KI im Personalwesen trifft auf strenges Beschäftigtendatenschutzrecht
Recruiting-Algorithmen, KI-gestützte Leistungsbewertungen, Chatbots für Bewerbungsgespräche, Analyse-Tools für Mitarbeiterkommunikation: All diese Systeme verarbeiten personenbezogene Daten von Beschäftigten – und fallen damit unter § 26 BDSG. Der Paragraf gilt nach § 26 Abs. 8 BDSG ausdrücklich nicht nur für aktuelle Arbeitnehmerinnen und Arbeitnehmer, sondern auch für Bewerberinnen und Bewerber sowie für Personen, deren Beschäftigungsverhältnis bereits beendet ist. Wer KI-Systeme im Bewerbermanagement oder in der Personalentwicklung einsetzt, bewegt sich also von der ersten Bewerbung bis lange nach dem Austritt im Anwendungsbereich dieser Norm.
Erforderlichkeit als Maßstab – nicht Nützlichkeit
§ 26 Abs. 1 BDSG erlaubt die Verarbeitung nur, wenn sie für die Entscheidung über die Begründung, für die Durchführung oder für die Beendigung des Beschäftigungsverhältnisses erforderlich ist. „Erforderlich“ ist dabei ein enger Maßstab – nicht jede Funktion, die ein KI-Anbieter mitliefert, erfüllt ihn automatisch.
Typische Lücke in der Praxis: Unternehmen setzen KI-Recruiting-Tools ein, die weit über die eigentliche Eignungsprüfung hinausgehen – etwa Video- oder Sprachanalyse, die Persönlichkeitsmerkmale oder emotionale Zustände ableiten soll. Solche Zusatzauswertungen sind selten erforderlich im Sinne des § 26 Abs. 1 BDSG, selbst wenn sie fachlich interessant erscheinen. Wer ein KI-Tool beschafft, sollte deshalb den tatsächlich genutzten Funktionsumfang mit dem gesetzlichen Erforderlichkeitsmaßstab abgleichen – nicht mit dem, was das Tool technisch könnte.
Einwilligung und besondere Kategorien: hohe Hürden
Wo die Erforderlichkeit nicht trägt, wird oft auf Einwilligung ausgewichen. § 26 Abs. 2 BDSG macht die Hürden dafür im Beschäftigungskontext deutlich: Die im Arbeitsverhältnis bestehende Abhängigkeit ist bei der Beurteilung der Freiwilligkeit ausdrücklich zu berücksichtigen. Eine wirksame Einwilligung setzt zudem Textform-Information über Zweck und Widerrufsrecht nach Art. 7 Abs. 3 DSGVO voraus.
Noch enger wird es bei besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. § 26 Abs. 3 BDSG lässt deren Verarbeitung nur zu, wenn sie zur Ausübung von Rechten oder Erfüllung rechtlicher Pflichten aus Arbeits- oder Sozialrecht erforderlich ist. KI-Systeme, die aus Videobewerbungsgesprächen oder Verhaltensdaten indirekt Rückschlüsse auf Gesundheit, ethnische Herkunft oder ähnliche Merkmale ziehen, geraten hier schnell in eine Grauzone – oft ohne dass Anbieter oder Anwender das als Verarbeitung besonderer Kategorien erkennen.
Kollektivvereinbarungen als Gestaltungsraum – und Pflicht
§ 26 Abs. 4 BDSG öffnet einen eigenen Weg: Die Verarbeitung von Beschäftigtendaten – einschließlich besonderer Kategorien – ist auch auf Grundlage von Kollektivvereinbarungen zulässig, wobei die Verhandlungspartner Art. 88 Abs. 2 DSGVO zu beachten haben. Für die Einführung von KI-Systemen im Personalwesen ist das in der Praxis oft der tragfähigste Weg: Eine Betriebs- oder Dienstvereinbarung kann Zweck, Umfang und Grenzen der KI-Nutzung konkret regeln und schafft damit eine belastbare Rechtsgrundlage.
Wichtig dabei: § 26 Abs. 6 BDSG stellt klar, dass Beteiligungsrechte der Interessenvertretungen unberührt bleiben. Eine KI-Einführung ohne Einbindung des Betriebsrats ist damit nicht nur ein Mitbestimmungsrisiko, sondern kann auch die datenschutzrechtliche Absicherung über Abs. 4 verhindern. Und unabhängig vom gewählten Weg verpflichtet § 26 Abs. 5 BDSG den Verantwortlichen, die Grundsätze aus Art. 5 DSGVO – etwa Zweckbindung und Datenminimierung – bei jeder KI-gestützten Verarbeitung einzuhalten.
Schnittstelle zum EU AI Act: Transparenz ab 2. August 2026
Parallel zum BDSG greifen für viele HR-KI-Systeme die Transparenzpflichten aus Art. 50 der KI-Verordnung. Diese gelten ab dem 2. August 2026, für Systeme, die bereits vorher im Einsatz waren, mit Schonfrist bis zum 2. Dezember 2026. Betroffen sind etwa KI-Chatbots in Bewerbungsprozessen oder Systeme mit Emotionserkennung – hier verlangt der AI Act, dass Beschäftigte und Bewerbende erkennen können, dass sie mit einem KI-System interagieren.
Davon zu unterscheiden ist die Hochrisiko-Einstufung nach Anhang III der KI-Verordnung für Beschäftigungskontexte: Diese Pflichten sind auf den 2. Dezember 2027 verschoben worden. Das ändert jedoch nichts an § 26 BDSG – die datenschutzrechtlichen Anforderungen an Erforderlichkeit, Einwilligung und besondere Kategorien gelten unverändert und unabhängig vom Zeitplan der KI-Verordnung.
Wenn Sie einschätzen wollen, wo Ihr Unternehmen bei KI-Systemen im Personalwesen zwischen § 26 BDSG und den kommenden AI-Act-Pflichten steht, hilft Ihnen unser kostenloser Risiko-Check unter /einstufung als erster Orientierungspunkt.