In einer wachsenden Zahl von Unternehmen bestimmen automatisierte HR-Systeme die Auswahl von Bewerbern, die Beurteilung von Leistungen und die Planung des Personals. Was sich positiv auf die Effizienz auswirkt, stellt aus arbeitsrechtlicher Sicht allerdings ein erhebliches Risikogebiet dar: KI-Verordnung, DSGVO, AGG und Betriebsverfassungsgesetz wirken zusammen und begründen umfangreiche Compliance-Verpflichtungen. Unternehmen, die KI-gestützte Systeme im Personalbereich nutzen, ohne diese rechtlichen Vorgaben strukturiert umzusetzen, setzen sich der Gefahr von Bußgeldern, Schadensersatzforderungen und rechtsunwirksamen Personalmaßnahmen aus.
Als automatisierte HR-Systeme bezeichnet man softwarebasierte Anwendungen, die klassische Personalaufgaben algorithmisch oder durch Künstliche Intelligenz unterstützen oder ausführen. Hierzu gehören die Vorauswahl von Bewerbern und das Screening von Lebensläufen, Matching-Algorithmen auf Jobbörsen, automatisierte Bewertungen der Arbeitsleistung und People Analytics, KI-gestützte Empfehlungen für Beförderungen und Kündigungen, Workforce-Management-Systeme für die Planung von Schichten und Aufgaben sowie Chatbots für Recruiting und Onboarding.
Rechtlich überlagern sich mehrere Regelungssysteme. Im Mittelpunkt steht die Verordnung (EU) 2024/1689 (KI-Verordnung), die am 1. August 2024 in Kraft getreten ist und ab dem 2. August 2026 für Hochrisiko-KI im Beschäftigungsbereich vollständig zur Anwendung kommt. Parallel dazu bleibt die Datenschutz-Grundverordnung mit ihrem Verbot vollautomatisierter Einzelentscheidungen gemäß Art. 22 DSGVO maßgeblich sowie das Bundesdatenschutzgesetz mit § 26 BDSG für die Verarbeitung von Beschäftigtendaten. Ergänzend greifen das Allgemeine Gleichbehandlungsgesetz (AGG) und das Betriebsverfassungsgesetz (BetrVG) mit weitreichenden Mitbestimmungs- und Informationsrechten.
Diese Vorschriften greifen ineinander: Ein algorithmisches Tool für das Recruiting kann gleichzeitig ein Hochrisiko-KI-System im Sinne der KI-Verordnung sein, eine automatisierte Einzelentscheidung nach der DSGVO darstellen, eine Auswahlrichtlinie gemäß § 95 BetrVG bilden und eine technische Einrichtung zur Leistungsüberwachung nach § 87 Abs. 1 Nr. 6 BetrVG verkörpern. Wer sich nur auf eines dieser Regelungssysteme konzentriert, läuft Gefahr, erhebliche Compliance-Lücken zu übersehen.
Die KI-Verordnung basiert auf einem risikoorientierten Regulierungskonzept. Für das Personalwesen ist insbesondere Anhang III Nr. 4 von Bedeutung, welcher KI-Systeme in den Bereichen Beschäftigung, Personalverwaltung und selbstständige Tätigkeit als Hochrisiko-Anwendungen klassifiziert. Darunter fallen namentlich KI-gestützte Verfahren zur Personalauswahl und -rekrutierung, zur Entscheidungsfindung bei Beförderungen und Kündigungen, zur Zuteilung betrieblicher Aufgaben sowie zur Kontrolle und Beurteilung von Arbeitsleistung und Verhalten der Beschäftigten.
Für Hochrisiko-KI treten ab dem 2. August 2026 weitreichende Verpflichtungen für Anbieter und Betreiber in Kraft. Anbieter haben ein Risikomanagementsystem zu implementieren, müssen die Qualität von Trainings-, Validierungs- und Testdaten gewährleisten, eine vollständige technische Dokumentation samt Protokollierung sicherstellen, Transparenz sowie menschliche Überwachung ermöglichen und eine Konformitätsbewertung vornehmen. Die Betreiberpflichten gemäß Art. 26 KI-VO treffen den Arbeitgeber direkt: Er ist verpflichtet, die Gebrauchsanleitung zu befolgen, qualifiziertes Personal für die menschliche Aufsicht zu bestimmen, Eingabedaten zu überprüfen, Beschäftigte über den KI-Einsatz zu unterrichten und Zwischenfälle zu dokumentieren.
Bestimmte KI-Anwendungen sind seit dem 2. Februar 2025 vollständig verboten. Nach Art. 5 KI-VO untersagt sind Emotionserkennungssysteme am Arbeitsplatz, einschließlich Anwendungen, die während eines Bewerbungsgesprächs Gesichtsausdrücke, Stimmmodulation oder Mikroexpressionen auswerten. Ebenso fallen Social-Scoring-Verfahren und manipulative Systeme unter diese Verbotsnorm.
Verstöße gegen Art. 5 KI-VO können gemäß Art. 99 KI-VO mit Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes sanktioniert werden, wobei jeweils der höhere Betrag maßgeblich ist.
Lassen Sie die Klassifizierung Ihrer KI-gestützten HR-Systeme durch einen Rechtsanwalt überprüfen, damit Hochrisiko-Anwendungen fristgerecht die Konformitätsvorgaben erfüllen und unzulässige Praktiken zweifelsfrei ausgeschlossen werden.
Algorithmen weisen keine automatische Neutralität auf. Trainingsdaten bilden frühere Personalentscheidungen ab; vorhandene Ungleichgewichte können dadurch fortbestehen. Diskriminierung nach dem AGG entsteht durch unmittelbare oder mittelbare Benachteiligung. Eine mittelbare Benachteiligung liegt beispielsweise vor, wenn ein Auswahlalgorithmus Postleitzahlen, Unterbrechungen im Lebenslauf, Bildungsabschlüsse oder sprachliche Merkmale bewertet und dadurch Frauen, Personen mit Migrationshintergrund, ältere Bewerber oder Menschen mit Behinderung durchgehend schlechter einstuft.
Die Haftung liegt beim Arbeitgeber, nicht beim Softwarehersteller. § 7 AGG untersagt Benachteiligungen aufgrund der in § 1 AGG aufgeführten Merkmale. Der Anspruch auf Schadensersatz und Entschädigung ergibt sich aus § 15 AGG. Praktisch maßgeblich ist § 22 AGG: Legt eine abgelehnte Bewerberin Anhaltspunkte für eine Diskriminierung dar – beispielsweise eine algorithmische Vorauswahl ohne dokumentierte sachliche Kriterien –, muss der Arbeitgeber den vollen Beweis dafür erbringen, dass das Auswahlsystem geschlechts- und merkmalsneutral funktioniert.
Dieser Beweis lässt sich regelmäßig nur erbringen, wenn die Auswahlkriterien dokumentiert und die Funktionsweise des Modells nachvollziehbar sind. Black-Box-Systeme, deren Auswahllogik der Arbeitgeber selbst nicht durchdringt, lassen sich im AGG-Verfahren kaum verteidigen. Die KI-Verordnung verschärft diese Situation weiter, indem sie für Hochrisiko-KI Nachvollziehbarkeit, menschliche Kontrolle und transparente Datenverarbeitung fordert.
In der Praxis zeigen sich mehrere typische Fälle. Sprachanalyse-Tools können Bewerber mit Akzent oder nichtdeutscher Muttersprache benachteiligen und dadurch eine mittelbare Benachteiligung aufgrund der ethnischen Herkunft bewirken. Algorithmen, die auf historischen Einstellungsdaten basieren, setzen bestehende Geschlechterverteilungen in technischen Berufen fort. Lebenslauf-Parser, die Unterbrechungen negativ bewerten, betreffen überdurchschnittlich häufig Frauen mit Betreuungspflichten sowie Personen nach längerer Erkrankung. Zudem können Performance-Tools, die Arbeitsgeschwindigkeit erfassen, Beschäftigte mit Behinderung durchgehend schlechter einstufen.
Nach Art. 22 Abs. 1 DSGVO sind vollautomatisierte Einzelentscheidungen verboten, wenn sie rechtliche Wirkung gegenüber der betroffenen Person entfalten oder diese in vergleichbarer Weise erheblich beeinträchtigen. Hierunter fallen typischerweise die Ablehnung einer Bewerbung, Entscheidungen über Beförderungen oder die Beendigung von Arbeitsverhältnissen. Solche Entscheidungen sind ausschließlich unter den Ausnahmetatbeständen des Art. 22 Abs. 2 DSGVO zulässig, insbesondere wenn eine ausdrückliche Einwilligung vorliegt oder eine gesetzliche Erlaubnis besteht.
Im SCHUFA-Urteil vom 7. Dezember 2023 (C-634/21) hat der Europäische Gerichtshof präzisiert, dass Art. 22 DSGVO kein bloßes Widerspruchsrecht darstellt, sondern ein grundsätzliches Verbot mit Erlaubnisvorbehalt normiert. Schon die Generierung eines automatisierten Scores kann eine unzulässige Einzelentscheidung darstellen, sofern ein Dritter seine Entscheidung maßgeblich darauf stützt. Auf HR-Software übertragen heißt dies: Ein Recruiting-Score, dem die Personalabteilung in der Praxis folgt, unterfällt Art. 22 DSGVO, auch wenn formal ein Mensch die abschließende Entscheidung trifft.
Zusätzlich fordert Art. 35 DSGVO eine Datenschutz-Folgenabschätzung, wenn persönliche Aspekte systematisch und umfassend bewertet werden und sich darauf automatisierte Entscheidungen stützen. § 26 BDSG beschränkt die Verarbeitung von Beschäftigtendaten darüber hinaus auf das Maß, das für Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Bei Verstößen drohen nach Art. 83 DSGVO Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt.
Lassen Sie automatisierte Entscheidungsprozesse datenschutzrechtlich prüfen, sobald HR-Systeme über Bewerbungen, Beförderungen, Aufgabenverteilung oder Kündigungen mitentscheiden.
Der Einsatz automatisierter HR-Systeme aktiviert in der Regel Mitbestimmungsrechte des Betriebsrats. Von zentraler Bedeutung ist § 87 Abs. 1 Nr. 6 BetrVG: Technische Einrichtungen, die objektiv dazu geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, dürfen ausschließlich mit Zustimmung des Betriebsrats eingeführt und verwendet werden. Nahezu sämtliche KI-gestützten HR-Tools, die Daten zur Bewertung oder Steuerung von Beschäftigten erfassen, unterliegen dieser Regelung.
Zusätzlich greifen begleitende Beteiligungsrechte. Gemäß § 90 Abs. 1 Nr. 3 BetrVG muss der Arbeitgeber den Betriebsrat rechtzeitig informieren, sobald er den Einsatz von KI beabsichtigt – nicht erst zum Zeitpunkt der Inbetriebnahme. § 95 Abs. 2a BetrVG dehnt das Mitbestimmungsrecht bei Auswahlrichtlinien ausdrücklich auf KI-gestützte Verfahren aus. § 94 BetrVG umfasst Beurteilungsgrundsätze, die durch automatisierte Bewertungssysteme festgelegt werden.
Durch das Betriebsrätemodernisierungsgesetz von 2021 wurden § 80 Abs. 3 Sätze 2 und 3 BetrVG eingeführt. Wenn der Betriebsrat die Einführung oder Anwendung von KI beurteilen muss, gilt die Hinzuziehung eines Sachverständigen als erforderlich – die Kosten trägt der Arbeitgeber. Das Arbeitsgericht Hamburg hat mit Beschluss vom 16. Januar 2024 (Az. 24 BVGa 1/24) festgestellt, dass die bloße Erlaubnis zur privaten Nutzung von Tools wie ChatGPT noch kein Mitbestimmungsrecht auslöst, solange der Arbeitgeber keinen Zugriff auf die Nutzungsdaten hat. Sobald allerdings Firmen-Accounts eingerichtet oder die Tools in die Unternehmensinfrastruktur eingebunden werden, greift die Mitbestimmung.
Lassen Sie laufende oder geplante KI-Projekte arbeitsrechtlich begleiten.
Ein wirksames Compliance-Konzept setzt bei der systematischen Erfassung sämtlicher im Personalbereich genutzter Systeme an. Für jede Anwendung muss geklärt werden, ob sie als KI-System gemäß Art. 3 Nr. 1 KI-VO einzustufen ist und welcher Risikoklasse sie zuzuordnen ist. Unzulässige Verfahren wie die Emotionserkennung am Arbeitsplatz oder Social Scoring müssen sofort eingestellt werden. Systeme der Hochrisikokategorie müssen spätestens bis zum 2. August 2026 sämtliche Vorgaben aus Art. 8 ff. KI-VO erfüllen.
Die zweite Ebene bildet der Datenschutz. Für jedes System muss geprüft werden, ob eine Datenschutz-Folgenabschätzung durchzuführen ist, ob § 26 BDSG als Rechtsgrundlage für die Datenverarbeitung ausreicht und ob Art. 22 DSGVO beachtet wird. In der Praxis heißt das: dokumentierte menschliche Entscheidungsabläufe anstelle rein formaler Bestätigungshandlungen, umfassende Informationspflichten gegenüber Beschäftigten und Bewerbern sowie transparent nachvollziehbare Auswahlkriterien.
Die dritte Ebene umfasst die Einbindung des Betriebsrats. Eine Betriebsvereinbarung zum KI-Einsatz regelt Verwendungszweck, Datengrundlagen, Eskalationsverfahren, Kontrollrechte und Beendigungsoptionen. Zur Compliance zählt darüber hinaus eine kontinuierliche Überwachung: wiederkehrende Bias-Prüfungen, dokumentierte Schulungen für Personalverantwortliche, eindeutig festgelegte Zuständigkeiten zwischen Personalabteilung, IT, Datenschutz und Rechtsabteilung sowie ein Meldesystem für Fehlfunktionen.
Nicht zu vernachlässigen ist die vertragliche Gestaltung mit den Software-Anbietern. Der Arbeitgeber fungiert nach der KI-Verordnung als Betreiber und nach der DSGVO als Verantwortlicher, selbst beim Einsatz von Standardsoftware. In Lizenz- und Auftragsverarbeitungsverträgen sollten deshalb Auskunfts-, Audit- und Kooperationsrechte verankert sein, damit der Arbeitgeber seinen Verpflichtungen gegenüber Aufsichtsbehörden, Bewerbern und Beschäftigten gerecht werden kann. Fehlen vertragliche Mitwirkungspflichten des Anbieters, steht der Arbeitgeber im Konfliktfall ohne verwertbare Informationen da.
Die Unterstützung durch einen Rechtsanwalt im Arbeitsrecht ist unbedingt erforderlich, wenn gleichzeitig die Verbindungen zwischen KI-Verordnung, Datenschutz, Antidiskriminierungsrecht und Mitbestimmung geklärt werden müssen. Dringend notwendig wird die rechtliche Beratung bei AGG-Klagen von zurückgewiesenen Bewerbern, bei Auskunfts- oder Beschwerdeverfahren durch die Datenschutzaufsicht, bei Beschlussverfahren des Betriebsrats vor dem Arbeitsgericht oder bei Marktüberwachungsmaßnahmen gemäß der KI-Verordnung.
Strategisch empfehlenswert ist die anwaltliche Begleitung bereits in der Planungsphase, nämlich bei der Auswahl und vertraglichen Ausgestaltung von HR-Software, bei der Risikoklassifizierung gemäß der KI-Verordnung, bei der Durchführung der Datenschutz-Folgenabschätzung sowie bei der Aushandlung einer Betriebsvereinbarung zu KI. Ein Rechtsanwalt im Arbeitsrecht kann arbeitsrechtliche, datenschutzrechtliche und KI-rechtliche Fragestellungen zusammenhängend beantworten und gewährleisten, dass die umgesetzten Maßnahmen gegenüber Aufsichtsbehörden und Gerichten standhalten.
Überprüfen Sie umgehend den Einsatz Ihrer HR-Systeme hinsichtlich rechtlicher Risiken und lassen Sie sich gründlich beraten, um KI-Verordnung, Datenschutz, AGG-Vorgaben und Mitbestimmungsrechte rechtssicher in Ihre Abläufe einzubinden.
Montag – Samstag 08:00 – 22:00 Uhr
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Google Maps. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Google Maps. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
