Dies ist der zweite Teil einer dreiteiligen Serie zu den arbeits- und datenschutzrechtlichen Rahmenbedingungen des KI-Einsatzes im Unternehmen. Teil 1 behandelte Betriebsverfassungs- und Individualarbeitsrecht, Teil 3 die KI-Kompetenzpflicht nach Art. 4 KI-VO.

Einleitung

Auch wenn Betriebsrat und Beschäftigte einer KI-Einführung zustimmen: Damit ist der KI-Einsatz im UNternehmen noch nicht automatisch rechtssicher. Sobald personenbezogene Daten verarbeitet werden oder KI Personalentscheidungen vorbereitet, treten Datenschutzrecht und die Vorgaben der EU-KI-Verordnung (KI-VO) hinzu – und mit ihnen empfindliche Haftungsrisiken für Unternehmen, Geschäftsleitung und Beschäftigte. Dieser zweite Teil unserer Serie zeigt, worauf es dabei ankommt.

Datenschutzrecht: Welche Vorgaben gelten für personenbezogene Daten?

Fließen Beschäftigtendaten in ein KI-Modell, gelten § 26 BDSG und Art. 22 DSGVO – und zwar unabhängig davon, ob es sich um eine Personalentscheidung im engeren Sinne handelt.

• Rechtsgrundlage: Im laufenden Arbeitsverhältnis ist bei den meisten Anwendungen nicht von einer wirksamen Einwilligung auszugehen, da es regelmäßig an der erforderlichen Freiwilligkeit fehlt. Auch eine Erforderlichkeit i. S. v. § 26 BDSG liegt nicht für jeden Anwendungsfall vor. Sinnvoll ist daher ein gesonderter datenschutzrechtlicher Erlaubnistatbestand – sei es über die DSGVO, sei es über eine Kollektivvereinbarung, die das Schutzniveau von DSGVO und BDSG allerdings nicht unterschreiten darf.
• Rechenschaftsprinzip (Art. 5 Abs. 2 DSGVO): Der Arbeitgeber muss jederzeit nachweisen können, dass die Interessenabwägung zwischen Arbeitgeber- und Beschäftigteninteressen vorgenommen wurde und die datenschutzrechtlichen Vorgaben eingehalten werden. Eine sorgfältig gestaltete Betriebsvereinbarung kann hierfür das Mittel der Wahl sein – sie sollte dabei aber nicht pauschal jede Leistungs- und Verhaltenskontrolle ausschließen, da dies auch anlassbezogene, im Einzelfall zulässige Auswertungen bei vorsätzlichen Pflichtverletzungen blockieren würde.
• Technische und organisatorische Maßnahmen (Art. 24, 25 DSGVO): Erforderlich sind u. a. Datenschutzmanagementsysteme, Löschkonzepte und angemessene IT-Sicherheitsmaßnahmen.
• Auftragsverarbeitung (Art. 28 DSGVO): Beim Einsatz externer KI-Anbieter (z. B. US-Dienste) ist zu prüfen, ob ein wirksamer Auftragsverarbeitungsvertrag besteht und die Datenübermittlung in Drittstaaten datenschutzkonform abgesichert ist.
• Automatisierte Entscheidungen (Art. 22 DSGVO): Trifft die KI selbstständig personalbezogene Entscheidungen mit rechtlicher Wirkung – etwa im Bewerbungsprozess oder bei Beförderungen –, ist dies grundsätzlich unzulässig, sofern keine der engen Ausnahmen greift. Eine KI darf unterstützen, die Letztentscheidung muss beim Menschen bleiben.

Hochrisiko-KI bei Personalentscheidungen: Was der AI Act verlangt

Wird KI eingesetzt, um Personalentscheidungen zu treffen oder vorzubereiten – etwa zur systematischen Auswertung von Bewerbungen, zur Identifikation von Entwicklungsbedarfen oder zur Beeinflussung der Sozialauswahl bei Kündigungen –, stuft Anhang III der KI-VO die Anwendung als Hochrisiko-KI-System ein, da sie Einfluss auf den Zugang zu Beschäftigung hat.

Das hat mehrere praktische Konsequenzen:

• Grundrechte-Folgenabschätzung (Art. 27 KI-VO): Vor Inbetriebnahme ist – jedenfalls in öffentlichen Einrichtungen oder regulierten Bereichen – zu dokumentieren, welche Auswirkungen auf betroffene Personengruppen und Schadensrisiken bestehen und welche Maßnahmen der menschlichen Aufsicht sowie internen Beschwerdemechanismen vorgesehen sind.
• Transparenz: Betroffene müssen darüber informiert werden, dass sie einer Entscheidung durch ein Hochrisiko-System unterliegen.
• Menschliche Letztentscheidung: Die finale Entscheidung über Personalmaßnahmen muss nachweisbar von einem Menschen (oder einem Gremium) getroffen werden.
• Betreiberpflichten: Einsatz nach Betriebsanleitung, qualifizierte und befugte menschliche Aufsicht, geeignete Eingabedaten, laufende Überwachung, Möglichkeit zur Aussetzung des Systems bei erkennbaren Risiken sowie Aufbewahrung der Protokolle.
• Sanktionen: Verstöße können mit behördlichen Untersagungsverfügungen, Löschungs- oder Anpassungsvorgaben sowie Bußgeldern von bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden.

Wird ein allgemeines KI-Tool durch das Unternehmen selbst für die Bewerberauswahl zweckentfremdet, kann das Unternehmen dadurch sogar selbst zum Anbieter im Sinne der KI-VO werden – mit entsprechend weitergehenden Pflichten. Unabhängig von der KI-VO bleibt die Bewerberauswahl ohnehin diskriminierungsfrei zu gestalten: Über die Beweislastumkehr nach § 22 AGG treffen Arbeitgeber bei KI-flankierten Personalentscheidungen erhöhte Anforderungen an die Dokumentation und Rechtfertigung.

Handlungsempfehlung: Prüfen Sie rechtzeitig vor der vollen Anwendbarkeit der KI-VO im Beschäftigungsbereich, ob und wo KI für Personalentscheidungen eingesetzt wird, und sorgen Sie für eine diskriminierungsfreie Ausgestaltung oder eine wirksame menschliche Endkontrolle.

Das unterschätzte Risiko: „Schatten-KI“ im Betrieb

Nutzen Mitarbeitende KI-Tools eigenmächtig – über private Accounts, ohne Freigabe und ohne Kenntnis der Geschäftsleitung – spricht man von Schatten-KI. Das Phänomen ist längst Alltag: Nach einer Erhebung setzt bereits gut die Hälfte aller Unternehmen KI in ihren Geschäftsprozessen ein, bei Großunternehmen sind es rund zwei Drittel. Eigene, selbst entwickelte KI-Systeme spielen dabei nur eine untergeordnete Rolle – ganz überwiegend werden externe Anwendungen genutzt. Eine Umfrage aus 2025 zeigt zudem: Mehr als vier von zehn Unternehmen wissen oder vermuten, dass Beschäftigte private KI-Accounts für ihre Arbeit nutzen – aber nur knapp jedes vierte Unternehmen hat dafür überhaupt Nutzungsregeln aufgestellt.

Die Folgen unkontrollierter KI-Nutzung können erheblich sein: die unbemerkte Preisgabe von Betriebs- und Geschäftsgeheimnissen, ungeprüft übernommene fehlerhafte KI-Ergebnisse oder Verstöße gegen Beschäftigtendatenschutz und Urheberrecht. Da Arbeitgeber und Geschäftsleitung für die Organisation rechtskonformer Abläufe verantwortlich bleiben, sollte Schatten-KI durch klare Richtlinien, freigegebene Tools und eine offene Kommunikationskultur eingedämmt werden – ein bloßes Verbot verhindert die Nutzung erfahrungsgemäß nicht, sondern verlagert sie nur ins Verborgene.

Haftung: Wer trägt die Verantwortung, wenn die KI Fehler macht?

Ein eigenständiges KI-Haftungsrecht gibt es nicht – die EU-Kommission hat ihren Vorschlag für eine KI-Haftungsrichtlinie 2025 zurückgezogen. Ansprüche richten sich deshalb weiterhin nach dem allgemeinen Zivilrecht (BGB), der DSGVO, dem AGG und dem Immaterialgüterrecht; künftig ergänzt die reformierte EU-Produkthaftungsrichtlinie die Haftung für fehlerhafte Software und KI-Systeme.

Im Außenverhältnis haftet regelmäßig zunächst das Unternehmen: Bei vertraglichen Ansprüchen wird dem Unternehmen das Verschulden seiner Beschäftigten nach § 278 BGB zugerechnet – ein internes KI-Nutzungsverbot ändert daran nichts, solange die Handlung im Zusammenhang mit der übertragenen Aufgabe steht. Deliktisch kommt eine Haftung über § 831 BGB (Verrichtungsgehilfen) oder § 31 BGB (Organhandeln) sowie über besondere Anspruchsgrundlagen wie § 15 AGG oder Art. 82 DSGVO in Betracht.

Im Innenverhältnis haften Geschäftsführer bzw. Vorstände nach § 43 Abs. 2 GmbHG bzw. § 93 Abs. 2 AktG, wenn sie ihre Organisations- oder Überwachungspflichten schuldhaft verletzen und der Gesellschaft dadurch ein Schaden entsteht. Ein einzelner Fehlgriff eines Mitarbeiters bei der Nutzung eines KI-Tools begründet für sich genommen noch keine Organhaftung – erforderlich ist ein eigener Pflichtverstoß der Geschäftsleitung, etwa eine unzureichende Organisation, Anleitung oder Kontrolle. Die Geschäftsleitung darf konkrete Compliance-Aufgaben an geeignete und ausreichend geschulte Beschäftigte delegieren, muss dabei aber Zuständigkeiten, Befugnisse, Prüf- und Freigabeprozesse sowie Berichtswege klar regeln – die Gesamtverantwortung bleibt bei ihr.

Beschäftigte wiederum haften gegenüber ihrem Arbeitgeber nach den Grundsätzen des innerbetrieblichen Schadensausgleichs: keine Haftung bei leichtester Fahrlässigkeit, anteilige Haftung bei mittlerer Fahrlässigkeit und grundsätzlich volle Haftung bei Vorsatz und grober Fahrlässigkeit. Die Beweislast für Pflichtverletzung und Verschulden trägt dabei der Arbeitgeber. Dokumentierte Schulungen zum Umgang mit KI-Tools können diese Beweisführung im Streitfall erheblich erleichtern – mehr dazu im dritten Teil dieser Serie.

Fahrplan: In 5 Schritten zur rechtssicheren KI-Einführung

1. Mitbestimmungsprüfung: Klären Sie, ob eine Betriebsänderung nach § 111 BetrVG und/oder eine Mitbestimmungspflicht nach § 87 Abs. 1 Nr. 1 oder 6, § 99 BetrVG vorliegt (siehe Teil 1 dieser Serie). Nur auf dieser Grundlage ist eine realistische Zeitplanung möglich.
2. AI-Act-Audit: Prüfen und dokumentieren Sie, ob das geplante System einen Steuerungseffekt auf Beschäftigte hat, ob es als Hochrisiko-System einzustufen ist und welche Vorgaben der KI-VO (Art. 4, ggf. Art. 26, 27) einzuhalten sind.
3. Datenschutzfolgenabschätzung: Werden Beschäftigtendaten verarbeitet, ist vor der Einführung zwingend eine Datenschutzfolgenabschätzung durchzuführen und die Rechtsgrundlage (DSGVO, § 26 BDSG oder Kollektivvereinbarung) festzulegen.
4. Betriebliche Regelung: Schaffen Sie – je nach Einsatzzweck – eine Ergänzung der IT-Rahmenbetriebsvereinbarung oder eine eigenständige Betriebsvereinbarung KI, die Transparenzpflichten, das Verbot automatisierter Personalentscheidungen, Diskriminierungsschutz sowie Regeln zur Leistungs- und Verhaltenskontrolle abbildet.
5. Eskalationsstrategie und laufende Kontrolle: Sichern Sie sich rechtzeitig Ressourcen für eine mögliche Einigungsstelle, falls eine Einigung mit dem Betriebsrat nicht absehbar ist. Etablieren Sie zudem ein laufendes Monitoring (z. B. jährlicher KI-Bericht, Systemverzeichnis) und passen Sie Richtlinien an neue Rechtsprechung und die schrittweise Anwendbarkeit der KI-VO an.

Fazit und Ausblick

Datenschutzrecht, KI-VO und allgemeines Haftungsrecht gelten beim KI-Einsatz uneingeschränkt fort – ein eigenständiges „KI-Haftungsrecht“ gibt es nicht, wohl aber ein dichtes Geflecht bestehender Pflichten, das für Hochrisiko-Anwendungen wie die Bewerberauswahl noch enger wird. Entscheidend ist ein durchdachtes System aus klaren Freigaben, dokumentierten Weisungen, menschlicher Letztkontrolle und laufendem Monitoring statt einer bloßen KI-Policy auf dem Papier.

Handlungsempfehlung: Führen Sie vor jeder KI-Einführung eine Datenschutzfolgenabschätzung und ein AI-Act-Audit durch, sichern Sie Verträge mit externen KI-Anbietern datenschutzrechtlich ab und etablieren Sie klare Verantwortlichkeiten für den Fall, dass doch einmal etwas schiefgeht.

Der dritte und letzte Teil dieser Serie widmet sich der KI-Kompetenzpflicht nach Art. 4 KI-VO: Welche Schulungen Arbeitgeber ihren Beschäftigten anbieten müssen und welche Risiken bei einem Unterlassen drohen.

Die Rechtsanwälte und Fachanwälte der Kanzlei Gräber Onasch Ibach unterstützen Sie gerne bei der datenschutzrechtlichen Gestaltung des KI-Einsatzes in Ihrem Unternehmen und bei der Absicherung von Haftungsrisiken. Kontaktieren Sie uns!

Blog-Beitrag erstellen

Von dir erstellt

Füge PDFs, Dokumente oder andere Texte hinzu, um sie in diesem Projekt als Referenz zu verwenden.