DSGVO-konforme KI-Tools: Was Arbeitgeber 2026 wissen müssen

KI gehört inzwischen zum Arbeitsalltag: ChatGPT für Texte, KI-Buchhaltung für Belege, Chatbots für Fragen an die Personalabteilung. Viele Betriebe wissen dabei nicht, was mit den eingegebenen Daten passiert. Das kann teuer werden. DSGVO-Bußgelder gehen bis zu 4 % des weltweiten Jahresumsatzes.

Hier steht, was rechtlich gilt, was konkret verboten ist und welche Alternativen datenschutzkonform funktionieren.

Rechtsgrundlage für KI-Tools im HR

Ausgangspunkt ist Art. 6 DSGVO: Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Im Arbeitsverhältnis kommen vor allem Art. 6 Abs. 1 lit. b (Vertragserfüllung) und lit. f (berechtigtes Interesse) in Frage. Für besonders sensible Daten gilt zusätzlich Art. 9 DSGVO.

Art. 88 DSGVO lässt dem deutschen Gesetzgeber Spielraum für eigene Regeln im Beschäftigungskontext. Das Bundesdatenschutzgesetz (BDSG) füllt ihn aus: §26 BDSG erlaubt die Verarbeitung von Beschäftigtendaten, soweit sie für das Arbeitsverhältnis nötig ist.

Für KI-Tools heißt das: Wer Daten von Beschäftigten in ein KI-Tool gibt, braucht dafür eine dieser Rechtsgrundlagen oder eine Einwilligung. Eine Einwilligung ist im Arbeitsverhältnis allerdings heikel, weil Beschäftigte selten frei ablehnen können.

Was Sie nicht in ChatGPT eingeben dürfen

Der Grund: Für die Consumer-Versionen von ChatGPT und ähnlichen Diensten gibt es in der Regel keinen Auftragsverarbeitungsvertrag. Die Daten können ins Training einfließen und liegen auf US-Servern. Niemand garantiert Ihnen, dass sie gelöscht werden oder nur bestimmte Leute darauf zugreifen.

DSGVO-konforme Alternativen

Microsoft Copilot for Microsoft 365 (Enterprise)

Mit Enterprise-Lizenz gilt ein AVV, die Daten fließen nicht ins Training, und Sie können die Speicherung in der EU einstellen. Wer schon mit Microsoft 365 arbeitet, landet meist hier. Kosten: rund 30 Euro pro Nutzer und Monat zusätzlich.

Azure OpenAI Service

Microsoft bietet die OpenAI-Modelle (etwa GPT-4) über Azure an, mit Rechenzentrum in der EU (Region West Europe) und AVV. Das passt, wenn Sie eine eigene Anbindung bauen wollen. Die Einrichtung ist aufwendiger, dafür behalten Sie die volle Kontrolle.

Selbst-gehostete LLMs (n8n + Ollama oder ähnlich)

Für Betriebe mit eigener IT: ein Sprachmodell auf eigener Hardware oder eigenem Cloud-Server. Es gehen keine Daten an fremde Dienste. Das eignet sich für sensible Abläufe wie die Prüfung von Lohndaten oder Zusammenfassungen aus der Personalakte. Für die Einrichtung brauchen Sie technisches Wissen.

Europäische KI-Anbieter

Mistral AI (Frankreich) und Aleph Alpha (Heidelberg) bieten europäische Alternativen mit Hosting in der EU und DSGVO-Konformität. Für viele Aufgaben in HR und Finance reichen sie aus.

Betriebsrat und §87 BetrVG

Wenn es in Ihrem Betrieb einen Betriebsrat gibt, müssen Sie bei der Einführung von KI-Tools aufpassen. §87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“.

Das Bundesarbeitsgericht fragt nicht, ob der Arbeitgeber überwachen will, sondern ob das System dazu objektiv geeignet ist. Das trifft auf fast jedes KI-Werkzeug zu, das Eingaben mit Namen speichert, auch auf einen Chatbot für Fragen ans Personalbüro, sobald er protokolliert, wer was gefragt hat. Ein System, das Produktivitätsdaten auswertet, fällt ohnehin darunter. Sprechen Sie den Betriebsrat also früh an.

Im Zweifel holen Sie den Betriebsrat früh dazu. Ein kurzes Gespräch am Anfang ist billiger als ein langer Streit hinterher.

Auftragsverarbeitungsvertrag (AVV), Pflicht für alle KI-Dienste

Wenn ein KI-Tool personenbezogene Daten im Auftrag Ihres Betriebs verarbeitet, brauchen Sie einen AVV nach Art. 28 DSGVO. Das gilt auch für Cloud-Dienste.

Was der AVV regeln muss:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Kategorien betroffener Personen
• Technische und organisatorische Maßnahmen (TOMs)
• Unterauftragnehmer-Regelungen

Die großen Anbieter (Microsoft, Google und andere) stellen ihre AVV-Vorlagen online bereit. Bei kleineren oder spezialisierten Anbietern fragen Sie nach. Ohne AVV kommt das Tool nicht an Personaldaten.

Dazugekommen: die EU-KI-Verordnung

Dieser Beitrag ist im April 2026 erschienen und behandelte die DSGVO. Inzwischen kommt eine zweite Regelung dazu, die unabhängig davon gilt.

Als Faustregel: Bewertet, sortiert oder filtert das System Menschen, ist es im Zweifel Hochrisiko. Schiebt es nur Daten hin und her und rechnet, in der Regel nicht. Unabhängig von der Einstufung gilt seit 2025 die Pflicht zur KI-Kompetenz nach Art. 4: Wer mit solchen Werkzeugen arbeitet, muss geschult sein.

Ausführlich dazu, was daraus für die Einführung folgt: Betriebsvereinbarung für KI in der Personalabteilung. Warum Lohndaten dabei besonders geschützt sind, steht in Lohndaten und Art. 9 DSGVO.

Checkliste: Neues KI-Tool evaluieren

Die Checkliste ersetzt keine Rechtsberatung. Für die erste interne Prüfung eines neuen Tools reicht sie aber. Wenn Sie öfter neue KI-Tools einführen, lohnt sich ein fester Freigabeweg, den jedes Tool durchläuft.

Mehr zu DSGVO-konformer Automatisierung im HR- und Finance-Bereich finden Sie auf unserer Seite zu Prozessautomatisierung.