Arbeitsrecht & KI-Einsatz

Ein wichtiger Hinweis vorab (Haftungsausschluss)

Dieses Dokument ist kein Rechtsrat und ersetzt keine anwaltliche Beratung im Einzelfall. Es ordnet die Rechtslage so, dass ein Geschäftsführer oder Unternehmer erkennt, *was* er gegenüber Beschäftigten und Betriebsrat beim KI-Einsatz darf, *was* er muss und *was* er nicht darf — und *was* er dokumentieren sowie *wann* er Betriebsrat, Datenschutzbeauftragten oder Anwalt einbinden sollte. Die genannten Normen sind geltendes Recht; die daraus gezogenen Handlungsempfehlungen sind Synthese und ausdrücklich als solche gekennzeichnet.

Der Stoff verändert sich derzeit außergewöhnlich schnell. Zwei Beispiele aus dem laufenden Jahr zeigen das: Der EU-Gesetzgeber hat die KI-Verordnung im Juli 2026 durch den „Digital Omnibus" (Verordnung (EU) 2026/1744) in wichtigen Punkten geändert — unter anderem sind die Pflichten für Hochrisiko-KI in der Personalarbeit verschoben worden. Und Deutschland arbeitet an einem eigenen Beschäftigtendatengesetz, das § 26 BDSG ablösen soll. Wo eine Angabe zeitabhängig ist, trägt sie „Stand MM/JJJJ"; das Kapitel „Schnell veraltend" am Ende benennt die Punkte, die vor jeder Weiterverwendung neu geprüft werden müssen.

Jede zentrale Aussage ist mit einem der folgenden Marker versehen:

• [BELEGT] — durch eine geltende Norm oder eine aufrufbare, benannte Quelle

gedeckt.

• [STRITTIG] — in Rechtsprechung oder Literatur umstritten bzw. im Fluss.
• [UNKLAR] — nicht abschließend belegbar; als offen gekennzeichnet.

Ein methodischer Hinweis zu den Fundstellen: Die deutschen Gesetzestexte werden nach der amtlichen Sammlung *gesetze-im-internet.de* zitiert (die dort genannten URLs sind die stabilen, amtlichen Fundstellen). Der Wortlaut der Normen wurde im Zuge der Recherche zusätzlich über juristische Fachdatenbanken (u. a. dejure.org, dsgvo-gesetz.de) gegengeprüft; die EU-Verordnungen nach EUR-Lex, die Gerichts- entscheidungen nach den amtlichen Seiten von EuGH und Bundesarbeitsgericht.

Management-Zusammenfassung

Der zentrale Satz für jeden Arbeitgeber lautet: KI schafft kein neues Arbeitsrecht — sie stellt das bestehende Arbeits-, Datenschutz- und Mitbestimmungsrecht nur vor lauter neue, gleichzeitige Anwendungsfälle. Es gibt kein „KI-Sonderarbeitsrecht". Es gibt das vertraute Beschäftigtendatenschutzrecht, die vertraute betriebliche Mitbestimmung, das vertraute Diskriminierungsverbot — und der KI-Einsatz ist ein besonders fehleranfälliger, weil datenintensiver und intransparenter Anwendungsfall dieser altbekannten Regeln.

Sieben Dinge sollte ein Arbeitgeber mitnehmen:

Erstens — Die zentrale Rechtsgrundlage für Beschäftigtendaten hat sich verschoben. § 26 BDSG, jahrelang das „Herzstück" des Beschäftigtendatenschutzes, ist nach der Rechtsprechung des Europäischen Gerichtshofs (Urteil vom 30.03.2023, C-34/21) und des Bundesarbeitsgerichts (Urteil vom 08.05.2025, 8 AZR 209/21) in seinem Kernstück unanwendbar. Wer heute Beschäftigtendaten in einem KI- oder HR-System verarbeitet, muss sich unmittelbar auf die DSGVO stützen — in aller Regel auf Art. 6 Abs. 1 DSGVO (Vertragserfüllung, berechtigtes Interesse) oder eine Kollektivvereinbarung. „Wir machen das nach § 26 BDSG" ist als Rechtsgrundlage nicht mehr tragfähig. [BELEGT]

Zweitens — KI zur Leistungs- und Verhaltenskontrolle ist rechtlich der heikelste Anwendungsfall überhaupt. Der Grundsatz der Verhältnismäßigkeit und die Prinzipien der DSGVO (Zweckbindung, Datenminimierung, Transparenz) setzen enge Grenzen. Verdeckte, anlasslose Dauerüberwachung ist unzulässig; das Bundesarbeitsgericht hat das im „Keylogger"-Urteil (27.07.2017, 2 AZR 681/16) für die klassische IT festgehalten, und für KI-gestützte Auswertung gilt dieselbe Logik verschärft. [BELEGT]

Drittens — Wo ein Betriebsrat besteht, ist KI-Einsatz fast nie eine reine Leitungsentscheidung. Systeme, die Verhaltens- oder Leistungsdaten auswerten *können*, lösen die erzwingbare Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG aus — und zwar bereits bei objektiver Eignung zur Überwachung, ohne dass der Arbeitgeber überwachen *will* (BAG, 16.07.2024, 1 ABR 16/23). Hinzu treten Unterrichtungs- und Beratungsrechte (§ 90 BetrVG), erleichterte Sachverständigen- Hinzuziehung (§ 80 Abs. 3 BetrVG) und Mitbestimmung bei KI-gestützten Auswahlrichtlinien (§ 95 Abs. 2a BetrVG). Wird ein mitbestimmungspflichtiges System ohne Beteiligung eingeführt, droht ein faktisches Nutzungsverbot. [BELEGT]

Viertens — KI in Recruiting und Personalführung ist nach dem EU-Recht „Hochrisiko". Anhang III Nr. 4 der KI-Verordnung stuft Systeme zur Bewerberauswahl, zu Beförderungs-/Kündigungsentscheidungen, zur Aufgabenzuweisung und zur Leistungs-/Verhaltensüberwachung als hochriskant ein. Wichtig für die Planung: Der „Digital Omnibus" (VO (EU) 2026/1744) hat die Geltung dieser Hochrisiko-Pflichten vom 02.08.2026 auf 02.12.2027 verschoben. Das Diskriminierungsverbot des AGG und die DSGVO gelten davon unabhängig schon heute. [BELEGT]

Fünftens — Die Pflicht zur KI-Kompetenz besteht, ist aber entschärft worden. Art. 4 der KI-Verordnung verlangt seit 02.02.2025, dass Beschäftigte, die mit KI arbeiten, ausreichend KI-kompetent sind. Der Digital Omnibus hat diese Pflicht von einer „Sicherstellungs-" in eine Förderpflicht umgewandelt: Der Arbeitgeber muss die Entwicklung von KI-Kompetenz *unterstützen*, schuldet aber kein garantiertes Kompetenzniveau und kein Zertifikat. [BELEGT]

Sechstens — Die Eingabe von Personal- und Betriebsdaten in KI-Systeme ist ein eigenes Risiko. In verschwiegenheitspflichtigen Berufen kann sie den Straftatbestand des § 203 StGB erfüllen; für alle Unternehmen kann sie den Schutz von Geschäftsgeheimnissen nach dem GeschGehG kosten, weil dann „angemessene Geheimhaltungsmaßnahmen" fehlen. Wer sensible Daten in ein Cloud-Sprachmodell tippt, offenbart sie gegenüber dem Anbieter. [BELEGT]

Siebtens — Die eigentliche Arbeitgeberpflicht ist Organisation und Dokumentation. Der Arbeitgeber schuldet nicht die fehlerfreie KI, sondern klare Regeln (wer darf welche Daten in welches Tool geben, wer prüft die Ergebnisse), die rechtzeitige Beteiligung des Betriebsrats, eine belastbare Rechtsgrundlage je Anwendungsfall und den Nachweis, dass all das geschehen ist. Diese Organisationsleistung ist zugleich die beste Verteidigung — im Aufsichtsverfahren, im Bußgeldfall und im Prozess mit Beschäftigten.

Die praktische Botschaft: Bevor ein KI-System an Beschäftigtendaten geht, gehören vier Fragen beantwortet und dokumentiert — Rechtsgrundlage (DSGVO), Rolle und Risikoklasse (KI-VO), Mitbestimmung (BetrVG) und Vertraulichkeit (§ 203 StGB / GeschGehG). Wer diese vier Tore vor dem Produktivstart durchläuft, hat den Kern des Arbeitgeber-Pflichtenprogramms erfüllt.

Kernaussagen mit Einzelquellen

Jede der folgenden Thesen wird im genannten Kapitel vertieft. Die Quelle steht jeweils direkt dabei; der Beleg-Marker bewertet die Sicherheit der Aussage.

These 1 — § 26 Abs. 1 BDSG ist als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten unanwendbar; maßgeblich ist unmittelbar die DSGVO. [BELEGT] Quelle: EuGH, Urteil vom 30.03.2023, C-34/21 („Hauptpersonalrat der Lehrerinnen und Lehrer"), curia.europa.eu; bestätigt und angewandt durch BAG, Urteil vom 08.05.2025, 8 AZR 209/21, https://www.bundesarbeitsgericht.de/entscheidung/8-azr-209-21/ (abgerufen 08/2026).

These 2 — Ein Beschäftigtendatengesetz (BeschDG) soll § 26 BDSG ersetzen; ein Referentenentwurf von 2024 scheiterte, ein neuer Anlauf läuft (Stand 08/2026). [BELEGT/STRITTIG — Verfahren offen] Quelle: BMAS, „Auf dem Weg zu einem Beschäftigtendatengesetz", https://www.denkfabrik-bmas.de/schwerpunkte/beschaeftigtendatenschutz/ (abgerufen 08/2026); Referentenentwurf BMAS/BMI vom Oktober 2024, dokumentiert u. a. bei DLA Piper, https://www.dlapiper.com/de-de/insights/blogs/employment-blog-germany/2024/ (abgerufen 08/2026).

These 3 — KI-Systeme, die das Verhalten oder die Leistung von Beschäftigten überwachen können, unterliegen der erzwingbaren Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG — die objektive Eignung genügt, eine Überwachungsabsicht ist nicht erforderlich. [BELEGT] Quelle: § 87 Abs. 1 Nr. 6 BetrVG, https://www.gesetze-im-internet.de/betrvg/__87.html; Grundsatz bestätigt in BAG, Beschluss vom 16.07.2024, 1 ABR 16/23, https://www.bundesarbeitsgericht.de/entscheidung/1-abr-16-23/ (abgerufen 08/2026).

These 4 — Das BetrVG nennt „Künstliche Intelligenz" seit 2021 ausdrücklich: Unterrichtung/Beratung (§ 90 Abs. 1 Nr. 3), erleichterte Sachverständigen- Hinzuziehung (§ 80 Abs. 3) und Auswahlrichtlinien (§ 95 Abs. 2a). [BELEGT] Quelle: §§ 80, 90, 95 BetrVG, https://www.gesetze-im-internet.de/betrvg/; eingefügt durch das Betriebsrätemodernisierungsgesetz vom 14.06.2021, BGBl. I S. 1762.

These 5 — Die bloße Erlaubnis, ChatGPT & Co. über private Accounts zu nutzen, löste im ersten deutschen Verfahren keine Mitbestimmung nach § 87 Abs. 1 Nr. 6 aus — weil der Arbeitgeber keine Beschäftigtendaten erhielt und das Tool nicht zur Überwachung geeignet war. [BELEGT — erstinstanzlich, Einzelfall] Quelle: ArbG Hamburg, Beschluss vom 16.01.2024, 24 BVGa 1/24, besprochen u. a. bei Bird & Bird, https://www.twobirds.com/de/insights/2024/germany/ und CMS, https://cms.law/de/deu/legal-updates/ (abgerufen 08/2026).

These 6 — KI in Beschäftigung und Personalmanagement ist nach Anhang III Nr. 4 der KI-Verordnung Hochrisiko; die zugehörigen Pflichten gelten nach dem Digital Omnibus erst ab 02.12.2027. [BELEGT] Quelle: Anhang III Nr. 4 VO (EU) 2024/1689, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689; VO (EU) 2026/1744 („Digital Omnibus on AI") vom 08.07.2026, https://eur-lex.europa.eu/eli/reg/2026/1744/oj (abgerufen 08/2026).

These 7 — Als „Betreiber" eines Hochrisiko-KI-Systems am Arbeitsplatz muss der Arbeitgeber die Arbeitnehmervertretung und die betroffenen Beschäftigten vor Inbetriebnahme informieren. [BELEGT] Quelle: Art. 26 Abs. 7 VO (EU) 2024/1689, https://artificialintelligenceact.eu/article/26/ (abgerufen 08/2026).

These 8 — Setzt KI in der Personalauswahl Menschen wegen eines geschützten Merkmals herab, haftet das Unternehmen nach dem AGG; die „Neutralität" des Algorithmus entlastet nicht. [BELEGT] Quelle: §§ 1, 7 AGG, https://www.gesetze-im-internet.de/agg/ (abgerufen 08/2026).

These 9 — Vollautomatische Entscheidungen mit erheblicher Wirkung auf Beschäftigte (z. B. automatische Ablehnung, automatische Kündigungsvorbereitung) sind nach Art. 22 DSGVO grundsätzlich unzulässig, außer unter engen Voraussetzungen mit echtem menschlichem Eingreifen. [BELEGT] Quelle: Art. 22 DSGVO, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 (abgerufen 08/2026).

These 10 — Die Pflicht zur KI-Kompetenz (Art. 4 KI-VO) gilt seit 02.02.2025, ist durch den Digital Omnibus aber zur Förderpflicht abgeschwächt — kein garantiertes Niveau, kein Pflichtzertifikat. [BELEGT] Quelle: Art. 4 VO (EU) 2024/1689 i. d. F. der VO (EU) 2026/1744, https://eur-lex.europa.eu/eli/reg/2026/1744/oj; https://artificialintelligenceact.eu/article/4/ (abgerufen 08/2026).

These 11 — Die Eingabe geschützter Daten in ein externes KI-System kann § 203 StGB (Berufsgeheimnis) erfüllen und den Schutz von Geschäftsgeheimnissen nach dem GeschGehG beseitigen. [BELEGT] Quelle: § 203 StGB, https://www.gesetze-im-internet.de/stgb/__203.html; § 2 GeschGehG, https://www.gesetze-im-internet.de/geschgehg/__2.html (abgerufen 08/2026).

These 12 — Kollektivvereinbarungen (Betriebsvereinbarungen) sind eine mögliche Rechtsgrundlage nach Art. 88 DSGVO, unterliegen aber der vollen gerichtlichen Kontrolle und dürfen den DSGVO-Schutz nicht unterschreiten. [BELEGT] Quelle: Art. 88 DSGVO; EuGH, Urteil vom 19.12.2024, C-65/23 („K GmbH"), curia.europa.eu (abgerufen 08/2026).

Kapitel 1 — Die Rechts-Landkarte: Welche Gesetze regeln KI im Arbeitsverhältnis

Recherche: Es gibt kein „KI-Arbeitsgesetz" — sondern ein Bündel

Wer nach *dem* Gesetz sucht, das den KI-Einsatz gegenüber Beschäftigten regelt, sucht vergeblich. Es existiert keine einzelne Norm und kein einzelnes Gesetzbuch, das die Frage „Was darf der Arbeitgeber mit KI?" beantwortet. Stattdessen greifen mehrere Rechtsschichten gleichzeitig ineinander, jede mit eigener Logik, eigenem Adressaten und eigenen Sanktionen:

• Datenschutzrecht (DSGVO, ergänzend das BDSG): Es regelt, ob und auf welcher

Grundlage personenbezogene Beschäftigtendaten überhaupt verarbeitet werden dürfen. Rechtsquelle: Verordnung (EU) 2016/679 (DSGVO), in Kraft seit 25.05.2018, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679; BDSG, https://www.gesetze-im-internet.de/bdsg_2018/ (abgerufen 08/2026). [BELEGT]

• KI-Verordnung der EU (AI Act): Sie regelt, welche KI-Systeme mit welchem

Risikograd eingesetzt werden dürfen und welche Pflichten „Anbieter" und „Betreiber" treffen. Rechtsquelle: Verordnung (EU) 2024/1689, EUR-Lex CELEX 32024R1689, geändert durch VO (EU) 2026/1744. [BELEGT]

• Betriebsverfassungsrecht (BetrVG): Es regelt, ob und wie der Betriebsrat vor

und bei der Einführung von KI zu beteiligen ist. Rechtsquelle: BetrVG, https://www.gesetze-im-internet.de/betrvg/ (abgerufen 08/2026). [BELEGT]

• Antidiskriminierungsrecht (AGG): Es verbietet die Benachteiligung wegen

geschützter Merkmale — auch, wenn ein Algorithmus sie verursacht. Rechtsquelle: AGG, https://www.gesetze-im-internet.de/agg/ (abgerufen 08/2026). [BELEGT]

• Geheimnis- und Strafrecht (§ 203 StGB, GeschGehG): Sie begrenzen, welche Daten

in externe KI-Systeme gegeben werden dürfen. Rechtsquelle: § 203 StGB, https://www.gesetze-im-internet.de/stgb/__203.html; GeschGehG, https://www.gesetze-im-internet.de/geschgehg/ (abgerufen 08/2026). [BELEGT]

• Allgemeines Arbeits- und Individualarbeitsrecht: Direktionsrecht (§ 106 GewO),

arbeitsvertragliche Fürsorge- und Rücksichtnahmepflichten, Kündigungsschutz. Sie bilden den Rahmen, in dem KI-gestützte Anweisungen, Bewertungen und Entscheidungen überhaupt zulässig sind. Rechtsquelle: § 106 GewO, https://www.gesetze-im-internet.de/gewo/__106.html (abgerufen 08/2026). [BELEGT]

Diese Schichten sind kumulativ, nicht alternativ. Ein KI-Recruiting-Tool kann gleichzeitig datenschutzkonform sein *und* mitbestimmungspflichtig *und* AGG-relevant *und* — wenn es Bewerberdaten in eine Cloud gibt — geheimnisrechtlich problematisch. Die häufigste Fehlvorstellung im Mittelstand lautet: „Der Anbieter hat mir versichert, das Tool sei DSGVO-konform, also ist alles geregelt." Das ist falsch, weil Datenschutz nur eine der sechs Schichten ist. [Synthese]

Analyse: Warum die Gleichzeitigkeit das eigentliche Problem ist

Die rechtliche Schwierigkeit beim betrieblichen KI-Einsatz liegt selten in einer einzelnen, unlösbaren Norm. Sie liegt in der Gleichzeitigkeit und in der unterschiedlichen Reichweite der Schichten. Drei Effekte sind für den Arbeitgeber praktisch bedeutsam:

Erstens verlaufen die Zeitachsen auseinander. Das Datenschutzrecht gilt vollständig und sofort. Die KI-Verordnung gilt gestaffelt — verbotene Praktiken und KI-Kompetenz seit 02.02.2025, die Hochrisiko-Pflichten für die Personalarbeit erst ab 02.12.2027 (nach der Verschiebung durch den Digital Omnibus). Das Mitbestimmungsrecht gilt, sobald ein Betriebsrat besteht, ohne Übergangsfrist. Ein Arbeitgeber, der nur auf „die KI-Verordnung ab 2027" schaut, übersieht, dass ihn Datenschutz und Mitbestimmung heute binden. [BELEGT für die Daten; Synthese für die Schlussfolgerung]

Zweitens haben die Schichten unterschiedliche Adressaten und Sanktionen. Ein Datenschutzverstoß trifft das Unternehmen mit Bußgeldern und Betroffene mit Schadensersatzansprüchen; ein Mitbestimmungsverstoß führt nicht zu Bußgeld, aber zu Unterlassungsansprüchen des Betriebsrats und einem faktischen Nutzungsverbot; ein AGG-Verstoß führt zu Entschädigungs- und Schadensersatzansprüchen einzelner Bewerber oder Beschäftigter. Dieselbe technische Maßnahme kann also auf drei völlig verschiedenen Wegen teuer werden. [Synthese]

Drittens ist die Rollenfrage der KI-Verordnung (Anbieter/Betreiber) für die Personalarbeit meist eindeutig — das Unternehmen ist Betreiber eines zugekauften Systems —, verschiebt sich aber, sobald das Unternehmen ein System wesentlich verändert oder unter eigenem Namen einsetzt. Für die Landkarte genügt: In der Regel ist der Arbeitgeber Betreiber und trägt die Betreiberpflichten (Kapitel 5). [BELEGT]

Auswertung: Was der Arbeitgeber konkret tun muss

Die Landkarte übersetzt sich in eine einfache organisatorische Regel: Jeder KI-Anwendungsfall, der Beschäftigte betrifft, wird vor dem Produktivstart durch alle sechs Schichten geprüft — nicht nur durch die Datenschutzbrille. Praktisch heißt das, einen kurzen, standardisierten „KI-Use-Case-Steckbrief" zu führen, der für jeden geplanten Einsatz festhält: Welche Daten (personenbezogen? von wem?), welcher Zweck, welche Rechtsgrundlage (DSGVO), welche Rolle/Risikoklasse (KI-VO), ist der Betriebsrat zu beteiligen (BetrVG), gibt es AGG-Risiken, gehen geschützte Daten nach außen (§ 203/GeschGehG)? Wer diese sieben Fragen dokumentiert beantwortet, hat die Landkarte in ein Arbeitsinstrument verwandelt. [Empfehlung/Synthese]

Für den Unternehmer (Kapitel 1):

• TUN: Für jeden geplanten KI-Einsatz mit Bezug zu Beschäftigten einen kurzen

Steckbrief anlegen (Daten, Zweck, Rechtsgrundlage, KI-VO-Rolle, Mitbestimmung, AGG, Geheimnisschutz).

• LASSEN: Sich nicht auf die pauschale Zusage „ist DSGVO-konform" verlassen — sie

deckt bestenfalls eine von sechs Schichten ab.

• DOKUMENTIEREN: Den Steckbrief samt Prüfergebnis und Datum; er ist später der

Nachweis, dass geprüft wurde.

• EINBINDEN: Bei personenbezogenen Beschäftigtendaten früh den Datenschutz-

beauftragten; bei überwachungsgeeigneten Systemen früh den Betriebsrat.

Kapitel 2 — Beschäftigtendatenschutz: Der Boden hat sich verschoben

Recherche: Vom „Herzstück" § 26 BDSG zur unmittelbaren DSGVO

Über Jahre war § 26 Abs. 1 Satz 1 BDSG die selbstverständliche Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten. Die Norm erlaubt die Verarbeitung, „wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung … erforderlich ist" (§ 26 Abs. 1 Satz 1 BDSG, https://www.gesetze-im-internet.de/bdsg_2018/__26.html, abgerufen 08/2026). Sie stützt sich auf die Öffnungsklausel des Art. 88 DSGVO, die den Mitgliedstaaten erlaubt, „spezifischere Vorschriften" für den Beschäftigtendatenschutz zu erlassen. [BELEGT]

Genau an dieser „Spezifität" ist § 26 BDSG gescheitert. Der Europäische Gerichtshof entschied am 30.03.2023 (Rechtssache C-34/21, „Hauptpersonalrat der Lehrerinnen und Lehrer") über eine hessische Parallelnorm (§ 23 Abs. 1 HDSIG), die nahezu wortgleich mit § 26 Abs. 1 BDSG ist. Anlass war der Livestream-Unterricht während der Corona-Pandemie in Hessen, für den die Lehrkräfte — anders als Schüler und Eltern — nicht um Einwilligung gefragt wurden; die Datenverarbeitung wurde auf die Erforderlichkeit für das Dienstverhältnis gestützt. Der EuGH befand: Eine nationale Norm, die im Wesentlichen nur die ohnehin geltenden DSGVO-Voraussetzungen wiederholt, ohne die von Art. 88 Abs. 2 DSGVO geforderten besonderen Schutzmaßnahmen hinzuzufügen (Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte), ist keine „spezifischere Vorschrift" und damit unanwendbar. (Quelle: EuGH, 30.03.2023, C-34/21; amtliche Fundstelle über curia.europa.eu; ausführliche Besprechung u. a. LTO, https://www.lto.de/recht/nachrichten/n/eugh-c34-21-datenschutz-beschaeftigte-lehrer-streaming-unterricht-26bdsg-88dsgvo, abgerufen 08/2026.) [BELEGT]

Das Bundesarbeitsgericht hat diese Linie übernommen und für die Praxis zugespitzt. Im Urteil vom 08.05.2025 (8 AZR 209/21) ging es um die Einführung einer neuen Personalverwaltungs-Software (Workday), für deren Test echte Beschäftigtendaten in ein Testsystem übertragen worden waren. Das BAG behandelte § 26 Abs. 1 Satz 1 BDSG als unanwendbar und prüfte die Verarbeitung unmittelbar an der DSGVO. Der amtliche Leitsatz lautet: „Die Verarbeitung personenbezogener Daten, um eine neue Personalverwaltungs-Software zu testen, kann nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO … zur Wahrung der berechtigten Interessen des Arbeitgebers gerechtfertigt sein, sofern entpersonalisierte «Dummy-Daten» zur Erreichung des Testzwecks nicht ausreichen." (Quelle: BAG, 08.05.2025, 8 AZR 209/21, amtliche Seite, https://www.bundesarbeitsgericht.de/entscheidung/8-azr-209-21/, abgerufen 08/2026.) [BELEGT]

Damit steht fest: Wer heute Beschäftigtendaten verarbeitet — und ein HR- oder KI-System tut das nahezu immer —, braucht eine Rechtsgrundlage unmittelbar aus der DSGVO. In Betracht kommen vor allem:

• Art. 6 Abs. 1 lit. b DSGVO — Erforderlichkeit für die Erfüllung des

Arbeitsvertrags (z. B. Lohnabrechnung, Einsatzplanung). [BELEGT]

• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Arbeitgebers, nach

Interessenabwägung (so der Fall des BAG zum Softwaretest). [BELEGT]

• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B.

sozialversicherungs- oder steuerrechtliche Pflichten). [BELEGT]

• Art. 88 DSGVO i. V. m. einer Kollektivvereinbarung — Betriebsvereinbarung als

Rechtsgrundlage (dazu Kapitel 4). [BELEGT]

• Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO) — im Beschäftigungsverhältnis

nur eingeschränkt tragfähig, weil die Freiwilligkeit wegen des Abhängigkeits- verhältnisses zweifelhaft ist. [BELEGT/STRITTIG]

Analyse: Was das für KI-Systeme konkret bedeutet

Der Wechsel von § 26 BDSG zur unmittelbaren DSGVO ist kein akademisches Detail. Er verschiebt die Argumentationslast und verschärft drei Anforderungen, die beim KI-Einsatz ohnehin kritisch sind:

Erstens die Erforderlichkeit und Datenminimierung. Art. 5 Abs. 1 lit. c DSGVO verlangt, dass Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sind (Quelle: Art. 5 DSGVO, ebd.). KI-Systeme neigen zum Gegenteil: Sie werden mit möglichst vielen Daten „gefüttert", weil das die Ergebnisse verbessert. Der Fall des BAG zeigt die Grenze exemplarisch — das Gericht knüpfte die Rechtfertigung ausdrücklich daran, dass anonymisierte Dummy-Daten nicht ausreichen. Für den Arbeitgeber heißt das: Vor dem Einsatz echter Beschäftigtendaten in einem KI-System ist zu prüfen und zu begründen, warum synthetische oder anonymisierte Daten den Zweck nicht erfüllen. [BELEGT für den Grundsatz; Synthese für die Anwendung]

Zweitens das berechtigte Interesse als wackeliger Standard. Art. 6 Abs. 1 lit. f DSGVO ist flexibel, aber er verlangt eine echte Interessenabwägung zwischen dem Arbeitgeberinteresse und den Grundrechten der Beschäftigten. Je eingriffsintensiver das KI-System (Auswertung von Verhaltensdaten, Profiling, Leistungsscoring), desto schwerer wiegt die Beschäftigtenseite und desto eher kippt die Abwägung. Das berechtigte Interesse ist damit gerade kein Freibrief, sondern eine begründungspflichtige, dokumentationsbedürftige Entscheidung. [BELEGT/Synthese]

Drittens die besonderen Datenkategorien. Verarbeitet ein KI-System Gesundheits-, Gewerkschafts- oder andere besondere Daten im Sinne des Art. 9 DSGVO (etwa, weil es Krankheitsmuster erkennt oder Stimmungen auswertet), gelten strengere Regeln; die Verarbeitung ist grundsätzlich verboten und nur unter engen Ausnahmen zulässig. Solche Systeme sind im Beschäftigungskontext besonders riskant. (Quelle: Art. 9 DSGVO, ebd.) [BELEGT]

Der Stand des Beschäftigtendatengesetzes (BeschDG)

Weil § 26 BDSG diese Lücke hinterlässt, arbeitet der deutsche Gesetzgeber an einem eigenständigen Beschäftigtendatengesetz. Der Verlauf, Stand 08/2026:

• Im Oktober 2024 legten das Bundesarbeitsministerium (BMAS) und das

Bundesinnenministerium (BMI) einen Referentenentwurf für ein Beschäftigtendatengesetz (BeschDG) vor. Er sah unter anderem Transparenzpflichten beim Einsatz von KI und automatisierten Systemen im Beschäftigungskontext vor. (Quelle: DLA Piper, „Ein erster Eindruck vom Referentenentwurf des Beschäftigtendatengesetzes (BeschDG)", https://www.dlapiper.com/de-de/insights/blogs/employment-blog-germany/2024/, abgerufen 08/2026; Luther, https://www.luther-lawfirm.com/, abgerufen 08/2026.) [BELEGT]

• Mit dem Bruch der Regierungskoalition im November 2024 und dem folgenden

Regierungswechsel wurde dieser Entwurf nicht mehr verabschiedet; das Verfahren fiel der Diskontinuität zum Opfer. [BELEGT]

• Die neue Bundesregierung hat das Vorhaben wieder aufgegriffen; das

Beschäftigtendatenschutzrecht steht erneut auf der Agenda, und „Erkenntnisse aus der letzten Legislaturperiode" sollen einfließen. Ein neuer Entwurf und ein Inkrafttreten Ende 2026/Anfang 2027 werden diskutiert. (Quelle: BMAS-Denkfabrik, „Auf dem Weg zu einem Beschäftigtendatengesetz", https://www.denkfabrik-bmas.de/schwerpunkte/beschaeftigtendatenschutz/, abgerufen 08/2026; Pressebericht ad-hoc-news, „Bundesregierung startet neuen Anlauf", https://www.ad-hoc-news.de/, abgerufen 08/2026.) [BELEGT für die Absicht; der konkrete Zeitplan ist STRITTIG/UNKLAR und gehört zur Refresh-Liste.]

Für den Arbeitgeber ist der wichtigste Punkt: Bis ein BeschDG in Kraft ist, bleibt die unmittelbare DSGVO der Maßstab. Wer heute plant, sollte nicht auf ein künftiges Gesetz warten, sondern seine Rechtsgrundlagen jetzt auf DSGVO-Basis sauber aufstellen — und beobachten, ob ein künftiges BeschDG neue Transparenz- und KI-Pflichten bringt. [Empfehlung/Synthese]

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 2):

• TUN: Für jede Verarbeitung von Beschäftigtendaten durch ein KI-/HR-System eine

konkrete DSGVO-Rechtsgrundlage benennen (lit. b, c, f oder Betriebsvereinbarung) — nicht mehr § 26 BDSG als Selbstläufer.

• TUN: Bei berechtigtem Interesse (lit. f) eine dokumentierte Interessenabwägung

vornehmen; bei Testsystemen zuerst anonymisierte/Dummy-Daten prüfen.

• LASSEN: Keine Einwilligung als Standard-Rechtsgrundlage im

Beschäftigungsverhältnis unterstellen — die Freiwilligkeit ist meist zweifelhaft.

• LASSEN: Keine besonderen Datenkategorien (Art. 9 DSGVO) durch KI auswerten, ohne

eine tragfähige Ausnahme und vorherige Rechtsprüfung.

• DOKUMENTIEREN: Rechtsgrundlage je Verarbeitung, Interessenabwägung,

Erforderlichkeitsbegründung (warum echte statt Dummy-Daten), Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO).

• EINBINDEN: Datenschutzbeauftragten vor dem Produktivstart; bei hohem Risiko eine

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO (siehe Kapitel 5).

Kapitel 3 — Mitarbeiterüberwachung und KI-gestützte Leistungs-/Verhaltenskontrolle

Recherche: Was KI-Überwachung im Betrieb heute bedeutet

„Überwachung" klingt nach Videokamera und heimlichem Detektiv. Die KI-Realität ist subtiler und alltäglicher. Moderne Systeme erzeugen Verhaltens- und Leistungsdaten oft als Nebenprodukt ganz normaler Arbeit: Kollaborationsplattformen protokollieren, wer wann wie lange aktiv ist; Ticket- und CRM-Systeme messen Bearbeitungszeiten; Callcenter-Software analysiert Gesprächsinhalte, Tonfall und Sprechanteile; „Productivity-Scores" fassen all das zu Kennzahlen zusammen; und generative Assistenzsysteme können Entwürfe, Suchanfragen und Fehler mitschreiben. KI hebt diese Auswertung auf eine neue Stufe, weil sie Muster erkennt, prognostiziert und bewertet, wo früher nur rohe Logdaten lagen. [Sachverhaltsbeschreibung/Synthese]

Rechtlich sind für die Grenzen dieser Überwachung mehrere Ebenen einschlägig:

• Die DSGVO-Grundsätze (Art. 5 DSGVO): Zweckbindung, Datenminimierung,

Transparenz und Rechtmäßigkeit. Beschäftigtenüberwachung, die über den vereinbarten Zweck hinausgeht oder heimlich erfolgt, verletzt diese Grundsätze. (Quelle: Art. 5 DSGVO, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679, abgerufen 08/2026.) [BELEGT]

• Das allgemeine Persönlichkeitsrecht der Beschäftigten (Art. 2 Abs. 1 i. V. m.

Art. 1 Abs. 1 GG), das der Arbeitgeber im Rahmen seiner arbeitsvertraglichen Rücksichtnahmepflichten wahren muss. [BELEGT]

• Der Verhältnismäßigkeitsgrundsatz: Jede Überwachungsmaßnahme muss geeignet,

erforderlich und angemessen sein; das mildeste gleich wirksame Mittel ist zu wählen. [BELEGT als Grundsatz]

Die Leitentscheidung zur Reichweite ist das Keylogger-Urteil des Bundesarbeitsgerichts vom 27.07.2017 (2 AZR 681/16). Ein Arbeitgeber hatte heimlich einen Software-Keylogger installiert, der alle Tastatureingaben aufzeichnete und regelmäßig Screenshots anfertigte. Der amtliche Leitsatz: „Der Einsatz eines Software-Keyloggers ist nicht nach § 32 Abs. 1 BDSG erlaubt, wenn kein auf den Arbeitnehmer bezogener, durch konkrete Tatsachen begründeter Verdacht einer Straftat oder anderen schwerwiegenden Pflichtverletzung besteht." (Quelle: BAG, 27.07.2017, 2 AZR 681/16, amtliche Seite, https://www.bundesarbeitsgericht.de/entscheidung/2-azr-681-16/, abgerufen 08/2026.) [BELEGT] Das Urteil erging noch zu § 32 BDSG a. F. (heute im Kern § 26 BDSG bzw. unmittelbar DSGVO), doch sein Grundsatz gilt fort: Anlasslose, verdeckte Dauerüberwachung ist unzulässig; sie setzt einen konkreten, tatsachengestützten Verdacht voraus. Für KI-gestützte Auswertung, die technisch noch tiefer greift als ein Keylogger, verschärft sich diese Wertung eher, als dass sie sich lockert. [BELEGT für das Urteil; Synthese für die Übertragung auf KI]

Ein absolutes Verbot: Emotionserkennung am Arbeitsplatz (Art. 5 KI-VO). Eine Kategorie der KI-Überwachung ist EU-rechtlich nicht bloß begrenzt, sondern komplett verboten. Art. 5 Abs. 1 lit. f der KI-Verordnung untersagt das Inverkehrbringen und den Einsatz von KI-Systemen, „um Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen abzuleiten" — auf Grundlage biometrischer Daten wie Gesichtsausdruck, Stimme oder Körpersignale. Ausgenommen sind nur Systeme, die ausschließlich aus medizinischen oder Sicherheitsgründen eingesetzt werden (etwa Müdigkeitswarnung aus Arbeitsschutzgründen); die Sicherheitsausnahme ist auf den Schutz von Leben und Gesundheit beschränkt und deckt keine sonstigen Interessen wie Betrugsprävention. Dieses Verbot gehört zu den „verbotenen Praktiken", die bereits seit dem 02.02.2025 gelten; der Digital Omnibus hat die verbotenen Praktiken nicht aufgehoben. (Quelle: Art. 5 Abs. 1 lit. f VO (EU) 2024/1689, EUR-Lex CELEX 32024R1689, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689; Erläuterung u. a. Future of Privacy Forum, https://fpf.org/blog/red-lines-under-eu-ai-act-unpacking-the-prohibition-of-emotion-recognition-in-the-workplace-and-education-institutions/, abgerufen 08/2026.) [BELEGT]

Praktisch heißt das: Callcenter-„Stimmungsanalyse", die aus der Stimme von Beschäftigten Ärger, Stress oder Zufriedenheit ableitet, KI, die aus Gesichtsausdrücken die „Motivation" im Video-Meeting misst, oder Emotions-Scoring in KI-Interviews sind am Arbeitsplatz verboten — unabhängig von Einwilligung, Betriebsvereinbarung oder Mitbestimmung. Ein Verbot lässt sich nicht durch Zustimmung „heilen". Wichtig ist die Abgrenzung: Die reine Erkennung von *Sachverhalten* (Wer spricht? Welches Wort fiel?) ist keine Emotionsableitung; die Grenze verläuft bei der Inferenz *innerer Gefühlszustände* aus biometrischen Daten. [BELEGT/Synthese]

Analyse: Die drei roten Linien der KI-Überwachung

Aus dem Zusammenspiel von DSGVO, Persönlichkeitsrecht und Verhältnismäßigkeit lassen sich drei rote Linien ableiten, die der Arbeitgeber nicht überschreiten darf:

Rote Linie 1 — Heimlichkeit. Verdeckte KI-Überwachung ohne Kenntnis der Beschäftigten ist grundsätzlich unzulässig; sie verletzt den Transparenzgrundsatz (Art. 5 Abs. 1 lit. a DSGVO) und das Persönlichkeitsrecht. Ausnahmen kommen nur bei konkretem, dokumentiertem Verdacht einer schweren Pflichtverletzung und nur als letztes Mittel in Betracht — die Messlatte des Keylogger-Urteils. Ein Beweisverwertungsverbot im arbeitsgerichtlichen Prozess ist die praktische Folge unzulässiger heimlicher Überwachung. [BELEGT/Synthese]

Rote Linie 2 — Lückenlose Totalüberwachung und Leistungsdruck durch Dauerscoring. Selbst offene Überwachung darf nicht dazu führen, dass Beschäftigte einem ununterbrochenen Anpassungs- und Kontrolldruck ausgesetzt sind. Eine permanente, umfassende KI-Leistungsbewertung, die jeden Arbeitsschritt in Echtzeit misst und bewertet, ist in aller Regel unverhältnismäßig, weil sie den Kern des Persönlichkeitsrechts trifft. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verlangt, nur die für den konkreten Zweck nötigen Daten zu erheben — nicht „alles, weil es technisch geht". [BELEGT für die Grundsätze; Synthese für die Anwendung]

Rote Linie 3 — Zweckentfremdung. Daten, die für einen legitimen Zweck erhoben wurden (z. B. Ticket-Bearbeitungszeiten zur Kapazitätsplanung), dürfen nicht ohne Weiteres für einen anderen, eingriffsintensiveren Zweck (z. B. individuelle Leistungsbewertung mit arbeitsrechtlichen Folgen) weiterverwendet werden. Das verstößt gegen die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO). Gerade KI-Systeme laden zur Zweckentfremdung ein, weil einmal vorhandene Daten sich leicht neu auswerten lassen. [BELEGT/Synthese]

Wichtig ist der Zusammenhang mit der Mitbestimmung (Kapitel 4): Nahezu jedes System, das Verhaltens- oder Leistungsdaten auswerten *kann*, ist zugleich mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 BetrVG. Überwachung und Mitbestimmung sind damit zwei Seiten derselben Medaille — die datenschutzrechtliche Zulässigkeit und die betriebsverfassungsrechtliche Beteiligung müssen beide erfüllt sein. [BELEGT/Synthese]

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 3):

• TUN: Überwachungsgeeignete KI-Funktionen vor dem Einsatz identifizieren und auf

Verhältnismäßigkeit prüfen (Geeignetheit, Erforderlichkeit, Angemessenheit); Zweck vorab festlegen und begrenzen.

• TUN: Transparenz herstellen — Beschäftigte (und, wo vorhanden, den Betriebsrat)

darüber informieren, welche Daten zu welchem Zweck erhoben und ausgewertet werden.

• LASSEN: Keine heimliche KI-Überwachung ohne konkreten, tatsachengestützten

Verdacht einer schweren Pflichtverletzung; keine anlasslose Totalüberwachung; kein permanentes Echtzeit-Leistungsscoring einzelner Personen.

• LASSEN: Keine Zweckentfremdung vorhandener Betriebsdaten für individuelle

Leistungs-/Verhaltensbewertung ohne neue Rechtsgrundlage und Prüfung.

• DOKUMENTIEREN: Zweckfestlegung, Verhältnismäßigkeitsprüfung, Informations- und

Transparenzmaßnahmen; bei Verdachtsfällen die konkreten Tatsachen, die die Maßnahme auslösen.

• EINBINDEN: Betriebsrat (Mitbestimmung, Kapitel 4) und Datenschutzbeauftragten

vor dem Einsatz; bei systematischer Bewertung eine DSFA (Art. 35 DSGVO).

Kapitel 4 — Mitbestimmung: Der Betriebsrat beim KI-Einsatz

Recherche: Die Hebel des Betriebsrats — mit Wortlaut

Wo ein Betriebsrat besteht, gibt das Betriebsverfassungsgesetz ihm beim KI-Einsatz mehrere Beteiligungsrechte. Sie reichen vom bloßen Informationsanspruch bis zur erzwingbaren Mitbestimmung, deren Missachtung ein System praktisch stoppt. Der Gesetzgeber hat das BetrVG 2021 ausdrücklich um KI-Bezüge ergänzt (Betriebsräte- modernisierungsgesetz vom 14.06.2021, BGBl. I S. 1762).

§ 87 Abs. 1 Nr. 6 BetrVG — die erzwingbare Mitbestimmung (der wichtigste Hebel). Der Betriebsrat hat mitzubestimmen bei „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". (Quelle: § 87 Abs. 1 Nr. 6 BetrVG, https://www.gesetze-im-internet.de/betrvg/__87.html, abgerufen 08/2026.) [BELEGT] Entscheidend ist die Auslegung des Wortes „bestimmt": Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt die objektive Eignung der technischen Einrichtung zur Überwachung; auf eine Überwachungs*absicht* des Arbeitgebers kommt es nicht an. Der Erste Senat hat das zuletzt im Beschluss vom 16.07.2024 (1 ABR 16/23) bekräftigt: Maßgeblich ist, ob die Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsinformationen zu erheben und aufzuzeichnen — die subjektive Absicht ist unerheblich. (Quelle: BAG, 16.07.2024, 1 ABR 16/23, amtliche Seite, https://www.bundesarbeitsgericht.de/entscheidung/1-abr-16-23/, abgerufen 08/2026.) [BELEGT] Praktisch heißt das: Fast jedes KI-System, das mit Beschäftigtendaten arbeitet und Auswertungen zu einzelnen Personen zulässt, fällt unter Nr. 6 — unabhängig davon, ob der Arbeitgeber „überwachen will".

§ 90 Abs. 1 Nr. 3 BetrVG — Unterrichtung und Beratung. Der Arbeitgeber muss den Betriebsrat über die Planung von „Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz" rechtzeitig unterrichten und mit ihm beraten. (Quelle: § 90 Abs. 1 Nr. 3 BetrVG, https://www.gesetze-im-internet.de/betrvg/__90.html, abgerufen 08/2026.) [BELEGT] Dies ist ein Beteiligungsrecht schon in der Planungsphase — also bevor überhaupt eine Entscheidung fällt. Es ist nicht erzwingbar wie § 87, verpflichtet aber zur frühzeitigen Einbindung.

§ 80 Abs. 3 BetrVG — Sachverständige, KI-Erleichterung. Der Betriebsrat kann zur Erfüllung seiner Aufgaben Sachverständige hinzuziehen, soweit erforderlich; und das Gesetz stellt seit 2021 klar: „Muss der Betriebsrat zur Durchführung seiner Aufgaben die Einführung oder Anwendung von Künstlicher Intelligenz beurteilen, gilt insoweit die Hinzuziehung eines Sachverständigen als erforderlich." (Quelle: § 80 Abs. 3 BetrVG, https://www.gesetze-im-internet.de/betrvg/__80.html, abgerufen 08/2026.) [BELEGT] Für den Arbeitgeber bedeutet das: Bei KI kann der Betriebsrat leichter als sonst externen (kostenpflichtigen) Sachverstand hinzuziehen — die sonst nötige Einzelfallbegründung der Erforderlichkeit ist ihm bei KI abgenommen.

§ 95 Abs. 2a BetrVG — Auswahlrichtlinien mit KI. Die Mitbestimmung bei Auswahlrichtlinien (für Einstellungen, Versetzungen, Umgruppierungen, Kündigungen) gilt auch dann, „wenn bei der Aufstellung der Richtlinien … Künstliche Intelligenz zum Einsatz kommt". (Quelle: § 95 Abs. 2a BetrVG, https://www.gesetze-im-internet.de/betrvg/__95.html, abgerufen 08/2026.) [BELEGT]

§ 79a BetrVG — Datenschutz. Seit 2021 stellt das BetrVG klar, dass Arbeitgeber und Betriebsrat bei der Verarbeitung personenbezogener Daten zur Einhaltung der Datenschutzvorschriften zusammenwirken; datenschutzrechtlich Verantwortlicher bleibt der Arbeitgeber. (Quelle: § 79a BetrVG, https://www.gesetze-im-internet.de/betrvg/__79a.html, abgerufen 08/2026.) [BELEGT]

Analyse: Wann genau Mitbestimmung ausgelöst wird — und wann nicht

Die Kernfrage der Praxis lautet: Löst *dieses* KI-Tool die Mitbestimmung nach § 87 Abs. 1 Nr. 6 aus? Die Antwort hängt an der objektiven Überwachungseignung — und die lässt sich an einem realen Fall schärfen.

Der ChatGPT-Fall des Arbeitsgerichts Hamburg (16.01.2024, 24 BVGa 1/24). Ein Arbeitgeber erlaubte den Beschäftigten, generative KI wie ChatGPT als Arbeitshilfe zu nutzen, und gab dazu Nutzungsrichtlinien heraus. Die Tools waren über die Browser/private Accounts der Beschäftigten zu nutzen; der Arbeitgeber erhielt keine Nutzungsdaten und hatte keinen Zugriff auf das Nutzungsverhalten. Der Betriebsrat verlangte im einstweiligen Verfügungsverfahren Mitbestimmung nach § 87 Abs. 1 Nr. 6. Das Arbeitsgericht Hamburg lehnte ab: Weil der Arbeitgeber keine Verhaltens- oder Leistungsdaten erhielt und das System insoweit nicht zur Überwachung durch ihn geeignet war, fehle es an der Voraussetzung der Nr. 6; auch ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 (Ordnungsverhalten) verneinte das Gericht für die reine Nutzungserlaubnis. (Quelle: ArbG Hamburg, Beschluss vom 16.01.2024, 24 BVGa 1/24; Besprechungen u. a. Bird & Bird, https://www.twobirds.com/de/insights/2024/germany/, und CMS, https://cms.law/de/deu/legal-updates/, abgerufen 08/2026.) [BELEGT — erstinstanzlich, Einzelfall, im einstweiligen Rechtsschutz]

Die Lehre aus dem Fall ist zweischneidig und für den Arbeitgeber wichtig, damit er sie nicht überdehnt: Der Ausschlag gab die konkrete technische Ausgestaltung — private Accounts, kein Datenrückfluss zum Arbeitgeber. Sobald der Arbeitgeber generative KI über betriebliche Accounts, mit Protokollierung, Verlaufs-Speicherung oder Auswertungsmöglichkeit bereitstellt, kehrt sich das Ergebnis um: Dann ist das System objektiv überwachungsgeeignet, und § 87 Abs. 1 Nr. 6 greift. Der Fall ist also keine Freikarte für „KI braucht keine Mitbestimmung", sondern eine präzise Aussage über eine sehr spezielle Konstellation. [BELEGT für den Fall; Synthese für die Abgrenzung]

Betriebsvereinbarung als doppelter Schlüssel. Der Königsweg bei mitbestimmungspflichtigen KI-Systemen ist die Betriebsvereinbarung KI. Sie erfüllt zwei Funktionen zugleich: Sie setzt die Mitbestimmung nach § 87 um, und sie kann als datenschutzrechtliche Rechtsgrundlage dienen. Nach Art. 88 DSGVO können „Kollektivvereinbarungen (einschließlich Betriebsvereinbarungen) spezifischere Vorschriften" für den Beschäftigtendatenschutz enthalten. Wichtig ist die Grenze, die der EuGH gezogen hat: Im Urteil vom 19.12.2024 (C-65/23, „K GmbH") stellte er klar, dass Betriebsvereinbarungen der vollen gerichtlichen Kontrolle unterliegen und die materiellen Vorgaben der DSGVO (insbesondere Art. 5, 6 und 9) einhalten müssen; die Betriebsparteien können den Schutzstandard nicht unterlaufen. (Quelle: EuGH, 19.12.2024, C-65/23, curia.europa.eu; Besprechung u. a. SKW Schwarz, https://www.skwschwarz.de/news/eugh-urteil-zu-betriebsvereinbarungen, abgerufen 08/2026.) [BELEGT] Eine Betriebsvereinbarung „KI" kann also die Rechtsgrundlage liefern — aber nur, wenn sie inhaltlich DSGVO-konform ist, nicht als Blankoscheck.

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 4):

• TUN: Vor Einführung jedes überwachungsgeeigneten KI-Systems den Betriebsrat nach

§ 87 Abs. 1 Nr. 6 beteiligen; in der Planungsphase nach § 90 unterrichten und beraten.

• TUN: Eine Betriebsvereinbarung KI anstreben, die Zwecke, Datenarten,

Auswertungsgrenzen, Transparenz und Betroffenenrechte regelt — und die zugleich als DSGVO-Rechtsgrundlage dient.

• LASSEN: Kein überwachungsgeeignetes System „einfach ausrollen" und auf spätere

Zustimmung hoffen — das riskiert Unterlassungsanspruch und Nutzungsverbot.

• LASSEN: Den ChatGPT-Fall nicht als Freibrief missverstehen: Betriebliche

KI-Accounts mit Protokollierung sind mitbestimmungspflichtig.

• DOKUMENTIEREN: Beteiligungsnachweis (wann, wie unterrichtet/beraten), die

Betriebsvereinbarung, die Einordnung „überwachungsgeeignet ja/nein" mit Begründung.

• EINBINDEN: Betriebsrat früh; bei Streit über die Erforderlichkeit eines

Sachverständigen § 80 Abs. 3 beachten (bei KI gilt sie als gegeben).

Kapitel 5 — Recruiting und Personalauswahl mit KI: Hochrisiko und Diskriminierungsverbot

Recherche: KI in der Personalarbeit ist EU-rechtlich „Hochrisiko"

Die KI-Verordnung (VO (EU) 2024/1689) ordnet KI-Systeme nach Risikograden. Für die Personalarbeit ist die Kategorie Hochrisiko einschlägig. Anhang III Nr. 4 der Verordnung nennt ausdrücklich zwei Fallgruppen im Bereich „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit":

• Nr. 4 lit. a — Recruiting/Auswahl: KI-Systeme, die für die „Einstellung oder

Auswahl natürlicher Personen" bestimmt sind, insbesondere um Stellenanzeigen gezielt auszuspielen, Bewerbungen zu analysieren und zu filtern und Bewerber zu bewerten.

• Nr. 4 lit. b — Entscheidungen im laufenden Verhältnis: KI-Systeme, die dazu

bestimmt sind, Entscheidungen über Bedingungen des Arbeitsverhältnisses, über Beförderung oder Beendigung zu treffen, Aufgaben auf Grundlage von individuellem Verhalten oder persönlichen Eigenschaften zuzuweisen oder die Leistung und das Verhalten von Personen in solchen Verhältnissen zu überwachen und zu bewerten.

(Quelle: Anhang III Nr. 4 VO (EU) 2024/1689, EUR-Lex CELEX 32024R1689, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689; englische Fassung zusätzlich https://artificialintelligenceact.eu/annex/3/, abgerufen 08/2026.) [BELEGT]

Praktisch fällt darunter fast das gesamte KI-gestützte Personalinstrumentarium: Lebenslauf-Parsing und -Ranking, automatisiertes Vorauswahl-Scoring, KI-Interview- Analyse (Sprache, Mimik), Matching-Algorithmen, Systeme zur Beförderungs- oder Kündigungsvorbereitung, algorithmische Schichtplanung nach Verhalten, KI- Leistungsbewertung. All das sind Hochrisiko-Anwendungen im Sinne des Anhangs III. [BELEGT/Synthese]

Die entscheidende Zeitfrage — und die Verschiebung durch den Digital Omnibus. Nach dem ursprünglichen Zeitplan der KI-Verordnung sollten die Hochrisiko-Pflichten für Anhang-III-Systeme ab dem 02.08.2026 gelten. Der Digital Omnibus (Verordnung (EU) 2026/1744 vom 08.07.2026, in Kraft seit 27.07.2026) hat diesen Stichtag verschoben: Die eigenständigen Hochrisiko-Pflichten nach Anhang III gelten nun erst ab dem 02.12.2027; für Hochrisiko-KI, die als Sicherheitsbauteil in regulierte Produkte eingebettet ist (Anhang I), verschiebt sich die Frist auf den 02.08.2028. (Quelle: VO (EU) 2026/1744 „Digital Omnibus on AI", https://eur-lex.europa.eu/eli/reg/2026/1744/oj; Analysen u. a. Gibson Dunn, https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/, und Cooley, https://cdp.cooley.com/digital-ai-omnibus-delays-key-deadlines-introduces-new-rules/, abgerufen 08/2026.) [BELEGT]

Diese Verschiebung ist ein zweischneidiges Schwert. Sie verschafft Arbeitgebern Zeit, die zugekauften HR-KI-Systeme auf die Hochrisiko-Pflichten vorzubereiten. Sie darf aber nicht als „Entwarnung" missverstanden werden: Datenschutzrecht (DSGVO) und Antidiskriminierungsrecht (AGG) gelten unabhängig von der KI-Verordnung schon heute in vollem Umfang. Ein diskriminierendes KI-Recruiting ist 2026 rechtswidrig, ganz gleich, ab wann die KI-VO-Hochrisiko-Pflichten greifen. [BELEGT/Synthese]

Analyse: Die drei Pflichtenkreise beim KI-Recruiting

Erstens die Betreiberpflichten der KI-Verordnung (ab 02.12.2027, Art. 26). Setzt das Unternehmen ein Hochrisiko-HR-System ein, ist es „Betreiber" (deployer) und muss nach Art. 26 u. a.: das System gemäß Gebrauchsanweisung des Anbieters betreiben; eine wirksame menschliche Aufsicht durch geschulte, befugte Personen einrichten; sicherstellen, dass die vom Betreiber kontrollierten Eingabedaten für den Zweck relevant und repräsentativ sind; den Betrieb überwachen und schwerwiegende Vorfälle melden; die automatisch erzeugten Protokolle aufbewahren; und — besonders wichtig im Arbeitskontext — nach Art. 26 Abs. 7 vor Inbetriebnahme die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren. (Quelle: Art. 26, insb. Abs. 7 VO (EU) 2024/1689, https://artificialintelligenceact.eu/article/26/, abgerufen 08/2026.) [BELEGT] Diese Informationspflicht besteht zusätzlich zu den BetrVG-Beteiligungsrechten (Kapitel 4) und ersetzt sie nicht.

Zweitens das Diskriminierungsverbot des AGG (gilt heute). Das Allgemeine Gleichbehandlungsgesetz verbietet Benachteiligungen „aus Gründen der Rasse oder wegen der ethnischen Herkunft, des Geschlechts, der Religion oder Weltanschauung, einer Behinderung, des Alters oder der sexuellen Identität" (§ 1 AGG) und stellt klar: „Beschäftigte dürfen nicht wegen eines in § 1 genannten Grundes benachteiligt werden" (§ 7 Abs. 1 AGG). (Quelle: §§ 1, 7 AGG, https://www.gesetze-im-internet.de/agg/__1.html und /__7.html, abgerufen 08/2026.) [BELEGT] Der Begriff „Beschäftigte" erfasst nach § 6 Abs. 1 AGG ausdrücklich auch Bewerberinnen und Bewerber. Für KI-Recruiting ist das brisant, weil algorithmische Systeme auf zwei Wegen diskriminieren können: offen (ein verbotenes Merkmal fließt direkt ein) oder — häufiger und tückischer — mittelbar, wenn scheinbar neutrale Merkmale (Postleitzahl, Lücken im Lebenslauf, Sprache, Hochschule) mit einem geschützten Merkmal korrelieren und das System die historischen Verzerrungen seiner Trainingsdaten reproduziert. Die „Neutralität" des Algorithmus ist keine Entlastung; verantwortlich bleibt das Unternehmen. Ein häufig zitiertes Warnbeispiel ist das intern erprobte Bewerbungs-Tool eines großen Technologiekonzerns, das Frauen systematisch schlechter bewertete und deshalb wieder eingestellt wurde — die Verzerrung stammte aus historischen Bewerbungsdaten. [BELEGT für die Normen; das Beispiel ist als Branchenbericht bekannt, der konkrete Einzelbeleg ist hier nicht im Volltext geprüft — Beispiel, nicht tragende Aussage.]

Drittens das Verbot der automatisierten Einzelentscheidung (Art. 22 DSGVO, gilt heute). Art. 22 DSGVO gibt betroffenen Personen das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt". (Quelle: Art. 22 DSGVO, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679, abgerufen 08/2026.) [BELEGT] Eine automatische Bewerberablehnung oder eine automatisierte Kündigungsvorbereitung ohne echte menschliche Entscheidung fällt darunter. Zulässig ist sie nur unter engen Ausnahmen (Vertragserforderlichkeit, gesetzliche Erlaubnis, ausdrückliche Einwilligung) und stets mit dem Recht auf menschliches Eingreifen. Der Mensch, der die KI-Empfehlung nur „durchwinkt", genügt nicht — es braucht eine echte, eigenständige Prüfung. [BELEGT/Synthese]

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 5):

• TUN: Jedes KI-HR-System als Hochrisiko einordnen und die Betreiberpflichten

(Art. 26) vorbereiten — auch wenn sie erst ab 02.12.2027 zwingend gelten; die menschliche Letztentscheidung organisatorisch sicherstellen.

• TUN: Vor Einsatz die Arbeitnehmervertretung und die betroffenen Beschäftigten

informieren (Art. 26 Abs. 7) — zusätzlich zur BetrVG-Beteiligung.

• TUN: KI-Recruiting-Systeme aktiv auf mittelbare Diskriminierung prüfen (Bias-

Test), bevor sie live gehen; die Prüfergebnisse aufbewahren.

• LASSEN: Keine vollautomatische Ablehnung/Bewertung mit erheblicher Wirkung ohne

echtes menschliches Eingreifen (Art. 22 DSGVO); kein „Durchwinken" von KI-Vorschlägen.

• LASSEN: Sich nicht auf „der Algorithmus ist neutral" verlassen — die AGG-Haftung

trifft das Unternehmen, auch bei mittelbarer Diskriminierung.

• DOKUMENTIEREN: Rollen-/Risikoeinordnung, menschliche Aufsicht, Bias-Prüfung,

Informationsnachweis (Art. 26 Abs. 7), DSFA (Art. 35 DSGVO — bei Bewerberbewertung regelmäßig Pflicht).

• EINBINDEN: Datenschutzbeauftragten (DSFA), Betriebsrat (Mitbestimmung),

ggf. Anwalt für die AGG-Risikobewertung; den KI-Anbieter für die Gebrauchsanweisung und die Informationen zur DSFA.

Kapitel 6 — KI-Kompetenz und Schulung: Was Art. 4 der KI-Verordnung wirklich verlangt

Recherche: Vom „Sicherstellen" zum „Fördern"

Art. 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen zur KI-Kompetenz („AI literacy") ihres Personals. In der ursprünglichen Fassung (VO (EU) 2024/1689) lautete die Pflicht, Maßnahmen zu ergreifen, „um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer Personen sicherzustellen, die … mit dem Betrieb und der Nutzung von KI-Systemen befasst sind" — unter Berücksichtigung von deren Vorwissen, Erfahrung, Ausbildung und dem Einsatzkontext. (Quelle: Art. 4 VO (EU) 2024/1689, https://artificialintelligenceact.eu/article/4/, abgerufen 08/2026.) Diese Pflicht gilt seit dem 02.02.2025. [BELEGT]

Der Digital Omnibus (VO (EU) 2026/1744) hat Art. 4 entschärft. Nach der neuen Fassung sollen Anbieter und Betreiber Maßnahmen ergreifen, um „die Entwicklung der KI-Kompetenz ihres Personals … zu unterstützen / zu fördern"; ausdrücklich klargestellt wird, dass diese Pflicht kein garantiertes, bestimmtes Kompetenzniveau eines Einzelnen verlangt. Die Formulierung wechselt damit von „sicherstellen eines ausreichenden Niveaus" zu „Förderung/Unterstützung der Entwicklung". (Quelle: VO (EU) 2026/1744, EUR-Lex, https://eur-lex.europa.eu/eli/reg/2026/1744/oj; Analyse Gibson Dunn, https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/, abgerufen 08/2026.) [BELEGT]

Wichtig für das Verständnis: Die Pflicht als solche bleibt bestehen und gilt weiter seit dem 02.02.2025. Geändert hat sich ihr Anspruchsniveau, nicht ihr Bestehen. Es gibt keine gesetzlich vorgeschriebene Zertifizierung, keine Mindest- Stundenzahl und kein amtliches „KI-Führerschein"-Niveau. Wer etwas anderes behauptet (etwa Anbieter kostenpflichtiger „Pflichtzertifikate"), überzeichnet die Rechtslage. [BELEGT/Synthese]

Analyse: Was „angemessene" KI-Kompetenz praktisch heißt

Die Verordnung verlangt eine kontextangemessene Kompetenz — abgestuft nach Rolle, Vorwissen und Risiko des jeweiligen KI-Einsatzes. Daraus folgt kein Einheitsprogramm, sondern eine differenzierte Betrachtung:

• Beschäftigte, die generative KI nur als Schreibhilfe nutzen, brauchen ein

Grundverständnis: Was kann das Tool, wo „halluziniert" es, welche Daten dürfen hinein (Kapitel 7), wer prüft die Ausgaben.

• Beschäftigte, die Hochrisiko-Systeme bedienen (z. B. HR-Recruiting-KI, Kapitel

5), brauchen zusätzlich die Kompetenz zur menschlichen Aufsicht: die Ergebnisse kritisch zu hinterfragen, Verzerrungen zu erkennen, einzugreifen und zu überstimmen.

• Führungskräfte und Verantwortliche brauchen ein Verständnis der **rechtlichen und

organisatorischen Pflichten** (dieses Dokument).

Der Nutzen der Kompetenzpflicht liegt für den Arbeitgeber nicht nur in der Erfüllung des Art. 4. Geschulte Beschäftigte sind zugleich die beste Absicherung gegen die anderen Risiken dieses Dokuments: Wer weiß, dass man keine Mandantendaten in ein öffentliches Sprachmodell tippt (§ 203 StGB, Kapitel 7), keine KI-Empfehlung ungeprüft umsetzt (Art. 22 DSGVO, Kapitel 5) und Auffälligkeiten meldet, verhindert die Fehler, die sonst teuer werden. KI-Kompetenz ist damit präventive Compliance. [Synthese]

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 6):

• TUN: Ein abgestuftes, rollenbezogenes KI-Kompetenz-Programm aufsetzen

(Grundschulung für alle Nutzer, vertiefte Schulung für Bediener von Hochrisiko-Systemen, Governance-Wissen für Führungskräfte).

• TUN: Schulungen und Inhalte dokumentieren (wer, wann, welche Inhalte) — als

Nachweis der Förderpflicht und als Baustein der allgemeinen Compliance.

• LASSEN: Kein Geld für vermeintlich „gesetzlich vorgeschriebene" Zertifikate

ausgeben, die es so nicht gibt; kein Einheits-Pflichtniveau unterstellen.

• LASSEN: Die Kompetenzpflicht nicht als reine Formalie behandeln — sie ist der

Hebel, mit dem sich die übrigen Risiken (Datenschutz, Geheimnisschutz, Fehlnutzung) senken lassen.

• DOKUMENTIEREN: Schulungskonzept, Teilnahmenachweise, Aktualisierungen; Verweis

auf die interne KI-Nutzungsrichtlinie.

• EINBINDEN: Betriebsrat (Schulungsinhalte können mitbestimmungsrelevant sein),

Datenschutzbeauftragten (Datenschutz-Inhalte der Schulung).

Kapitel 7 — Geheimhaltung und Vertraulichkeit: Was in ein KI-System darf (und was nicht)

Recherche: Die Eingabe ist eine Offenbarung

Der unscheinbarste und zugleich häufigste Rechtsverstoß beim KI-Einsatz passiert im Alltag: Jemand kopiert einen Vertrag, eine Personalakte, eine Mandanten-E-Mail oder eine Kundenliste in ein cloudbasiertes KI-Tool, um sich „schnell eine Zusammenfassung" oder „einen Entwurf" erstellen zu lassen. Rechtlich ist das eine Offenbarung von Daten gegenüber dem KI-Anbieter — mit teils gravierenden Folgen.

§ 203 StGB — das Berufsgeheimnis. In verschwiegenheitspflichtigen Berufen — Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Ärzte, Psychotherapeuten, bestimmte Berater — ist die unbefugte Offenbarung eines fremden Geheimnisses, das dem Täter in seiner beruflichen Eigenschaft anvertraut wurde, strafbar (§ 203 Abs. 1, 2 StGB). Für KI entscheidend ist § 203 Abs. 3 StGB: Danach liegt kein unbefugtes Offenbaren vor, wenn Geheimnisträger Geheimnisse ihren berufsmäßig tätigen Gehilfen oder „sonstigen mitwirkenden Personen" zugänglich machen, soweit dies für deren Tätigkeit erforderlich ist — der Geheimnisträger muss die mitwirkende Person aber zur Geheimhaltung verpflichten. § 203 Abs. 4 StGB stellt zudem die mitwirkende Person selbst unter Strafe, wenn sie das Geheimnis unbefugt offenbart, und den Geheimnisträger, der eine erforderliche Verpflichtung zur Geheimhaltung unterlässt. (Quelle: § 203 StGB, https://www.gesetze-im-internet.de/stgb/__203.html, abgerufen 08/2026.) [BELEGT]

Für den Arbeitgeber einer Kanzlei, Praxis oder prüfenden/beratenden Gesellschaft folgt daraus: Der Einsatz externer KI mit geschützten Daten ist nur zulässig, wenn der Anbieter (als „mitwirkende Person") vertraglich wirksam zur Geheimhaltung verpflichtet ist, die Datenweitergabe auf das Erforderliche beschränkt bleibt und die berufsrechtlichen Vorgaben eingehalten werden. Für Anwälte flankiert § 43e BRAO die Einbindung von Dienstleistern; parallele Regeln gelten in anderen Berufen. (Quelle: § 43e BRAO, https://www.gesetze-im-internet.de/brao/__43e.html, abgerufen 08/2026.) [BELEGT] Fehlt eine wirksame Verpflichtung, ist der Einsatz zu unterlassen — das ist kein Ermessen, sondern Pflicht.

GeschGehG — der Schutz der Geschäftsgeheimnisse. Für alle Unternehmen — nicht nur die verschwiegenheitspflichtigen — droht ein anderer Verlust. Das Geschäftsgeheimnisgesetz schützt eine Information nur dann als Geschäftsgeheimnis, wenn sie Gegenstand „angemessener Geheimhaltungsmaßnahmen durch ihren rechtmäßigen Inhaber" ist (§ 2 Nr. 1 lit. b GeschGehG). (Quelle: § 2 GeschGehG, https://www.gesetze-im-internet.de/geschgehg/__2.html, abgerufen 08/2026.) [BELEGT] Wer vertrauliche Konstruktionsdaten, Kalkulationen, Kundenlisten oder Strategiepapiere ungeschützt in ein öffentliches KI-Tool eingibt, dessen Betreiber die Eingaben zu eigenen Zwecken (etwa zum Training) verwenden darf, riskiert, dass die „angemessenen Geheimhaltungsmaßnahmen" verneint werden — und damit den Schutzstatus verliert. Ein einmal verlorenes Geschäftsgeheimnis lässt sich nicht zurückholen. [BELEGT/Synthese]

Beschäftigtendaten als Sonderfall. Personaldaten sind zugleich personenbezogene Daten (DSGVO, Kapitel 2) und oft vertrauliche Unternehmensinformationen. Ihre Eingabe in ein KI-System ist eine Verarbeitung, die eine Rechtsgrundlage braucht (Kapitel 2), und je nach Anbieter eine Übermittlung, die einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und — bei Drittlandbezug — geeignete Garantien erfordert. [BELEGT]

Analyse: Der Unterschied macht die Vertragslage und das Produkt

Ob die Eingabe von Daten in ein KI-System zulässig ist, entscheidet sich an zwei Stellschrauben, die der Arbeitgeber steuern kann:

Erstens am Produkt- und Vertragstyp. Ein öffentlich zugängliches Consumer-Tool, dessen Nutzungsbedingungen dem Anbieter erlauben, Eingaben zum Training zu verwenden, ist für geschützte Daten regelmäßig ungeeignet. Eine Enterprise-/Business-Variante mit vertraglicher Zusicherung, dass Eingaben nicht zum Training genutzt werden, mit Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und EU-Datenhaltung, kann dagegen zulässig sein. Der Unterschied liegt nicht im Namen des Tools, sondern im Vertrag. [BELEGT/Synthese]

Zweitens an der Datenklassifizierung. Der Arbeitgeber muss festlegen, welche Datenkategorien überhaupt in welche Tools dürfen. Eine einfache, im Betrieb kommunizierte Ampel — „öffentlich / intern / vertraulich / streng vertraulich" — mit klarer Zuordnung, welche Stufe in welches KI-Tool darf, verhindert die meisten Alltagsfehler. Ohne solche Regeln entscheidet faktisch jede einzelne Mitarbeiterin selbst, und das ist die eigentliche Gefahr. [Empfehlung/Synthese]

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 7):

• TUN: Eine verbindliche KI-Nutzungsrichtlinie erlassen, die eine

Datenklassifizierung enthält und klar regelt, welche Daten in welche Tools dürfen.

• TUN: Für zulässige KI-Nutzung Business-/Enterprise-Verträge mit

Trainings-Ausschluss, Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und geprüfter Datenhaltung nutzen.

• TUN (verschwiegenheitspflichtige Berufe): Anbieter wirksam zur Geheimhaltung

verpflichten (§ 203 Abs. 3, 4 StGB), berufsrechtliche Vorgaben (z. B. § 43e BRAO) einhalten.

• LASSEN: Keine vertraulichen Betriebs-, Kunden- oder Personaldaten in öffentliche

Consumer-KI eingeben; keine Berufsgeheimnisse ohne wirksame Geheimhaltungs- verpflichtung offenbaren.

• DOKUMENTIEREN: KI-Nutzungsrichtlinie, Datenklassifizierung, Anbieterverträge

(AVV, Trainings-Ausschluss), Geheimhaltungsverpflichtungen, Erforderlichkeitsprüfung.

• EINBINDEN: Datenschutzbeauftragten (AVV, Drittlandtransfer), bei

Berufsgeheimnissen die Berufskammer/den Anwalt; Betriebsrat, soweit die Richtlinie Ordnungsverhalten oder Überwachung berührt.

Kapitel 8 — „Für den Unternehmer": Die zusammenfassende Checkliste

Die folgende Übersicht bündelt die Pflichten aus allen Kapiteln in ein Arbeitsraster. Sie ist Synthese der oben belegten Normen und als Arbeitshilfe zu verstehen, nicht als abschließender Rechtskatalog. Die Grundregel, die alles zusammenhält: Der Arbeitgeber schuldet nicht die fehlerfreie KI, sondern die sorgfältige, nachweisbare Organisation ihres Einsatzes — datenschutzkonform, mitbestimmt und vertraulich.

Die vier Tore vor jedem Produktivstart

Bevor ein KI-System mit Bezug zu Beschäftigten produktiv geht, sind vier Fragen dokumentiert zu beantworten:

1. Rechtsgrundlage (DSGVO): Welche konkrete Grundlage trägt die Verarbeitung der

Beschäftigtendaten — Art. 6 Abs. 1 lit. b/c/f, Betriebsvereinbarung (Art. 88)? (Nicht mehr § 26 BDSG als Selbstläufer.) → Kapitel 2

1. Rolle und Risikoklasse (KI-VO): Ist das Unternehmen Betreiber? Ist das System

Hochrisiko (Anhang III Nr. 4)? Welche Pflichten folgen daraus (Art. 26)? → Kapitel 5

1. Mitbestimmung (BetrVG): Ist das System objektiv überwachungsgeeignet (§ 87 Abs.

1 Nr. 6)? Ist der Betriebsrat rechtzeitig beteiligt (§§ 90, 95)? → Kapitel 4

1. Vertraulichkeit (§ 203 StGB / GeschGehG): Gehen geschützte oder geheime Daten

nach außen? Ist der Anbieter vertraglich gebunden? → Kapitel 7

Gesamtraster: MUSS tun / DARF nicht / MUSS dokumentieren

Wann welchen Experten einbinden

• Datenschutzbeauftragten (DSB): immer bei Verarbeitung von Beschäftigtendaten,

zwingend vor einer DSFA (Art. 35 DSGVO), bei Auftragsverarbeitung und Drittlandtransfer.

• Betriebsrat: so früh wie möglich bei jedem überwachungsgeeigneten System (§ 87),

in der Planungsphase (§ 90), bei KI-gestützten Auswahlrichtlinien (§ 95).

• Anwalt/Fachanwalt (Arbeitsrecht/IT-Recht): bei Betriebsvereinbarungen KI,

AGG-Risikobewertungen von Recruiting-Tools, § 203-Konstellationen, komplexen Anbieterverträgen.

• KI-Anbieter: für Gebrauchsanweisung, technische Dokumentation, Informationen zur

DSFA (Art. 26), Trainings-Ausschluss und Sicherheitszusagen.

Kapitel 9 — Algorithmisches Management und Plattformarbeit (Sonderfall)

Recherche: Wenn der Algorithmus zum Vorgesetzten wird

Ein eigener Rechtsrahmen greift dort, wo KI nicht nur *unterstützt*, sondern faktisch *führt* — wo Software Aufträge zuteilt, Leistung bewertet, Sperren verhängt oder Konten deaktiviert. Der Gesetzgeber nennt das „algorithmisches Management". Für die Plattformökonomie (Liefer-, Fahr-, Vermittlungsdienste) hat die EU dazu die Richtlinie (EU) 2024/2831 über die Verbesserung der Arbeitsbedingungen in der Plattformarbeit erlassen. Sie trat am 01.12.2024 in Kraft und ist von den Mitgliedstaaten in nationales Recht umzusetzen (Umsetzungsfrist Ende 2026 — Stand prüfen). (Quelle: Richtlinie (EU) 2024/2831, EUR-Lex CELEX 32024L2831, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024L2831; Zusammenfassung EUR-Lex, https://eur-lex.europa.eu/EN/legal-content/summary/working-conditions-in-platform-work.html, abgerufen 08/2026.) [BELEGT; exaktes Umsetzungsdatum UNKLAR — Refresh-Liste]

Die Richtlinie enthält für das algorithmische Management mehrere Kernvorgaben, die für Arbeitgeber richtungsweisend sind — auch über die Plattformarbeit hinaus:

• Transparenz: Beschäftigte müssen über automatisierte Überwachungs- und

Entscheidungssysteme informiert werden (welche Daten, welche Kriterien).

• Menschliche Aufsicht: Wichtige Entscheidungen dürfen nicht allein dem Algorithmus

überlassen werden; es braucht menschliche Kontrolle, um Diskriminierung zu vermeiden.

• Erklärungs- und Überprüfungsrecht: Betroffene können eine Erläuterung

algorithmischer Entscheidungen und deren Überprüfung durch einen Menschen verlangen.

• Datenschutzgrenzen: Verbot bestimmter Datenverarbeitungen (z. B. emotionaler

oder psychischer Zustände, Daten außerhalb der Arbeitszeit).

(Quelle: Richtlinie (EU) 2024/2831; Analyse u. a. Freshfields, https://www.freshfields.com/en/our-thinking/blogs/technology-quotient/the-eu-platform-workers-directive-effective-as-of-1-december-2024-what-does-thi-102jqg1, abgerufen 08/2026.) [BELEGT]

Analyse: Warum das auch klassische Arbeitgeber angeht

Formal richtet sich die Richtlinie an digitale Arbeitsplattformen. Für den klassischen Mittelständler ist sie dennoch aus zwei Gründen relevant. Erstens strahlt ihr Leitbild aus: Transparenz, menschliche Aufsicht und ein Überprüfungsrecht sind Anforderungen, die sich mit Art. 22 DSGVO (Kapitel 5) und Art. 26 KI-VO (menschliche Aufsicht) überschneiden und die Richtung der gesamten Rechtsentwicklung anzeigen. Zweitens wächst algorithmisches Management auch in normalen Betrieben: automatische Schicht- und Tourenplanung, KI-gestützte Zielvorgaben, algorithmische Bonusberechnung. Sobald solche Systeme Entscheidungen mit erheblicher Wirkung auf einzelne Beschäftigte treffen, gelten die allgemeinen Grenzen (DSGVO, BetrVG, AGG) — und ein künftiges Beschäftigtendatengesetz dürfte hier zusätzliche Transparenzpflichten bringen. [BELEGT für die Normen; Synthese für die Ausstrahlung]

Auswertung: Was der Arbeitgeber konkret tun/lassen/dokumentieren muss

Für den Unternehmer (Kapitel 9):

• TUN: Prüfen, ob eingesetzte Systeme „algorithmisches Management" betreiben

(Zuteilung, Bewertung, Sanktionierung); dann Transparenz, menschliche Aufsicht und ein Überprüfungsrecht organisieren.

• LASSEN: Keine folgenreichen Personalentscheidungen vollständig automatisieren;

keine Verarbeitung emotionaler/psychischer Zustände oder von Daten außerhalb der Arbeitszeit.

• DOKUMENTIEREN: Systembeschreibung, Entscheidungskriterien, Aufsichts- und

Überprüfungsprozess.

• EINBINDEN: Betriebsrat, Datenschutzbeauftragten; bei Plattformgeschäftsmodellen

frühzeitig arbeitsrechtliche Beratung zur Umsetzung der Richtlinie.

Fallbeispiele: Sechs typische Situationen — richtig gelöst

Die folgenden Beispiele sind konstruierte Musterfälle (keine realen Mandate). Sie zeigen, wie die Prüfung aus den Kapiteln 1–9 in der Praxis abläuft. Die rechtliche Einordnung ist Synthese der oben belegten Normen; jeder Fall ist im Einzelfall zu prüfen.

Fall 1 — „Wir wollen ChatGPT freigeben." Ein Handelsunternehmen möchte Beschäftigten generative KI als Schreibhilfe erlauben. *Lösung:* Ob Mitbestimmung (§ 87 Abs. 1 Nr. 6) besteht, hängt an der technischen Ausgestaltung — private Accounts ohne Datenrückfluss (wie im ArbG-Hamburg-Fall) eher nicht, betriebliche Accounts mit Protokollierung sehr wohl. In jedem Fall gehören eine KI-Nutzungsrichtlinie mit Datenklassifizierung (keine vertraulichen/personenbezogenen Daten in öffentliche Tools, Kapitel 7) und eine Grundschulung (Art. 4 KI-VO, Kapitel 6) dazu. Empfohlen wird, den Betriebsrat auch dort einzubinden, wo keine strikte Pflicht besteht — das verhindert Streit.

Fall 2 — „Der Recruiting-Anbieter verspricht KI-Vorauswahl." Eine Personalabteilung will Bewerbungen automatisch vorsortieren lassen. *Lösung:* Hochrisiko nach Anhang III Nr. 4 (Kapitel 5); Betreiberpflichten (Art. 26) vorbereiten, menschliche Letztentscheidung sicherstellen (keine automatische Ablehnung, Art. 22 DSGVO), Bias-Prüfung auf mittelbare Diskriminierung (AGG, Kapitel 5), DSFA (Art. 35 DSGVO), Information an Betriebsrat und Bewerber (Art. 26 Abs. 7). Kein „Durchwinken" der KI-Rankings.

Fall 3 — „Das Callcenter-Tool erkennt die Stimmung der Kunden — und der Mitarbeiter." *Lösung:* Soweit das System Emotionen der Beschäftigten aus der Stimme ableitet, ist es am Arbeitsplatz verboten (Art. 5 Abs. 1 lit. f KI-VO, Kapitel 3) — auch mit Zustimmung. Die Kundenanalyse ist gesondert zu bewerten; die Beschäftigten-Emotionsanalyse muss abgeschaltet werden.

Fall 4 — „Wir führen Microsoft-/Kollaborations-Analytics ein." Ein Dienstleister will „Produktivitäts-Dashboards" nutzen. *Lösung:* Objektiv überwachungsgeeignet → Mitbestimmung § 87 Abs. 1 Nr. 6 (Kapitel 4); Verhältnismäßigkeit und Zweckbindung (Kapitel 3); am besten eine Betriebsvereinbarung, die individuelle Leistungsprofile ausschließt oder begrenzt und zugleich die DSGVO-Rechtsgrundlage liefert (Art. 88, Kapitel 2/4).

Fall 5 — „Die Kanzlei will Schriftsätze von KI zusammenfassen lassen." *Lösung:* Mandantendaten sind Berufsgeheimnis (§ 203 StGB, Kapitel 7). Zulässig nur mit einem Anbieter, der wirksam zur Geheimhaltung verpflichtet ist, mit Auftragsverarbeitungsvertrag, Trainings-Ausschluss und Beachtung des Berufsrechts (§ 43e BRAO). Öffentliche Consumer-Tools scheiden aus.

Fall 6 — „Der Betriebsrat will einen KI-Sachverständigen — auf unsere Kosten." *Lösung:* Bei der Beurteilung von KI gilt die Erforderlichkeit eines Sachverständigen als gegeben (§ 80 Abs. 3 BetrVG, Kapitel 4). Der Arbeitgeber kann über Person und Kostenrahmen verhandeln, das „Ob" aber kaum verweigern. Frühe Kooperation ist meist günstiger als der Streit vor der Einigungsstelle.

Häufige Fragen (FAQ)

Dürfen wir Mitarbeiter-E-Mails mit KI auswerten, um Produktivität zu messen? Grundsätzlich nein, jedenfalls nicht anlasslos und flächendeckend: Das verstößt gegen Verhältnismäßigkeit und Zweckbindung (Kapitel 3) und ist mitbestimmungspflichtig (Kapitel 4). Inhaltsauswertung privater/dienstlicher Kommunikation ist besonders eingriffsintensiv. [BELEGT/Synthese]

Reicht die Einwilligung der Mitarbeiter als Rechtsgrundlage? Meist nicht. Im Beschäftigungsverhältnis ist die Freiwilligkeit wegen des Abhängigkeitsverhältnisses zweifelhaft; die Einwilligung ist zudem jederzeit widerruflich. Besser sind Vertragserfüllung, berechtigtes Interesse (mit Abwägung) oder Betriebsvereinbarung (Kapitel 2). [BELEGT/STRITTIG]

Müssen wir den Betriebsrat auch bei „harmlosen" KI-Tools einbinden? Sobald ein Tool objektiv geeignet ist, Verhalten oder Leistung auszuwerten, ja (§ 87 Abs. 1 Nr. 6). Die Absicht ist unerheblich. Im Zweifel früh informieren (§ 90). [BELEGT]

Gilt die KI-Verordnung für uns, wenn wir die KI nur einkaufen? Ja — als „Betreiber" haben Sie eigene Pflichten (Art. 26), auch wenn Sie das System nicht gebaut haben. Bei Hochrisiko-HR-Systemen gelten diese ab 02.12.2027. [BELEGT]

Ab wann gelten die Hochrisiko-Pflichten für HR-KI wirklich? Nach dem Digital Omnibus ab 02.12.2027 (Anhang III). DSGVO und AGG gelten aber schon heute. [BELEGT]

Brauchen unsere Mitarbeiter ein KI-Zertifikat? Nein. Art. 4 KI-VO verlangt seit 02.02.2025 die Förderung von KI-Kompetenz, aber kein garantiertes Niveau und kein Pflichtzertifikat (Kapitel 6). [BELEGT]

Dürfen wir mit KI die Stimmung/Motivation im Team messen? Nein, soweit dabei Emotionen aus biometrischen Daten abgeleitet werden — das ist am Arbeitsplatz verboten (Art. 5 Abs. 1 lit. f KI-VO). [BELEGT]

Was passiert, wenn wir den Betriebsrat übergehen? Bei mitbestimmungspflichtigen Systemen drohen Unterlassungsanspruch und faktisches Nutzungsverbot; die Investition ist dann blockiert. [BELEGT/Synthese]

Dürfen wir echte Personaldaten zum Testen einer neuen HR-Software nutzen? Nur, wenn anonymisierte „Dummy-Daten" den Testzweck nicht erfüllen und ein berechtigtes Interesse besteht (BAG 8 AZR 209/21, Kapitel 2). Sonst drohen Schadensersatzansprüche. [BELEGT]

Wer haftet, wenn die KI diskriminiert? Das Unternehmen — nach dem AGG, auch bei mittelbarer, unbeabsichtigter Diskriminierung. Die „Neutralität" des Algorithmus entlastet nicht (Kapitel 5). [BELEGT]

Glossar (für den nicht-technischen Leser)

• Anbieter (provider): Wer ein KI-System entwickelt oder unter eigenem Namen in

Verkehr bringt (KI-VO). Strengere Pflichten als der Betreiber.

• Betreiber (deployer): Wer ein KI-System in eigener Verantwortung einsetzt — der

Regelfall für Unternehmen, die KI zukaufen.

• Betriebsvereinbarung: Schriftliche Vereinbarung zwischen Arbeitgeber und

Betriebsrat; kann Mitbestimmung umsetzen und zugleich Datenschutz-Rechtsgrundlage sein (Art. 88 DSGVO).

• DSFA (Datenschutz-Folgenabschätzung): Vorab-Risikoprüfung nach Art. 35 DSGVO;

bei risikoreicher KI-Verarbeitung über Menschen Pflicht.

• Hochrisiko-KI: KI-Systeme in sensiblen Bereichen (u. a. Beschäftigung/HR,

Anhang III KI-VO) mit besonderen Pflichten.

• Mitbestimmung: Erzwingbares Beteiligungsrecht des Betriebsrats; ohne Einigung

(ggf. Einigungsstelle) darf die Maßnahme nicht eingeführt werden.

• Objektive Überwachungseignung: Maßstab des § 87 Abs. 1 Nr. 6 BetrVG — es genügt,

dass ein System Verhalten/Leistung erfassen *kann*; eine Absicht ist nicht nötig.

• Profiling: Automatisierte Auswertung persönlicher Aspekte zur Bewertung oder

Vorhersage (Art. 4 Nr. 4 DSGVO).

• Verantwortlicher: Wer über Zweck und Mittel der Datenverarbeitung entscheidet —

beim Beschäftigtendatenschutz das Unternehmen (Art. 4 Nr. 7 DSGVO).

• Auftragsverarbeiter: Wer Daten weisungsgebunden im Auftrag verarbeitet (z. B.

der KI-Cloud-Anbieter); Vertrag nach Art. 28 DSGVO nötig.

• Verbotene Praktiken: KI-Anwendungen, die die KI-VO ganz untersagt (Art. 5), u. a.

Emotionserkennung am Arbeitsplatz.

• Berechtigtes Interesse: Rechtsgrundlage nach Art. 6 Abs. 1 lit. f DSGVO;

erfordert eine dokumentierte Interessenabwägung.

Quellenliste

Primärquellen (Gesetze, Verordnungen, amtliche Fundstellen):

• BDSG (§ 26) — https://www.gesetze-im-internet.de/bdsg_2018/__26.html (abgerufen 08/2026)
• § 203 StGB — https://www.gesetze-im-internet.de/stgb/__203.html (abgerufen 08/2026)
• § 43e BRAO — https://www.gesetze-im-internet.de/brao/__43e.html (abgerufen 08/2026)
• § 2 GeschGehG — https://www.gesetze-im-internet.de/geschgehg/__2.html (abgerufen 08/2026)
• §§ 1, 6, 7 AGG — https://www.gesetze-im-internet.de/agg/ (abgerufen 08/2026)
• § 106 GewO — https://www.gesetze-im-internet.de/gewo/__106.html (abgerufen 08/2026)
• §§ 79a, 80, 87, 90, 95 BetrVG — https://www.gesetze-im-internet.de/betrvg/ (abgerufen 08/2026)
• Betriebsrätemodernisierungsgesetz vom 14.06.2021, BGBl. I S. 1762 — https://www.bgbl.de/ (abgerufen 08/2026)
• DSGVO, VO (EU) 2016/679 (Art. 4, 5, 6, 9, 22, 28, 30, 35, 88) —

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 (in Kraft seit 25.05.2018)

• KI-Verordnung, VO (EU) 2024/1689 (Art. 4, 5 Abs. 1 lit. f, 26; Anhang III Nr. 4) —

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689 (abgerufen 08/2026)

• Plattformarbeits-Richtlinie, Richtlinie (EU) 2024/2831 (algorithmisches Management) —

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024L2831 (in Kraft seit 01.12.2024)

• Digital Omnibus on AI, VO (EU) 2026/1744 vom 08.07.2026 —

https://eur-lex.europa.eu/eli/reg/2026/1744/oj (in Kraft seit 27.07.2026, abgerufen 08/2026)

Gerichtsentscheidungen (amtliche Fundstellen):

• EuGH, Urteil vom 30.03.2023, C-34/21 („Hauptpersonalrat der Lehrerinnen und Lehrer")

— Unanwendbarkeit von § 26 Abs. 1 BDSG / § 23 HDSIG; curia.europa.eu

• EuGH, Urteil vom 19.12.2024, C-65/23 („K GmbH") — Betriebsvereinbarungen nach Art. 88

DSGVO, volle gerichtliche Kontrolle; curia.europa.eu

• BAG, Urteil vom 08.05.2025, 8 AZR 209/21 — § 26 BDSG unanwendbar, Verarbeitung auf

Art. 6 Abs. 1 lit. f DSGVO (Software-Test) — https://www.bundesarbeitsgericht.de/entscheidung/8-azr-209-21/ (abgerufen 08/2026)

• BAG, Beschluss vom 16.07.2024, 1 ABR 16/23 — objektive Überwachungseignung genügt

(§ 87 Abs. 1 Nr. 6) — https://www.bundesarbeitsgericht.de/entscheidung/1-abr-16-23/ (abgerufen 08/2026)

• BAG, Urteil vom 27.07.2017, 2 AZR 681/16 — Keylogger, kein anlassloses verdecktes

Monitoring — https://www.bundesarbeitsgericht.de/entscheidung/2-azr-681-16/ (abgerufen 08/2026)

• ArbG Hamburg, Beschluss vom 16.01.2024, 24 BVGa 1/24 — keine Mitbestimmung bei

ChatGPT-Nutzung über private Accounts (Einzelfall, einstweiliger Rechtsschutz)

Sekundär-/Erläuterungsquellen (zur Orientierung, nicht als Rechtsquelle):

• AI Act — Art. 4 (KI-Kompetenz), https://artificialintelligenceact.eu/article/4/ (abgerufen 08/2026)
• AI Act — Art. 26 (Betreiberpflichten), https://artificialintelligenceact.eu/article/26/ (abgerufen 08/2026)
• AI Act — Anhang III (Hochrisiko), https://artificialintelligenceact.eu/annex/3/ (abgerufen 08/2026)
• Gibson Dunn, „EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines" —

https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/ (abgerufen 08/2026)

• Cooley, „Digital AI Omnibus Delays Key Deadlines" —

https://cdp.cooley.com/digital-ai-omnibus-delays-key-deadlines-introduces-new-rules/ (abgerufen 08/2026)

• LTO zum EuGH C-34/21 —

https://www.lto.de/recht/nachrichten/n/eugh-c34-21-datenschutz-beschaeftigte-lehrer-streaming-unterricht-26bdsg-88dsgvo (abgerufen 08/2026)

• SKW Schwarz zum EuGH C-65/23 —

https://www.skwschwarz.de/news/eugh-urteil-zu-betriebsvereinbarungen (abgerufen 08/2026)

• Bird & Bird zum ArbG Hamburg (ChatGPT) —

https://www.twobirds.com/de/insights/2024/germany/erstes-urteil-zu-rechten-des-betriebsrats-bei-einsatz-von-kuenstlicher-intelligenz (abgerufen 08/2026)

• DLA Piper zum Referentenentwurf BeschDG —

https://www.dlapiper.com/de-de/insights/blogs/employment-blog-germany/2024/ (abgerufen 08/2026)

• BMAS-Denkfabrik, „Auf dem Weg zu einem Beschäftigtendatengesetz" —

https://www.denkfabrik-bmas.de/schwerpunkte/beschaeftigtendatenschutz/ (abgerufen 08/2026)

• DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz" (Version 1.0, 06.05.2024) —

https://www.datenschutzkonferenz-online.de/orientierungshilfen.html (abgerufen 08/2026)

• Future of Privacy Forum, „Red Lines under EU AI Act: … emotion recognition in the

workplace" — https://fpf.org/blog/red-lines-under-eu-ai-act-unpacking-the-prohibition-of-emotion-recognition-in-the-workplace-and-education-institutions/ (abgerufen 08/2026)

• Freshfields zur Plattformarbeits-Richtlinie —

https://www.freshfields.com/en/our-thinking/blogs/technology-quotient/the-eu-platform-workers-directive-effective-as-of-1-december-2024-what-does-thi-102jqg1 (abgerufen 08/2026)

Liste „schnell veraltend" (Refresh nötig)

• Beschäftigtendatengesetz (BeschDG): Verfahren offen. Neuer Regierungsentwurf

und Zeitplan sind zu beobachten; sobald ein Gesetz in Kraft tritt, ändert sich die Rechtsgrundlagen-Systematik (Kapitel 2) grundlegend. STRITTIG/UNKLAR.

• KI-Verordnung nach Digital Omnibus: Die Fristverschiebung auf 02.12.2027 (Anhang

III) und die Art.-4-Änderung sind über VO (EU) 2026/1744 belegt. Es folgen laufend Durchführungsrechtsakte, Leitlinien und harmonisierte Normen; vor Drucklegung Stand und exakten deutschen Wortlaut der geänderten Artikel aus EUR-Lex prüfen.

• Art. 4 KI-VO (Wortlaut): Das exakte amtliche deutsche Zitat der durch VO

2026/1744 geänderten Fassung ist final aus der deutschen EUR-Lex-Fassung zu entnehmen; hier inhaltlich, nicht wortgetreu wiedergegeben.

• Anhang III Nr. 4 (deutscher Wortlaut): Für den Abdruck aus der amtlichen

deutschen EUR-Lex-Fassung (CELEX 32024R1689) zitieren; hier zusammengefasst.

• BAG-Folgerechtsprechung zu § 26 BDSG: Weitere Entscheidungen zur unmittelbaren

DSGVO-Anwendung im Beschäftigungskontext sind zu erwarten; Rechtsprechung beobachten.

• ArbG-Hamburg-Linie (ChatGPT): Erstinstanzlich; obergerichtliche Klärung steht

aus. Vor Verallgemeinerung neuere Instanzrechtsprechung prüfen.

• DSFA-Muss-Listen der Landesbehörden: können sich ändern und je Land abweichen.
• DSK-Orientierungshilfen zu KI: werden fortgeschrieben (Versionen 2024/2025);

aktuellste Fassung heranziehen.

• Plattformarbeits-Richtlinie (EU) 2024/2831: nationale Umsetzung in Deutschland

beobachten; die exakte Umsetzungsfrist (Ende 2026) und das deutsche Umsetzungsgesetz sind zu prüfen. UNKLAR für das genaue Datum.

• Verbotene Praktiken (Art. 5 KI-VO): Zu Emotionserkennung am Arbeitsplatz werden

Leitlinien der EU-Kommission fortgeschrieben; aktuelle Auslegung beachten.

Selbstprüfungs-Notiz (zweistufiger Faktencheck)

Durchgang 1 bestand aus Recherche und Niederschrift; Durchgang 2 aus der Gegenprüfung jeder Norm, jeder Fundstelle und jedes Datums. Ergebnis der Selbstprüfung:

Sicher belegt [BELEGT]:

• Unanwendbarkeit von § 26 Abs. 1 BDSG: EuGH C-34/21 (30.03.2023) und BAG 8 AZR

209/21 (08.05.2025) — Letzteres mit wörtlichem amtlichem Leitsatz von der BAG-Website verifiziert.

• BetrVG-Normen (§§ 79a, 80 Abs. 3, 87 Abs. 1 Nr. 6, 90 Abs. 1 Nr. 3, 95 Abs. 2a)

im Wortlaut geprüft; KI-Ergänzungen durch das Betriebsrätemodernisierungsgesetz (14.06.2021, BGBl. I S. 1762) bestätigt.

• Objektive Überwachungseignung: BAG 1 ABR 16/23 (16.07.2024) verifiziert.
• Keylogger-Grundsatz: BAG 2 AZR 681/16 (27.07.2017), amtlicher Leitsatz verifiziert.
• KI-VO: Anhang III Nr. 4, Art. 4, Art. 26 (inkl. Abs. 7) verifiziert.
• Digital Omnibus: VO (EU) 2026/1744 (08.07.2026, in Kraft 27.07.2026) über

EUR-Lex-ELI und mehrere unabhängige Kanzleianalysen bestätigt; Fristverschiebung Anhang III auf 02.12.2027 und Art.-4-Abschwächung (Förderpflicht, kein garantiertes Niveau) bestätigt.

• § 203 StGB (Abs. 3, 4), § 2 GeschGehG, §§ 1/7 AGG, Art. 5/6/9/22/88 DSGVO im

Wortlaut bzw. Kerngehalt geprüft.

• Verbot der Emotionserkennung am Arbeitsplatz: Art. 5 Abs. 1 lit. f KI-VO, seit

02.02.2025 geltend, über EUR-Lex und Fachanalysen bestätigt.

• Plattformarbeits-Richtlinie (EU) 2024/2831: Existenz, Inkrafttreten (01.12.2024) und

Kerninhalte (algorithmisches Management) belegt; das exakte Umsetzungsdatum ist als UNKLAR gekennzeichnet.

Umstritten/offen [STRITTIG/UNKLAR]:

• Zeitplan und Inhalt eines künftigen Beschäftigtendatengesetzes — Verfahren offen.
• Reichweite der ArbG-Hamburg-Entscheidung — erstinstanzlich, Einzelfall, keine

obergerichtliche Bestätigung.

• Tragfähigkeit der Einwilligung als Rechtsgrundlage im Beschäftigungsverhältnis —

wegen zweifelhafter Freiwilligkeit umstritten.

Verifikations-Vorbehalte für die Drucklegung:

• Die deutschen Gesetzeswortlaute wurden über juristische Fachdatenbanken

(dejure.org, dsgvo-gesetz.de) gegengeprüft, weil der amtliche Server gesetze-im-internet.de in der Rechercheumgebung technisch nicht direkt abrufbar war; die zitierten URLs sind gleichwohl die korrekten amtlichen Fundstellen. Für die Publikation sollten die Paragraphen-Zitate final an gesetze-im-internet.de und die EU-Normen an der amtlichen deutschen EUR-Lex-Fassung abgeglichen werden.

• Die exakten amtlichen deutschen Wortlaute der durch den Digital Omnibus geänderten

KI-VO-Artikel (insb. Art. 4) und des Anhangs III Nr. 4 sind vor Abdruck wörtlich aus EUR-Lex zu übernehmen.

• Das ArbG-Hamburg-Aktenzeichen (24 BVGa 1/24) und die EuGH-Aktenzeichen (C-34/21,

C-65/23) sind über mehrere unabhängige Fachquellen belegt; für den Abdruck empfiehlt sich der finale Abgleich mit curia.europa.eu bzw. der amtlichen Entscheidungsdatenbank.

Grundsatz eingehalten: Es wurden keine Studien, Zahlen, Urteile, Aktenzeichen, Paragraphen oder URLs erfunden. Wo eine Aussage nicht sicher belegbar war, ist sie als [STRITTIG] oder [UNKLAR] gekennzeichnet; Empfehlungen sind als Synthese markiert. Die Trennung von Recht (geltende Norm), Rechtsprechung (benanntes Urteil) und Empfehlung (Synthese des Autors) ist durchgehend beibehalten.

*Ende des Dokuments „Arbeitsrecht & KI-Einsatz — Was der Arbeitgeber darf, muss und nicht darf". Stand August 2026. Kein Rechtsrat.*