Ein aktueller Fall bei Meta zeigt, wie sensibel KI-gestützte Personalentscheidungen sein können. Sobald Beschäftigtendaten ausgewertet werden, müssen Unternehmen Datenschutz und menschliche Kontrolle mitdenken.

Wie viel darf eine KI über Beschäftigte wissen – und welchen Einfluss dürfen ihre Auswertungen auf Personalentscheidungen haben?

Diese Fragen stehen aktuell auch bei Meta im Raum. 26 Beschäftigte haben in Kalifornien Klage gegen den Konzern eingereicht. Sie werfen Meta vor, bei einer größeren Entlassungsrunde unter anderem interne KI-Systeme, Leistungskennzahlen und algorithmisch unterstützte Bewertungen eingesetzt zu haben. Nach Darstellung der Kläger sollen dabei auch Daten zur Nutzung interner KI-Werkzeuge eine Rolle gespielt haben. Meta weist die Vorwürfe zurück und erklärt, die Personalentscheidungen seien von Menschen getroffen worden. Über die Vorwürfe ist noch nicht abschließend entschieden.

Für europäische Unternehmen ist der Fall dennoch interessant. Denn sobald Daten über Beschäftigte ausgewertet werden, um Leistung zu beurteilen oder Personalentscheidungen vorzubereiten, ist die DSGVO unmittelbar relevant.

Für Arbeitgeber in Deutschland ist daneben insbesondere § 26 BDSG zu berücksichtigen. Danach ist zu prüfen, ob die Verarbeitung der Beschäftigtendaten für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Dass bestimmte Daten technisch verfügbar sind, bedeutet daher noch nicht, dass sie auch für eine Leistungsbewertung oder andere Personalentscheidungen verwendet werden dürfen.

KI kann Muster erkennen: Wie viele Aufgaben wurden erledigt? Wie häufig wurde ein bestimmtes Tool genutzt? Wie hoch war die Aktivität in einem bestimmten Zeitraum?

Die entscheidende Frage lautet aber: Dürfen diese Daten für den jeweiligen Zweck verwendet werden – und was sagen sie tatsächlich aus?

Wer beispielsweise wegen Krankheit, Elternzeit oder familiärer Verpflichtungen zeitweise abwesend war, erzeugt zwangsläufig andere Leistungs- oder Nutzungsdaten. Werden solche Unterschiede ohne ausreichenden Kontext bewertet, kann aus einer scheinbar objektiven Kennzahl schnell eine problematische Entscheidungsgrundlage werden.

Aus Datenschutzsicht spielen deshalb insbesondere Zweckbindung, Datenminimierung und Transparenz eine wichtige Rolle. Unternehmen sollten vor dem Einsatz eines KI-Systems wissen, welche Beschäftigtendaten verarbeitet werden, warum sie benötigt werden und wie sie in eine Bewertung einfließen.

Besonders relevant wird Artikel 22 DSGVO. Danach dürfen Personen grundsätzlich nicht einer ausschließlich automatisierten Entscheidung unterworfen werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Ausnahmen bestehen nur unter bestimmten Voraussetzungen und erfordern zusätzliche Schutzmaßnahmen.

Eine Kündigung oder eine vergleichbar gewichtige Personalentscheidung kann offensichtlich erhebliche Auswirkungen haben.

Allerdings greift Artikel 22 nicht automatisch, sobald irgendwo im Prozess ein Algorithmus eingesetzt wird. Artikel 22 DSGVO greift nicht bei jeder algorithmischen Unterstützung einer Personalentscheidung. Entscheidend ist jedoch nicht allein, ob formal noch ein Mensch beteiligt ist. Die menschliche Beteiligung muss tatsächlich bedeutsam sein: Die entscheidende Person muss die automatisierte Bewertung eigenständig prüfen, hinterfragen und die Befugnis haben, von ihr abzuweichen. Eine bloße Bestätigung eines automatisiert erzeugten Ergebnisses reicht hierfür nicht aus.

Und genau hier liegt eine wichtige Grenze: Eine Führungskraft, die eine automatisierte Empfehlung lediglich bestätigt, ohne sie ernsthaft überprüfen und verändern zu können, schafft nicht automatisch eine wirksame menschliche Kontrolle. Die vom Europäischen Datenschutzausschuss bestätigten Leitlinien verlangen eine tatsächlich bedeutsame menschliche Beteiligung – keine reine Formalität.

Zusätzliche Vorsicht ist geboten, wenn Auswertungen Rückschlüsse auf besonders sensible Informationen ermöglichen.

Gesundheitsdaten gehören beispielsweise zu den besonders geschützten Kategorien personenbezogener Daten. Auch Informationen über Fehlzeiten oder Abwesenheiten können je nach Kontext sensible Rückschlüsse ermöglichen.

Unternehmen sollten deshalb genau prüfen, welche Daten ein KI-System erhält oder aus bestehenden Datenbeständen ableitet. Nur weil Informationen technisch vorhanden sind, dürfen sie nicht automatisch für jeden neuen Bewertungszweck verwendet werden.

Beschäftigte sollten außerdem nachvollziehen können, wenn ihre Daten für relevante Bewertungen oder automatisierte Prozesse eingesetzt werden.

Gerade komplexe KI-Systeme können hier schnell zur Blackbox werden. Datenschutzrechtlich genügt es jedoch nicht, lediglich festzustellen, dass „KI eingesetzt wird“. Unternehmen müssen sich selbst darüber im Klaren sein, welche Daten verarbeitet werden, nach welchen wesentlichen Kriterien eine Bewertung erfolgt und welche Auswirkungen daraus entstehen können.

Bei besonders risikoreichen Verarbeitungen kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein. Die DSGVO nennt dabei ausdrücklich unter anderem die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling als einen möglichen Anwendungsfall. Bei KI-gestützten Beschäftigtenbewertungen ist außerdem frühzeitig zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Bei einer systematischen und umfassenden Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, auf der Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung beruhen, schreibt Art. 35 Abs. 3 DSGVO eine Datenschutz-Folgenabschätzung ausdrücklich vor.“

Neben der DSGVO spielt bei KI-Anwendungen im Personalbereich auch die europäische KI-Verordnung eine Rolle. KI-Systeme, die beispielsweise zur Auswahl von Bewerbern, zur Bewertung der Leistung oder des Verhaltens von Beschäftigten oder zur Unterstützung von Entscheidungen über Beförderungen und Kündigungen eingesetzt werden, können als Hochrisiko-KI-Systeme einzuordnen sein. Unternehmen sollten deshalb neben den datenschutzrechtlichen Anforderungen frühzeitig prüfen, welche zusätzlichen Vorgaben der KI-Verordnung für den konkreten Einsatz gelten.

KI kann Personalabteilungen sinnvoll unterstützen. Datenschutz muss das nicht verhindern.

Unternehmen sollten aber vor dem Einsatz klären: Welche Beschäftigtendaten benötigt die Anwendung wirklich? Für welchen Zweck werden sie verarbeitet? Wie transparent ist die Bewertung? Und wie viel tatsächlichen Entscheidungsspielraum hat der Mensch?

Je stärker ein KI-System Einstellungen, Leistungsbewertungen, Beförderungen oder Kündigungen beeinflusst, desto wichtiger wird diese Prüfung.

Der aktuelle Meta-Fall zeigt damit vor allem eines: Eine technisch mögliche Auswertung ist noch lange keine datenschutzrechtlich unproblematische Auswertung.

Projekt 29 unterstützt Unternehmen dabei, KI-Anwendungen datenschutzrechtlich einzuordnen, Risiken frühzeitig zu erkennen und datenschutzkonforme Prozesse aufzubauen. Denn sinnvoll eingesetzte KI braucht nicht weniger Datenschutz – sondern einen Datenschutz, der ihren konkreten Einsatz versteht.