KI spart im HR-Alltag echte Zeit, von der Stellenanzeige bis zum Chatbot. Die Grenze verläuft dort, wo personenbezogene Daten ins Spiel kommen: Eine reine KI-Entscheidung über eine Bewerbung ist nach Art. 22 DSGVO verboten, KI kann unbemerkt diskriminieren (AGG-Risiko), und sobald sie Leistung oder Verhalten auswertet, redet der Betriebsrat mit. Ab August 2026 gilt KI in der Personalauswahl zusätzlich als Hochrisiko unter dem EU AI Act.
Ein HR-Mitarbeiter tippt in ChatGPT: "Erstelle ein Arbeitszeugnis für Max Mustermann, 32 Jahre, war als Projektleiter bei uns tätig, Bewertung gut." Zwei Sekunden später liegt ein fertig formuliertes Zeugnis vor. Das Problem: Max Mustermanns Daten sind jetzt bei einem US-Dienst, ohne Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag, ohne dass der Mitarbeiter davon weiß.
Genau solche Szenen passieren 2026 täglich in deutschen Personalabteilungen. KI-Tools sind im HR-Alltag angekommen, und für viele kleinere und mittlere Unternehmen ist das eine echte Erleichterung. Die Frage ist nicht mehr, ob KI im Personalwesen genutzt wird, sondern wie, und welche rechtlichen Leitplanken dabei gelten. Wer das nicht klärt, riskiert Datenschutzverstöße, AGG-Klagen und Ärger mit dem Betriebsrat. Dieser Leitfaden zeigt dir als Arbeitgeber, wo der Nutzen liegt und wo die harten Grenzen verlaufen.
1. KI im HR-Alltag 2026: die wichtigsten Einsatzfelder
Der Einsatz von KI im Personalwesen hat sich 2024 und 2025 von vereinzelten Experimenten zu einer breiten Alltagspraxis entwickelt. Das betrifft vor allem KMU und Startups, die KI nicht strategisch einführen, sondern schlicht nutzen, weil ein Tool da ist und Zeit spart. Genau diese unbewusste Nutzung ist aus rechtlicher Sicht das Hauptrisiko.
Diese vier Einsatzfelder dominieren den HR-Alltag 2026:
- Textentwürfe: Stellenanzeigen, Arbeitszeugnisse, Onboarding-Unterlagen, Absagebriefe, schwierige E-Mails
- Bewerber-Vorsortierung: Screening und Ranking von Bewerbungen, Matching mit Anforderungsprofilen, automatisierte Vorauswahl
- Chatbots: Beantwortung wiederkehrender Mitarbeiterfragen zu Urlaub, Gehalt, internen Prozessen
- Analyse: Vertragsprüfung, Zusammenfassung von Tarifverträgen, Auswertung von Personaldaten und Reports
Das wirkt nach harmlosen Hilfsmitteln, und für einen großen Teil dieser Anwendungen stimmt das auch, solange keine personenbezogenen Daten verarbeitet werden. Genau an dieser Stelle verläuft die Grenze, die viele unbemerkt überschreiten. Sobald ein Name, ein Geburtsdatum oder eine Bewertung in das Tool wandern, gilt die Datenschutz-Grundverordnung in vollem Umfang. Die Bandbreite reicht dabei von "völlig unbedenklich" bis "schlicht verboten", und der Unterschied liegt oft nur in einem einzigen Wort im Prompt.
2. Textentwürfe: Stellenanzeigen, Zeugnisse, Kommunikation
Textentwürfe sind das unkomplizierteste KI-Einsatzfeld im HR, zumindest solange du dabei generisch bleibst. Eine Stellenanzeige enthält keine personenbezogenen Daten, keine sensiblen Informationen, nur ein klares Ziel: einen Text, der die richtigen Leute anspricht.
Was gut funktioniert
- Erstentwürfe für Stellenanzeigen generieren und dann anpassen
- Formulierungen auf gender-neutrale, AGG-konforme Sprache prüfen
- Benefit-Texte und Anforderungsprofile strukturieren
- Zeugnis-Formulierungsbausteine und Codes entwickeln (ohne echten Namen)
- Absagebriefe als Vorlage erstellen (ohne Bezug zu einer konkreten Person)
Zeugnisse: die entscheidende Grenze
Beim Arbeitszeugnis wird es kniffelig. Das Dokument ist untrennbar an eine bestimmte Person gebunden. Sobald Name, Beschäftigungszeit, Aufgaben oder eine Leistungsbeurteilung in den Prompt eingehen, handelt es sich um personenbezogene Daten nach Art. 4 DSGVO. Generische Bausteine über ein KI-Tool zu entwickeln ist erlaubt. Den konkreten Zeugnistext mit echten Mitarbeiterdaten generieren zu lassen ist es nicht, jedenfalls nicht ohne datenschutzkonformes Tool und Auftragsverarbeitungsvertrag.
| Anwendungsfall | Datenschutzrelevanz | Öffentliches KI-Tool ohne AVV |
|---|---|---|
| Stellenanzeige erstellen | Keine personenbezogenen Daten | Erlaubt |
| Zeugnis-Formulierungen entwickeln (generisch) | Keine personenbezogenen Daten | Erlaubt |
| Konkretes Zeugnis für "Max Mustermann" | Personenbezogene Daten | Nicht erlaubt |
| Absagebrief als Vorlage (ohne Bewerberdaten) | Keine personenbezogenen Daten | Erlaubt |
| Absage mit Bezug auf einen konkreten Bewerber | Personenbezogene Daten | Nicht erlaubt |
| Gesprächsleitfaden für Mitarbeitergespräch (generisch) | Keine personenbezogenen Daten | Erlaubt |
| Leistungsbeurteilung eines konkreten Mitarbeiters | Personenbezogen, ggf. besonders sensibel | Nicht erlaubt |
Kommunikation: Vorsicht bei E-Mail-Entwürfen
Bittet ein HR-Mitarbeiter ein KI-Tool, eine schwierige E-Mail zu formulieren, und liefert dabei Kontext wie "er war lange krankgeschrieben und hat jetzt Probleme mit dem Team", dann fließen Gesundheitsdaten in ein unkontrolliertes System. Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützte Daten mit deutlich strengeren Anforderungen. Hier reicht schon ein gut gemeinter Halbsatz, um aus einer Schreibhilfe einen meldepflichtigen Datenschutzvorfall zu machen.
3. Bewerber-Vorsortierung und die Art.-22-Falle
Die automatische Vorsortierung von Bewerbungen ist verlockend: Bei 200 Bewerbungen auf eine Stelle wünscht sich jede Personalabteilung, dass eine Software die passendsten zehn nach oben spült. Genau hier lauert aber die schärfste rechtliche Grenze im ganzen Themenfeld.
Art. 22 DSGVO, das Kernverbot: Eine betroffene Person hat das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Eine abgelehnte Bewerbung ist so eine erhebliche Beeinträchtigung. Eine Software, die Kandidaten allein und ohne menschliches Zutun aussortiert, ist damit grundsätzlich unzulässig.
Den genauen Wortlaut findest du in §37 BDSG (nationale Ausnahmen) und vor allem in Art. 22 der Datenschutz-Grundverordnung. Wichtig ist die Abgrenzung: Verboten ist die ausschließlich automatisierte Entscheidung. Solange ein Mensch die Vorschläge der KI tatsächlich prüft und mit eigenem Ermessen entscheidet, greift Art. 22 nicht.
Der Haken steckt im Wort "tatsächlich". Ein Recruiter, der die KI-Rangliste nur durchwinkt und immer den obersten Vorschlag nimmt, schafft de facto eine automatisierte Entscheidung mit menschlichem Feigenblatt. Die Aufsichtsbehörden schauen darauf, ob die menschliche Prüfung echt ist oder nur pro forma. Praktisch heißt das:
- KI darf vorsortieren und Vorschläge machen, das ist zulässig.
- Die Entscheidung über Einladung oder Absage muss ein Mensch mit echtem Spielraum treffen.
- Die menschliche Prüfung muss nachvollziehbar dokumentiert sein, nicht nur behauptet.
- Bewerber müssen über den KI-Einsatz informiert werden (Art. 13/14 DSGVO).
Hinzu kommt die Aufbewahrung: Bewerberdaten werden in der Regel sechs Monate nach der Absage gelöscht, weil dann die Klagefrist nach dem AGG abgelaufen ist. Rechtsgrundlage ist Art. 6 Abs. 1 DSGVO (laufendes Verfahren beziehungsweise berechtigtes Interesse an der Aufbewahrung nach Absage). Willst du Kandidaten in einen Talent-Pool aufnehmen, brauchst du dafür eine separate Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO.
4. HR-Chatbots für Mitarbeiterfragen
Ein wachsendes Einsatzfeld sind HR-Chatbots: ein Tool, das wiederkehrende Mitarbeiterfragen beantwortet, etwa "Wie viele Urlaubstage habe ich noch?" oder "Wo finde ich die Reisekostenrichtlinie?". Das entlastet die Personalabteilung spürbar und ist für die Belegschaft bequem.
Datenschutzrechtlich kommt es darauf an, woraus der Bot seine Antworten zieht. Ein Chatbot, der nur allgemeine Richtlinien und FAQ-Dokumente erklärt, ist unkritisch. Sobald er aber individuelle Daten abruft, etwa den persönlichen Urlaubssaldo oder Gehaltsinformationen, verarbeitet er personenbezogene Daten und braucht dieselbe Grundlage wie jedes andere HR-System: Rechtsgrundlage, technische Absicherung und bei externer Software einen Auftragsverarbeitungsvertrag.
Faustregel für Chatbots: Trenne strikt zwischen einem reinen Wissens-Bot (erklärt Prozesse und Richtlinien, kein Personenbezug) und einem Auskunfts-Bot (greift auf individuelle Mitarbeiterdaten zu). Der erste lässt sich schnell und unkompliziert einführen. Der zweite braucht dieselbe Sorgfalt wie ein HR-System mit Personalakte: Zugriffsrechte, Protokollierung, Löschkonzept.
Ein zweiter Punkt wird oft übersehen: Gibt ein Mitarbeiter im Chat sensible Informationen ein ("Ich kann wegen meiner Depression gerade keine Spätschicht"), landen Gesundheitsdaten im System. Der Bot muss so gestaltet sein, dass solche Eingaben nicht ungesichert beim Anbieter gespeichert oder gar für Modelltraining genutzt werden.
5. DSGVO: Rechtsgrundlage, Art. 9 und das Ende der §-26-Logik
Die Datenschutz-Grundverordnung kennt keine Ausnahme für KI. Wer personenbezogene Daten an einen Dritten übergibt, auch an einen KI-Dienst, braucht eine Rechtsgrundlage und, wenn es sich um Auftragsverarbeitung handelt, einen Vertrag nach Art. 28 DSGVO (AVV). Dieser regelt unter anderem Zweck und Dauer der Verarbeitung, die technischen und organisatorischen Maßnahmen, die Unterauftragsverarbeiter und die Pflicht zur Löschung nach Auftragsende.
Welche Rechtsgrundlage gilt im Beschäftigtenkontext?
Viele Arbeitgeber stützen die Verarbeitung von Beschäftigtendaten reflexhaft auf §26 BDSG. Das ist seit einem wichtigen Urteil heikel: Der Europäische Gerichtshof hat am 30. März 2023 (Rechtssache C-34/21) entschieden, dass die deutsche Generalklausel zum Beschäftigtendatenschutz die Anforderungen der DSGVO nicht erfüllt und damit nicht als alleinige Tragnorm dienen kann. Das bestätigt auch der Landesbeauftragte für Datenschutz Baden-Württemberg in seinen FAQ zum Urteil.
Praktisch heißt das: Stütze die Verarbeitung im Zweifel direkt auf die DSGVO selbst, also auf Art. 6 Abs. 1 (etwa Erfüllung des Arbeitsvertrags oder berechtigtes Interesse), nicht allein auf §26 BDSG. Für KI-Tools, die Mitarbeiterdaten verarbeiten, solltest du die konkrete Rechtsgrundlage sauber dokumentieren. Spätestens bei einer Prüfung durch die Aufsichtsbehörde wird genau danach gefragt.
Besondere Datenkategorien nach Art. 9 DSGVO
Im HR-Kontext tauchen regelmäßig besonders geschützte Datenkategorien auf, für die noch strengere Regeln gelten:
- Gesundheitsdaten: Krankmeldungen, AU-Bescheinigungen, BEM-Prozesse, Schwangerschaft
- Gewerkschaftszugehörigkeit: relevant für Tarifbindung und Sonderrechte
- Biometrische Daten: wenn die Zeiterfassung mit Fingerabdruck läuft
- Religiöse Überzeugungen: Urlaub für religiöse Feiertage, Gebetszeiten
Für diese Daten ist die Verarbeitung nur unter engen Voraussetzungen erlaubt, etwa mit ausdrücklicher Einwilligung oder auf spezieller gesetzlicher Grundlage. KI-Tools ohne lückenlose Datenschutzgarantien scheiden hier komplett aus.
US-Server und kostenlose KI-Tools: Viele bekannte KI-Dienste verarbeiten Daten auf Servern in den USA. Seit dem EU-US Data Privacy Framework (2023) ist der Datentransfer dorthin grundsätzlich möglich, aber nur, wenn der Anbieter dort registriert ist und ein AVV besteht. Die kostenlosen Versionen vieler Tools bieten weder einen AVV noch verlässliche Garantien und können Eingaben für das Modelltraining verwenden.
Kurz gesagt: Wer eine kostenlose Standard-Version nutzt und echte Mitarbeiterdaten eingibt, verstößt gegen die DSGVO. Das ist kein theoretisches Risiko. Bei einem Verstoß drohen Meldepflichten innerhalb von 72 Stunden (Art. 33 DSGVO), Bußgelder bis zu 4 Prozent des weltweiten Jahresumsatzes und Schadensersatzansprüche der Betroffenen (Art. 82 DSGVO).
6. AGG: Wenn KI unbemerkt diskriminiert
Datenschutz ist nicht das einzige rechtliche Feld, auf dem KI im HR Schaden anrichten kann. Das zweite, oft unterschätzte, ist das Allgemeine Gleichbehandlungsgesetz (AGG). KI-Systeme lernen aus Daten, und wenn diese Daten Verzerrungen enthalten, übernimmt das Modell sie und reproduziert sie im großen Maßstab.
Ein typisches Beispiel: Trainierst du ein Auswahl-Tool auf den Einstellungsdaten der letzten zehn Jahre und wurden in dieser Zeit überwiegend Männer einer bestimmten Altersgruppe eingestellt, lernt das System genau dieses Muster als "Erfolg". Es bewertet künftig Bewerber, die diesem Muster entsprechen, höher und benachteiligt andere systematisch, etwa nach Geschlecht, Alter oder Herkunft. Diese versteckte Diskriminierung ist umso gefährlicher, weil sie objektiv und neutral wirkt.
Die Haftung bleibt beim Arbeitgeber. Diskriminiert die KI, kann das ein Verstoß gegen das AGG sein und benachteiligte Bewerber können Entschädigung verlangen. Du kannst dich nicht darauf berufen, dass "die Software" entschieden hat. Verantwortlich für die Auswahlentscheidung bist du als Arbeitgeber, nicht der Anbieter des Tools.
Was bedeutet das für die Praxis? Wer KI im Recruiting nutzt, sollte das Tool kritisch hinterfragen: Auf welchen Daten wurde es trainiert? Lässt sich nachvollziehen, warum es einen Kandidaten höher bewertet als einen anderen? Gibt es Tests auf systematische Verzerrungen? Ein seriöser Anbieter kann dazu Auskunft geben. Wer das nicht kann oder will, ist für den Einsatz im Personalbereich ungeeignet. Und selbst beim besten Tool gilt: Die finale, menschliche Prüfung der Auswahl ist auch der wichtigste Schutz gegen AGG-Risiken.
7. Betriebsrat: Mitbestimmung nach §87 BetrVG
Gibt es einen Betriebsrat, kommt eine dritte Ebene ins Spiel, die viele Arbeitgeber überrascht: das Mitbestimmungsrecht aus dem Betriebsverfassungsgesetz.
§87 Abs. 1 Nr. 6 BetrVG: Der Betriebsrat hat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Die Rechtsprechung legt das weit aus: Es reicht, dass die Einrichtung zur Überwachung geeignet ist, sie muss nicht dafür gedacht sein. Viele KI-Tools, die Mitarbeiterdaten auswerten, fallen damit unter die Mitbestimmung.
Den Wortlaut findest du in §87 BetrVG. Relevante Beispiele aus dem HR-Alltag: KI-gestützte Auswertung von Krankheitsmustern, ein Tool, das Mitarbeitergespräche aufzeichnet und auswertet, automatisierte Leistungsbewertungen auf Basis von Systemdaten oder ein KI-Screening von Bewerbungen.
Was eine Betriebsvereinbarung regeln sollte
Wenn der Betriebsrat einzubeziehen ist, schafft eine Betriebsvereinbarung zum KI-Einsatz Klarheit für alle Seiten und verhindert spätere Konflikte bis hin zur Einigungsstelle. Sinnvolle Inhalte sind:
- Welche KI-Tools werden für welche Zwecke eingesetzt?
- Welche Mitarbeiterdaten werden dabei verarbeitet?
- Wie wird ausgeschlossen, dass Daten zur Leistungs- oder Verhaltenskontrolle genutzt werden?
- Wer hat Zugriff auf welche KI-generierten Auswertungen?
- Wie werden Mitarbeiter informiert, und wie können sie KI-gestützte Entscheidungen anfechten?
Kein Betriebsrat vorhanden? Dann entfällt die Mitbestimmungspflicht, aber die DSGVO- und AGG-Anforderungen gelten vollständig weiter. Mitarbeiter haben ihre individuellen Rechte (Auskunft, Widerspruch nach Art. 21 DSGVO) unabhängig davon, ob ein Betriebsrat existiert.
8. EU AI Act: KI im Recruiting als Hochrisiko ab August 2026
2026 kommt eine neue Regelungsebene hinzu, die speziell auf KI zugeschnitten ist: die KI-Verordnung der EU, kurz EU AI Act. Sie teilt KI-Systeme nach Risiko ein, und ausgerechnet der HR-Bereich landet in der zweithöchsten Stufe.
Nach Anhang III des EU AI Act gelten KI-Systeme für die Personalauswahl, für Beförderungs- und Kündigungsentscheidungen sowie für die Leistungsbewertung als Hochrisiko-Systeme. Sobald eine Software Bewerbungen rankt, Kandidaten mit einer Stelle matcht oder Mitarbeiterleistung automatisiert beurteilt, fällt sie in diese Kategorie. Die entsprechenden Pflichten greifen ab dem 2. August 2026.
Auch wer nur einkauft, hat Pflichten. Ein häufiges Missverständnis: Viele KMU denken, die AI-Act-Pflichten beträfen nur die Hersteller der Software. Tatsächlich hat auch der Betreiber, also das Unternehmen, das ein Hochrisiko-Tool im Recruiting einsetzt, eigene Pflichten. Dazu gehören insbesondere die Sicherstellung menschlicher Aufsicht, Transparenz gegenüber Betroffenen und eine sorgfältige Auswahl konformer Systeme.
Für die meisten kleineren Unternehmen ist das die wichtigste Konsequenz: Wer ein KI-Recruiting-Tool einsetzt, sollte vom Anbieter eine Bestätigung der AI-Act-Konformität verlangen und im eigenen Haus dokumentieren, wie die menschliche Aufsicht organisiert ist. Reines Textgenerieren ohne Personalentscheidung ist davon nicht betroffen, ein Chatbot, der nur Urlaubsregeln erklärt, ebenfalls nicht. Die Hochrisiko-Einstufung trifft gezielt die Werkzeuge, die über berufliche Chancen von Menschen mitentscheiden.
9. Praktische Regeln für den KI-Einsatz
Aus den vier Rechtsfeldern (DSGVO, AGG, BetrVG, AI Act) ergeben sich handhabbare Spielregeln für den Alltag. Keine abstrakten Verbote, sondern Leitlinien, mit denen deine Personalabteilung arbeiten kann.
Goldene Regel: Kein Name, keine Daten
Wenn kein Mitarbeitername und keine identifizierenden Angaben im Prompt stehen, ist das Risiko minimal. Diese eine Regel verhindert den Großteil der typischen Fehler im Tagesbetrieb.
Checkliste für die KI-Tool-Auswahl
- Server-Standort: EU oder DPF-registrierter US-Anbieter?
- Auftragsverarbeitungsvertrag (AVV) verfügbar und abgeschlossen?
- Werden Eingaben für Modelltraining genutzt? Opt-out geprüft?
- Bei Recruiting-Tools: AI-Act-Konformität bestätigt, menschliche Aufsicht organisiert?
- Bei Auswahl-Tools: Auskunft über Trainingsdaten und Bias-Tests vorhanden?
- Löschkonzept für Eingaben dokumentiert?
- Betriebsrat (falls vorhanden) informiert und eingebunden?
Interne Richtlinie statt Wildwuchs
Wer die KI-Nutzung nicht regelt, überlässt das Feld den Einzelentscheidungen der Mitarbeiter, und das endet in einem unübersichtlichen Mix aus Tools und Datenschutzrisiken. Eine kurze interne Richtlinie sollte erlaubte und verbotene Tools benennen (Positivliste), festlegen, welche Datenkategorien nie in KI-Tools eingegeben werden dürfen, eine verantwortliche Person für die Tool-Freigabe bestimmen und einen Meldeweg für versehentliche Datenpannen regeln.
Transparenz gegenüber Mitarbeitern und Bewerbern
Sobald KI Mitarbeiter- oder Bewerberdaten verarbeitet, müssen die Betroffenen informiert werden, in der Datenschutzinformation oder gesondert. Das ist kein bürokratisches Detail, sondern eine Pflicht nach Art. 13 und 14 DSGVO. Einen Gesamtüberblick zum Datenschutz in HR und Lohnabrechnung findest du auf unserer Themenseite. Wenn du dabei unsicher bist, lohnt sich eine kurze Abstimmung mit einem auf Datenschutz spezialisierten Anwalt, gerade bei Recruiting-Tools und bei Gesundheitsdaten ist die Materie zu heikel für Bauchentscheidungen.
10. Häufige Fragen (FAQ)
11. Fazit
KI macht echte HR-Arbeit leichter, das stimmt. Stellenanzeigen in einem Bruchteil der Zeit, bessere Zeugnis-Formulierungen, ein Chatbot, der Routinefragen abfängt. Der Nutzen ist real und für viele Personalabteilungen längst spürbar.
Der Übergang von "KI als Schreibhilfe" zu "KI verarbeitet und bewertet Menschen" passiert aber schnell und oft unbemerkt. Wer diesen Schritt geht, ohne die Voraussetzungen zu schaffen, riskiert mehr als ein Bußgeld: ein verlorenes AGG-Verfahren, eine Auseinandersetzung mit dem Betriebsrat und das Vertrauen der eigenen Belegschaft, das schwerer zurückzugewinnen ist als jede Geldstrafe.
Der pragmatische Weg ist überschaubar: eine klare interne Richtlinie, eine Positivliste geprüfter Tools, eine echte menschliche Entscheidung überall dort, wo es um Menschen geht, und der Betriebsrat früh am Tisch. Das ist kein Hindernis für KI im HR, sondern die Grundlage dafür, sie dauerhaft und ohne böse Überraschungen zu nutzen.
Unsicher, wo eure HR-Prozesse datenschutzrechtlich stehen?
In 30 Minuten schauen wir uns deine konkrete Situation an: wo KI sicher hilft, wo Grenzen verlaufen und was sich in der Lohnabrechnung und im HR sauber auslagern lässt. Kostenlos und unverbindlich.
30-min-Gespräch vereinbaren