Datenschutz & KI im Personalwesen: Einwilligung rechtssicher gestalten

Der Einsatz von Künstlicher Intelligenz (KI) im Personalbereich verspricht mehr Effizienz – sei es bei der Bewerberauswahl, der Leistungsbewertung oder der Personalentwicklung. Doch mit jeder KI-gestützten Datenverarbeitung stehen Unternehmen auch vor erheblichen datenschutzrechtlichen Herausforderungen. Besonders kritisch ist der Umgang mit personenbezogenen Daten von Bewerbenden und Beschäftigten, vor allem, wenn diese Datenverarbeitung auf eine Einwilligung gestützt werden soll.

Wann ist eine Einwilligung überhaupt nötig?

Grundsätzlich dürfen personenbezogene Daten nur verarbeitet werden, wenn es einen Erlaubnistatbestand gibt. Im Bewerbungs- oder Arbeitsverhältnis greifen Unternehmen oft zur Einwilligung, besonders bei der Verwendung neuer Technologien wie KI. Das ist aber riskant, denn:

Problem 1: Freiwillig? Im Arbeitsverhältnis oft kaum möglich

Eine Einwilligung ist nur dann rechtswirksam, wenn sie freiwillig erfolgt. Das ist im Arbeitsumfeld schwer umzusetzen - denn Beschäftigte oder Bewerbende stehen oft unter Druck und haben Angst vor Nachteilen, wenn sie ihre Einwilligung verweigern.

Das bedeutet konkret:

• Eine Einwilligung ist nur dann freiwillig, wenn den Beschäftigten eine echte und freie Wahlmöglichkeit eingeräumt wird.
• Es darf keine negativen Folgen geben, wenn die Einwilligung verweigert wird.
• Das Unternehmen muss im Zweifel eine gleichwertige Alternative zur KI-Verwendung anbieten.

Noch kritischer ist die Situation bei Bewerbenden:

Hier geht der Gesetzgeber regelmäßig davon aus, dass keine echte Freiwilligkeit besteht, denn wer sich weigert, der KI-gestützten Datenverarbeitung zuzustimmen, muss mit der Ablehnung seiner Bewerbung rechnen. Eine Einwilligung unter diesen Umständen ist nach Art. 7 Abs. 4 DSGVO, § 26 Abs. 2 BDSG regelmäßig nicht rechtmäßig.

Ein rechtssicherer Weg könnte das parallele Anbieten eines gleichwertigen Bewerbungsverfahrens ohne KI-Einsatz sein, was in der Praxis jedoch selten umsetzbar ist bzw. den wirtschaftlichen Vorteilen eines KI-Einsatzes zuwiderläuft.

Problem 2: Informierte Einwilligung – Transparenz trotz Black Box?

Selbst wenn die Freiwilligkeit gegeben ist, muss die Einwilligung auch informiert erfolgen. Das bedeutet: Unternehmen müssen den Betroffenen unter anderem transparent erklären,

• welche Daten erhoben und verarbeitet werden,
• zu welchem Zweck,
• wer die verantwortliche Stelle ist,
• ob automatisierte Entscheidungen getroffen werden,
• und ob eine Datenübermittlung in Drittländer erfolgt.

Bei KI-Systemen ist dies in der Praxis schwierig. Häufig bleibt unklar, welche personenbezogenen Daten konkret einfließen oder wie das Modell bzw. die Algorithmen arbeiten. Unternehmen, die diese Transparenz nicht gewährleisten können, sollten die Datenverarbeitung nicht auf eine Einwilligung stützen.

Automatisierte Entscheidungen? Besondere Pflichten!

Kommt es im Bewerbungs- oder Arbeitsprozess zu vollständig automatisierten Entscheidungen, z. B. eine automatisierte Vorauswahl von Kandidat:innen, greifen die besonders strengen Vorschriften des Art. 22 DSGVO. Sofern eine solche Verarbeitung rechtmäßig ist, muss die betroffene Person:

• ein Recht auf menschliches Eingreifen einer Person seitens des Verantwortlichen haben,
• die Möglichkeit haben, ihren eigenen Standpunkt darzulegen,
• und das Recht, die Entscheidung anzufechten, haben.

Verstöße hiergegen können nicht nur zu Bußgeldern, sondern auch zu Schadensersatzansprüchen führen.

Unser Tipp: Nicht generalisierend auf Einwilligung setzen – bessere Wege nutzen

In den meisten Fällen sollten Unternehmen die Datenverarbeitung bei der Nutzung von KI nicht auf Einwilligungen stützen. Besser geeignet ist in vielen Fällen Art. 6 Abs. 1 lit. b DSGVO. Diese Rechtsgrundlage erlaubt die Verarbeitung personenbezogener Daten, auch zur Durchführung vorvertraglicher Maßnahmen, worunter Bewerberdaten fallen. Voraussetzung hier ist, dass eine solche Verarbeitung erforderlich ist.

Teils ist es auch möglich eine Datenverarbeitung bei Vorliegen eines berechtigten Interesses auf Art. 6 Abs. 1 lit. f DSGVO zu stützen. Allerdings werden an hier hohe Anforderungen an das berechtigte Interesse gestellt.

Fazit: Rechtssicherheit beginnt mit Strategie

Die Einführung von KI-Systemen im Personalbereich bietet Chancen, setzt dabei aber ein durchdachtes Datenschutzkonzept voraus. Gerade bei der Einholung von Einwilligungen ist Vorsicht geboten. Unternehmen, die hier auf Nummer sicher gehen wollen, sollten sich frühzeitig juristisch beraten lassen.

Sie haben Rückfragen an Maximilian Kutter, oder wünschen eine tiefergehende Beratung? Dann nehmen Sie jetzt direkt Kontakt auf.