Mitarbeiterdaten und KI: die Fragen, die vor der Einführung anstehen

Mitarbeiterdaten sind personenbezogene Daten – die DSGVO gilt für sie in vollem Umfang, und im Arbeitsverhältnis kommen Besonderheiten dazu: das Machtgefälle, das Einwilligungen entwertet, die Mitbestimmung des Betriebsrats und die Grenze zur unzulässigen Verhaltenskontrolle. Wer als Geschäftsführer KI im Betrieb einführt, verarbeitet dabei fast zwangsläufig auch Daten der eigenen Belegschaft: Namen in Protokollen, Autoren von Anleitungen, Dienstpläne, E-Mails. Das ist machbar – aber mit klaren Regeln. Dieser Beitrag gibt die Grundzüge wieder und ersetzt keine Rechtsberatung im Einzelfall.

In Kürze

• Mitarbeiterdaten unterliegen der DSGVO wie Kundendaten – zusätzlich gelten arbeitsrechtliche Schranken, insbesondere bei Kontrollmaßnahmen.
• Die Einwilligung ist im Arbeitsverhältnis selten eine tragfähige Rechtsgrundlage, weil ihre Freiwilligkeit bezweifelt werden kann.
• Kontrollmaßnahmen, die die Menschenwürde berühren, brauchen die Zustimmung des Betriebsrats; in Betrieben ohne Betriebsrat die Zustimmung der betroffenen Arbeitnehmer.
• Die KI-Verordnung der EU stuft KI im Beschäftigungsbereich – etwa bei Bewerbung, Beförderung, Kündigung – als Hochrisiko-Bereich ein.
• Unkritisch ist der Normalfall im Wissensalltag: Anleitungen und Protokolle mit Autorennamen. Tabu in der allgemeinen Ablage: Personalakten-Inhalte.

Warum sind Mitarbeiterdaten ein Sonderfall?

Bei Kundendaten geht es um Datenschutz. Bei Mitarbeiterdaten geht es um Datenschutz plus Arbeitsrecht plus Betriebsklima. Drei Gründe machen den Unterschied:

Das Machtgefälle. Ein Mitarbeiter kann zu seinem Arbeitgeber schwer Nein sagen. Deshalb betrachtet das Datenschutzrecht Einwilligungen im Arbeitsverhältnis mit Skepsis: Eine Einwilligung ist nur gültig, wenn sie freiwillig ist – und genau daran bestehen im Job regelmäßig Zweifel.

Besondere Datenkategorien sind allgegenwärtig. Gesundheitsdaten (Krankenstände, Arztbestätigungen), Religionsbekenntnis (aus der Lohnverrechnung) oder Gewerkschaftszugehörigkeit gehören zu den besonders geschützten Kategorien nach Art. 9 DSGVO – und stecken in ganz normalen Personalunterlagen.

Die Kontrollfrage. Jedes System, das Tätigkeiten von Mitarbeitern erfasst oder auswertbar macht, kann zur Kontrollmaßnahme werden – und dafür hat das österreichische Arbeitsrecht eigene, strenge Regeln.

Dazu kommt eine schlichte Führungswahrheit: Fehler bei Kundendaten kosten Vertrauen am Markt – Fehler bei Mitarbeiterdaten kosten Vertrauen im eigenen Haus, und das jeden Tag aufs Neue.

Auf welcher Rechtsgrundlage dürfen Sie Mitarbeiterdaten verarbeiten?

Für den Betriebsalltag tragen im Wesentlichen drei Grundlagen der DSGVO:

1. Vertragserfüllung: Alles, was zur Durchführung des Arbeitsvertrags nötig ist – Stammdaten, Lohnverrechnung, Dienstplanung.
2. Rechtliche Verpflichtung: Melde-, Aufzeichnungs- und Aufbewahrungspflichten, etwa gegenüber Sozialversicherung und Finanz.
3. Berechtigtes Interesse: Der Auffangtatbestand für vieles Übrige – etwa die interne Wissensorganisation. Er verlangt eine dokumentierte Abwägung: Ihr Interesse gegen die Interessen der Mitarbeiter. Je harmloser die Daten und je klarer der Nutzen, desto eher trägt die Abwägung.

Die Einwilligung bleibt die Ausnahme für echte Kür-Fälle – das Foto auf der Website etwa – und muss jederzeit widerrufbar sein. Wer den KI-Einsatz im Betrieb allein auf Einwilligungen baut, baut auf Sand. Orientierung zu den Rechtsgrundlagen bietet die österreichische Datenschutzbehörde (dsb.gv.at).

Unabhängig von der Rechtsgrundlage gilt die Informationspflicht: Mitarbeiter müssen wissen, welche ihrer Daten zu welchem Zweck verarbeitet werden. Bei der Einführung eines neuen Systems heißt das: aktiv informieren, nicht erst auf Nachfrage. Und die Verarbeitung gehört ins Verzeichnis von Verarbeitungstätigkeiten – das interne Register aller Datenverarbeitungen, das die DSGVO vorsieht.

Was hat der Betriebsrat damit zu tun?

Das Arbeitsverfassungsgesetz (ArbVG) sieht vor, dass Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren, der Zustimmung des Betriebsrats bedürfen (§ 96 ArbVG). In Betrieben ohne Betriebsrat ist die Zustimmung der betroffenen Arbeitnehmer vorgesehen. Der Gesetzestext ist im Rechtsinformationssystem des Bundes (ris.bka.gv.at) abrufbar.

Für KI-Projekte heißt das: Entscheidend ist nicht, wie das System heißt, sondern was es kann. Eine Wissensdatenbank, die Anleitungen durchsuchbar macht, ist keine Kontrollmaßnahme. Ein System, das auswertet, wer wie schnell arbeitet, wer wie viele Anfragen beantwortet oder wer wann was gesucht hat, kann sehr wohl eine sein. Zwei Praxisregeln haben sich bewährt: Erstens den Betriebsrat – wo vorhanden – früh einbinden, nicht erst nach der Anschaffung; das erspart Konflikte und schafft Akzeptanz. Zweitens Auswertungsfunktionen bewusst konfigurieren: Was nicht ausgewertet werden soll, sollte technisch gar nicht ausgewertet werden können.

Erwähnenswert ist auch die KI-Verordnung der EU: Sie stuft KI-Systeme im Beschäftigungsbereich – etwa für Bewerberauswahl, Aufgabenzuweisung oder Leistungsbewertung – als Hochrisiko-Systeme mit strengen Pflichten ein. Wer solche Anwendungen erwägt, braucht fachliche Begleitung.

Welche KI-Anwendungen mit Mitarbeiterdaten sind heikel, welche nicht?

Anwendungsfall	Einordnung
Anleitungen und Serviceprotokolle mit Autorennamen in der Wissensdatenbank	Normalfall der Wissensorganisation – mit Zugriffskonzept unkritisch
KI-Suche über interne Dokumente („Wie wird Anlage X gewartet?“)	Unkritisch, wenn Zugriffsrechte greifen und keine Personenauswertung erfolgt
Lohn-, Gehalts- und Krankenstandsdaten in der allgemeinen Ablage	Tabu – gehören in den HR-Bereich mit engen Zugriffsrechten
Auswertung individueller Leistung oder individuellen Verhaltens durch KI	Heikel: Kontrollmaßnahme, Mitbestimmung, Hochrisiko-Bereich – nur mit fachlicher Begleitung
KI-gestützte Bewerberauswahl	Hochrisiko-Bereich nach der KI-Verordnung – strenge Pflichten

Die Tabelle zeigt das Muster: Unkritisch ist KI dort, wo Mitarbeiterdaten nur beiläufig vorkommen – als Autor einer Anleitung, als Ansprechpartner in einem Protokoll. Heikel wird es, sobald die Person selbst zum Gegenstand der Auswertung wird.

Fünf Regeln für den KI-Einsatz mit Mitarbeiterdaten

1. Zweck festlegen und dabei bleiben: Die Wissensdatenbank dient dem Finden von Wissen – nicht der Auswertung von Personen. Diesen Zweck schriftlich festhalten.
2. Datenminimierung: Personalakten-Inhalte bleiben draußen oder in einem abgeschotteten Bereich. Der Autorenname unter einer Anleitung ist in Ordnung; der Krankenstand des Autors geht niemanden etwas an.
3. Zugriffsrechte nach dem Need-to-know-Prinzip: Wer eine Wartungsanleitung braucht, braucht keinen Einblick in Gehaltsdaten – das System muss diese Trennung technisch abbilden.
4. Belegschaft informieren: Transparenz ist DSGVO-Pflicht und Führungsaufgabe zugleich. Erklären Sie, was das System kann, was es nicht kann und was bewusst nicht ausgewertet wird.
5. Anbieter prüfen: AV-Vertrag, vertraglicher Trainingsausschluss, EU-Datenhaltung – Mitarbeiterdaten haben in Systemen, die damit fremde Modelle trainieren, nichts verloren.

Eine KI-Wissensdatenbank, die auf dokumentiertes Betriebswissen zielt, jede Antwort mit dem Quelldokument belegt und Zugriffsrechte durchsetzt, lässt sich mit diesen fünf Regeln gut vereinbaren – gerade weil ihr Zweck das Wissen ist, nicht die Person. Wie AV-Vertrag, Serverstandort und Trainingsausschluss dabei zusammenspielen, zeigt der Überblick KI und DSGVO in Österreich.

Als nächster Schritt: Klären Sie vor der Einführung schriftlich, welche Dokumentarten in das System kommen, wer worauf zugreifen darf und was ausdrücklich nicht ausgewertet wird – damit sind die häufigsten Konflikte entschärft, bevor sie entstehen. Wie die Einführung im Detail abläuft, sehen Sie unter wie die Einführung abläuft.