebenfalls ein System im Einsatz, das Arbeitstätigkeiten in ein rigides Raster presst. In einem Industriebetrieb verhandelt der Betriebsrat monatlich 2-3 neu einzuführende Systeme.
Was wird nun wirklich eingesetzt? Empfehle dazu auch folgende Studie, die fast 700 BetriebsrätInnen in Österreich befragt hat und die leider zeigt, dass es massive Unterstützung benötigt, um Mitbestimmung auch bei komplexeren Systemen zu gewährleisten: forba.at/wp-content/upl…
Damit genug für heute mit Ad-hoc-Twitter-Zusammenfassung. Es gibt noch jede Menge anderer Geschichten und Beispiele in der Studie. Möchte nicht ausschließen, dass ich nochmal nachlege ;)
Hab jedenfalls viel Zeit mit dem Teil verbracht und bin echt froh, dass es nun raus ist 🙃
Ich hab auch zusammengefasst, was wir über das umfassende Ratingsystem bei Zalando wissen, mit dem tausende Büro-MitarbeiterInnen in drei Gruppen (Low Performer, Good Performer, High Performer) einsortiert werden - unter Einbeziehung laufender gegenseitiger Bewertungen.
(S. 135)
Ich hab versucht, die großartige Studie von Philipp Staab und Sascha-Christopher Geschke über das System zusammenzufassen, und das was seither passiert ist. Zalando ist rechtlich gegen die Studienautoren vorgegangen, und die Berliner Datenschutzbehörde hat Änderungen erzwungen.
Zalando ist natürlich nicht allein.
Aktuell werden überall SAP SuccessFactors, Workday oder andere cloudbasierte HR-Systeme eingeführt. Die Steuerung von Beschäftigten mit Zielvorgaben, Beurteilungen, Einsortierung in Gruppen und davon abgeleitete Maßnahmen ist Teil ihrer DNA.
Das Kapitel über Personalverwaltungssysteme ab S. 40 ist de facto eine eigene Fallstudie zum Thema.
Diese Systeme entscheiden über Neueinstellungen, Beförderungen, Entlohnung, die Zuweisung zu Positionen, Projekten oder Fördermaßnahmen, und am Ende wohl auch über Kündigungen.
Neben den - an gängige Vorstellungen über Social-Credit-Systeme erinnernden - laufenden Beurteilungspraktiken sind zunehmend Funktionen verfügbar, die unter dem Schlagwort KI vermarktet werden und Eignung, Leistung, Potenzial oder Kündigungsabsichten einschätzen oder vorhersagen.
Workday kann auf Basis von Beschäftigtenprofilen ('Opportunity Graph') individuelle Empfehlungen für unternehmensintern ausgeschriebene Positionen und für zu entwickelnde Fähigkeiten anzeigen.
Solche Technologien haben potenziell Auswirkungen auf ganze Erwerbsbiographien.
Wo Workday etwa unter dem Label "Professional Services Automation" die Beschäftigtenprofile aus dem HR-System direkt ins operative Projektmanagement einbezieht, löst sich die Grenze zwischen Personalwirtschaft und der digitalen Steuerung von Arbeitstätigkeiten weitgehend auf.
Ich hab übrigens immer wieder versucht, Entwicklungen historisch zu kontextualisieren.
Die digitalen 'Zeitstempel' in den Logdaten von SAP & Co, das waren früher durch Uhren gesteuerte Stempel. Sogar Geräte zur Vermessung der Tippgeschwindkeit gab es schon Anfang des 20. Jhds.
• • •
Missing some Tweet in this thread? You can try to
force a refresh
Die digitale Werbeindustrie verkauft Smartphone-Standortdaten und Bewegungsprofile von Millionen Menschen in Deutschland, darunter Privatpersonen und sensibles Personal.
Große Recherche von und BR, die einen riesigen Datensatz als "Muster" erhalten haben. netzpolitik.org
Sie haben Menschen identifiziert, die Entzugskliniken, Swinger-Clubs oder Bordelle besucht haben, aber auch Personal von Ministerien, Bundeswehr, BND, Polizei.
Fast alle Smartphone-Apps sind heute mit zwielichtigen Datensammeltechnologien "verwanzt".
Völlig unkontrollierte Datenmarktplätze, u.a. die Firma Datarade mit Sitz in Berlin, bieten Standort- und andere Verhaltensdaten über ganze Bevölkerungen aus vielen Ländern zum Verkauf an.
So, Microsoft exploits activity data from Outlook, Teams, Word etc across customers for its own promotional purposes, including on meetings, file usage and the seconds until emails are read.
Microsoft states that the analysis on the seconds until emails were read excludes EU data. Activity data from Outlook, Teams, Word etc, however, seems to include EU data.
What's their legal basis? This is also personal data on employees. And, are business customers fine with it?
Should cloud-based software vendors exploit personal data on users of their services, including private persons and employees of business customers, how they see fit?
I don't think so.
Not even for public-interest research, at least not without academic process and IRB review.
Some more findings from our investigation of LiveRamp's ID graph system (), which maintains identity records about entire populations in many countries, including name, address, email and phone, and aims to link these records with all kinds of digital IDs:crackedlabs.org/en/identity-su…
Identity data might seem boring, but if a company knows all kinds of identifying info about everyone, from home address to email to device IDs, it is in a powerful position to recognize persons and link profile data scattered across many databases, and this is what LiveRamp does.
LiveRamp aims to provide clients with the ability to recognize a person who left some digital trace in one context as the same person who later left some trace elsewhere.
It has built a sophisticated system to do this, no matter how comprehensive it can recognize the person.
As part of our new report on RTB as a security threat and previously unreported, we reveal 'Patternz', a private mass surveillance system that harvests digital advertising data on behalf of 'national security agencies'.
5 billion user profiles, data from 87 adtech firms. Thread:
'Patternz' in the report by @johnnyryan and me published today:
Patternz is operated by a company based in Israel and/or Singapore. I came across it some time ago, received internal docs. Two docs are available online.
Here's how Patternz can be used to track and profile individuals, their location history, home address, interests, information about 'people nearby', 'co-workers' and even 'family members', according to information available online:
, a 'social risk intelligence platform' that provides digital profiles about named individuals regarding financial strain, food insecurity, housing instability etc for healthcare purposes.
"It calculates risk scores for each risk domain for each person", according to the promotional video, and offers "clarity and granularity for the entire US".
Not redlining, though. They color it green.
Making decisions based on these metrics about individuals and groups seems to be highly questionable and irresponsible bs.
Bazze, a US data broker that purchases smartphone location data from mobile apps and advertising firms, and sells to the US Dept of Defense, according to the WSJ (), openly promotes a commercial location mass surveillance system for 'government customers'. wsj.com/tech/cybersecu…
I extracted information about mobile location data they claim to sell per country from their website: