Warum die DSGVO bei jedem HR-KI-Tool greift
Ein Sprachmodell, das eine Bewerbung zusammenfasst, verarbeitet personenbezogene Daten. Ein Werkzeug, das aus Stichworten ein Zeugnis formuliert, verarbeitet Leistungsdaten. Ein Chatbot, der Mitarbeiterfragen beantwortet, weiß, wer fragt. Es gibt im HR-Bereich kaum einen KI-Anwendungsfall ohne Personenbezug, und deshalb kaum einen ohne DSGVO. Das ist keine Hürde gegen KI, sondern eine Reihenfolge: erst der Rahmen, dann das Tool.
Die gute Nachricht: Die Anforderungen sind dieselben wie bei jeder anderen HR-Software. Wer ein HRIS eingeführt hat, kennt sie. Neu ist nur, dass KI-Anbieter außerhalb der EU sitzen können und dass Eingaben in manche Werkzeuge zum Training verwendet werden, wenn der Vertrag das nicht ausschließt.
Auftragsverarbeitungsvertrag
Läuft die KI über einen externen Anbieter, wie Microsoft Copilot, ChatGPT Enterprise oder Claude for Work, braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ohne diesen Vertrag ist die Datenverarbeitung nicht rechtskonform, unabhängig davon, wie gut das Tool funktioniert. Die großen Anbieter stellen diese Verträge für ihre Unternehmensversionen bereit, mit EU-Datenverarbeitung und Ausschluss des Trainings auf Kundendaten. Kostenlose Konsumenten-Versionen haben keinen solchen Vertrag, und genau dort landen HR-Daten, wenn niemand eine Regel aufstellt.
Drei Fragen an jeden Vertrag: Wo werden die Daten verarbeitet? Werden Eingaben zum Training genutzt? Wie lange bleiben sie beim Anbieter? Die Antworten gehören in die Betriebsvereinbarung, weil der Betriebsrat sie stellen wird.
Rechtsgrundlage und welche Daten hinein dürfen
Löschfristen
Bewerberdaten, die durch ein KI-Tool laufen, unterliegen denselben Löschfristen wie alle anderen Bewerberdaten, in der Regel sechs Monate nach Absage, sofern kein berechtigtes Interesse an längerer Aufbewahrung besteht, etwa ein laufendes AGG-Verfahren. Das Tool selbst darf keine eigene, längere Speicherung vornehmen. Praktisch heißt das: Die Löschung muss auch im KI-Werkzeug passieren, in Verläufen, Protokollen und Zwischenspeichern, nicht nur im Bewerbermanagementsystem. Wer das nicht steuern kann, sollte das Werkzeug nicht für Bewerberdaten nutzen.
Betroffenenrechte
Auskunfts- und Löschungsanfragen müssen auch Daten erfassen, die durch ein KI-Tool verarbeitet wurden. Das setzt voraus, dass Sie wissen, was das Tool speichert und wo, nicht nur, was es anzeigt. Dazu kommt bei automatisierten Vorauswahlen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, Art. 22 DSGVO. Das ist der rechtliche Grund, warum jede Personalentscheidung ein Mensch trifft und das Tool nur vorbereitet, und warum das in jeder Betriebsvereinbarung und Richtlinie steht.
Folgenabschätzung und Datenschutzbeauftragter
Bei Bewerberscreening und Leistungsbewertung durch KI ist eine Datenschutz-Folgenabschätzung in aller Regel Pflicht, weil systematisch bewertet wird. Sie dokumentiert, welche Risiken die Verarbeitung für die Betroffenen hat und wie sie begrenzt werden. Der Datenschutzbeauftragte gehört von Anfang an dazu, nicht als Freigabestelle am Ende: Er kennt die Fragen, die der Betriebsrat stellen wird, und der Betriebsrat erwartet, dass er die Vereinbarung mitgezeichnet hat. Wer ihn erst nach der ersten Betriebsratssitzung einbindet, verliert Wochen.
In vier Schritten zum sauberen Rahmen
Welche Tools, welche Daten, welche Zwecke. Ehrlich, inklusive der inoffiziellen Nutzung.
Auftragsverarbeitung mit jedem Anbieter, Rechtsgrundlage je Zweck, Drittland geklärt.
Risiken benennen, Maßnahmen festlegen, dokumentieren. Parallel zur Betriebsvereinbarung.
Löschfristen im Tool, Prozess für Auskunft und Löschung, Verzeichnis der Verarbeitungstätigkeiten ergänzt.
Datenschutz und Mitbestimmung bei KI-Routinen und Systemeinführungen in früheren Stationen umgesetzt, in Abstimmung mit Datenschutzbeauftragten. Praxiswissen, keine Rechtsberatung. Mehr zu mir
DSGVO-Checkliste für KI-Tools im HR
Sechs Prüfpunkte, mit denen Sie vor dem Rollout eines neuen KI-Tools den Datenschutz absichern: Vertrag, Rechtsgrundlage, Daten, Löschfristen, Rechte, Folgenabschätzung. Mit den drei Fragen an jeden Anbietervertrag.
Häufige Fragen
Reicht die Datenschutzerklärung des KI-Anbieters aus?
Nein, ein eigener Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist zusätzlich nötig. Die Datenschutzerklärung beschreibt, was der Anbieter tut, der Vertrag verpflichtet ihn dazu.
Muss der Datenschutzbeauftragte jedes Tool einzeln freigeben?
Er sollte zumindest bei mitbestimmungspflichtigen und Hochrisiko-Anwendungsfällen einbezogen sein. Formale Freigabepflichten hängen vom internen Prozess ab, seine Beteiligung an der Folgenabschätzung ist Pflicht.
Dürfen Bewerberdaten überhaupt in ein Sprachmodell?
Mit Auftragsverarbeitungsvertrag, Rechtsgrundlage und Löschfrist ja. Ohne Vertrag, etwa in kostenlosen Konsumenten-Versionen, nein. Und Gesundheitsdaten oder andere besondere Kategorien nur mit ausdrücklicher Rechtsgrundlage.
Was, wenn der Anbieter außerhalb der EU sitzt?
Dann braucht es zusätzlich eine Grundlage für die Drittlandübermittlung, etwa Standardvertragsklauseln oder eine Angemessenheitsentscheidung. Die großen Anbieter bieten EU-Datenverarbeitung an, das sollte im Vertrag stehen.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Bei Bewerberscreening und Leistungsbewertung durch KI in aller Regel ja, weil systematisch bewertet wird. Bei reinen Textentwürfen ohne Personendaten meist nicht. Im Zweifel den Datenschutzbeauftragten entscheiden lassen.