Nach § 26 Abs. 1 Satz 1 BDSG muss die Datenverarbeitung für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses, die Durchführung oder Beendigung erforderlich sein (zu den Anforderungen bei der Einführung von HR-Tools siehe hier). Eine solche Erforderlichkeit liegt vor, wenn die Datenverarbeitung

Im Ergebnis bedarf es also stets einer umfangreichen Abwägung der widerstreitenden Interessen und Rechtsgüter im Einzelfall, was die Beurteilung der abstrakten Zulässigkeit erschwert.

Unabhängig von § 26 Abs. 1 BDSG ist die Datenverarbeitung aber möglich, wenn eine Einwilligung der Beschäftigten vorliegt, § 26 Abs. 2 BDSG. Eine Einwilligung ist die unmissverständliche Erklärung bzw. eine eindeutig bestätigende Handlung, mit der Datenverarbeitung einverstanden zu sein. Die Einwilligung muss freiwillig erfolgen. Von Freiwilligkeit kann jedoch nur ausgegangen werden, wenn die Beschäftigten in der Lage sind, die Einwilligung zu verweigern, ohne einen Nachteil zu erleiden. Dies dürfte etwa im Bewerbungsverfahren regelmäßig nicht der Fall sein, da der:die Bewerber:in bei Ablehnung des vorgesehenen Bewerbungsprozesses befürchten muss, gar nicht erst als künftige Arbeitnehmerin bzw. als künftiger Arbeitnehmer in Betracht gezogen zu werden.

Art. 22 Abs. 1 DS-GVO ergänzt die vorstehenden Anforderungen um eine die automatisierte Einzelentscheidung beschränkende Regelung. Die Ausübung der menschlichen Freiheiten soll nicht ungeprüft einer Maschine oder einem Algorithmus überlassen werden. Die genannten und bisher am deutschen Markt verfügbaren Programme und Tools dienen aber regelmäßig lediglich der Vorbereitung einer Entscheidung durch die Personalverantwortlichen und sind daher mit Blick auf Art. 22 Abs. 1 DS-GVO grundsätzlich nicht zu beanstanden. Die automatische Kündigung von Mitarbeitern aufgrund vermeintlich schlechter Performance, wie sie in den Vereinigten Staaten Realität ist, wäre demgegenüber hierzulande aufgrund von Art. 22 Abs. 1 DS-GVO unzulässig.

Die DS-GVO normiert zudem umfassende Betroffenenrechte. Nach Art. 13 DS-GVO müssen die Betroffenen über den bevorstehenden Einsatz von automatisierten Verfahren informiert werden. Sie müssen aussagekräftige Informationen über die involvierte Logik des Algorithmus und die Tragweite der Datenverarbeitung erhalten. Gleiches gilt auch im Hinblick auf eine bereits erfolgte Datenverarbeitung und den für Beschäftigte bestehenden Auskunftsanspruch gemäß Art. 15 DS-GVO, der aktuell vielen Unternehmen vor allem im Nachgang eines Arbeitsverhältnisses zusetzt, da dieser mittlerweile regelmäßig als Druckmittel zur Durchsetzung anderweitiger Ziele (z. B. einer höheren Abfindung) „missbraucht“ wird. Die Unterscheidung zwischen beiden Rechten liegt im zeitlichen Horizont der Geltendmachung begründet. Art. 13 DS-GVO ist hierbei auf die Zukunft, Art. 15 DS-GVO auf die vergangene Datenverarbeitung gerichtet.

Schon bei der Einführung der auf bestimmten Algorithmen basierenden Software wird der Betriebsrat nach § 95 Abs. 1 S. 1 BetrVG zustimmen müssen, wenn es sich hierbei um abstrakte Auswahlrichtlinien im Recruiting handelt. Auch die weitere betriebliche Mitbestimmung im Rahmen der personellen Angelegenheiten, etwa eine vorrangige innerbetriebliche Arbeitsplatzausschreibung gemäß § 93 BetrVG und die Zustimmung zur Einführung und Gestaltung von Personalfragebögen und allgemeinen Beurteilungsgrundsätzen im Rahmen von Bewerbungen gemäß § 94 Abs. 1 S. 1, Abs. 2 BetrVG, gilt es in diesem Fall zu beachten. Das jüngst in Kraft getretene Betriebsrätemodernisierungsgesetz , welches unter anderem die Mitbestimmung im Bereich KI stärken will, sieht die Beteiligung des Betriebsrats bei Einsatz von KI (im Bewerbungsprozess) insbesondere in den §§ 80, 90 Abs. 1 Nr. 3 und in § 95 Abs. 2a BetrVG nunmehr ausdrücklich vor. Im Ergebnis ist das aber weniger eine Erweiterung der Mitbestimmung als eine Klarstellung bestehender Beteiligungsrechte.

Denkbar sind schließlich auch Überwachungs- und Unterrichtungsrechte des Betriebsrats aus § 80 Abs. 1 Nr. 1, Abs. 2 und § 90 Abs. 1 BetrVG.

Auch wenn noch lange nicht alle Anbieter:innen halten, was sie versprechen, bieten KI-basierte Anwendungen großes Potenzial für einen schnellen, diskriminierungsfreien und zielorientierten Einstellungsprozess, der bei vielen Bewerber:innen durchaus positiv gesehen wird.

Unbedingt zu beachten sind allerdings datenschutzrechtliche Rahmenbedingungen. Es ist ein weit verbreiteter Irrglaube, dass KI etwa im Recruiting stets zur Begründung des Beschäftigungsverhältnisses erforderlich und damit zulässig sei. Je detaillierter die KI ein (vollumfängliches) Persönlichkeitsprofil des Bewerbenden erstellt, desto schwerer wird es, die Erforderlichkeit der Datenverarbeitung zu begründen. Die Arbeitsgerichte haben sich bisher nur am Rande mit diesen Aspekten beschäftigt, dabei aber eine sehr restriktive Haltung vertreten. Vor dem Hintergrund der auch in Deutschland zunehmend hohen Bußgeldzahlungen bei Verstößen gegen datenschutzrechtliche Vorgaben sind bestehende Tools im HR-Bereich dringend zu überprüfen bzw. ist bei deren Einführung datenschutzrechtlichen Fragestellungen entsprechend hohe Priorität einzuräumen.

Wünschenswert wäre es schließlich, wenn der Gesetzgeber zeitnah mit praxistauglichen und ausgewogenen Regelungen verbindliche Leitlinien schafft, die die Entwicklung von KI und Algorithmen nicht über Gebühr bremst. Es bleibt abzuwarten, wie sich der jüngst von der EU-Kommission vorgelegte, weltweit erste Entwurf einer KI-Verordnung entwickelt. Für KI-Systeme mit hohem Risiko, zu dem auch die Bereiche der Leistungsüberwachung und Erstellung eines Persönlichkeitsprofils zählen dürften, sind nach dem vorlegten Entwurf strenge Vorgaben zu beachten, bevor die KI-Systeme auf den Markt gebracht werden können.