KI in der Leistungsbeurteilung und im Mitarbeitergespräch: Was erlaubt ist und was HR-Teams vor dem Einsatz klären

Darf KI Leistungsbeurteilungen und Mitarbeitergespräche unterstützen?

Ja, als Vorbereitung. Nein, als Entscheidungsinstanz. Das Gesetz zieht die Grenze nicht beim Werkzeug, sondern bei der Wirkung: Wer mit KI einen Gesprächsleitfaden formuliert, einen eigenen Text glättet oder Notizen sortiert, bewegt sich meist außerhalb der strengsten Regeln. Wer dagegen ein System Leistung oder Verhalten einzelner Beschäftigter bewerten lässt, oder wer es nutzt, um Beförderung, Kündigung oder Aufgabenzuweisung vorzubereiten, landet in Anhang III Nr. 4 Buchst. b der KI-Verordnung und damit bei den Hochrisiko-Systemen.

Dabei hilft die Ausnahme in Art. 6 Abs. 3 KI-VO nur begrenzt. Sie gilt, wenn kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte entsteht. Profiling natürlicher Personen gilt dagegen immer als Hochrisiko. Ein System, das aus Kennzahlen, Tickets und Kalendereinträgen ein Leistungsprofil einer Person erstellt, ist Profiling, auch wenn am Ende ein Mensch auf „Speichern“ klickt.

Wie verbreitet das ist, zeigt Bitkom. In der Befragung von 852 Unternehmen ab drei Beschäftigten (KW 38 bis 44 2024) nutzten 8 Prozent KI zur Beurteilung der Arbeitsleistung, 20 Prozent konnten es sich vorstellen. Nach Destatis nutzen 26 Prozent der Unternehmen in Deutschland KI überhaupt (2025), bei Unternehmen ab 250 Beschäftigten 57 Prozent. Wenn Sie in diesem Feld planen, sind Sie also eher früh als spät. Das ist ein Grund, die Regeln vorher zu klären und nicht hinterher.

Belege12345

Was verbietet die KI-Verordnung am Arbeitsplatz ausdrücklich?

Das Ableiten von Emotionen. Art. 5 Abs. 1 Buchst. f der KI-Verordnung verbietet KI-Systeme, die Emotionen einer Person am Arbeitsplatz erkennen oder ableiten, außer aus medizinischen oder Sicherheitsgründen. Das Verbot gilt seit dem 2. Februar 2025, also unabhängig von den späteren Fristen für Hochrisiko-Systeme.

Für Mitarbeitergespräche ist das konkreter, als es klingt. Ein Transkriptionswerkzeug, das nur mitschreibt, ist etwas anderes als eines, das zusätzlich „Stimmung“, „Engagement“ oder „Stresslevel“ aus Stimme oder Gesicht ausweist. Das zweite ist der Fall, den die Vorschrift meint. Prüfen Sie bei jedem Werkzeug für Gespräche und Befragungen, ob es solche Auswertungen mitliefert, und schalten Sie sie ab. Dass sich eine Funktion nur ausblenden lässt, ändert nichts daran, dass Sie als Betreiber für ihren Einsatz verantwortlich sind.

Die Ausnahme für medizinische Zwecke und die Sicherheit ist eng. Stimmungsdaten sind außerdem schnell Gesundheitsdaten: Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung besonderer Kategorien personenbezogener Daten, zu denen Gesundheitsdaten gehören, außer es greift eine Ausnahme nach Absatz 2. Wer mit Stimmungsanalysen anfängt, kommt deshalb auch datenschutzrechtlich in schwieriges Gelände. Ob die Leitlinien der EU-Kommission zu den verbotenen Praktiken diese Fälle konkret benennen, konnte ich in diesem Lauf nicht am Originaltext prüfen. Die Leitlinien sind nach Angabe der Kommission ohnehin nicht verbindlich, die Auslegung liegt beim EuGH.

Belege67

Wann gilt welche Regel, und was passiert bis dahin?

Die Hochrisikopflichten für Systeme nach Anhang III gelten ab dem 2. Dezember 2027. Das Datum steht in der Verordnung (EU) 2026/1744, dem Digital Omnibus, vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026. Zuvor sollten sie schon im August 2026 gelten. Das Verbot der Emotionserkennung am Arbeitsplatz gilt dagegen seit dem 2. Februar 2025, und die DSGVO gilt unverändert.

Der spätere Termin ist kein Grund zu warten. Er ist die Frist, bis zu der Ihre Prozesse stehen müssen, und wer heute ein System einführt, braucht es morgen konform. Die Gesamtübersicht der Pflichten steht auf der Seite zur EU-KI-Verordnung im HR. Hinzu kommt, dass die Pflichten bei der Einführung geklärt werden müssen, nicht erst am Stichtag: Der Betriebsrat entscheidet über Einführung und Anwendung jetzt mit, und die Datenschutz-Folgenabschätzung gehört vor den Start.

Die Verordnung sieht für Verstöße gegen die Betreiberpflichten Geldbußen bis 15.000.000 Euro vor (Art. 99 Abs. 4). Die Schwelle in Prozent des Umsatzes habe ich nicht am Originaltext geprüft und nenne sie deshalb nicht. Für Ihre Planung genügt: Es geht nicht um eine Kleinigkeit.

Belege8910

Wann ist eine Beurteilung eine automatisierte Entscheidung nach der DSGVO?

Wenn kein Mensch mit tatsächlichem Entscheidungsspielraum dazwischensteht. Art. 22 Abs. 1 DSGVO gibt Betroffenen das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu sein, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine Beurteilung, auf der Bonus, Beförderung oder Kündigung beruhen, erfüllt das schnell. Nach Abs. 3 braucht es, wo eine Ausnahme greift, wenigstens das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Möglichkeit der Anfechtung.

Die Datenschutzkonferenz hat in der Orientierungshilfe zu KI und Datenschutz vom 6. Mai 2024 betont, dass dem entscheidenden Menschen ein tatsächlicher Entscheidungsspielraum zukommen muss (so gibt es Gleiss Lutz wieder). Das ist der Punkt, an dem viele Einführungen scheitern. Wenn ein Tool eine Note vorschlägt und die Führungskraft sie in 40 von 40 Fällen übernimmt, hat die Aufsicht Grund, das als Formalie zu werten. Dokumentieren Sie deshalb, wie oft Führungskräfte vom Vorschlag abweichen, und geben Sie ihnen die Daten, mit denen sie abweichen können.

Dazu kommen Informationspflichten. Wer eine automatisierte Entscheidungsfindung einschließlich Profiling einsetzt, muss darüber informieren (Art. 13 Abs. 2 Buchst. f DSGVO), und Beschäftigte können Auskunft darüber verlangen (Art. 15 Abs. 1 Buchst. h DSGVO). Die KI-Verordnung ergänzt das: Betroffene können bei Hochrisiko-Systemen vom Betreiber eine klare und aussagekräftige Erläuterung verlangen (Art. 86 Abs. 1), und Betreiber müssen sie informieren, dass sie dem System unterliegen (Art. 26 Abs. 11). Wer das nicht erklären kann, sollte das System nicht einsetzen.

Für die menschliche Aufsicht verlangt Art. 26 Abs. 2 KI-VO Personen mit der nötigen Kompetenz, Schulung und Befugnis. Art. 14 Abs. 4 Buchst. b nennt die Neigung, sich automatisch auf das Ergebnis zu verlassen, ausdrücklich als Risiko, dessen sich die Aufsichtspersonen bewusst bleiben sollen. Schulen Sie die Führungskräfte also nicht nur in der Bedienung, sondern darin, dem Vorschlag zu misstrauen.

Belege11121314151617

Welche Rechtsgrundlage tragen Daten aus Beurteilung und Gespräch?

Das Beschäftigungsverhältnis, aber nicht allein. § 26 Abs. 1 Satz 1 BDSG erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses. Eine Einwilligung kommt nur in Betracht, wenn sie freiwillig ist, und für die Beurteilung der Freiwilligkeit ist die Abhängigkeit der Beschäftigten zu berücksichtigen (§ 26 Abs. 2 BDSG). Für Beurteilungsdaten ist die Einwilligung deshalb ein schwacher Boden. Die Beteiligungsrechte der Interessenvertretungen bleiben nach § 26 Abs. 6 BDSG unberührt.

Art. 88 DSGVO erlaubt Mitgliedstaaten und Kollektivvereinbarungen spezifischere Vorschriften zum Beschäftigtendatenschutz. Wer sich auf eine Betriebsvereinbarung stützt, sollte wissen, dass der EuGH am 19. Dezember 2024 (C-65/23) entschieden hat, dass solche Vereinbarungen nicht nur die Anforderungen des Art. 88 Abs. 2 DSGVO, sondern auch die allgemeinen Vorgaben der DSGVO erfüllen müssen (so die Zusammenfassung von Heuking). Die Betriebsvereinbarung ist also kein Freibrief.

Das kann teuer werden, wie ein Fall des Bundesarbeitsgerichts zeigt. Im Urteil vom 8. Mai 2025 (8 AZR 209/21) sprach das Gericht einem Beschäftigten 200 Euro Schadensersatz nach Art. 82 DSGVO zu, weil der Arbeitgeber im Testbetrieb einer HR-Software Daten außerhalb der Betriebsvereinbarung an die Konzernmutter übermittelt hatte. Der Betrag ist klein, die Lehre nicht: Daten, die über den vereinbarten Zweck hinausgehen, sind ein eigener Haftungsfall, auch im Test.

Bei systematischer und umfassender Bewertung persönlicher Aspekte durch automatisierte Verarbeitung verlangt Art. 35 Abs. 3 Buchst. a DSGVO eine Datenschutz-Folgenabschätzung. Eine KI-gestützte Leistungsbewertung erfüllt das in aller Regel. Sie gehört vor die Einführung und sollte die Informationen nutzen, die der Anbieter ohnehin liefern muss. Die Grundlagen dazu beschreibt die Seite DSGVO und KI im HR.

Belege1819202122

Was bestimmt der Betriebsrat bei KI in der Beurteilung mit?

Mehr, als viele erwarten. Zwei Vorschriften tragen: § 94 Abs. 2 BetrVG erstreckt die Zustimmungspflicht auf die Aufstellung allgemeiner Beurteilungsgrundsätze, und § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen. Fehlt die Einigung, ersetzt die Einigungsstelle sie.

Dabei genügt die objektive Eignung. Das Bundesarbeitsgericht hat am 13. Dezember 2016 (1 ABR 7/15) entschieden, dass es auf die objektive Eignung der Einrichtung ankommt, Verhaltens- oder Leistungsinformationen zu erheben, nicht auf die Absicht des Arbeitgebers. Am 23. Oktober 2018 (1 ABN 36/18) stellte es klar, dass es auf keine Geringfügigkeitsschwelle ankommt und auch softwarebasierte Personalverwaltungssysteme erfasst sind, bis hin zu Excel. Wer sagt, die KI solle ja nur Texte schreiben, muss sich also fragen lassen, ob sie nebenbei Leistungsdaten sammelt.

Der Betriebsrat darf sich zudem helfen lassen. Muss er die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 Satz 2 BetrVG), und über den Einsatz von KI in Arbeitsverfahren ist er rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG). Arbeitgeber und Betriebsrat haben außerdem die freie Entfaltung der Persönlichkeit der Beschäftigten zu schützen und zu fördern (§ 75 Abs. 2 BetrVG). Planen Sie für die Beteiligung Wochen ein, nicht Tage.

Eine Grenze gibt es. Das Arbeitsgericht Hamburg sah am 16. Januar 2024 (24 BVGa 1/24) im Eilverfahren kein Mitbestimmungsrecht, wenn Beschäftigte freiwillig ChatGPT über private Accounts nutzen und der Arbeitgeber keinen Zugriff auf die Daten hat (so Gleiss Lutz). Das ist ein Sonderfall, der für dienstliche Systeme mit Arbeitgeberzugriff nicht trägt. Für Beurteilungen taugt er nicht als Argument.

Belege232425262728293031

Dürfen KI-Werkzeuge das Mitarbeitergespräch mitschreiben?

Nur mit klarer Information und, wo nötig, Mitbestimmung. Das Mitschneiden ist der heikle Teil. Nach § 201 StGB wird bestraft, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt. Ein Mitarbeitergespräch ist nichtöffentlich. Ein Werkzeug, das die Tonspur speichert, bewegt sich damit in einem Bereich, den Sie nicht durch eine Zeile im Kalendereintrag regeln.

Die Einwilligung ist dafür nicht verlässlich. Der Hamburgische Datenschutzbeauftragte schreibt in seinem Tätigkeitsbericht 2025 zur automatischen Transkription von Videokonferenzen im öffentlichen Dienst, dass die Aktivierung von Kamera und Mikrofon kaum als freiwillige Einwilligung zu verstehen sei und die Einwilligung „auf tönernen Füßen“ stehe. Der Fall betrifft keine Mitarbeitergespräche und keine Privatwirtschaft. Die Wertung zur Freiwilligkeit passt aber zu § 26 Abs. 2 BDSG und trägt deshalb auch hier.

Beschäftigte haben außerdem das Recht, ihre Beurteilung zu erörtern (§ 82 Abs. 2 BetrVG) und in ihre Personalakte Einsicht zu nehmen (§ 83 Abs. 1 BetrVG). Ein KI-Protokoll, das nur im Tool liegt und nie in die Akte gelangt, ist ein Problem, weil niemand es korrigieren kann. Legen Sie deshalb fest, was gespeichert, wer es sieht und wann es gelöscht wird, und lassen Sie die Führungskraft jedes Protokoll prüfen und freigeben.

Ob eine Aufsichtsbehörde das Mitschneiden von Gesprächen durch KI-Werkzeuge ausdrücklich an § 201 StGB misst, habe ich nicht belegt gefunden. Die Aussage oben beruht auf dem Wortlaut der Norm. Fragen Sie vor dem Einsatz Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten.

Belege323334

Wie fair und wie wirksam sind Beurteilungen, mit oder ohne KI?

Schon ohne KI weniger als gedacht. Gallup berichtete 2017, dass nur 14 Prozent der Beschäftigten voll zustimmen, dass die Beurteilungen, die sie erhalten, sie zur Verbesserung anspornen. Die Seite nennt Stichprobe und Erhebungsjahr nicht, die Zahl ist also ein Hinweis und kein Maßstab. Die Metaanalyse von Kluger und DeNisi (1996) zu Feedback-Interventionen fand im Schnitt eine Verbesserung (d = 0,41), bei über einem Drittel der Interventionen sank die Leistung. Feedback hilft also nicht automatisch, und KI macht es nicht automatisch besser.

Bei der Fairness ist die Lage unbequem, weil die Forschung zu LLM-gestützten Beurteilungen im Betrieb dünn ist. Der nächste belegte Hinweis ist eine Studie aus den Findings der EMNLP 2023: LLM-generierte Empfehlungsschreiben zeigten deutliche Geschlechterverzerrungen in Sprachstil und Inhalt. Das sind Referenzschreiben, keine Beurteilungen, und ich ziehe es deshalb nur als Analogie heran. Wer KI-Entwürfe für Beurteilungstexte nutzt, sollte stichprobenartig prüfen, ob Entwürfe für Männer und Frauen im Ton abweichen.

Rechtlich ist das kein Randthema. Eine mittelbare Benachteiligung liegt vor, wenn dem Anschein nach neutrale Verfahren Personen wegen eines Grundes nach § 1 AGG in besonderer Weise benachteiligen können (§ 3 Abs. 2 AGG). Lassen Indizien eine Benachteiligung vermuten, trägt die andere Partei die Beweislast dafür, dass kein Verstoß vorliegt (§ 22 AGG). Wenn Sie nicht erklären können, wie ein KI-Vorschlag zustande kam, wird es schwer, die Vermutung zu entkräften.

Prüfen Sie Ihre Schätzung. Wie viele Beschäftigte stimmen voll zu, dass die Beurteilungen sie anspornen?

Belege3536373839

Was bieten Anbieter von Leistungs- und Befragungstools zur KI-Verordnung?

Wenig, soweit sich das öffentlich prüfen lässt. Ich habe 30 HR-Tools aus den Bereichen Leistungsmanagement (10), People Analytics (7) und Befragung oder Engagement (13) ausgewertet. Bei 21 davon habe ich geprüft, ob der Anbieter öffentlich etwas zur KI-Verordnung sagt. Fünf tun es: drei mit einem Dokument oder einer Stellungnahme, zwei mit der Aussage, ihre KI-Funktionen seien nach bestem Wissen nicht hochriskant. Bei 16 habe ich keine Aussage gefunden. Bei 9 Tools war die Angabe noch nicht geprüft.

Auch beim Auftragsverarbeitungsvertrag ist das Bild lückenhaft. 9 der 30 Tools veröffentlichen ihn, 2 verlangen eine Zustimmung per Klick, bei 19 ist keine Angabe erfasst. Das heißt nicht, dass es ihn nicht gibt. Es heißt, dass Sie ihn anfordern müssen, bevor Sie Daten von Beschäftigten einspielen.

Was folgt daraus? Fragen Sie jeden Anbieter schriftlich: Wird Leistung oder Verhalten einzelner Beschäftigter bewertet? Wird Profiling betrieben? Gibt es eine Aussage zu Anhang III? Welche Protokolle liefert das System, damit Sie die Pflichten nach Art. 26 KI-VO erfüllen können? Die Antworten gehören in die Datenschutz-Folgenabschätzung. Bewertet wird hier kein Anbieter, und die Erhebung beruht allein auf öffentlichen Angaben.

Belege15

Was klären Sie, bevor Sie KI in Beurteilung und Gespräch einführen?

Sieben Dinge, in dieser Reihenfolge: den Zweck, die Stufe, die Rechtsgrundlage, den Betriebsrat, die Aufsicht, die Information und den Ausstieg. Der Zweck kommt zuerst, weil er die Stufe bestimmt. „Texte glätten“ und „Leistung bewerten“ sind rechtlich zwei verschiedene Projekte, auch wenn dasselbe Werkzeug beides kann.

Dann die Stufe nach dem Selbstcheck oben und die Rechtsgrundlage mit Datenschutz-Folgenabschätzung. Danach der Betriebsrat, möglichst vor der Beschaffung, mit dem Anbieterdossier in der Hand. Wie eine Betriebsvereinbarung aufgebaut sein kann, beschreibt die Seite zur Betriebsvereinbarung KI. Wenn schon Mitarbeitende ohne Freigabe KI für Beurteilungstexte nutzen, hilft der Artikel zu KI ohne Freigabe im Team beim ersten Schritt.

Die Aufsicht heißt: Wer schaut hin, mit welcher Schulung und welchen Daten, und wie oft weicht diese Person vom Vorschlag ab. Die Information heißt: Beschäftigte erfahren vorab, dass und wie KI eingesetzt wird, und können eine Erläuterung verlangen. Der Ausstieg heißt: Sie können das System abschalten, ohne dass Beurteilungen verloren gehen. Die Liste fasst das zusammen. Haken Sie ab, was bei Ihnen geklärt ist. Der Stand bleibt in Ihrem Browser gespeichert, und mit dem Knopf unten kopieren Sie ihn als Text.

Belege623

Wann Sie mich dafür nicht brauchen

Wenn der Einsatz in der Vorbereitung bleibt und Sie die Regeln im Haus haben. Nutzt Ihr Team KI, um Gesprächsleitfäden zu formulieren oder eigene Notizen in Form zu bringen, ohne personenbezogene Daten einzugeben und ohne Bewertung, genügt in der Regel eine klare KI-Richtlinie, und Ihre Datenschutzbeauftragte oder Ihr Betriebsrat tragen den Rest. Dafür brauchen Sie keine externe Beratung.

Anders ist es, wenn ein Werkzeug Leistung auswerten oder Beurteilungen vorbereiten soll und niemand im Haus Anhang III, Betriebsrat und Datenschutz-Folgenabschätzung zusammen betrachten kann. Dann übernehme ich als Interim oder Fractional HR Manager die Einordnung, führe das Gespräch mit dem Betriebsrat und baue die Prozesse so, dass die Führungskräfte tatsächlich entscheiden. Rechtsberatung im Einzelfall bleibt bei Anwältin oder Anwalt.

Mein wichtigster Rat gilt unabhängig davon, wen Sie holen: Beginnen Sie mit der Frage, welche Entscheidung die KI vorbereitet, nicht mit der Frage, welches Werkzeug das kann.

Belege1