KI-Mitarbeiterüberwachung: rechtliche, ethische und Vertrauensgrenzen

Von Kevin Kim · Aktualisiert am 11. Oktober 2026

KI-Mitarbeiterüberwachung ist Software, die Daten darüber erhebt, wie Menschen arbeiten (Aktivität, Kommunikation, Standort, Video oder Biometrie), und mit maschinellem Lernen die Produktivität bewertet, ungewöhnliches Verhalten markiert oder ableitet, wie sich Beschäftigte fühlen. Das Erheben ist alt. Das Bewerten und Ableiten ist neu, und dort liegen die meisten rechtlichen Probleme und Vertrauensprobleme.

Diese Seite richtet sich an HR-Direktoren, Führungskräfte und Geschäftsleitungen, die gebeten werden, ein Überwachungstool zu genehmigen, oder die feststellen, dass bereits eines läuft. Sie behandelt, was die Tools tun, wo das Recht in der EU und den USA Grenzen zieht, was die Forschung über die Wirkung auf Beschäftigte zeigt, und einen Verhältnismäßigkeitstest, den Sie anwenden können, bevor Sie etwas einschalten. Das größere Bild, wie HR KI einsetzt, beginnt mit People Analytics und KI. Dies ist allgemeine Information, keine Rechtsberatung.

Wichtige Fakten

• Der EU AI Act verbietet KI-Systeme, die die Emotionen von Beschäftigten am Arbeitsplatz ableiten, außer aus medizinischen oder Sicherheitsgründen (AI Act, Article 5(1)(f)). Die Verbote gelten seit dem 2. Februar 2025 (European Commission).
• Ein Verstoß gegen ein Verbot des AI Act kann bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes kosten, je nachdem, was bei einem Standardunternehmen höher ist (AI Act, Article 99).
• Am 23. Dezember 2025 senkte der französische Conseil d'État die Geldbuße der CNIL gegen Amazon France Logistique wegen der Überwachung von Lagerbeschäftigten von 32 Millionen Euro auf 15 Millionen Euro, stellte aber fest, dass die Aufbewahrung aller Indikatoren über 31 Tage die Datenminimierung verletzte (Conseil d'État, decision 492830).
• In der APA-Umfrage Work in America 2024 sagten 44 % der US-Beschäftigten, ihr Arbeitgeber überwache sie mit Technik, und überwachte Beschäftigte fühlten sich häufiger angespannt oder gestresst (51 % vs. 38 %) und planten häufiger eine Jobsuche (39 % vs. 21 %) (American Psychological Association, 2024).
• Die erweiterten Regeln zur Mitteilung elektronischer Überwachung in Connecticut traten am 1. Oktober 2026 in Kraft, und New York und Delaware haben eigene Mitteilungsgesetze (Day Pitney).

Was KI-Mitarbeiterüberwachung tatsächlich tut

Überwachungstools fallen in fünf Gruppen. Jede nährt sich von einer anderen Art von Daten, und jede wirft einen anderen rechtlichen Warnhinweis auf.

In ACE-Begriffen nehmen diese Tools Verhaltenssignale auf (Ingest), analysieren sie gegen eine Baseline (Analyze) und sagen oft ein Ergebnis wie eine Leistungsbewertung oder ein Kündigungsrisiko voraus (Predict). Beim Schritt Predict neigen Führungskräfte dazu, der Ausgabe zu sehr zu vertrauen. Ein präzise wirkender Wert bleibt eine Vermutung aus Stellvertretern.

Eine Unterscheidung zählt mehr als alle anderen. Eine Handlung zu beobachten (ein Zutrittsscan, ein ausgeliefertes Ticket) ist etwas anderes, als einen Zustand abzuleiten (Stress, Loyalität, Stimmung). Die Regulierer halten das Zweite für weit eingriffsintensiver, und in der EU sind manche Formen davon schlicht verboten.

Wo das Recht die Grenze zieht

Gesetze in diesem Bereich ändern sich oft und unterscheiden sich je nach Ort, bestätigen Sie die aktuellen Anforderungen daher mit Ihrer Rechtsberatung für jeden Standort, an dem Sie Menschen beschäftigen.

Europäische Union: DSGVO

Die DSGVO kennt kein „Überwachungsgesetz“ als solches. Sie wendet ihre allgemeinen Grundsätze auf das Beschäftigungsverhältnis an, und Artikel 88 erlaubt jedem Mitgliedstaat, spezifischere Vorschriften für Beschäftigtendaten zu erlassen, einschließlich Schutzmaßnahmen für Transparenz und für „Überwachungssysteme am Arbeitsplatz“ (DSGVO Artikel 88). Ein Tool, das in einem Land zulässig ist, kann also in einem anderen eine Betriebsvereinbarung mit dem Betriebsrat erfordern.

Drei Punkte gelten breit:

• Einwilligung funktioniert selten. Die Stellungnahme 2/2017 der Artikel-29-Datenschutzgruppe besagte, die Einwilligung sei als Rechtsgrundlage für die Verarbeitung am Arbeitsplatz höchst unwahrscheinlich gültig, weil Beschäftigte nicht frei ablehnen können. Arbeitgeber müssen sich meist auf berechtigte Interessen stützen, die streng erforderlich sein und vor Beginn der Überwachung einen Verhältnismäßigkeitstest bestehen müssen (WP29 Opinion 2/2017).
• Das mildeste Mittel. Dieselbe Stellungnahme sagt, die Verarbeitung am Arbeitsplatz solle so wenig eingreifend wie möglich erfolgen, und Prävention solle deutlich mehr Gewicht haben als Aufdeckung.
• Eine DSFA ist meist erforderlich. Artikel 35 verlangt vor einer Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt, eine Datenschutz-Folgenabschätzung und fordert den Rat des Datenschutzbeauftragten, sofern einer benannt ist (DSGVO Artikel 35). Die systematische Bewertung von Beschäftigten erfüllt das oft, und Ihre nationale Aufsichtsbehörde veröffentlicht womöglich eine Liste von Verarbeitungen, die stets eine brauchen.

Europäische Union: der AI Act

Der AI Act fügt der DSGVO zwei Dinge hinzu.

Erstens ein pauschales Verbot der Emotionsableitung am Arbeitsplatz. Artikel 5 Absatz 1 Buchstabe f verbietet KI-Systeme, die die Emotionen einer Person am Arbeitsplatz und in der Bildung ableiten, sofern das System nicht aus medizinischen oder Sicherheitsgründen vorgesehen ist (AI Act, Article 5). Die Leitlinien der Kommission sind unverbindlich, aber die Lesart des Future of Privacy Forum ist für Führungskräfte nützlich: Einstellungsverfahren zählen als Arbeitsplatzkontext, ebenso ein Homeoffice, körperliche Zustände wie Müdigkeit sind keine „Emotionen“, und textbasierte Ableitung fällt nicht unter das Verbot (Future of Privacy Forum). In der Praxis: Ein Kamera-Tool, das bewertet, ob Ihre Support-Mitarbeitenden „fröhlich“ klingen, ist ein verbotener Einsatz. Ein System, das einen schläfrigen Fahrer erkennt, ist es nicht.

Zweitens der Hochrisiko-Status für die Leistungsüberwachung. Anhang III führt KI, die Aufgaben anhand individuellen Verhaltens oder persönlicher Merkmale zuweist oder die Leistung und das Verhalten von Beschäftigten überwacht und bewertet, als Hochrisiko auf (AI Act, Annex III). Die Kommission sagt, die Hochrisiko-Pflichten für diese Einsätze nach Anhang III gelten nun ab dem 2. Dezember 2027, nachdem das AI Omnibus (am 7. Mai 2026 vereinbart) am 27. Juli 2026 in Kraft trat (European Commission). Dieser Termin liegt noch in der Zukunft, nutzen Sie die Zeit zur Vorbereitung. Eine Pflicht, die Sie einplanen sollten: Arbeitgeber, die ein Hochrisiko-System einsetzen, müssen die Arbeitnehmervertretungen und die betroffenen Beschäftigten informieren, bevor sie es am Arbeitsplatz in Betrieb nehmen (AI Act, Article 26). Zum weiteren Regelwerk siehe den EU AI Act.

Was der französische Amazon-Fall lehrt

Das am besten dokumentierte Beispiel für die Durchsetzung ist das Vorgehen der CNIL gegen Amazon France Logistique wegen Lagerscannern, die Indikatoren zu Tempo und Inaktivität erzeugten. Die Geldbuße betrug 2023 32 Millionen Euro. In der Berufung senkte der Conseil d'État sie auf 15 Millionen Euro. Er stellte fest, dass die Echtzeitverarbeitung der Indikatoren für Einlagerungstempo, Leerlaufzeit und Latenz eine Rechtsgrundlage hatte (der Leerlauf-Indikator löst erst nach mehr als zehn aufeinanderfolgenden Minuten Inaktivität aus), bestätigte aber die Feststellung, dass die undifferenzierte Aufbewahrung aller Indikatoren über 31 Tage den Grundsatz der Datenminimierung verletzte (Conseil d'État, decision 492830).

Ein Teil der Leistungsüberwachung überstand die Anfechtung. Die übermäßige Aufbewahrung nicht. Entscheiden Sie, wie lange jede Kennzahl gebraucht wird, und löschen Sie sie nach diesem Plan.

Vereinigte Staaten

Es gibt kein einheitliches Bundesgesetz zur Überwachung für private Arbeitgeber, die Regeln stammen daher von den Bundesstaaten und aus dem allgemeinen Arbeitsrecht.

• New York. Section 52-c des Civil Rights Law, seit dem 7. Mai 2022 in Kraft, verlangt von erfassten privaten Arbeitgebern, bei der Einstellung eine schriftliche Mitteilung über elektronische Überwachung zu geben, die Bestätigung des Beschäftigten einzuholen und die Mitteilung auszuhängen. Der Attorney General setzt sie durch, und es gibt kein privates Klagerecht (Outten & Golden).
• Connecticut. Das langjährige Mitteilungsgesetz wurde zum 1. Oktober 2026 erweitert: Die schriftliche Mitteilung muss die konkreten Orte nennen, an denen überwacht werden kann, dort ausgehängt werden, wo es geschieht, und ab diesem Datum eingestellte Beschäftigte brauchen eine allgemein verständliche Erklärung der Tätigkeiten, die ohne vorherige Mitteilung überwacht werden dürfen. Überwachung ohne Mitteilung ist nur in engen Fällen erlaubt, etwa bei begründetem Verdacht, dass ein Beschäftigter gegen das Gesetz verstößt. Die zivilrechtlichen Strafen reichen bis zu 500 $, 1.000 \(und 3.000\) für den ersten, zweiten und weiteren Verstoß (Day Pitney).
• Delaware. Ein Arbeitgeber darf Telefonate, E-Mails oder die Internetnutzung eines Beschäftigten nur überwachen, wenn er eine Mitteilung gibt, entweder als tägliche elektronische Mitteilung oder als einmalige bestätigte Mitteilung. Die zivilrechtliche Strafe beträgt 100 $ pro Verstoß (Delaware Code, Title 19, section 705).
• Bundesarbeitsrecht. Das Memo GC 23-02 des General Counsel der NLRB, „Electronic Monitoring and Algorithmic Management of Employees Interfering with the Exercise of Section 7 Rights“, gehörte zu den Memos, die der amtierende General Counsel am 14. Februar 2025 aufhob (Littler). Es ist also keine Behördenleitlinie mehr. Doch das Recht der Beschäftigten, gemeinsam zu handeln, ist nicht verschwunden, und ein Tool, das Gespräche über Gewerkschaften oder gemeinsame Beschwerden markiert, ist ein Risiko, das Sie nicht eingehen sollten.

Das sind Mitteilungsgesetze. Sie verbieten die Überwachung nicht, sie verlangen Offenlegung. Das ist das Minimum, nicht der Maßstab, den man anstreben sollte.

Was die Forschung zum Vertrauen sagt

Die besten großen US-Daten stammen aus der Umfrage Work in America 2024 der American Psychological Association, die korrelativ ist: Der Bericht selbst sagt, er könne nicht zeigen, dass Überwachung die gemessenen Stimmungen verursacht. Innerhalb dieser Grenze ist das Muster schwer zu ignorieren (APA, 2024):

• 44 % der Beschäftigten sagten, ihr Arbeitgeber überwache sie mit Technik, nach 51 % im Jahr 2023 und 53 % im Jahr 2022. Die Verbreitung war bei Arbeitern in körperlicher Arbeit (55 %) höher als bei Büroangestellten (44 %).
• 35 % sagten, sie sorgten sich, dass ihr Arbeitgeber sie während der Arbeitszeit mit Technik ausspioniere.
• Beschäftigte, die wussten, dass sie überwacht wurden, fühlten sich an einem typischen Arbeitstag häufiger angespannt oder gestresst (51 % vs. 38 %), fühlten sich häufiger mikromanagt (47 % vs. 23 %) und planten häufiger, innerhalb eines Jahres eine neue Stelle zu suchen (39 % vs. 21 %).

Derselbe Bericht zeigt, dass Überwachung nicht durchgehend abgelehnt wird. Unter den überwachten Beschäftigten sagten 69 %, sie trage zu ihrer Sicherheit bei, und 61 %, sie helfe ihnen, konzentriert zu bleiben. Und die Kluft je nach Kontext ist groß. Unter Beschäftigten mit hoher psychologischer Sicherheit sagten 36 %, die Überwachung vermittle ihnen das Gefühl, ihr Arbeitgeber vertraue ihnen nicht; unter Beschäftigten mit niedriger psychologischer Sicherheit lag der Wert bei 65 %. Bei „Eingriff in meine Privatsphäre“ waren es 31 % gegenüber 58 %.

Daraus folgen zwei Punkte. Überwachung legt sich auf das Vertrauen, das ohnehin besteht. Wo Menschen sich sicher fühlen, wirkt sie wie ein Werkzeug; wo nicht, wirkt sie wie ein Beweis. Und der Zweck zählt. Sicherheit war der am meisten akzeptierte Einsatz in den Daten, was zur Ausnahme des AI Act für medizinische und Sicherheitszwecke passt.

Praxisbeispiele nach HR-Funktion

Zu Dienstplan- und Arbeitslastdaten siehe KI in der Personaleinsatzplanung, und dazu, wie Bewertungen in Beurteilungen und Ratings einfließen, siehe KI im Leistungsmanagement.

Ein Verhältnismäßigkeitstest: So entscheiden Sie, Schritt für Schritt

Führen Sie ihn durch, bevor Sie kaufen, und erneut, bevor eine neue Funktion live geht.

1. Benennen Sie das Problem in einem Satz. „Wir müssen verhindern, dass Kundendaten das Netzwerk verlassen“ ist ein Zweck. „Wir wollen wissen, was die Leute tun“ ist keiner.
2. Fragen Sie, ob eine leichtere Kontrolle es löst. Zugriffsrechte, Kontrollen gegen Datenabfluss und klare Ziele erledigen die Aufgabe oft, ohne jemanden zu beobachten. Die Regulierer erwarten, dass Sie das erwogen haben.
3. Wählen Sie die schmalsten Daten. Erheben Sie die wenigsten Felder, von der kleinsten Gruppe, für die wenigsten Stunden. Schließen Sie Zeiten außerhalb der Schicht, private Geräte und private Konten standardmäßig aus.
4. Legen Sie die Aufbewahrung vor dem Start fest. Der französische Fall drehte sich um die Aufbewahrung. Schreiben Sie auf, wie lange jede Kennzahl gebraucht wird, und automatisieren Sie die Löschung.
5. Führen Sie die Folgenabschätzung durch. Schließen Sie in der EU die DSFA ab und beziehen Sie den Datenschutzbeauftragten ein. Anderswo schreiben Sie die entsprechende kurze Risikoprüfung. Nehmen Sie eine Zeile zur Verzerrung auf: Überwachungswerte können Menschen mit Behinderungen, Betreuungspflichten oder Teilzeit benachteiligen.
6. Beraten Sie sich vor dem Einsatz. Wo das Recht es verlangt, beziehen Sie Betriebsräte oder Arbeitnehmervertretungen ein. Wo nicht, tun Sie es trotzdem: Ein kurzes Gespräch mit einer Stichprobe des betroffenen Teams bringt Probleme ans Licht, die eine Anbieter-Demo nicht zeigt.
7. Geben Sie eine konkrete Mitteilung. Sagen Sie den Menschen, was erhoben wird, warum, wer es sieht, wie lange es aufbewahrt wird und welche Entscheidungen es speisen kann. Erfüllen Sie die strengste Mitteilungsregel eines Bundesstaates oder Landes, die für Sie gilt, und verwenden Sie dann diesen Wortlaut überall.
8. Halten Sie Menschen in der Entscheidung. Keine Disziplinarmaßnahme, Bewertung oder Kündigung sollte allein auf einem Überwachungswert beruhen. Eine benannte Führungskraft prüft die Belege und kann die Entscheidung erklären. Die Seite zu Human-in-the-Loop behandelt das Design, und menschliche Aufsicht bei HR-KI wendet es auf HR an.
9. Schreiben Sie es in die Richtlinie. Nehmen Sie die Überwachung in Ihre KI-Nutzungsrichtlinie und in das Mitarbeiterhandbuch auf, mit einem Verantwortlichen.
10. Prüfen Sie nach Plan. Kontrollieren Sie jede Kennzahl zweimal im Jahr: Nutzt sie jemand, hat sie eine Entscheidung verändert, und würden Sie sie noch verteidigen, wenn sie veröffentlicht würde?

Häufige Fallstricke

• Das Modul für „Engagement“ oder „Stimmung“ ohne Rechtsprüfung kaufen. Wenn es Emotionen aus Gesichtern oder Stimmen von Beschäftigten in der EU ableitet, kann es rechtswidrig sein, egal wie der Anbieter es vermarktet.
• Die Mitteilung als Erlaubnis behandeln. In den USA genügt die Mitteilung mehreren Landesgesetzen. Sie macht eine unverhältnismäßige Praxis nicht fair, und sie schützt Sie nicht vor einer Diskriminierungsklage.
• Aktivität als Ersatz für Ergebnis nutzen. Tastenanschläge belohnen den Anschein von Geschäftigkeit.
• Alles „für alle Fälle“ aufbewahren. Die übermäßige Aufbewahrung war die Feststellung, die im Fall Amazon France hängen blieb.
• Ignorieren, wen es am stärksten trifft. In den APA-Daten war die Verbreitung bei Arbeitern in körperlicher Arbeit am höchsten (55 %), und Beschäftigte an der Basis sahen es weniger positiv als die obere Führung (47 % vs. 77 % sagten, es verbessere ihr Arbeitserlebnis).
• Einen Wert die Entscheidung treffen lassen. Eine Rangliste, die niemand erklären kann, ist kein Beleg.
• Es verstecken. Überwachung, von der Menschen nichts wissen, ist nach keinem der obigen Gesetze leicht zu verteidigen. Wenn Sie sie nicht ankündigen können, sollten Sie sie vermutlich nicht betreiben. Wie personenbezogene Daten in diesem Umfeld behandelt werden, behandelt Datenschutz für Beschäftigtendaten und KI.