EAP-Datenschutz im Jahr 2026: Was globale Arbeitgeber tatsächlich sehen können
- Barbra Okafor
- vor 18 Stunden
- 7 Min. Lesezeit
Ende 2025 gab Discord eine Sicherheitslücke bei einem externen Support-Anbieter bekannt, durch die sensible Nutzerdaten, darunter auch Bilder von amtlichen Ausweisdokumenten zur Altersverifizierung, offengelegt wurden.
Die Lehre daraus war unmittelbar: Wenn Menschen glauben, dass sensible Informationen missbraucht werden können, selbst indirekt, bricht das Vertrauen über Nacht zusammen.
Jetzt wird es noch spannender. Verlagern Sie den Kontext von einer Chat-App auf Ihr betriebliches Beratungsangebot (EAP). Von Ausweisen zu Therapiesitzungsnotizen.
Für ein EAP ist Vertrauen keine Funktion, sondern dessen Grundprinzip. Ohne Vertrauen sinkt die Nutzung auf null.
Das führt uns zu dem Dilemma, dem jeder Personalleiter ausgesetzt ist:
„Können wir sehen, welche Teams die größten Schwierigkeiten haben?“
Hier ist eine Übersicht der Themen und der genauen Grenzen.
Inhaltsverzeichnis:
Diese Frage stellt sich in nahezu jeder Organisation.
Das ist eine berechtigte Frage. Eine Frage, die in gutem Glauben gestellt wird, üblicherweise direkt nach der Genehmigung des EAP-Budgets oder nach der Beantwortung von Bedenken eines besorgten Managers.
Aber genau diese Frage offenbart auch alles darüber, wie ein EAP mit der Grenze zwischen Erkenntnis und Überwachung umgeht.
Dies zeigt sich täglich in Vorstandssitzungen, Betriebsratsverhandlungen und Mitarbeiterversammlungen. Die Herausforderung besteht nicht darin, ob Organisationen Einblicke benötigen (das tun sie). Vielmehr geht es darum, genau zu wissen, wo die Grenze verläuft und was passiert, wenn sie überschritten wird.
Um es klarzustellen: Personalabteilungen fordern Daten nicht aus Neugier an. Der Druck, unter dem sie stehen, ist real.
Warum die Personalabteilung immer wieder nachfragt (und warum das in Ordnung ist)
Ein Finanzchef möchte wissen, ob das Budget für das Mitarbeiterhilfsprogramm gerechtfertigt ist. Ein Geschäftsführer fragt nach den Ursachen für die steigenden Fehlzeiten. Die Rechtsabteilung warnt vor einem erhöhten psychosozialen Risiko in Abteilungen mit hohem Leistungsdruck. Betriebsleiter in Fertigung und Logistik müssen wissen, ob die Überlastung von Schichtarbeitern zu mehr Sicherheitsvorfällen führt. Ein Verantwortlicher für das Wohlbefinden der Mitarbeiter möchte helfen, kann aber keine Ressourcen für Probleme bereitstellen, die er nicht erkennen kann.
So sieht das in der Praxis aus: Ein Unternehmen führt nach einer Umstrukturierung ein Mitarbeiterunterstützungsprogramm (EAP) ein. Drei Monate später fragt der Finanzchef: „Funktioniert es?“ Die Personalabteilung meldet eine Inanspruchnahme von lediglich 2 %. Der Finanzchef antwortet: „Wo liegt das Problem? Welche Abteilungen beteiligen sich nicht?“
Das ist eine berechtigte Frage. Sobald die Personalabteilung jedoch detaillierte Antworten auf Teamebene liefern kann, verlieren die Mitarbeitenden das Vertrauen in den Service. Die Grenze zwischen Einblick und Überwachung ist fließender, als den meisten Unternehmen bewusst ist.
Die Europäische Agentur für Sicherheit und Gesundheitsschutz am Arbeitsplatz (EU-OSHA) hat klargestellt: Der Umgang mit psychosozialen Risiken ist für europäische Arbeitgeber nun gesetzlich vorgeschrieben. Ohne Transparenz bleibt Ihr betriebliches Gesundheitsmanagementprogramm (BGM) eine teure, intransparente Angelegenheit – zwar formal konform, aber losgelöst von den psychosozialen Risikobewertungen, die den Arbeitsalltag tatsächlich prägen.
Der Instinkt zu fragen „Was ist da los?“ ist also nicht falsch. Die Frage ist: Wie beantwortet man diese Frage, ohne das zu zerstören, was EAPs überhaupt erst zum Funktionieren bringt?
Was Arbeitgeber tatsächlich sehen können (ohne das Vertrauen zu brechen)
Das zugrundeliegende Prinzip ist: Arbeitgeber erkennen Muster, aber niemals Menschen.
Das bedeutet transparente Nutzungsstatistiken, die Aufschluss darüber geben, ob die Mitarbeitenden den Service tatsächlich nutzen oder ob er ungenutzt bleibt. Es bedeutet aggregierte Trends, die erst dann sichtbar werden, wenn die Zahlen groß genug sind, um die Anonymität zu wahren: „Arbeitsdruck“ ist ein Trend, oder „finanzieller Stress“ nimmt im gesamten Unternehmen zu. Es bedeutet Richtungswechsel (Verdopplung der Nachfrage im Quartalsvergleich, Stagnation nach einer Umstrukturierung). Und es bedeutet Kennzahlen zur Servicequalität: Werden die Anliegen schnell bearbeitet? Sind die Mitarbeitenden zufrieden? Funktioniert das System?
Es bedeutet nicht , dass man Einblick erhält, wer, warum oder was gesagt wurde.
Die Aufsichtsbehörden weltweit, vom Eidgenössischen Datenschutzbeauftragten ( EDÖB) in der Schweiz über den California Privacy Rights Act (CPRA) in den USA bis hin zum britischen Data (Use and Access) Act , haben sich eindeutig positioniert: Bei der Verarbeitung von Gesundheitsdaten ist Datenminimierung unerlässlich. Für global agierende Unternehmen bedeutet dies, überall die höchsten Standards (in der Regel die DSGVO ) anzuwenden und sicherzustellen, dass nur die notwendigen Daten erhoben werden – unabhängig davon, ob sich der Mitarbeiter in Berlin, Boston oder Birmingham befindet.
Aggregation ist nicht nur eine gute Vorgehensweise. Sie ist die Leitplanke, die verhindert, dass Erkenntnisse zu Überwachung führen.
Die harte Grenze: Was Arbeitgeber niemals sehen können
An diesem Punkt wird die Sache nicht verhandelbar.
Kein Zugriff auf die Sitzungsinhalte. Weder Zusammenfassungen noch Stimmungsanalysen noch anonymisierte Auszüge. Die klinischen Notizen bleiben zwischen der Person und ihrem Therapeuten/ihrer Therapeutin.
Keine personenbezogenen Daten (Namen, Berufsbezeichnungen, Teamstandorte oder ähnliches). Keine Berichterstattung in kleinen Gruppen, selbst wenn sie technisch anonymisiert ist, da eine fünfköpfige Abteilung genau weiß, wer wer ist. Und kein Profiling, keine Risikobewertung, keine Heatmaps, die versuchen, potenzielle Risikogruppen zu identifizieren.
In der Schweiz ist die ärztliche Schweigepflicht (Arztgeheimnis) durch Art. 321 des Schweizerischen Strafgesetzbuches geschützt und wird durch föderale Richtlinien bekräftigt; die Weitergabe ist auf die Einwilligung des Patienten oder eng definierte rechtliche/Schutzausnahmen beschränkt, nicht jedoch auf Fragen der organisatorischen Leistungsfähigkeit.
Wie Kyan es anders macht
Bei Kyan Health haben wir unser Reporting so gestaltet, dass es die Privatsphäre der Mitarbeiter schützt und gleichzeitig die organisatorischen Erkenntnisse liefert, die konkrete Maßnahmen ermöglichen. Es ist kein Entweder-oder. Wenn die Grenzen klar definiert sind, profitieren beide davon.
So machen wir das:
Zweck vor Daten. Wenn wir keinen legitimen organisatorischen Bedarf nachweisen können, erheben wir keine Daten. Neugierde ist kein Grund. Kontrolle ist kein Grund. Dies reduziert das rechtliche Risiko, verhindert Datenflut und schafft das Vertrauen, das Menschen tatsächlich zur Nutzung des Dienstes bewegt.
Systeme, nicht Einzelpersonen. Wir konzentrieren uns auf die Rahmenbedingungen (z. B. steigt der Druck in kundennahen Positionen), nicht darauf, wer Probleme hat. Die Frage lautet stets: „Wo ist das System überlastet?“, nicht: „Wen sollten wir im Auge behalten?“ Wenn Sie die Ursachen wie ungleiche Arbeitsbelastung oder Konflikte im Management aufdecken, können Sie frühzeitig eingreifen, bevor Burnout zu Personalfluktuation führt.
Aggregation als Schutz. Wir veröffentlichen Erkenntnisse nur dann, wenn Anonymität mathematisch und ethisch vertretbar ist. Dies schützt vor Re-Identifizierung und ermöglicht gleichzeitig die Erkennung von Mustern wie steigendem Stress in bestimmten Geschäftsbereichen oder Veränderungen nach politischen Änderungen.
Signale, keine Schlussfolgerungen. Daten regen zum Nachdenken an („Vielleicht müssen wir die Arbeitsbelastung im vierten Quartal noch einmal überprüfen“), nicht zu Maßnahmen gegen Einzelpersonen. Warum das wichtig ist: Es dient als Grundlage für strategische Entscheidungen (Einstellung von Mitarbeitern, Umstrukturierung, Richtlinienänderungen), ohne jemals die Privatsphäre des Einzelnen zu beeinträchtigen.
Transparenz ist von Anfang an gegeben. Mitarbeiter wissen von vornherein in verständlicher Sprache, welche Daten weitergegeben werden und welche nicht. Kein Kleingedrucktes. Keine Überraschungen. Ergebnis: Höhere Nutzung. Wenn Mitarbeiter dem System vertrauen, beteiligen sie sich ehrlich, und das liefert Ihnen bessere, aussagekräftigere Daten.
Datenschutz wird bei Kai großgeschrieben, sogar in der ersten Phase. Mitarbeitende können mithilfe von Kai ihre Optionen erkunden und sich selbstständig zur passenden Unterstützung (Beratung, Rechtsberatung, Finanzberatung) weiterleiten, ohne ihre Situation zuvor dem Aufnahmepersonal erklären zu müssen. Diese Datenschutzebene schützt bereits vor dem eigentlichen Gespräch, reduziert Reibungsverluste und beseitigt eine weitere potenzielle Gefahrenquelle.
Dieser Ansatz steht im Einklang mit den Richtlinien der Weltgesundheitsorganisation , die Vertraulichkeit und Vertrauen als unabdingbare Voraussetzungen für eine wirksame psychische Gesundheitsversorgung definiert.
Aber es ist auch einfach gesunder Menschenverstand. Ethische Grenzen schränken den Erkenntnisgewinn nicht ein, sondern fördern ihn. Mitarbeiter, die dem System vertrauen, nutzen es häufiger und ehrlicher und liefern verlässliche Muster, auf deren Grundlage man handeln kann. Das führt direkt zu einem früheren Eingreifen bei Burnout, weniger Fehlzeiten, höherer Mitarbeiterbindung und einem geringeren psychosozialen Risiko.
Was Sie Ihren Mitarbeitern tatsächlich sagen sollten
Die Art und Weise, wie Sie Vertraulichkeit kommunizieren, ist genauso wichtig wie die Richtlinie selbst.
Aktuelle OECD-Berichte zur psychischen Gesundheit zeigen, dass Stigmatisierungsängste und mangelndes Vertrauen die größten Hürden für Arbeitnehmer in Europa darstellen, Hilfe zu suchen. Menschen brauchen nicht nur Privatsphäre, sie müssen auch wirklich daran glauben können.
Anstatt also beruhigende Zusicherungen in einer 12-seitigen Richtlinie zu verstecken, sagen Sie Folgendes:
„Ihre Gespräche sind privat. Ihr Arbeitgeber wird weder Ihren Namen noch Ihre Sitzungen oder die Gesprächsinhalte einsehen können. Er sieht lediglich anonymisierte Trends im gesamten Unternehmen – und das auch nur dann, wenn genügend Nutzer den Dienst verwenden, um die Privatsphäre aller zu schützen. Nichts, was Sie teilen, wird jemals dazu verwendet, Ihre Leistung zu beurteilen, Ihr Engagement in Frage zu stellen oder Entscheidungen bezüglich Ihrer Rolle zu beeinflussen.“
Es ist direkt. Es ist klar. Und es funktioniert.
Führungskräfte, ob im Büro oder in der Produktion, können dies fördern, ohne es in Überwachung ausarten zu lassen. Geben Sie ihnen einen einfachen Gesprächsleitfaden an die Hand, der für Schichtteams geeignet ist: Machen Sie deutlich, dass die Inanspruchnahme von Unterstützung weder ihre Überstunden noch ihre Position oder ihre Arbeitsplatzsicherheit beeinträchtigt.
Der ROI von Vertrauen: Warum Datenschutz die Nutzung von Mitarbeiterberatungsprogrammen fördert
EAPs (Employee Assistance Programs) sind für Menschen in besonders schwierigen Lebenslagen gedacht. Wenn die Vertraulichkeit verletzt wird (oder auch nur der Verdacht besteht, dass sie verletzt wurde), ist der Schaden schwer wiedergutzumachen.
Wenn Organisationen dies jedoch richtig machen, passieren drei Dinge.
Die Nutzung steigt. Die Menschen nutzen Dienstleistungen, denen sie tatsächlich vertrauen.
Die Erkenntnisse werden besser. Ehrliches Engagement liefert zuverlässigere Muster als überwachte Vorsicht es je könnte.
Das Risiko sinkt. Ethische Zurückhaltung verringert das rechtliche Risiko, den Reputationsschaden und die moralischen Kosten eines Fehlers.
Psychologische Sicherheit entsteht nicht durch das Sammeln von mehr Daten. Sie entsteht dadurch, dass man weiß, wann man keine Daten sammeln sollte.
Sehen Sie, wie datenschutzfreundliche Berichterstattung in der Praxis aussieht. Erfahren Sie, wie Kyan Health Organisationstrends analysiert und gleichzeitig die Vertraulichkeit der individuellen Patientendaten wahrt. Informieren Sie sich über den Datenschutz- und Berichtsansatz von Kyan Health im Bereich Mitarbeiterberatungsprogramme (EAP). Hier .
Häufig gestellte Fragen
Können Arbeitgeber einsehen, wer das EAP-Programm genutzt hat?
Nein. Arbeitgeber sollten niemals Namen, identifizierbare Daten oder irgendetwas erhalten, das vernünftigerweise auf eine Person zurückgeführt werden kann.
Was können Arbeitgeber tatsächlich sehen?
Arbeitgeber können aggregierte, anonymisierte Trends einsehen: die allgemeine Inanspruchnahme im Zeitverlauf, gemeinsame Themen (wie Arbeitsbelastung) und Kennzahlen zur Servicequalität wie die Zeit bis zum ersten Support und die Kundenzufriedenheit, jedoch nur dann, wenn die Meldeschwellen die Anonymität gewährleisten.
Kann die Personalabteilung EAP-Daten auf Team- oder Abteilungsebene einsehen? Nur wenn die Gruppe groß genug ist, um eine Reidentifizierung auszuschließen. Kleine Teams und unvollständige Datensätze sollten unterdrückt werden, um die unbeabsichtigte Offenlegung von Personen zu vermeiden.
Wann darf die Vertraulichkeit gebrochen werden? Nur in eng definierten Schutz- oder Rechtsfällen (z. B. bei unmittelbarer Gefahr), abhängig von der jeweiligen Gerichtsbarkeit und den beruflichen Verpflichtungen – niemals zum Zwecke des Leistungsmanagements oder aus organisatorischen Gründen.
