KI-Systeme dürfen im HR-Bereich nur solche Personaldaten verarbeiten, die für den jeweiligen Zweck notwendig, verhältnismäßig und rechtlich zulässig sind. Das gilt für Bewerberdaten ebenso wie für Leistungsdaten bestehender Mitarbeitender. Wer KI im Personalwesen einsetzt, bewegt sich im Spannungsfeld zwischen DSGVO, dem europäischen AI Act und betrieblichen Mitbestimmungsrechten. Dieser Artikel beantwortet die wichtigsten Fragen rund um Datenschutz, Compliance und den verantwortungsvollen Umgang mit Personaldaten beim KI-Einsatz in HR.
Welche Personaldaten darf KI im HR-Bereich verarbeiten?
KI-Systeme im HR dürfen grundsätzlich nur Personaldaten verarbeiten, die für den definierten Zweck erforderlich sind und für die eine klare Rechtsgrundlage besteht. Dazu zählen etwa Bewerbungsunterlagen, Qualifikationsnachweise oder Arbeitszeitdaten. Besonders sensible Kategorien wie Gesundheitsdaten, Gewerkschaftszugehörigkeit oder biometrische Merkmale unterliegen einem deutlich strengeren Schutz und dürfen nur in engen Ausnahmefällen verarbeitet werden.
Das Prinzip der Datensparsamkeit aus der DSGVO gilt auch beim KI-Einsatz: Nur was wirklich gebraucht wird, darf erhoben und verarbeitet werden. In der Praxis bedeutet das, dass ein KI-gestütztes Bewerbermanagementsystem zwar Lebensläufe analysieren darf, nicht aber automatisch Rückschlüsse auf Schwangerschaft, Religionszugehörigkeit oder politische Überzeugungen ziehen darf.
Besondere Vorsicht gilt bei Systemen, die Verhaltensdaten auswerten, etwa Reaktionszeiten in Assessments oder Sprachanalysen in Videointerviews. Solche Daten können indirekt auf geschützte Merkmale hinweisen und damit diskriminierungsrelevant sein. Unternehmen sollten deshalb vor der Einführung solcher Systeme genau prüfen, welche Datenpunkte tatsächlich erhoben werden und ob diese Erhebung verhältnismäßig ist.
Was schreibt der AI Act für HR-Anwendungen konkret vor?
Der EU AI Act stuft KI-Systeme, die im Personalwesen eingesetzt werden, als hochriskant ein. Das betrifft konkret Anwendungen für Recruiting, Leistungsbewertung, Beförderungsentscheidungen und Kündigungsmanagement. Für diese Systeme gelten strenge Anforderungen: Unternehmen müssen vor dem Einsatz eine Konformitätsbewertung durchführen, Transparenz gegenüber Betroffenen sicherstellen und menschliche Aufsicht gewährleisten.
Konkret bedeutet das für HR-Verantwortliche: Wer ein KI-System im Recruiting einsetzt, muss nachweisen können, dass das System keine diskriminierenden Muster reproduziert, dass Bewerber:innen über den KI-Einsatz informiert werden und dass eine menschliche Entscheidungsinstanz die finale Auswahl trifft. Automatisierte Ablehnungen ohne menschliche Prüfung sind nicht zulässig.
Zusätzlich schreibt der AI Act eine technische Dokumentation vor, die zeigt, wie das System funktioniert, welche Daten es nutzt und wie Risiken minimiert werden. Diese Dokumentation muss auf Anfrage von Aufsichtsbehörden vorgelegt werden können. Für viele mittelständische Unternehmen ist das eine neue Anforderung, die strukturierte Vorbereitung erfordert.
Wie unterscheiden sich DSGVO und AI Act in der HR-Praxis?
DSGVO und AI Act verfolgen unterschiedliche Schutzrichtungen, ergänzen sich aber im HR-Kontext. Die DSGVO schützt das Recht auf informationelle Selbstbestimmung und regelt, wie personenbezogene Daten erhoben, gespeichert und verarbeitet werden dürfen. Der AI Act hingegen reguliert die Systeme selbst: Er stellt Anforderungen an Transparenz, Sicherheit und menschliche Kontrolle von KI-Anwendungen.
In der HR-Praxis bedeutet das: Die DSGVO fragt, ob Daten überhaupt verarbeitet werden dürfen und auf welcher Rechtsgrundlage. Der AI Act fragt, ob das KI-System, das diese Daten verarbeitet, sicher, nachvollziehbar und kontrollierbar ist. Beide Regelwerke müssen gleichzeitig eingehalten werden.
Ein praktisches Beispiel: Ein KI-gestütztes Screening-Tool für Bewerbungen muss nach der DSGVO eine Rechtsgrundlage für die Datenverarbeitung vorweisen, Betroffenenrechte ermöglichen und Datensparsamkeit einhalten. Nach dem AI Act muss dasselbe Tool als Hochrisikosystem registriert, dokumentiert und mit menschlicher Aufsicht betrieben werden. Wer nur eine der beiden Anforderungen erfüllt, handelt nicht rechtskonform.
Welche Rechte haben Beschäftigte beim Einsatz von KI-Systemen?
Beschäftigte haben beim Einsatz von KI-Systemen im Unternehmen mehrere konkrete Rechte. Sie müssen informiert werden, wenn KI-Systeme Entscheidungen über sie treffen oder vorbereiten. Sie haben das Recht auf Auskunft über die verarbeiteten Daten, auf Berichtigung falscher Informationen und in bestimmten Fällen auf Löschung. Vollständig automatisierte Entscheidungen mit erheblicher Auswirkung dürfen sie ablehnen.
Das Recht auf menschliche Überprüfung ist dabei besonders relevant: Wenn ein KI-System beispielsweise eine Bewerbung aussortiert oder eine Leistungsbewertung erstellt, haben Betroffene das Recht, dass ein Mensch diese Entscheidung überprüft und begründet. Dieses Recht ergibt sich aus Artikel 22 der DSGVO und wird durch den AI Act weiter gestärkt.
Darüber hinaus haben Betriebsräte ein Mitbestimmungsrecht bei der Einführung technischer Systeme, die das Verhalten oder die Leistung von Mitarbeitenden überwachen. Das gilt auch für KI-Systeme. Unternehmen sollten den Betriebsrat deshalb frühzeitig in die Planung einbeziehen, nicht erst kurz vor dem Go-live. Eine transparente Kommunikation über Funktionsweise, Zweck und Grenzen des Systems schafft Vertrauen und reduziert Widerstände.
Wie lässt sich KI im HR datenschutzkonform einführen?
Eine datenschutzkonforme Einführung von KI im HR folgt einem strukturierten Prozess: Zuerst wird geprüft, ob und auf welcher Rechtsgrundlage die Datenverarbeitung zulässig ist. Dann wird eine Datenschutz-Folgenabschätzung durchgeführt, wenn das System ein hohes Risiko für Betroffene birgt. Anschließend werden technische und organisatorische Maßnahmen implementiert, bevor das System in Betrieb geht.
Die folgenden Schritte helfen dabei, KI im Personalwesen rechtssicher einzuführen:
- Zweckbindung klären: Für welchen konkreten HR-Prozess wird das System eingesetzt? Nur dieser Zweck darf verfolgt werden.
- Rechtsgrundlage bestimmen: Einwilligung, berechtigtes Interesse oder gesetzliche Verpflichtung? Die Wahl der Rechtsgrundlage hat weitreichende Konsequenzen.
- Datenschutz-Folgenabschätzung durchführen: Bei Hochrisikosystemen nach dem AI Act ist diese Pflicht, nicht Kür.
- Betriebsrat einbinden: Frühzeitig, nicht nachträglich. Das spart Zeit und verhindert Konflikte.
- Transparenz gegenüber Betroffenen herstellen: Bewerber:innen und Mitarbeitende müssen wissen, dass und wie KI eingesetzt wird.
- Menschliche Aufsicht sicherstellen: Keine finale Entscheidung darf allein durch ein KI-System getroffen werden.
- Dokumentation aufbauen: Alle Schritte, Entscheidungen und Risikobewertungen müssen nachvollziehbar dokumentiert sein.
Besonders bei KI-gestützten Recruiting-Tools wie Chatbots oder automatisierten Screening-Systemen lohnt es sich, auf DSGVO-konforme Lösungen zu setzen, die von Anfang an mit Privacy by Design entwickelt wurden. Das reduziert den Aufwand für nachträgliche Anpassungen erheblich.
Was passiert, wenn Unternehmen Datenschutzvorgaben bei KI ignorieren?
Unternehmen, die Datenschutzvorgaben beim KI-Einsatz im HR ignorieren, riskieren empfindliche Bußgelder, Reputationsschäden und rechtliche Auseinandersetzungen mit Betroffenen oder Behörden. Nach der DSGVO können Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes betragen. Der AI Act sieht für schwere Verstöße bei Hochrisikosystemen ebenfalls erhebliche Sanktionen vor.
Neben den finanziellen Risiken entstehen praktische Probleme: Wenn ein KI-System im Recruiting ohne rechtskonforme Grundlage betrieben wurde, können Bewerber:innen Auskunft verlangen, Löschung fordern oder Schadensersatz geltend machen. Das bindet HR-Ressourcen und kann laufende Recruitingprozesse empfindlich stören.
Auch das Vertrauen der Belegschaft steht auf dem Spiel. Wenn Mitarbeitende erfahren, dass KI-Systeme ihre Leistung oder ihr Verhalten ohne ihr Wissen auswerten, entstehen Widerstände, die Change-Prozesse erheblich erschweren. Studien aus der Organisationsentwicklung zeigen, dass fehlende Transparenz bei technologischen Veränderungen zu den häufigsten Ursachen für Akzeptanzprobleme gehört.
Unternehmen, die jetzt in rechtskonforme Strukturen investieren, schützen sich nicht nur vor Sanktionen. Sie bauen auch das Vertrauen auf, das für eine erfolgreiche KI-Transformation im HR notwendig ist.
Datenschutzkonforme KI im HR: Wie wir Sie dabei begleiten
Die rechtlichen Anforderungen rund um KI im Personalwesen sind komplex und entwickeln sich schnell weiter. Viele mittelständische Unternehmen stehen vor der Herausforderung, DSGVO, AI Act und betriebliche Mitbestimmung gleichzeitig im Blick zu behalten, ohne eine eigene Rechtsabteilung oder spezialisierte HR-Expertise im Haus zu haben.
Genau hier setzen wir an. Als HR-Werkstatt begleiten wir mittelständische Unternehmen flexibel und on demand dabei, KI-Systeme im HR rechtssicher, menschenzentriert und wirksam einzuführen. Was wir dabei konkret leisten:
- Datenschutz-Folgenabschätzungen für KI-Systeme im Recruiting, Leistungsmanagement und HR-Controlling
- Stakeholder-Analyse und Betriebsratseinbindung für eine reibungslose Einführung ohne Widerstände
- Entwicklung transparenter Kommunikationskonzepte gegenüber Bewerber:innen und Mitarbeitenden
- Prüfung bestehender KI-Tools auf Konformität mit DSGVO und AI Act
- Aufbau interner HR-Kompetenz für den verantwortungsvollen Umgang mit KI-gestützten Systemen
Wir verstehen HR nicht als Kostenfaktor, sondern als strategischen Hebel. Wenn Sie wissen möchten, wie Ihr Unternehmen KI im Personalwesen sicher und zukunftsorientiert einsetzen kann, freuen wir uns auf ein Beratungsgespräch.
