KI-Tools sind im Arbeitsalltag angekommen. ChatGPT für Texte, KI-Buchhaltung für Belege, Chatbots für HR-FAQ. Das Problem: Viele Unternehmen nutzen diese Tools ohne zu wissen, was aus den eingegebenen Daten wird. Und die Antwort kann teuer werden, DSGVO-Bußgelder gehen bis zu 4 % des globalen Jahresumsatzes.
Dieser Artikel erklärt, was rechtlich gilt, was konkret verboten ist, und welche Alternativen tatsächlich DSGVO-konform funktionieren.
Rechtsgrundlage für KI-Tools im HR
Die zentrale Grundlage ist Art. 6 DSGVO: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Im Beschäftigungsverhältnis kommt hauptsächlich Art. 6 Abs. 1 lit. b (Vertragserfüllung) und lit. f (berechtigtes Interesse) in Frage. Für besonders sensible Daten gilt Art. 9 DSGVO.
Art. 88 DSGVO gibt dem deutschen Gesetzgeber Spielraum für besondere Regelungen im Beschäftigungskontext. Das Bundesdatenschutzgesetz (BDSG) konkretisiert das: §26 BDSG erlaubt die Verarbeitung von Beschäftigtendaten zur Durchführung des Arbeitsverhältnisses.
Für KI-Tools bedeutet das: Werden Mitarbeiterdaten in ein KI-Tool gegeben, muss das entweder auf einer der o.g. Rechtsgrundlagen basieren oder auf einer Einwilligung (die im Beschäftigungsverhältnis wegen des Machtverhältnisses aber schwierig ist).
Was Sie nicht in ChatGPT eingeben dürfen
Diese Daten gehören nicht in Consumer-KI-Dienste (ChatGPT, Gemini, Copilot ohne Enterprise-Lizenz):
- Namen + Gehaltsinformationen von Mitarbeitern
- Bewerbungsunterlagen mit Kontaktdaten
- Krankmeldungen oder Gesundheitsdaten
- Personalakten oder Teile davon
- Bankverbindungen von Mitarbeitern
- Abmahnungen, Kündigungen oder Protokolle von Mitarbeitergesprächen
- Steuernummern oder Sozialversicherungsnummern
Warum? Consumer-Versionen von ChatGPT (und ähnlichen Diensten) haben typischerweise keine Auftragsverarbeitungsverträge mit europäischen Unternehmen. Die Daten können zum Training genutzt werden, werden auf US-Servern gespeichert, und es gibt keine Garantie für Löschung oder Zugriffsbeschränkung.
Was ist erlaubt: Strukturell ähnliche Dummy-Daten, allgemeine Fragen zu Themen (z.B. „Wie formuliere ich eine Abmahnung?“ ohne echten Mitarbeiternamen), Textentwürfe ohne Personenbezug.
DSGVO-konforme Alternativen
Microsoft Copilot for Microsoft 365 (Enterprise)
Mit Enterprise-Lizenz gilt ein AVV, Daten werden nicht zum Training genutzt, EU-Datenspeicherung ist konfigurierbar. Für Unternehmen, die bereits Microsoft 365 nutzen, ist das die naheliegendste Lösung. Kosten: ca. 30 Euro pro Nutzer/Monat zusätzlich.
Azure OpenAI Service
Microsoft bietet die OpenAI-Modelle (GPT-4) über Azure an. Mit EU-Deployment (Region West Europe) und AVV. Für Unternehmen, die eine eigene Integration aufbauen wollen. Komplexer in der Einrichtung, aber volle Kontrolle.
Selbst-gehostete LLMs (n8n + Ollama oder ähnlich)
Für Unternehmen mit IT-Ressourcen: eigenes Sprachmodell auf eigener Hardware oder eigenem Cloud-Server. Kein Datenaustausch mit externen Diensten. Geeignet für sensible Prozesse (Lohnabrechnungs-Checks, Personalakten-Zusammenfassung). Erfordert technisches Know-how in der Einrichtung.
Europäische KI-Anbieter
Mistral AI (Frankreich), Aleph Alpha (Deutschland, Heidelberg) bieten europäische Alternativen mit EU-Hosting und DSGVO-Compliance. Qualitativ noch nicht überall auf GPT-4-Niveau, aber ausreichend für viele HR/Finance-Aufgaben.
Betriebsrat und §87 BetrVG
Wenn Ihr Unternehmen einen Betriebsrat hat, müssen Sie bei der Einführung von KI-Tools aufpassen. §87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“.
Ob ein KI-Tool darunter fällt, hängt vom Einzelfall ab. Ein Chatbot, der FAQ beantwortet: wahrscheinlich nicht. Ein KI-System, das Produktivitätsdaten analysiert: sehr wahrscheinlich ja.
Im Zweifel: Betriebsrat früh einbeziehen. Besser ein kurzes Gespräch zu früh als einen langwierigen Konflikt zu spät.
Auftragsverarbeitungsvertrag (AVV), Pflicht für alle KI-Dienste
Wenn ein KI-Tool personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet, ist ein AVV nach Art. 28 DSGVO Pflicht. Das gilt auch für Cloud-Dienste.
Was der AVV regeln muss:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Kategorien betroffener Personen
- Technische und organisatorische Maßnahmen (TOMs)
- Unterauftragnehmer-Regelungen
Viele große Anbieter haben AVV-Vorlagen online abrufbar (Microsoft, Google, etc.). Kleinere oder spezialisierte Anbieter. Hier nachfragen. Kein AVV = kein Einsatz mit Personaldaten.
Dazugekommen: die EU-KI-Verordnung
Dieser Beitrag ist im April 2026 erschienen und behandelte die DSGVO. Inzwischen kommt eine zweite Regelung dazu, die unabhängig davon gilt.
Seit dem 2. August 2026 gelten die Hochrisiko-Pflichten der EU-KI-Verordnung. Anhang III Nummer 4 nennt Beschäftigung und Personalmanagement ausdrücklich. Datenschutz und KI-Verordnung sind zwei getrennte Prüfungen: Ein Werkzeug kann datenschutzrechtlich sauber und trotzdem ein Hochrisiko-System sein.
Die Faustregel für die Einordnung: Bewertet, sortiert oder filtert das System Menschen, ist es im Zweifel Hochrisiko. Verschiebt es nur Daten und rechnet, in der Regel nicht. Unabhängig von der Einstufung gilt seit 2025 die Pflicht zur KI-Kompetenz nach Art. 4: Wer mit solchen Werkzeugen arbeitet, muss geschult sein.
Ausführlich dazu, was daraus für die Einführung folgt: Betriebsvereinbarung für KI in der Personalabteilung. Warum Lohndaten dabei besonders geschützt sind, steht in Lohndaten und Art. 9 DSGVO.
Checkliste: Neues KI-Tool evaluieren
Vor dem Einsatz mit Mitarbeiterdaten prüfen:
- AVV mit dem Anbieter abgeschlossen oder abrufbar?
- Datenspeicherung in der EU (oder ausreichende SCCs vorhanden)?
- Werden Daten zum Modell-Training verwendet? (Opt-out möglich?)
- Rechtsgrundlage für die konkrete Verarbeitung identifiziert?
- Mitarbeiter über den Einsatz informiert? (Datenschutzhinweis aktualisiert?)
- Betriebsrat einbezogen (falls vorhanden und §87 relevant)?
- Löschfristen und Auskunftsrechte technisch umsetzbar?
- Technische und organisatorische Maßnahmen (TOMs) dokumentiert?
- Verantwortliche Person für den Tool-Betrieb intern benannt?
Diese Checkliste ist kein Ersatz für rechtliche Beratung, aber ein guter Ausgangspunkt für die interne Bewertung neuer Tools. Wer regelmäßig neue KI-Tools einführt, sollte einen standardisierten Freigabeprozess etablieren.
Mehr zu DSGVO-konformer Automatisierung im HR- und Finance-Bereich finden Sie auf unserer Seite zu Prozessautomatisierung.
