Datenschutz für Beschäftigtendaten und KI: Was HR schützen muss

Von Kevin Kim · Aktualisiert am 11. Oktober 2026

Datenschutz für Beschäftigtendaten bei KI ist die Gesamtheit der rechtlichen und praktischen Pflichten, die gelten, wenn HR Personalinformationen in KI-Tools einspeist: wissen, welche Daten sensibel sind, einen rechtmäßigen Grund für ihre Nutzung haben, die Betroffenen informieren, das Risiko vorab bewerten, Menschen bei bedeutenden Entscheidungen beteiligen, Anbieter vertraglich binden, die Aufbewahrungsdauer begrenzen und kontrollieren, wohin die Daten wandern. Die Daten, die HR hält (Gesundheitsangaben, Vergütung, Leistungsnotizen, Disziplinarhistorie, manchmal Fingerabdrücke oder Gesichter), gehören zu den sensibelsten im Unternehmen. Ein KI-Tool darauf anzusetzen, verändert das Risiko und oft auch, wer rechtlich wofür verantwortlich ist.

Diese Seite richtet sich an HR-Direktoren, Leiter von People Operations und die Führungskräfte, die HR-Tools freigeben. Sie führt durch die wichtigsten Pflichten nach EU- und britischem Recht und die US-Landesgesetze, die am stärksten greifen, und liefert dann eine Tabelle der Anwendungsfälle und einen Prozess Schritt für Schritt. Für das größere Bild beginnen Sie mit HR-Datengrundlagen für KI. Dies sind allgemeine Informationen, keine Rechtsberatung.

Wichtige Fakten

• Verstöße gegen die Grundsätze der Verarbeitung, die Bedingungen der Einwilligung, die Regeln für besondere Kategorien, die Rechte betroffener Personen und die Regeln für internationale Übermittlungen nach der DSGVO können Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist; Verstöße gegen Pflichten von Verantwortlichen und Auftragsverarbeitern (einschließlich Auftragsverarbeitungsverträgen und Folgenabschätzungen) können bis zu 10 Millionen Euro oder 2 % nach sich ziehen (DSGVO Artikel 83).
• Der Europäische Datenschutzausschuss hält es für „problematisch“, wenn Arbeitgeber Daten aktueller oder künftiger Beschäftigter auf Grundlage einer Einwilligung verarbeiten, weil diese wahrscheinlich nicht freiwillig erteilt wird (EDPB-Leitlinien 05/2020).
• Die kalifornischen Ausnahmen für beschäftigungsbezogene personenbezogene Daten liefen am 31. Dezember 2022 aus, sodass Beschäftigte und Bewerber mit Wohnsitz in Kalifornien nun unter den CCPA fallen (California Attorney General).
• Im Dezember 2023 entschied der Gerichtshof der EU, dass das Credit-„Scoring“ als verbotene automatisierte Einzelentscheidung zählt, wenn der Kunde dem Score eine maßgebliche Rolle zuschreibt (Pressemitteilung des Gerichtshofs).
• Das EU-US Data Privacy Framework beruht auf einem Angemessenheitsbeschluss der Kommission vom 10. Juli 2023; das Gericht der EU wies eine Klage dagegen am 3. September 2025 ab (Pressemitteilung des Gerichts), und am 31. Oktober 2025 wurde ein Rechtsmittel eingelegt (Digital Policy Alert).

Warum KI das Datenschutzbild verändert

HR hat schon immer sensible Akten geführt. KI fügt drei Dinge hinzu. Reichweite: Ein Tool, das jede Beurteilung, jedes Ticket und jede Chatnachricht liest, berührt weit mehr als eine Führungskraft, die eine Akte durchblättert. Inferenz: KI leitet neue Fakten ab, etwa einen Flight-Risk-Score oder eine Vermutung über die Gesundheit aus Abwesenheitsmustern, und eine Schlussfolgerung über eine Person ist weiterhin ein personenbezogenes Datum über diese Person. Dritte: Die meiste HR-KI wird zugekauft, sodass ein Anbieter mit Unterauftragsverarbeitern und Servern in anderen Ländern zwischen Ihnen und den Daten steht. Sie können die Verarbeitung auslagern. Die Verantwortung können Sie nicht auslagern.

Zur Seite der Zugriffskontrolle zeigt Datenklassifizierung für den KI-Zugriff, wie Sie entscheiden, welche Datenstufen ein KI-Tool überhaupt sehen darf.

Die sieben Pflichten, die HR richtig erfüllen muss

1. Wissen, welche Daten sensibel sind

Nach der DSGVO ist die Verarbeitung bestimmter Kategorien untersagt, sofern keine besondere Bedingung greift. Artikel 9 nennt Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, außerdem genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung (DSGVO Artikel 9). Die britische Aufsichtsbehörde erläutert, dass biometrische Daten zu Daten besonderer Kategorien werden, wenn sie zur eindeutigen Identifizierung einer Person verarbeitet werden, und dass ein gewöhnliches Foto nicht darunter fällt, solange es keiner besonderen technischen Verarbeitung unterzogen wird, etwa der Erstellung einer Vorlage für den automatisierten Abgleich (ICO).

In HR sind Krankschreibungen, Anträge auf Anpassungen, Gewerkschaftsbeiträge, Diversity-Umfragen und eine Fingerabdruck- oder Gesichtsvorlage zum Einstempeln allesamt Daten besonderer Kategorien. Selbst unmarkierte Daten können sie verraten: ein Muster von Abwesenheiten oder ein Chatbot-Gespräch, in dem ein Beschäftigter eine Diagnose erwähnt.

2. Eine Rechtsgrundlage haben, und sich nicht auf Einwilligung stützen

Jede Verwendung personenbezogener Daten braucht eine Rechtsgrundlage. Arbeitgeber greifen oft zur Einwilligung, weil sie respektvoll wirkt. Meist ist sie die schwächste Wahl. Die Leitlinien des EDPB erklären, dass die Abhängigkeit im Verhältnis zwischen Arbeitgeber und Beschäftigtem es unwahrscheinlich macht, dass ein Beschäftigter ablehnen kann, ohne ein echtes Risiko von Nachteilen zu fürchten, sodass die Grundlage für die meisten Verarbeitungen am Arbeitsplatz nicht die Einwilligung sein kann und sein sollte. Die Einwilligung bleibt nur in Ausnahmefällen möglich, in denen eine Verweigerung keine nachteiligen Folgen hat (EDPB-Leitlinien 05/2020). Die britische ICO sagt in ihrer Leitlinie dasselbe: Eine freiwillig erteilte Einwilligung ist schwerer zu erlangen, wo ein Machtungleichgewicht besteht, insbesondere bei Behörden und Arbeitgebern (ICO).

Was nehmen Sie stattdessen? Üblicherweise den Arbeitsvertrag, eine rechtliche Verpflichtung (Lohnabrechnung, Steuern, Arbeitsschutz) oder berechtigte Interessen, wofür eine dokumentierte Interessenabwägung nötig ist. Für Daten besonderer Kategorien brauchen Sie zusätzlich eine Bedingung aus Artikel 9 Absatz 2, und eine davon deckt Verarbeitungen ab, die für Pflichten aus dem Arbeitsrecht erforderlich sind, wenn nationales Recht dies erlaubt. Ein Kästchen zum Ankreuzen „Ich stimme der KI-Analyse zu“ ist selten die Antwort.

3. Menschen klar informieren

Transparenz ist eine Pflicht, keine Höflichkeit. Wenn Sie Daten direkt erheben, verlangt die DSGVO, dass Sie die Betroffenen unter anderem darüber informieren, ob es eine automatisierte Entscheidungsfindung einschließlich Profiling gibt und, zumindest in den Fällen des Artikels 22, aussagekräftige Informationen über die involvierte Logik und die angestrebten Auswirkungen (DSGVO Artikel 13). „Wir nutzen KI, um HR-Prozesse zu verbessern“ erfüllt diese Anforderung nicht. Benennen Sie den Zweck des Tools, die genutzten Daten und die Entscheidungen, in die es einfließt.

Artikel 88 erlaubt außerdem jedem EU-Mitgliedstaat, speziellere Vorschriften für Beschäftigtendaten zu erlassen, mit besonderem Augenmerk auf Transparenz und auf Überwachungssysteme am Arbeitsplatz (DSGVO Artikel 88). In der Praxis heißt das, dass in manchen Ländern der Betriebsrat zu beteiligen ist, bevor Sie ein Tool einschalten können. Zu diesem Blickwinkel siehe Mitarbeiterüberwachung mit KI.

4. Die Folgenabschätzung vor dem Start durchführen

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Risikoprüfung, die Sie durchführen, bevor die Verarbeitung beginnt. Artikel 35 verlangt sie, wo eine Verarbeitung, insbesondere unter Einsatz neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte von Personen birgt. Er verlangt sie ausdrücklich für die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, auf der Entscheidungen mit erheblicher Wirkung beruhen, und für die umfangreiche Verarbeitung von Daten besonderer Kategorien (DSGVO Artikel 35). Viele HR-KI-Anwendungen, etwa Scoring, Ranking oder die Überwachung von Beschäftigten, fallen genau darunter.

Eine DSFA umfasst die Verarbeitung und ihre Zwecke, ihre Notwendigkeit und Verhältnismäßigkeit, die Risiken für die Betroffenen und die Maßnahmen, die diese Risiken angehen. Holen Sie, wo angemessen, die Standpunkte der Betroffenen oder ihrer Vertreter ein. Behandeln Sie sie als Designwerkzeug: Wenn keine Schutzmaßnahme das Risiko senkt, verkleinern Sie das Projekt.

Kalifornien hat nun eine parallele Anforderung. Die Datenschutzbehörde des Bundesstaats hat Regeln zu Risikobewertungen und zu Technologien für automatisierte Entscheidungsfindung (ADMT) verabschiedet, wobei die Pflicht zur Risikobewertung am 1. Januar 2026 beginnt und die ADMT-Pflichten für „erhebliche Entscheidungen“ am 1. Januar 2027 beginnen (CPPA). Zusammenfassungen von Anwaltskanzleien zu diesen Regeln sagen, dass erhebliche Entscheidungen auch Beschäftigung umfassen (Skadden). Wenn Sie Menschen in Kalifornien beschäftigen, setzen Sie das in den Kalender.

5. Automatisierte Entscheidungen kontrollieren

Artikel 22 der DSGVO gibt Menschen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung, einschließlich Profiling, beruht und ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Es gibt Ausnahmen (Erforderlichkeit für einen Vertrag, Zulassung durch Rechtsvorschriften oder ausdrückliche Einwilligung), doch auch dann muss der Verantwortliche mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gewähren. Entscheidungen auf Grundlage dieser Ausnahmen dürfen nicht auf Daten besonderer Kategorien beruhen, es sei denn, es gilt eine ausdrückliche Einwilligung oder eine Bedingung des erheblichen öffentlichen Interesses und es bestehen Schutzmaßnahmen (DSGVO Artikel 22).

Der Gerichtshof hat dies weit ausgelegt. Im Fall SCHUFA entschied er, dass ein Scoring als „automatisierte Einzelentscheidung“ anzusehen ist, wenn die Bankkunden ihm eine maßgebliche Rolle bei der Kreditvergabe zuschreiben (Gerichtshof). Übertragen auf HR: Wenn ein Recruiter oder eine Führungskraft einfach abnickt, was der Score sagt, ist der Score die Entscheidung. Eine Person, die lediglich auf „Genehmigen“ klickt, gilt nicht als menschliche Beteiligung. Menschliche Aufsicht bei KI im HR-Bereich behandelt, wie Sie den menschlichen Schritt real machen.

Das Vereinigte Königreich hat seinen Ansatz geändert. Der Data (Use and Access) Act 2025 öffnet das gesamte Spektrum der Rechtsgrundlagen für erhebliche automatisierte Entscheidungen, sofern Schutzmaßnahmen bestehen bleiben, gilt aber nicht für Daten besonderer Kategorien, und die ICO sagt, die Datenschutzbestimmungen des Gesetzes seien nun in Kraft (ICO). Die EU-Regeln haben sich nicht in dieselbe Richtung bewegt, ein multinationaler Konzern kann die britische Position daher nicht zum Konzernstandard machen.

6. Anbieter binden und Aufbewahrung begrenzen

Wenn ein Anbieter in Ihrem Auftrag Beschäftigtendaten verarbeitet, verlangt Artikel 28 einen verbindlichen Vertrag. Er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen sowie Ihre Rechte und Pflichten festlegen. Er muss außerdem verlangen, dass der Auftragsverarbeiter nur auf Ihre dokumentierte Weisung handelt, die Vertraulichkeit sicherstellt, Sicherheitsmaßnahmen anwendet, Ihre Genehmigung einholt, bevor er einen weiteren Auftragsverarbeiter hinzuzieht, bei Anfragen betroffener Personen unterstützt, Daten am Ende der Leistung löscht oder zurückgibt und Informationen für Prüfungen bereitstellt (DSGVO Artikel 28).

Ergänzen Sie bei KI-Anbietern, was die Vorlage nicht abfragt. Trainiert der Anbieter seine Modelle mit Ihren Beschäftigtendaten? Wo werden Prompts und Ausgaben gespeichert, und wie lange? Wer sind die Unterauftragsverarbeiter? Der Bewertungsrahmen für KI-Anbieter behandelt die kommerzielle Seite.

Die Aufbewahrung ist die leise Pflicht. Der Grundsatz der Speicherbegrenzung in der DSGVO besagt, dass Daten nur so lange in identifizierbarer Form gespeichert werden sollen, wie es für die Zwecke ihrer Verarbeitung erforderlich ist (DSGVO Artikel 5). KI macht das schwieriger, weil sich Kopien in Protokollen, Prompt-Verläufen und Backups des Anbieters ansammeln. Legen Sie für jedes eine Frist fest und vergewissern Sie sich, dass der Anbieter auf Anfrage löschen kann.

7. Beobachten, wohin die Daten gehen

Das Senden von Beschäftigtendaten außerhalb der EU oder des Vereinigten Königreichs braucht einen Übermittlungsmechanismus. Ein Weg ist ein Angemessenheitsbeschluss der Kommission, bei dem eine Übermittlung keine besondere Genehmigung braucht (DSGVO Artikel 45). Ein anderer sind geeignete Garantien, etwa verbindliche interne Datenschutzvorschriften (DSGVO Artikel 46). Für die Vereinigten Staaten erließ die Kommission ihren Angemessenheitsbeschluss zum EU-US Data Privacy Framework am 10. Juli 2023 (Europäische Kommission). Das Gericht der EU wies die von Philippe Latombe erhobene Klage am 3. September 2025 ab und bestätigte, dass die USA zum Zeitpunkt des Erlasses des Beschlusses ein angemessenes Schutzniveau gewährleisteten (Gericht der EU), und am 31. Oktober 2025 wurde ein Rechtsmittel eingelegt, sodass das Framework während des laufenden Rechtsmittels in Kraft bleibt. Prüfen Sie, ob Ihr Anbieter nach dem Framework zertifiziert ist und über einen Ausweichmechanismus verfügt.

US-Aspekte: Kalifornien und Illinois

Es gibt kein einheitliches US-Datenschutzgesetz für Beschäftigtendaten, das Bild besteht daher aus Schichten. Zwei sind für HR-KI am wichtigsten.

Kalifornien (CCPA/CPRA). Die Ausnahmen des Bundesstaats für beschäftigungsbezogene personenbezogene Daten liefen am 31. Dezember 2022 aus (California Attorney General). Seit dem 1. Januar 2023 schulden erfasste Unternehmen kalifornischen Beschäftigten und Bewerbern die Rechte, die der CCPA jedem Verbraucher gibt: zu erfahren, was erhoben wird, zu löschen, zu berichtigen, dem Verkauf oder der Weitergabe zu widersprechen und die Nutzung sensibler personenbezogener Daten einzuschränken. Das Gesetz gilt für gewinnorientierte Unternehmen, die seine Schwellenwerte erreichen, prüfen Sie also, ob Ihres dazugehört. Die ADMT-Regeln in Abschnitt 4 oben ergänzen Pflichten zu Mitteilung und Widerspruch bei erheblichen automatisierten Entscheidungen.

Illinois (BIPA). Der Biometric Information Privacy Act regelt die Erhebung von Fingerabdrücken, Gesichtsgeometrie und ähnlichen Identifikatoren und verlangt vor der Erhebung eine Einwilligung. Eine Änderung von 2024, Public Act 103-0769, unterzeichnet am 2. August 2024, bestimmt, dass wiederholte Verstöße nach derselben Methode als ein einziger Verstoß zählen, mit höchstens einer Entschädigung je Person (Faegre Drinker). Das verringerte das Risiko je Person, beseitigte es aber nicht: Geschädigte können weiterhin Einzel- und Sammelklagen erheben. Wenn Ihre Zeiterfassungsgeräte, Zutrittskontrollen oder Identitätsprüfungen Fingerabdrücke oder Gesichtsscans nutzen, ist dies das Gesetz, das Sie zuerst prüfen sollten.

Andere Bundesstaaten ergänzen laufend Regeln für KI im Beschäftigungskontext, zum Bild speziell für die Personalauswahl siehe daher die Gesetze zu KI bei der Personalauswahl.

Was jeder HR-KI-Anwendungsfall braucht

Dieselben sechs Kontrollen kehren immer wieder: eine DSFA, eine gültige Rechtsgrundlage, echte menschliche Beteiligung, ein enger Auftragsverarbeitungsvertrag, eine Aufbewahrungsgrenze und eine Prüfung der Übermittlung.

So setzen Sie es in die Praxis um

1. Erfassen Sie Ihre HR-KI. Listen Sie jedes Tool auf, das Beschäftigten- oder Bewerberdaten berührt, einschließlich Funktionen in bestehender HR-Software und Tools, die Führungskräfte selbst eingeführt haben.

2. Kartieren Sie die Daten. Halten Sie für jedes Tool fest, was hineingeht, welche Schlussfolgerungen herauskommen und ob etwas davon zu den besonderen Kategorien gehört oder biometrisch ist.
3. Wählen und dokumentieren Sie eine Rechtsgrundlage. Nehmen Sie nicht standardmäßig die Einwilligung. Halten Sie die Grundlage fest, bei Daten besonderer Kategorien auch die Bedingung nach Artikel 9. Wenn Sie sich auf berechtigte Interessen stützen, schreiben Sie die Interessenabwägung auf.
4. Führen Sie eine DSFA für alles durch, was bewertet, rankt, überwacht oder sensible Daten nutzt. Beziehen Sie Ihren Datenschutzbeauftragten ein, falls Sie einen haben, und eine Arbeitnehmervertretung, wo Recht oder Kultur es verlangen.
5. Überarbeiten Sie Ihre Mitteilungen. Sagen Sie vor der ersten Nutzung in einfacher Sprache, was das Tool tut, welche Daten es nutzt und in welche Entscheidungen es einfließt.
6. Prüfen Sie die Entscheidungsrechte. Benennen Sie für jedes Tool, das Einstellung, Vergütung, Beförderung, Disziplin oder Kündigung beeinflusst, die Person, die das letzte Wort hat, und vergewissern Sie sich, dass sie der Ausgabe widersprechen kann.
7. Verschärfen Sie den Anbietervertrag. Decken Sie die Bedingungen nach Artikel 28 ab, ein Verbot, Ihre Daten zum Training gemeinsam genutzter Modelle zu verwenden, sofern Sie nicht zustimmen, die Genehmigung von Unterauftragsverarbeitern, Meldung von Datenpannen, Löschung beim Ausstieg und Prüfrechte.
8. Legen Sie Aufbewahrung und Löschung fest. Entscheiden Sie, wie lange Eingaben, Ausgaben, Protokolle und Backups bestehen, und testen Sie, dass die Löschung in der Praxis funktioniert.
9. Bestätigen Sie den Übermittlungsweg. Wissen Sie, wo der Anbieter Daten speichert und darauf zugreift und welcher Mechanismus jeden Datenfluss abdeckt.
10. Schulen Sie Führungskräfte und prüfen Sie nach Plan. Die meisten Lecks stammen von gut meinenden Menschen, die eine Leistungsbeurteilung in einen öffentlichen Chatbot einfügen. Wiederholen Sie die Bestandsaufnahme und die DSFA, wenn sich Tool, Daten oder Recht ändern.

Für Regulierung, die speziell an die KI-Regeln der EU anknüpft, erklärt der Überblick zum EU AI Act die Risikostufen. Die Europäische Kommission gibt an, dass die Hochrisiko-Regeln für Systeme in Bereichen wie Beschäftigung ab dem 2. Dezember 2027 gelten, nach dem KI-Omnibus, der am 27. Juli 2026 in Kraft trat (Europäische Kommission). Das gilt zusätzlich zur DSGVO, es ersetzt sie nicht.

Häufige Fallstricke

• Die Einwilligung als Lösung behandeln. Ein Beschäftigter kann gegenüber seinem Arbeitgeber nicht sinnvoll Nein sagen, ein Einwilligungsformular ist daher eine schwache Grundlage und kann angefochten werden.
• Annehmen, etwas sei „nicht sensibel“, weil das Feld nicht so gekennzeichnet ist. Abwesenheitsmuster, Chat-Inhalte und Verhaltens-Scores können Gesundheit, Überzeugungen oder gewerkschaftliche Aktivität verraten.
• Die DSFA auslassen, weil der Anbieter „konform ist“. Die Zertifizierung eines Anbieters bewertet weder Ihre Nutzung noch Ihre Daten noch Ihre Belegschaft.
• Mensch nur dem Namen nach. Wenn der Prüfer 99 % der Ausgaben in Sekunden genehmigt, werden Aufsichtsbehörden den Prozess als automatisiert behandeln.
• Die Protokolle vergessen. Prompts, Ausgaben und Prüfpfade sind ebenfalls personenbezogene Daten.
• Annehmen, die Antwort einer Region passe überall. Regeln im Vereinigten Königreich, in der EU und in den USA unterscheiden sich und ändern sich laufend, und das Vereinigte Königreich hat seine Regeln zu automatisierten Entscheidungen gerade gelockert, die EU nicht.
• Kein Ausstiegsplan. Wenn der Anbieter übernommen wird oder seinen Übermittlungsmechanismus verliert, müssen Sie wissen, wie Sie die Daten zurückbekommen und löschen lassen.