KI in der Personalabteilung: DSGVO und KI-VO in der Praxis

Automatisierte Bewerbungsabsagen ohne menschliche Prüfung

Eine Bewerbung geht ein, die KI sortiert sie innerhalb von Sekunden aus und eine automatische Absage wird versendet, ohne dass ein Mensch die Unterlagen jemals gesehen oder auch nur geöffnet hat. Was technisch längst möglich ist und in vielen Unternehmen bereits zur Realität geworden ist, wirft aus rechtlicher Perspektive erhebliche Fragen auf.

KI-Systeme übernehmen in Personalabteilungen immer mehr Aufgaben. Sie formulieren Stellenanzeigen, filtern eingehende Bewerbungen anhand vordefinierter Kriterien und transkribieren ganze Bewerbungsgespräche. Dabei gelten zwei Regelwerke parallel, die Unternehmen gleichermaßen im Blick haben müssen. Die Datenschutzgrundverordnung regelt seit Jahren den Umgang mit personenbezogenen Daten, während die KI-Verordnung als neues Regelwerk hinzugekommen ist.

Zusammenspiel von DSGVO und KI-VO

Wer KI im Personalbereich einsetzen will, muss sich mit zwei Gesetzen gleichzeitig auseinandersetzen, die unterschiedliche Schwerpunkte setzen, aber in der praktischen Anwendung eng miteinander verzahnt sind.

Die DSGVO ist seit Jahren das zentrale Regelwerk für den Umgang mit personenbezogenen Daten und bildet damit die Grundlage für nahezu jede Form der Datenverarbeitung im Unternehmen. Die KI-VO ist als neues Gesetz hinzugekommen und regelt den Einsatz von KI-Systemen. In Art. 2 Nr. 7 verweist sie ausdrücklich auf die DSGVO und stellt klar, dass diese unverändert und in vollem Umfang weiterhin gilt.

Was auf den ersten Blick wie eine einfache Klarstellung wirkt, führt in der Praxis jedoch zu erheblichen Reibungspunkten. Die KI-VO enthält selbst keine eigenen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Unternehmen müssen sich deshalb bei jeder Frage, ob und wie sie personenbezogene Daten mit KI verarbeiten dürfen, vollständig auf die Grundsätze der DSGVO stützen.

Unterschiedliche Kontrollstrukturen und Bußgelder

Die DSGVO wird von den 17 Datenschutzaufsichtsbehörden der Länder überwacht, die Kontrolle der KI-VO liegt dagegen zentral bei der Bundesnetzagentur als Marktüberwachungsbehörde.

Die möglichen Bußgelder sind in beiden Regelwerken erheblich:

• DSGVO: bis zu 20 Mio. EUR oder 4 % des weltweiten Konzernumsatzes
• KI-VO: bis zu 35 Mio. EUR oder 7 % des weltweiten Konzernumsatzes bei verbotenen Praktiken

Zusätzlich ermöglicht die DSGVO über Art. 82 DSGVO auch individuelle Schadensersatzansprüche betroffener Personen, etwa für immaterielle Schäden durch unrechtmäßige Datenverarbeitung. Die KI-VO kennt einen solchen eigenen Schadensersatzanspruch hingegen nicht.

DSGVO-Anforderungen beim KI-Einsatz im Personalbereich

Rechtsgrundlage finden

Wer ein KI-System in der Personalabteilung einführt, muss sich zunächst mit einer grundlegenden Frage auseinandersetzen: Auf welcher Rechtsgrundlage ist die damit verbundene Verarbeitung personenbezogener Daten überhaupt zulässig?

Die DSGVO geht davon aus, dass jede Verarbeitung personenbezogener Daten zunächst einmal unzulässig ist. Erlaubt wird sie nur dann, wenn eine der gesetzlich vorgesehenen Rechtsgrundlagen einschlägig ist.

Im Personalbereich kommen dabei vor allem in Betracht:

• Der Arbeitsvertrag
• Gesetzliche Verpflichtungen wie Aufbewahrungspflichten oder Meldepflichten gegenüber dem Finanzamt
• Das berechtigte Interesse des Arbeitgebers
• In bestimmten Fällen auch die Einwilligung der Beschäftigten

Gerade die Einwilligung erweist sich im Beschäftigungsverhältnis allerdings als problematisch. Aufgrund des bestehenden Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten ist die geforderte Freiwilligkeit häufig nur schwer nachzuweisen.

Datenschutz-Folgenabschätzung durchführen

Besondere Aufmerksamkeit verdient die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sie ist immer dann durchzuführen, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt.

Im Personalbereich ist das beispielsweise dann der Fall, wenn:

• Bewerbende mithilfe eines KI-Systems „gerankt” oder „gescored” werden
• Eine systematische Überwachung von Mitarbeitenden stattfindet
• Beschäftigte aufgrund ihres Abhängigkeitsverhältnisses keine reale Möglichkeit haben, sich der Verarbeitung zu entziehen

Ob eine solche DSFA erforderlich ist, wird in der Praxis zunächst anhand einer sogenannten Schwellenwertanalyse ermittelt. Dabei werden verschiedene Risikofaktoren geprüft und gegeneinander abgewogen.

Die Behörden haben in einer Orientierungshilfe „KI und Datenschutz” festgestellt, dass beim Einsatz von KI-Anwendungen „vielfach” eine Datenschutzfolgenabschätzung erforderlich sein wird. Auch das Bayerische Landesamt für Datenschutzaufsicht hat eine KI-Checkliste zum Thema DSFA veröffentlicht und empfiehlt, den Datenschutzbeauftragten bei der Durchführung einzubinden.

Automatisierte Entscheidungen nach Art. 22 DSGVO

Besonders relevant wird es, wenn ein KI-System Entscheidungen mit rechtlicher Wirkung gegenüber betroffenen Personen trifft, ohne dass ein Mensch die Entscheidung vorher geprüft hat.

Ein typisches Beispiel: Ein Bewerbungsverfahren, bei dem das KI-System Bewerbungen automatisch aussortiert und Absagen verschickt, ohne dass ein Mitarbeitender der Personalabteilung die Bewerbung je gesehen hat. Solche ausschließlich automatisierten Entscheidungen sind nach Art. 22 Abs. 1 DSGVO grundsätzlich unzulässig.

Die Artikel 29 Datenschutzgruppe hat hierzu eine Leitlinie zu automatisierten Entscheidungen veröffentlicht. Sie legt Art. 22 näher aus und beschreibt insbesondere den Begriff der ausschließlich automatisierten Verarbeitung und die Anforderungen an menschliches Eingreifen sowie die zu gewährleistenden Betroffenenrechte.

Es gibt zwar Ausnahmen, etwa wenn die Entscheidung für einen Vertrag erforderlich ist, eine spezifische gesetzliche Vorschrift sie erlaubt oder eine Einwilligung vorliegt. Im Personalbereich greifen diese Ausnahmen jedoch selten. Der Arbeitsvertrag lässt sich kaum als Grundlage für eine automatisierte Bewerbungsabsage heranziehen, spezifische Vorschriften fehlen weitgehend, und die Einwilligung scheitert regelmäßig am Problem der fehlenden Freiwilligkeit.

Auftragsverarbeitung mit Dienstleistern

Wer KI-Tools von externen Anbietern wie OpenAI, Google oder Microsoft einsetzt, muss mit diesen in der Regel einen Auftragsverarbeitungsvertrag abschließen. In diesem Vertrag wird unter anderem festgelegt, welche Pflichten der Verantwortliche und welche der Auftragsverarbeiter hat und dass der Anbieter die übermittelten Daten nicht für eigene Zwecke nutzen oder zum Training seiner Modelle verwenden darf.

Wenn ein solcher Vertrag nicht vorhanden ist, etwa weil ein Unternehmen die Consumer-Version eines KI-Tools nutzt, entsteht bereits ein grundlegendes datenschutzrechtliches Problem. Werden dennoch personenbezogene Daten an die Tools übermittelt, besteht hierzu im Regelfall keine geeignete Rechtsgrundlage.

KI-VO: Anforderungen für den Personalbereich

Neben der DSGVO müssen Unternehmen, die KI-Systeme in der Personalabteilung einsetzen, auch die Anforderungen der KI-VO im Blick behalten. Sie verfolgt mit ihrem abgestuften Risikosystem einen anderen regulatorischen Ansatz als das Datenschutzrecht.

Während die DSGVO grundsätzlich danach fragt, ob eine Rechtsgrundlage für die jeweilige Datenverarbeitung vorliegt, arbeitet die KI-VO mit einem pyramidenförmigen Aufbau. Sie teilt KI-Systeme je nach Risikopotenzial in verschiedene Kategorien ein und knüpft daran unterschiedlich strenge Pflichten.

Verbotene Praktiken

An der Spitze dieser Pyramide stehen die verbotenen Praktiken nach Art. 5 KI-VO. Zu diesen gehört im Beschäftigungskontext insbesondere die Emotionserkennung von Mitarbeitenden.

Wenn also ein KI-System im Bewerbungsgespräch die Tonalität und den Ausdruck einer Person bewertet und daraus eine Art emotionalen Score ableitet, kann dies bereits unter die verbotenen Praktiken im Sinne von Art. 5 Abs. 1 lit. f KI-VO fallen. Es handelt sich um einen tiefen Eingriff in die Persönlichkeitsrechte.

Hochrisiko-KI-Systeme

Auf der nächsten Stufe folgen die Hochrisiko-KI-Systeme nach Art. 6 KI-VO. Sie sind für den HR-Bereich besonders relevant. KI-Systeme, die zur Sichtung, Filterung und Bewertung von Bewerbungen eingesetzt werden, fallen gemäß Anhang III Nr. 4a ausdrücklich unter diese Kategorie.

Die Einstufung als Hochrisiko-KI bringt erhebliche Dokumentations- und Nachweispflichten sowohl für Anbieter als auch für Betreiber mit sich. Der Einsatz solcher Systeme wird dadurch zwar nicht unmöglich, aber deutlich aufwendiger.

Allerdings sieht Art. 6 Abs. 3 KI-VO vier Ausnahmen vor, durch die ein an sich als Hochrisiko eingestuftes System wieder in die Kategorie der sonstigen KI herabgestuft werden kann. Der wichtigste Anknüpfungspunkt in der Praxis ist die sogenannte menschliche Kontrolle, also das Prinzip des „Human in the Loop”. Weitere Ausnahmen greifen dann, wenn das KI-System lediglich eine eng gefasste Verfahrensaufgabe erfüllt, die menschliche Tätigkeit verbessern soll oder nur Muster erkennt, ohne dabei menschliche Entscheidungen zu ersetzen.

Sonstige KI-Systeme mit begrenztem Risiko

Für die sonstigen KI-Systeme mit begrenztem oder minimalem Risiko, wie etwa Übersetzungsprogramme oder intelligente Terminplanungstools, fallen die Anforderungen deutlich geringer aus. Hier beschränken sich die Pflichten im Wesentlichen auf Transparenzanforderungen.

Praktische Umsetzung: Was Unternehmen jetzt tun sollten

Der Einsatz von KI in der Personalabteilung ist kein Selbstläufer. Unternehmen müssen sich vorab genau überlegen, welche Systeme sie einsetzen wollen und welche rechtlichen Anforderungen dabei zu beachten sind.

Wichtige Schritte:

• Bestandsaufnahme aller eingesetzten KI-Systeme im Personalbereich
• Prüfung der Rechtsgrundlagen für die Datenverarbeitung
• Durchführung einer Datenschutz-Folgenabschätzung bei Hochrisiko-Anwendungen
• Sicherstellung von Auftragsverarbeitungsverträgen mit externen Anbietern
• Dokumentation aller Verarbeitungsprozesse im Verzeichnis der Verarbeitungstätigkeiten
• Einbindung des Datenschutzbeauftragten von Anfang an

Fazit: Rechtssicherer KI-Einsatz erfordert fundiertes Know-how

Der Einsatz von KI-Systemen in der Personalabteilung bietet viele Chancen. Er birgt aber auch erhebliche rechtliche Risiken. Unternehmen, die sich nicht ausreichend mit den Anforderungen von DSGVO und KI-VO auseinandersetzen, riskieren nicht nur empfindliche Bußgelder, sondern auch Schadensersatzforderungen betroffener Personen.

Ein externer Datenschutzbeauftragter unterstützt Sie bei der rechtssicheren Implementierung von KI-Systemen. Von der Prüfung der Rechtsgrundlagen über die Durchführung der Datenschutz-Folgenabschätzung bis hin zur laufenden Dokumentation aller Prozesse: Sie erhalten professionelle Begleitung für Ihre digitale Transformation im Personalbereich.

Sie planen den Einsatz von KI in Ihrer Personalabteilung und möchten rechtlich auf der sicheren Seite sein? Vereinbaren Sie jetzt ein kostenloses Beratungsgespräch mit AZ-Datenschutz.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.