Beschäftigtendatenschutz und KI: Was Arbeitgeber beachten müssen

Das Wichtigste in Kürze

• § 26 BDSG ist die zentrale Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten in Deutschland -- auch beim KI-Einsatz. Die Verarbeitung muss für die Durchführung des Beschäftigungsverhältnisses erforderlich sein.
• KI-Systeme, die Mitarbeiterdaten verarbeiten, fallen nach Anhang III Nr. 4 VO (EU) 2024/1689 (AI Act) regelmäßig in die Hochrisiko-Kategorie.
• Art. 88 DSGVO ermöglicht nationale Sonderregelungen zum Beschäftigtendatenschutz -- Deutschland hat diese Öffnungsklausel mit § 26 BDSG genutzt.
• Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein zwingendes Mitbestimmungsrecht bei technischen Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können.
• Vor dem Einsatz von KI-Systemen zur Mitarbeiterdatenverarbeitung ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO in aller Regel Pflicht.

Der Einsatz von Künstlicher Intelligenz im Arbeitsverhältnis nimmt rasant zu. Algorithmen planen Schichten, bewerten Leistungen, analysieren Kommunikationsverhalten und prognostizieren Fehlzeiten. Was aus Unternehmenssicht Effizienz verspricht, berührt aus Sicht der Beschäftigten einen hochsensiblen Bereich: den Schutz ihrer persönlichen Daten am Arbeitsplatz.

Der deutsche Gesetzgeber hat mit § 26 BDSG eine Sonderregelung geschaffen, die den Rahmen für jede Verarbeitung von Beschäftigtendaten vorgibt -- unabhängig davon, ob die Verarbeitung manuell oder mittels KI erfolgt. Gleichzeitig greifen die DSGVO, der AI Act und das Betriebsverfassungsgesetz. Für Arbeitgeber entsteht ein vielschichtiges Pflichtenprogramm, dessen Missachtung erhebliche Bußgelder und Schadensersatzansprüche nach sich ziehen kann.

Dieser Artikel erklärt die zentrale Rolle von § 26 BDSG, zeigt typische KI-Anwendungen, die Mitarbeiterdaten berühren, beleuchtet die Grenzen der Überwachung und gibt Ihnen einen praxisnahen 6-Punkte-Leitfaden an die Hand.

§ 26 BDSG: Die zentrale Norm des Beschäftigtendatenschutzes

Anwendungsbereich und Grundregel

§ 26 Abs. 1 S. 1 BDSG regelt: Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses, für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung von Rechten und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.

Der Erforderlichkeitsbegriff verlangt eine Verhältnismäßigkeitsprüfung: Die Verarbeitung muss geeignet, erforderlich und angemessen sein, um den jeweiligen Zweck zu erreichen. Ein milderes, gleich wirksames Mittel darf nicht verfügbar sein.

Beschäftigtenbegriff

Der Beschäftigtenbegriff in § 26 Abs. 8 BDSG ist weit gefasst. Er umfasst:

• Arbeitnehmerinnen und Arbeitnehmer (einschließlich Leiharbeitnehmer)
• Auszubildende
• Bewerberinnen und Bewerber
• Ehemalige Beschäftigte
• Arbeitnehmerähnliche Personen und Heimarbeiter
• Beamtinnen und Beamte (über Verweis)

Jede KI-gestützte Verarbeitung, die eine dieser Personengruppen betrifft, muss sich an § 26 BDSG messen lassen.

Einwilligung im Beschäftigungsverhältnis

§ 26 Abs. 2 BDSG regelt die Einwilligung als alternative Rechtsgrundlage. Allerdings ist deren Freiwilligkeit im Arbeitsverhältnis aufgrund des strukturellen Machtungleichgewichts stets kritisch zu bewerten. Eine Einwilligung kann nach der Rechtsprechung nur dann freiwillig sein, wenn der Beschäftigte keinen Nachteil befürchten muss, falls er sie verweigert. In der Praxis ist die Einwilligung daher selten eine tragfähige Rechtsgrundlage für KI-gestützte Datenverarbeitung.

Rechtsgrundlagen für die KI-Verarbeitung von Mitarbeiterdaten

Arbeitgeber, die KI-Systeme einsetzen, müssen für jeden Verarbeitungsvorgang eine Rechtsgrundlage nachweisen. Je nach Konstellation kommen verschiedene Grundlagen in Betracht:

1. § 26 Abs. 1 S. 1 BDSG -- Erforderlichkeit für das Beschäftigungsverhältnis

Die Standardgrundlage. Sie greift etwa bei KI-gestützter Schichtplanung, automatisierter Zeiterfassung oder algorithmischer Einsatzoptimierung -- sofern die Verarbeitung verhältnismäßig ist.

2. § 26 Abs. 1 S. 2 BDSG -- Aufdeckung von Straftaten

Für KI-Systeme, die zur Aufdeckung von Straftaten im Beschäftigungsverhältnis eingesetzt werden (z. B. Fraud-Detection-Algorithmen), gelten erhöhte Anforderungen: Es müssen tatsächliche Anhaltspunkte für eine Straftat vorliegen, die Verarbeitung muss erforderlich sein, und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen.

3. Betriebsvereinbarung (§ 26 Abs. 4 BDSG i. V. m. Art. 88 Abs. 1 DSGVO)

Eine Betriebsvereinbarung kann als eigenständige Rechtsgrundlage für die Datenverarbeitung dienen. Sie muss allerdings den Schutzstandard der DSGVO und des BDSG wahren (Art. 88 Abs. 2 DSGVO). In der Praxis ist die Betriebsvereinbarung oft das Mittel der Wahl, da sie Rechtssicherheit schafft und den Betriebsrat einbindet.

4. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Subsidiär kann das berechtigte Interesse des Arbeitgebers herangezogen werden. Allerdings hat das BAG in mehreren Entscheidungen betont, dass § 26 BDSG als speziellere Norm regelmäßig Vorrang hat. Der Rückgriff auf Art. 6 Abs. 1 lit. f DSGVO kommt daher nur in Ausnahmefällen in Betracht.

Typische KI-Anwendungen, die Mitarbeiterdaten betreffen

Die folgende Tabelle gibt einen Überblick über verbreitete KI-Einsatzfelder, ihren Rechtsrahmen und die jeweilige Eingriffsintensität:

Wichtiger Hinweis: Die Eingriffsintensität bestimmt maßgeblich die Anforderungen an die Verhältnismäßigkeitsprüfung. Je intensiver der Eingriff, desto gewichtiger müssen die Arbeitgeberinteressen sein und desto strenger sind die Transparenz- und Schutzanforderungen.

Grenzen der Überwachung: Was KI am Arbeitsplatz nicht darf

Das Verbot der Totalüberwachung

Das Bundesarbeitsgericht hat in ständiger Rechtsprechung klargestellt: Eine lückenlose technische Überwachung von Beschäftigten ist unzulässig. Das Persönlichkeitsrecht der Arbeitnehmer aus Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG setzt dem Überwachungsinteresse des Arbeitgebers absolute Grenzen. KI-Systeme dürfen nicht dazu eingesetzt werden, ein umfassendes Persönlichkeits- oder Bewegungsprofil eines Beschäftigten zu erstellen.

Verbotene Praktiken nach dem AI Act

Der AI Act enthält in Art. 5 VO (EU) 2024/1689 ausdrückliche Verbote, die direkt auf den Beschäftigtenkontext anwendbar sind:

• Art. 5 Abs. 1 lit. f: KI-Systeme zur Emotionserkennung am Arbeitsplatz sind verboten. Ein Arbeitgeber darf keine KI einsetzen, um die Stimmung, Zufriedenheit oder emotionale Verfassung von Beschäftigten aus deren Mimik, Stimme oder Schreibverhalten abzuleiten.
• Art. 5 Abs. 1 lit. c: Social Scoring durch Arbeitgeber -- also die systematische Bewertung von Beschäftigten anhand ihres Sozialverhaltens, die zu einer Benachteiligung führt -- ist untersagt.

Heimliche Überwachung

Verdeckte KI-gestützte Überwachungsmaßnahmen sind nur unter den sehr engen Voraussetzungen von § 26 Abs. 1 S. 2 BDSG zulässig: Es müssen tatsächliche Anhaltspunkte für eine Straftat vorliegen, die Maßnahme muss das einzige Mittel sein, und sie muss zeitlich begrenzt erfolgen. Eine prophylaktische verdeckte KI-Überwachung „auf Vorrat" ist rechtswidrig.

Art. 88 DSGVO: Die Öffnungsklausel für den Beschäftigtendatenschutz

Art. 88 Abs. 1 DSGVO ermächtigt die Mitgliedstaaten, spezifischere Vorschriften zur Verarbeitung personenbezogener Beschäftigtendaten zu erlassen -- durch Rechtsvorschriften oder durch Kollektivvereinbarungen. Deutschland hat von dieser Öffnungsklausel durch § 26 BDSG Gebrauch gemacht.

Art. 88 Abs. 2 DSGVO gibt den Rahmen vor: Die nationalen Vorschriften müssen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen. Insbesondere müssen sie Transparenz, konzerninterne Datenübermittlung und Überwachungssysteme am Arbeitsplatz regeln.

Praxisrelevanz für KI-Systeme: Art. 88 DSGVO legitimiert nicht nur § 26 BDSG, sondern auch Betriebsvereinbarungen als Rechtsgrundlage. Arbeitgeber, die KI-Systeme zur Verarbeitung von Beschäftigtendaten einsetzen, sollten daher den Abschluss einer Betriebsvereinbarung anstreben. Diese bietet gegenüber der reinen Stützung auf § 26 BDSG den Vorteil, dass konkrete Regelungen zu Zweckbindung, Löschfristen, Zugriffsrechten und Transparenzmaßnahmen festgelegt werden können.

Hinweis: Der EuGH hat in der Rechtssache C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer) betont, dass nationale Vorschriften nach Art. 88 DSGVO nicht hinter dem Schutzniveau der DSGVO zurückbleiben dürfen. Eine Betriebsvereinbarung, die KI-Überwachung großzügiger zulässt als die DSGVO, wäre daher unwirksam.

DSFA-Pflicht bei KI-gestützter Mitarbeiterdatenverarbeitung

Wann eine DSFA erforderlich ist

Nach Art. 35 Abs. 1 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei KI-Systemen, die Beschäftigtendaten verarbeiten, ist dies regelmäßig der Fall, da typischerweise mehrere der in Art. 35 Abs. 3 DSGVO und den Leitlinien des Art.-29-Datenschutzausschusses (WP 248 rev.01) genannten Kriterien erfüllt sind:

• Systematische und umfassende Bewertung persönlicher Aspekte (Art. 35 Abs. 3 lit. a) -- etwa bei KI-gestützter Leistungsbewertung
• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten -- etwa biometrischer Daten bei der Zeiterfassung
• Systematische Überwachung -- etwa bei KI-gestützter Videoüberwachung oder Verhaltensanalyse

Blacklist der Aufsichtsbehörden

Die deutschen Datenschutzaufsichtsbehörden haben gemäß Art. 35 Abs. 4 DSGVO eine sogenannte Positivliste (Blacklist) veröffentlicht, die Verarbeitungstätigkeiten aufführt, für die eine DSFA zwingend erforderlich ist. Darin enthalten sind unter anderem:

• Einsatz von KI zur Verarbeitung von Beschäftigtendaten
• Umfangreiche Verarbeitung von Daten zur Leistungs- oder Verhaltenskontrolle
• Verwendung biometrischer Systeme zur Identifizierung

Arbeitgeber, die KI-Systeme zur Verarbeitung von Mitarbeiterdaten einsetzen, müssen daher vor der Inbetriebnahme eine DSFA durchführen und dokumentieren.

Betriebsrat und Mitbestimmung bei KI-Systemen

§ 87 Abs. 1 Nr. 6 BetrVG: Technische Überwachungseinrichtungen

Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Die Rechtsprechung des BAG legt den Begriff der Überwachung weit aus: Es genügt, dass die technische Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsdaten zu erfassen -- eine Überwachungsabsicht des Arbeitgebers ist nicht erforderlich.

KI-Systeme, die Mitarbeiterdaten verarbeiten, sind nahezu ausnahmslos als technische Überwachungseinrichtungen im Sinne von § 87 Abs. 1 Nr. 6 BetrVG einzuordnen. Die Einführung ohne Zustimmung des Betriebsrats ist rechtswidrig und kann per einstweiliger Verfügung untersagt werden.

§ 90 Abs. 1 Nr. 3 BetrVG: Unterrichtung bei neuen Technologien

Ergänzend hat der Arbeitgeber den Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG rechtzeitig über die Planung technischer Anlagen, Arbeitsverfahren und Arbeitsabläufe zu unterrichten. Bei KI-Systemen umfasst dies insbesondere Informationen über:

• Funktionsweise und Einsatzzweck des KI-Systems
• Verarbeitete Datenkategorien
• Entscheidungslogik und Auswirkungen auf Beschäftigte
• Geplante Schutzmaßnahmen

§ 80 Abs. 3 S. 2 BetrVG: Sachverständige für KI

Seit der BetrVG-Novelle 2021 kann der Betriebsrat nach § 80 Abs. 3 S. 2 BetrVG bei der Einführung von KI einen Sachverständigen hinzuziehen, ohne dass es einer näheren Vereinbarung mit dem Arbeitgeber bedarf. Dies stärkt die Position des Betriebsrats bei der Bewertung komplexer KI-Systeme erheblich.

6-Punkte Compliance-Leitfaden für Arbeitgeber

1. Bestandsaufnahme: KI-Inventar für Mitarbeiterdaten erstellen

Erfassen Sie systematisch alle KI-Systeme, die Beschäftigtendaten verarbeiten. Dokumentieren Sie für jedes System: Einsatzzweck, verarbeitete Datenkategorien, betroffene Personengruppen, Anbieter, Datenflüsse und Rechtsgrundlage. Ohne diese Bestandsaufnahme ist eine fundierte Compliance-Bewertung nicht möglich.

2. Rechtsgrundlage prüfen und dokumentieren

Prüfen Sie für jedes KI-System, ob eine tragfähige Rechtsgrundlage nach § 26 BDSG vorliegt. Führen Sie die Erforderlichkeitsprüfung durch und dokumentieren Sie die Abwägung. Prüfen Sie, ob eine Betriebsvereinbarung als ergänzende oder eigenständige Rechtsgrundlage sinnvoll ist.

3. Datenschutz-Folgenabschätzung durchführen

Führen Sie für jedes KI-System, das Beschäftigtendaten verarbeitet, eine DSFA nach Art. 35 DSGVO durch. Identifizieren Sie Risiken, bewerten Sie deren Eintrittswahrscheinlichkeit und Schwere, und legen Sie technische und organisatorische Maßnahmen zur Risikominderung fest. Konsultieren Sie bei verbleibendem hohen Risiko die zuständige Aufsichtsbehörde gemäß Art. 36 DSGVO.

4. Betriebsrat einbinden

Informieren Sie den Betriebsrat frühzeitig und umfassend über geplante KI-Systeme. Streben Sie den Abschluss einer Betriebsvereinbarung an, die Einsatzzweck, Datenverarbeitung, Transparenzmaßnahmen, Zugriffsrechte, Löschfristen und Eskalationswege regelt. Berücksichtigen Sie, dass der Betriebsrat nach § 80 Abs. 3 S. 2 BetrVG einen Sachverständigen hinzuziehen kann.

5. Transparenz und Betroffenenrechte sicherstellen

Informieren Sie Beschäftigte transparent über den Einsatz von KI-Systemen: welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und welche Rechte ihnen zustehen (Auskunft, Berichtigung, Löschung, Widerspruch). Stellen Sie sicher, dass bei automatisierten Einzelentscheidungen das Recht auf menschliche Überprüfung nach Art. 22 Abs. 3 DSGVO gewährleistet ist.

6. Regelmäßige Überprüfung und Aktualisierung

KI-Compliance ist kein einmaliger Vorgang. Überprüfen Sie regelmäßig -- mindestens jährlich -- ob Rechtsgrundlagen noch tragfähig sind, ob sich Verarbeitungszwecke geändert haben, ob die DSFA aktualisiert werden muss und ob neue gesetzliche Anforderungen (insbesondere aus dem AI Act) zu berücksichtigen sind.

Häufig gestellte Fragen (FAQ)

Darf mein Arbeitgeber KI zur Leistungsbewertung einsetzen?

Grundsätzlich ja, aber unter engen Voraussetzungen. Die Leistungsbewertung durch KI muss nach § 26 Abs. 1 S. 1 BDSG erforderlich und verhältnismäßig sein. Es gilt die Hochrisiko-Einstufung nach Anhang III Nr. 4 lit. b AI Act, was umfassende Pflichten zu Risikomanagement, menschlicher Aufsicht und Transparenz auslöst. Eine rein automatisierte Entscheidung ohne menschliche Beteiligung ist nach Art. 22 DSGVO grundsätzlich unzulässig. Der Betriebsrat hat ein zwingendes Mitbestimmungsrecht. Zudem muss der Arbeitgeber eine DSFA durchführen.

Ist eine Einwilligung der Mitarbeiter für KI-Datenverarbeitung ausreichend?

Die Einwilligung ist im Beschäftigungsverhältnis problematisch. Aufgrund des strukturellen Machtgefälles kann die nach Art. 7 DSGVO und § 26 Abs. 2 BDSG erforderliche Freiwilligkeit in der Regel nicht sichergestellt werden. Die Einwilligung kann allenfalls dann tragen, wenn dem Beschäftigten bei Verweigerung keinerlei Nachteile drohen und ein echter Vorteil geboten wird. Für die Kernverarbeitung im Arbeitsverhältnis sollten Arbeitgeber sich stattdessen auf § 26 Abs. 1 BDSG oder eine Betriebsvereinbarung stützen.

Was droht bei einem Verstoß gegen den Beschäftigtendatenschutz?

Die Sanktionen sind erheblich. Nach der DSGVO drohen Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Verstöße gegen den AI Act können mit bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes geahndet werden. Daneben bestehen Schadensersatzansprüche der betroffenen Beschäftigten nach Art. 82 DSGVO. Die rechtswidrige Einführung einer technischen Überwachungseinrichtung ohne Betriebsratszustimmung kann per einstweiliger Verfügung untersagt werden. Zudem drohen Beweisverwertungsverbote: Daten, die unter Verstoß gegen den Beschäftigtendatenschutz erhoben wurden, können im Kündigungsschutzprozess unverwertbar sein.

Muss der Betriebsrat bei jeder KI-Anwendung zustimmen?

Ja, sofern das KI-System objektiv geeignet ist, Verhaltens- oder Leistungsdaten von Beschäftigten zu erfassen -- und das ist bei nahezu jeder KI-Anwendung, die Mitarbeiterdaten verarbeitet, der Fall. Das Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 6 BetrVG greift unabhängig von der Überwachungsabsicht des Arbeitgebers. Die Rechtsprechung stellt allein auf die objektive Eignung ab. Unternehmen ohne Betriebsrat müssen zwar nicht mitbestimmen, unterliegen aber dennoch allen übrigen datenschutzrechtlichen Pflichten.

Welche KI-Anwendungen im Personalbereich sind verboten?

Der AI Act verbietet in Art. 5 VO (EU) 2024/1689 bestimmte KI-Praktiken, die auch den Beschäftigtenkontext betreffen. Ausdrücklich verboten sind: Emotionserkennung am Arbeitsplatz (Art. 5 Abs. 1 lit. f) -- also KI-Systeme, die Emotionen von Beschäftigten aus Mimik, Stimme oder Verhalten ableiten. Ebenfalls verboten ist Social Scoring (Art. 5 Abs. 1 lit. c), also die umfassende Bewertung des Sozialverhaltens von Beschäftigten, die zu einer ungerechtfertigten Benachteiligung führt. Darüber hinaus sind KI-Systeme unzulässig, die eine Totalüberwachung von Beschäftigten ermöglichen -- dies ergibt sich aus dem allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG) und der BAG-Rechtsprechung.

---

Fazit

KI-Systeme bieten Arbeitgebern erhebliches Potenzial -- von effizienterer Einsatzplanung bis zur datengestützten Personalentwicklung. Doch der Beschäftigtendatenschutz setzt diesem Potenzial klare Grenzen. § 26 BDSG, die DSGVO, der AI Act und das Betriebsverfassungsgesetz bilden ein engmaschiges Regelungsnetz, das Arbeitgeber vollständig beachten müssen.

Der Schlüssel liegt in einem systematischen Ansatz: KI-Inventar erstellen, Rechtsgrundlagen prüfen, DSFA durchführen, den Betriebsrat einbinden, Beschäftigte transparent informieren und das System regelmäßig überprüfen. Wer diesen Weg geht, kann KI im Personalbereich rechtskonform und zum Vorteil aller Beteiligten einsetzen.

---

Sie möchten Ihre KI-Systeme im Personalbereich auf Compliance prüfen? KI Comply unterstützt Sie mit Schulungen, Vorlagen und Expertenwissen -- von der Bestandsaufnahme bis zur fertigen Betriebsvereinbarung. Jetzt kostenlos testen →