I. Künstliche Intelligenz und Arbeitnehmerdatenschutz

Die Nutzung von KI im Rahmen von Arbeitsverhältnissen ist ohne die Verarbeitung personenbezogener Daten nahezu undenkbar, was wiederum aus datenschutzrechtlicher Sicht zahlreiche Herausforderungen für die Arbeitswelt mit sich bringt. Insbesondere die Normen der Datenschutzgrundverordnung (nachfolgend DSGVO) dürften diesem technischen Fortschritt jedenfalls im Bereich Personal gewisse Grenzen setzen. Am 21. Mai 2024 hat der Rat der Europäischen Union nun auch die KI-Verordnung („EU AI Act“) verabschiedet, die zeitnah in Kraft treten wird.

Nutzt die Personalabteilung eines Unternehmens beispielsweise ein KI-System zur Automatisierung von Prozessen und werden auf diese Weise beispielsweise Arbeitszeugnisse oder Abmahnungen erstellt, so ist dies datenschutzrechtlich mit äußerster Vorsicht zu betrachten und kann dem Regelungsgehalt der KI-Verordnung unterfallen. Spätestens an dieser Stelle sind das deutsche Arbeitsrecht, die Bestimmungen rund um das Thema Datenschutz und die KI-Verordnung untrennbar miteinander verbunden.

1. Allgemeines

Wann wird KI im Bereich des Arbeitsrechts relevant? Da jedes KI-System immer auf Basis von Trainingsdaten arbeitet, sind hierbei potenziell folgende Gruppen betroffen: diejenigen, deren Daten im System verarbeitet werden, diejenigen, die das System bedienen und diejenigen, von denen die Trainingsdaten stammen.

Ein Anwendungsbereich wäre beispielsweise, dass die Einsatzplanung der Arbeitnehmer vollautomatisiert durch IT-Systeme erfolgen könnte. So würden durch einen Algorithmus den Arbeitnehmern und Arbeitnehmerinnen auf ihren digitalen Endgeräten Arbeitsanweisungen erteilt. Auch Kurier- und Auslieferungsfahrern könnte im Wege einer digitalen Routenplanung die Fahrtroute vorgegeben werden. Wenn man diese Überlegungen weiterführt, könnte ein KI-System, sobald es Verstöße gegen die von ihm erteilten Weisungen feststellt, automatisiert eine Abmahnung an den betreffenden Mitarbeiter vorbereiten oder gar versenden. Am Ende könnte sogar bei wiederholten Pflichtverstößen und auch bei personen- und betriebsbedingten Kündigungen ein KI-System automatisch eine Kündigung generieren. Bei der Durchführung einer Sozialauswahl, aber auch bei der Bemessung eines Sozialplanvolumens, kommen technische Systeme heute schon zum Einsatz.

2. Anwendbarkeit der DSGVO?

Der Anwendungsbereich der DSGVO erstreckt sich auf personenbezogene Daten und damit auf alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dies bedeutet im Umkehrschluss, dass der Anwendungsbereich bei der Nutzung von KI dann nicht eröffnet ist, wenn keine personenbezogenen oder sonstigen sensiblen Informationen – wie bspw. Geschäftsgeheimnisse, Beschäftigungszeiträume und Mitarbeiterdaten – mittels der KI-Anwendung verarbeitet werden. Denkbar wäre beispielsweise, dass das System vorab solche Daten erkennt und diese von Anfang an aussondert und automatisch entfernt. In einem solchen Fall wären die gesetzlichen Vorgaben der Datenschutzbestimmungen ausnahmsweise unbeachtlich.

3. Rechtlicher Ausgangspunkt

Probleme im Rahmen der Nutzung entsprechender Systeme können vor allem dann auftreten, wenn Arbeitgeber nicht transparent kommunizieren, welche Systeme tatsächlich zum Einsatz kommen. Zunächst sind Arbeitgeber nach Maßgabe von Art. 13 DSGVO verpflichtet, ihre Mitarbeiter über die Verarbeitung ihrer Daten zu informieren. Zudem normiert Art. 15 DSGVO ein Auskunftsrecht der „Betroffenen“. Das bedeutet, dass der Verantwortliche die betroffene Person umfassend und in klarer und verständlicher Sprache über die Verarbeitungszwecke und die verarbeiteten Daten, insbesondere aber auch über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer solchen Verarbeitung für die betroffene Person, informieren muss.

Auch vermittelt die Vorschrift des Art. 22 DSGVO betroffenen Personen das Recht, einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung nicht unterworfen zu werden, die ihnen gegenüber eine rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Festzuhalten ist daher, dass beim Erstellen von Ermahnungen, Abmahnungen, Zeugnissen und erst recht Kündigungen der KI-Einsatz nicht gänzlich ohne menschliche Entscheidungskompetenz bleiben kann. Andernfalls droht ein Verstoß gegen Art. 22 DSGVO.

4. Insbesondere: Automatisierte Bewerberauswahl durch KI

Insbesondere in Bewerberauswahlprozessen wird vermehrt Software eingesetzt, die Recruitern voll- oder teilautomatisiert helfen soll, den richtigen Bewerber zu finden. Zum Einsatz kommen dabei sowohl Programme, die Lebensläufe und Zeugnisse auswerten oder auf Basis von Video- oder Telefoninterviews automatisiert Persönlichkeitsprofile der Bewerber erstellen, als auch Algorithmen, die automatisiert soziale Netzwerke nach passenden Kandidaten durchsuchen („Active Sourcing“). Die Nutzung von KI zur automatisierten Bewerberauswahl bietet zahlreiche Vorteile, wie Effizienzsteigerung, Kostenreduktion und im Idealfall eine objektivere Vorauswahl von Bewerbern. Allerdings wirft diese Entwicklung auch rechtliche Fragen auf, die sorgfältig berücksichtigt werden müssen, um Diskriminierung und andere Rechtsverletzungen zu vermeiden.

Hier ist zunächst das Thema der Verwendung von personenbezogenen Daten für die automatisierte Bewerberauswahl zentral. Die Daten, die im Rahmen von KI-basierten Auswahlentscheidungen verarbeitet werden, sind typischerweise personenbezogene Daten, für deren Verarbeitung die Datenschutzgrundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) strenge Regeln festlegen. Ob § 26 Abs. 1 BDSG, der eine Datenverarbeitung im Arbeitsverhältnis unter bestimmten Voraussetzungen erlaubt, noch als Grundlage für eine Datenverarbeitung herangezogen werden kann, wird derzeit kontrovers diskutiert. Unabhängig davon kann die Datenverarbeitung im Arbeitsverhältnis nach Art. 5 Abs. 1 lit. c) DSGVO zulässig sein. Dabei gelten auch Bewerber als Beschäftigte. Eine Bewerbung erfordert aber ein aktives Tätigwerden des Bewerbers, woran es beim Active Sourcing, also der arbeitgeberseitig betriebenen Personalsuche, fehlt. Darüber hinaus muss die konkrete Datenverarbeitung geeignet sein, das vom Arbeitgeber erstrebte Ziel zu erreichen, angemessen und auf das nötige Maß beschränkt sein. Sie muss das mildeste Mittel darstellen und die Interessen des Arbeitgebers müssen gegenüber dem Eingriff in das Persönlichkeitsrecht des Bewerbers überwiegen. Ob eine Datenverarbeitung durch KI-Systeme zulässig ist, kann damit immer nur für den Einzelfall entschieden werden, was die Beurteilung der abstrakten Zulässigkeit erschwert. Sofern die Verwendung von KI im Bewerbungsverfahren danach nicht von sich aus zulässig ist, könnte für die Verarbeitung stattdessen eine Einwilligung des Bewerbers eingeholt werden. Auch dieser Weg scheidet beim Active Sourcing allerdings aus. Zudem wird infrage gestellt, ob eine freiwillige Einwilligung im Arbeits- oder Bewerbungsverhältnis überhaupt möglich ist, wird dieses doch sehr stark durch ein Über-/Unterordnungsverhältnis geprägt. Die Gemeinsame Datenschutzkonferenz hat daher erklärt, eine freiwillige Einwilligung komme im Beschäftigungsverhältnis regelmäßig nicht in Betracht.

Daneben müssen Unternehmen insbesondere hier das Verbot automatisierter Einzelentscheidungen nach Art. 22 Abs. 1 DSGVO beachten. Entscheidungen dürfen danach nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten gestützt werden, wenn sie gegenüber der betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Ein KI-System darf somit lediglich eine Empfehlung hinsichtlich der Bewerber treffen, jedoch nicht die endgültige Entscheidung über die Ablehnung oder Einstellung eines Bewerbers durch einen Menschen ersetzen.

Schließlich haben die von automatisierten Entscheidungen betroffenen Personen gemäß Art. 13 Abs. 2f DSGVO und Art. 14 Abs. 2g DSGVO Informationsrechte sowie ein Auskunftsrecht gemäß Art. 15 DSGVO.

II. Diskriminierungsschutz

Ein weiteres Thema in der Diskussion um automatisierte Bewerberauswahl durch KI ist die potenzielle Diskriminierung von Bewerbern. Der Einsatz von KI bei Personalentscheidungen in einem Unternehmen kann zu einer Benachteiligung von einzelnen Personen oder Personengruppen führen oder diese verstärken.

Wenn ein Arbeitgeber bei Bewerbungs-, Recruitingprozessen oder der Leistungsbeurteilung von Mitarbeitern KI-Systeme einsetzt und die Entscheidungen von dieser übernimmt, kann dies unter Umständen zu einer Diskriminierung führen. Ein Beispiel ist der Einsatz von künstlicher Intelligenz bei der Bewertung der eingehenden Bewerbungen von Kandidaten auf eine Arbeitsstelle. Diese Bewertung muss grundsätzlich unabhängig von Geschlecht, Herkunft, Alter, Religion oder Rasse erfolgen. Zur Beurteilung der Bewerberinnen und Bewerber wird das KI-System allerdings auf zurückliegende, erfolgreiche Bewerbungen zurückgreifen. War hier in der Gruppe der erfolgreichen Bewerber eine bestimmte Gruppe, etwa männliche Bewerber einer bestimmten Herkunft, überrepräsentiert, so kann dies dazu führen, dass ein KI-System Bewerber mit ähnlichen Kriterien bevorzugt. Auf diese Weise wurden bei Modellen in der Vergangenheit beispielsweise weibliche Bewerberinnen benachteiligt.

Ein weiteres Beispiel ist die KI-gestützte Leistungsbeurteilung von Mitarbeitern durch einen mittelbar diskriminierenden Algorithmus, z. B. wenn ein Kriterium für die Leistungsbewertung mittelbar an in § 1 AGG genannte Merkmale wie Geschlecht, Alter, Herkunft etc. geknüpft ist.

Der Einsatz von künstlicher Intelligenz ist im arbeitsrechtlichen Bereich grundsätzlich zulässig, wenn die gesetzlichen Vorschriften eingehalten werden und der Schutz der Persönlichkeitsrechte der Mitarbeiter sowie der Schutz vor Diskriminierung gewährleistet ist. Die Verwendung von KI-Tools oder KI-Software ist aber mit hohem Risiko verbunden und kann im Falle der Verwendung von diskriminierenden Algorithmen zur Arbeitgeberhaftung führen. Liegt ein Verstoß gegen das Benachteiligungsverbot nach § 7 Abs. 1 AGG vor, welches die Benachteiligung eines Beschäftigten aus Gründen der Rasse, der ethnischen Herkunft, des Geschlechts, der Religion oder Weltanschauung, einer Behinderung, des Alters oder der sexuellen Identität verbietet, stehen dem betroffenen Mitarbeiter oder Bewerber Ansprüche auf die Zahlung der AGG-Entschädigung nach §15 AGG sowie unter Umständen Schmerzensgeldzahlungen bzw. Schadenersatz wegen Persönlichkeitsverletzung zu. Der Arbeitgeber haftet, wenn dieser die Diskriminierung bzw. Benachteiligung durch entsprechende Vorkehrungen, z. B. sorgfältige Überwachung von KI-Systemen, Durchführung von Tests mit Trainingsdaten usw. hätte vermeiden können und die Pflichtverletzung somit zu vertreten hat (Organisationsverschulden).

Art. 9 DSGVO untersagt zudem die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen sowie Daten zum Sexualleben oder der sexuellen Orientierung hervorgehen, wenn keine Einwilligung vorliegt oder die übrigen in der Regelung des Art. 9 Abs. 2 DSGVO aufgeführten Ausnahmetatbestände nicht eingreifen.

III. KI-Verordnung

Unternehmen müssen künftig auch die Regelungen des AI Acts – der neuen EU-KI-Verordnung – beachten. Die Verordnung verfolgt einen risikobasierten Ansatz und erhöht die Anforderungen an die Nutzung von KI-Systemen, je höher das damit verbundene Risiko für die körperliche oder geistige Gesundheit des Arbeitnehmers, seiner Rechte und seiner Selbstbestimmung ist. Insbesondere die Vorgaben der KI-Verordnung für Hochrisikosysteme sind sehr detailliert und gehen über die datenschutzrechtlichen Vorgaben hinaus.

Für die Prüfung sind KI-Systeme ab sofort in verschiedene Risikostufen einzuteilen. Hierunter fallen Hochrisikosysteme, KI-Systeme mit geringem Risiko und grundlegende KI-Modelle (sog. General Purpose AI). KI-Systeme mit einem unannehmbaren bzw. inakzeptablen Risiko (Art. 5 AI Act), also solche, die den Menschen unterdrücken können, sind gänzlich verboten. KI-Systeme mit hohem Risiko sind erlaubt, unterliegen allerdings besonders strengen Auflagen. Diese Pflichten treffen nicht nur Nutzende, sondern insbesondere auch Anbieter und Betreiber von KI-Systemen. Das sind auch die Organisationen bzw. Arbeitgeber, die KI-Systeme für den rein internen Gebrauch entwickeln. Nutzer von KI-Systemen haben daneben ebenfalls die Verantwortung, die KI-Systeme nur innerhalb der rechtlichen Grenzen zu nutzen.

Viele der im Personalbereich verwendeten KI-Systeme (z.B. im Zusammenhang mit Bewerbungen, Trainings, Schulungen und Weiterbildung) fallen in die Kategorie der Hochrisiko-Systeme i.S.d. Art. 6 KI-Verordnung. Diese können ein hohes Risiko für die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen darstellen und sind abschließend in Anhang I und III zur KI-Verordnung aufgelistet.

Hochrisikosysteme sollen nach Anhang III (Ziff. 4) solche Systeme sein, die entweder die Einstellung oder die Auswahl von Mitarbeitern und Mitarbeiterinnen oder deren Bewertung, Überwachung, Beförderung oder Kündigung betreffen. Das wird naturgemäß also im Bereich des Personalwesens zahlreiche KI-Systeme betreffen.

Die Verwendung und Inbetriebnahme von Hochrisikosystemen geht für Unternehmen und damit für Arbeitgeber mit umfangreichen Pflichten einher. Diese werden in Art. 16 bis Art. 27 KI-Verordnung näher benannt. Hier gelten u.a. spezifische Überwachungs-, Dokumentations- und Transparenzpflichten, die Pflicht zur Etablierung eines Risikomanagements, Sorgfaltspflichten bei der Datenauswahl, insbesondere im Hinblick auf die Vermeidung von Diskriminierungen, Informations- und Schulungspflichten, Sicherstellung des bestimmungsgemäßen Gebrauchs der KI sowie des Einsatzes einer menschlichen Aufsicht.

IV. Mitbestimmung des Betriebsrats bei der Einführung von KI-Technologien 

Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht im Hinblick auf die „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Insbesondere die Fähigkeit von KI-Systemen, enorme Datenmengen zu verarbeiten und auszuwerten und daraus Schlüsse auf das vorhandene und zukünftige Verhalten der Arbeitnehmer zu folgern, macht die Vorschrift und das Mitbestimmungsrecht in diesem Fall zu einem hot topic.

Denn die heutigen technischen Möglichkeiten zur Überwachung von Personal stehen im offensichtlichen Spannungsverhältnis zu dem in § 75 Abs. 1 S. 1 BetrVG festgelegten Grundsatz, dass die Betriebspartner die freie Entfaltung der Persönlichkeit der im Betrieb beschäftigten Arbeitnehmer zu schützen und zu fördern haben. Das zwingende Mitbestimmungsrecht des Betriebsrats bei Einführung solcher Systeme soll vor unzulässigen Eingriffen in die Persönlichkeitssphäre schützen.

Die Überwachung nach § 87 Abs. 1 Nr. 6 BetrVG kann durch optische, akustische, mechanische oder elektronische Geräte erfolgen und über eine eigenständige Kontrollwirkung verfügen. Der Einsatz der technischen Einrichtung als Hilfsmittel einer persönlichen Überwachung reicht hierfür nicht aus. Auf eine Überwachungsabsicht oder spätere tatsächliche Verwendung kommt es nicht an, vielmehr genügt es, wenn die technische Einrichtung zu einer Kontrolle objektiv geeignet ist.

Auch im Bereich der Mitbestimmung des Betriebsrats bringt die KI-Verordnung bedeutsame Regelungen mit sich. Die Einführung und Anwendung von Hochrisikosystemen zur Einstellung und Auswahl von neuen Angestellten unterliegt gemäß § 87 Abs. 1 Nr. 6 BetrVG der zwingenden Mitbestimmung.

Dem Betriebsrat steht nach § 80 Abs. 3 BetrVG weiter das Recht zu, nach Vereinbarung mit dem Arbeitgeber Sachverständige bei der Durchführung seiner Aufgaben hinzuzuziehen, die ihm die entsprechenden Kenntnisse vermitteln. Seit dem Betriebsrätemodernisierungsgesetz ist in § 80 Abs. 3 S. 2 BetrVG vorgesehen, dass wenn der Betriebsrat zur Durchführung seiner Aufgaben die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen muss, insoweit die Hinzuziehung eines Sachverständigen als erforderlich gilt. Die ansonsten bei Hinzuziehen von Sachverständigen zu prüfende Erforderlichkeit entfällt somit in diesem Fall. Der Sachverständige muss aber immer noch geeignet sein und die Höhe der Kosten verhältnismäßig. Gleiches gilt, wenn sich Arbeitgeber und Betriebsrat auf einen ständigen Sachverständigen in diesen Angelegenheiten einigen.

Ein über das Mitbestimmungsrecht hinausgehendes Initiativrecht des Betriebsrats auf Einführung einer technischen Einrichtung ist jedoch nach älterer Rechtsprechung des Bundesarbeitsgerichts abzulehnen, auch wenn hiergegen in der Literatur Bedenken geäußert werden. Zur Begründung stellt das Bundesarbeitsgericht auf den Zweck des § 87 Abs. 1 Nr. 6 BetrVG ab, wonach dem Mitbestimmungsrecht primär eine Abwehrfunktion zukommt. Der Betriebsrat kann die Einführung von KI allenfalls anregen. Die arbeitgeberseitig beabsichtigte Abschaffung von KI kann ohne Mitbestimmung des Betriebsrats erfolgen.

Die Mitbestimmung des Betriebsrats in Hinblick auf KI kann (und sollte) im Rahmen von Betriebsvereinbarungen geregelt werden. Dies gilt insbesondere vor dem Hintergrund, dass die Entwicklung und Einsetzung von KI in Unternehmen in der Regel schneller fortschreitet als der Gesetzgeber hierauf reagiert. Da das Mitbestimmungsrecht vorliegend keine Erheblichkeitsschwelle kennt, kann gegebenenfalls anzuraten sein, Zustimmungsprozesse dadurch zu beschleunigen, dass Arbeitgeber und Betriebsrat eine Rahmenvereinbarung mit generellen Regelungen sowie anwendungsspezifische Einzelvereinbarungen abschließen.