KI-Mitarbeiterüberwachung: Arbeitgeber-Leitfaden DSGVO und BetrVG

Kurzantwort

KI-Mitarbeiterüberwachung in Deutschland ist nur in engen, verhältnismäßigen Fällen zulässig. Arbeitgeber brauchen dafür regelmäßig eine tragfähige Grundlage nach DSGVO und § 26 BDSG, die Einbindung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG und eine AI-Act-Prüfung des konkreten Use Cases.

• Emotionserkennung am Arbeitsplatz ist nach dem AI Act grundsaetzlich verboten.
• Tools, die Leistungsbewertung, Aufgabenverteilung oder arbeitsrechtliche Entscheidungen beeinflussen, brauchen eine besonders strenge Pruefung.
• AI Act, DSGVO, DSFA und Mitbestimmung sollten vor dem Rollout gemeinsam gesteuert werden.

KI-Mitarbeiterüberwachung in Deutschland ist nicht pauschal verboten, aber nur in engen, verhältnismäßigen und gut dokumentierten Konstellationen zulässig. Arbeitgeber sollten davon ausgehen, dass Workplace-AI-Monitoring regelmäßig eine kombinierte Prüfung nach DSGVO, § 26 BDSG, § 87 Abs. 1 Nr. 6 BetrVG und je nach Anwendungsfall auch nach dem EU AI Act auslöst.

Das ist praktisch relevant, weil viele als Produktivitäts-, Security- oder HR-Tools vermarktete Systeme mehr tun als bloße Protokollierung. Sobald ein System Beschäftigte profiliert, Verhalten bewertet, HR-Entscheidungen vorbereitet oder biometrische Signale auswertet, steigt das rechtliche Risiko deutlich.

Dürfen Arbeitgeber KI zur Mitarbeiterüberwachung einsetzen?

Ja, aber nur zurückhaltend. In Deutschland müssen Arbeitgeber regelmäßig darlegen können, dass die Maßnahme erforderlich, verhältnismäßig und auf einen legitimen beschäftigungsbezogenen Zweck bezogen ist, etwa IT-Sicherheit, Zugangskontrolle, Betrugsprävention oder einen eng umrissenen operativen Bedarf.

Wenn der tatsächliche Zweck breite Leistungsverdichtung, verdeckte Verhaltenskontrolle oder Persönlichkeitsanalyse ist, ist die rechtliche Grundlage regelmäßig schwach. Das gilt besonders dann, wenn mildere Mittel verfügbar sind, etwa stichprobenartige Kontrollen, aggregierte Reports oder rein rollenbasierte Zugriffskonzepte.

Als praktische Einordnung hilft folgende Matrix:

Anwendungsfall	Tendenz	Zentrale Rechtsfrage
Zugangsprotokolle, Audit-Trails, Fraud-Prevention oder Sicherheitsalarme mit kurzer Speicherdauer	Zulaessig mit Kontrollen	DSGVO-Verhaeltnismaessigkeit, Information der Beschaeftigten, Loeschfristen
Produktivitaets-Dashboards, Workflow-Analysen oder Task-Priorisierung fuer Teamsteuerung	Erhoehte Pruefung	Erforderlichkeit nach § 26 BDSG, Mitbestimmung, moegliche Hochrisiko-Einordnung
KI zur Leistungsbewertung, Schichtzuweisung, Foerderung, Sanktion oder Beendigung	Hochrisiko / hohe Pruefungsdichte	Annex III AI Act, Profiling, Mitbestimmung, Dokumentation
Gesichtserkennung fuer Zeiterfassung, Emotionserkennung oder umfassende Verhaltensbewertung	Regelmaessig vermeiden	Art. 9 DSGVO, § 26 Abs. 3 BDSG, AI-Act-Verbote oder erhebliche Einschraenkungen

Rechtsgrundlagen nach DSGVO und Beschäftigtendatenschutz

Im deutschen Beschäftigungskontext ist § 26 BDSG der zentrale Ausgangspunkt. Die Norm erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten, wenn sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses oder für Rechte und Pflichten der Interessenvertretung erforderlich ist.

Das ist aber keine Blanko-Erlaubnis für umfassende Überwachung. Arbeitgeber müssen die DSGVO weiterhin vollständig mitdenken, insbesondere:

• Art. 5 DSGVO für Zweckbindung, Datenminimierung, Speicherbegrenzung und Transparenz
• Art. 6 DSGVO für die allgemeine Rechtsgrundlage
• Art. 9 DSGVO bei biometrischen oder sonstigen besonderen Kategorien personenbezogener Daten
• Art. 35 DSGVO für die Datenschutz-Folgenabschätzung (DSFA)
• Art. 22 DSGVO bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung

Eine Einwilligung der Beschäftigten ist meist kein tragfähiger Standardweg. Wegen des Abhängigkeitsverhältnisses im Arbeitsverhältnis ist die Freiwilligkeit häufig angreifbar. Wer sich allein auf Consent stützt, baut daher oft auf einer instabilen Grundlage auf.

Vor Beschaffung oder Rollout sollten Arbeitgeber mindestens diese Fragen sauber beantworten:

1. Welchem konkreten Zweck dient das System?
2. Warum ist gerade KI erforderlich und kein milderes Mittel ausreichend?
3. Welche Beschäftigtendaten werden verarbeitet und wie lange?
4. Beeinflussen die Outputs Bewertung, Aufgabenverteilung, HR-Maßnahmen oder Kündigungen?
5. Lässt sich das System gegenüber Aufsichtsbehörde und Betriebsrat plausibel rechtfertigen?

Wenn diese Fragen nicht belastbar beantwortet sind, ist das Projekt typischerweise noch nicht rollout-fähig.

Mitbestimmung des Betriebsrats und interne Richtlinien

Viele KI-Monitoring-Projekte scheitern in Deutschland nicht an der Software, sondern an der Fehleinschätzung, es handele sich nur um eine IT- oder Einkaufsentscheidung. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat Mitbestimmungsrechte bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen.

Diese Schwelle ist weit. Ein Tool muss nicht ausdrücklich als Überwachungssoftware vermarktet werden. Ticket-Analysen, Anwesenheitsscores, Keystroke-Logging, Produktivitätsrankings, Screen-Capture, Telematik, Call-Center-Sentiment-Metriken oder Risk-Flags können den Mitbestimmungstatbestand auslösen.

Arbeitgeber sollten daher regelmäßig eine Betriebsvereinbarung vorbereiten. Eine tragfähige KI-bezogene Betriebsvereinbarung regelt typischerweise:

• den genauen Zweck des Systems
• betroffene Personengruppen und Rollen
• zulässige und ausgeschlossene Datenkategorien
• Sichtbarkeit der Daten für Führungskräfte, HR, Compliance und Anbieter
• Speicher- und Löschfristen
• Grenzen für disziplinarische Nutzung
• menschliche Prüfung und Eskalationswege
• Audit-, Test- und Änderungsprozesse

Für Gründer, HR und Legal Teams ist das der Kernpunkt: Auch wenn ein Anbieter sein Produkt nur als “AI-assisted” bezeichnet, entfällt die Mitbestimmung nicht, wenn das Tool faktisch Verhalten oder Leistung auswertet.

Wann Systeme unter den AI Act als Hochrisiko gelten

Nicht jedes Workplace-AI-Tool ist automatisch Hochrisiko. Nach Anhang III des EU AI Act können Systeme im Bereich Beschäftigung und workers management aber dann zu Hochrisiko-KI werden, wenn sie dazu bestimmt sind, Entscheidungen über Einstellung, Zugang zur Selbstständigkeit, Arbeitsbedingungen, Beförderung, Beendigung, Aufgabenverteilung oder die Überwachung und Bewertung von Personen in solchen Beziehungen zu unterstützen oder zu treffen.

Deshalb reicht die Frage “Überwacht das Tool Mitarbeiter?” nicht aus. Entscheidend ist, ob der KI-Output in eine arbeitsrechtlich oder tatsächlich wesentliche Entscheidung einfließt.

Typische Beispiele mit Hochrisiko-Potenzial sind:

• KI-gestützte Leistungsbewertung mit Relevanz für Boni, Beförderung oder Trennung
• automatisierte Einsatz- oder Schichtplanung mit wesentlichem Einfluss auf Arbeitsbedingungen
• Risk-Scoring zu Fehlverhalten oder Minderleistung
• Systeme, die Aufgaben, Chancen oder Interventionen zwischen Beschäftigten priorisieren
• Scoring-Tools, die für Versetzung, Entwicklung oder Sanktionen genutzt werden

Die Zeitachse des AI Act ist dabei wichtig. Der AI Act ist bereits in Kraft, gilt aber gestuft. Laut EUR-Lex gelten Verbote, Definitionen und KI-Kompetenzpflichten seit dem 2. Februar 2025, Pflichten fuer GPAI-Modelle seit dem 2. August 2025 und der breitere Hochrisiko-Rahmen grundsätzlich ab 2. August 2026.

Für Arbeitgeber im Jahr 2026 heißt das: Wenn ein System plausibel in die Hochrisiko-Kategorie Beschäftigung fällt, sollte Governance nicht erst nach Vertragsunterschrift beginnen. Klassifizierung, Vertragsprüfung, Logging, menschliche Aufsicht und interne Freigabeprozesse gehören vor den Rollout.

Gesichtserkennung, Emotionserkennung und verbotene Praktiken

Gerade hier entstehen viele Fehlannahmen. Emotionserkennung am Arbeitsplatz ist nach Art. 5 AI Act grundsätzlich verboten, abgesehen von engen medizinischen oder sicherheitsbezogenen Ausnahmen. Systeme, die aus Mimik, Stimme oder anderen biometrischen Signalen Stress, Motivation, Müdigkeit, Ehrlichkeit oder Engagement ableiten sollen, sind rechtlich besonders problematisch.

Gesichtserkennung ist nicht automatisch Emotionserkennung, aber ebenfalls hochsensibel. In Deutschland kann Gesichtserkennung für Zutritt, Zeiterfassung oder Sicherheit insbesondere auslösen:

• Art. 9 DSGVO, weil biometrische Daten zur eindeutigen Identifizierung besondere Kategorien personenbezogener Daten sind
• § 26 Abs. 3 BDSG im Beschäftigungskontext
• eine naheliegende DSFA nach Art. 35 DSGVO
• Mitbestimmungsrechte des Betriebsrats
• eine zusätzliche AI-Act-Prüfung, wenn das System über Zutrittskontrolle hinaus für Bewertungen oder HR-Entscheidungen verwendet wird

Arbeitgeber sollten auch jede Praxis vermeiden, die auf Social Scoring, verdeckte Totalüberwachung oder Persönlichkeitsprofile hinausläuft. Ob ein Anbieter das Produkt als Engagement Intelligence, Culture Analytics oder Workforce Insights vermarktet, ist rechtlich zweitrangig. Entscheidend ist, was das System tatsächlich tut.

Wenn der eigentliche Zweck darin besteht, Loyalität, Belastbarkeit, Kooperationsbereitschaft oder “Einstellung” zu messen, ist Nicht-Einführung meist die defensiblere Antwort.

Für die biometrische Spezialfrage siehe auch KI-Gesichtserkennung.

Vendor-Due-Diligence für HR- und Produktivitätstools

Die meisten Unternehmen entwickeln solche Systeme nicht selbst, sondern kaufen SaaS ein. Das ändert nichts daran, dass der Arbeitgeber für die konkrete Nutzung im Unternehmen verantwortlich bleibt.

Eine belastbare Vendor-Due-Diligence für KI im Arbeitskontext sollte mindestens folgende Punkte abdecken:

• Einstufung des Produkts unter dem AI Act und Haltung des Anbieters zur Hochrisiko-Frage
• Dokumentation des intended use und ausdrücklicher Ausschluss unzulässiger Nutzung
• nachvollziehbare Angaben zu Trainings-, Validierungs- und Testdaten
• Grenzen der Erklärbarkeit, bekannte Fehlerquoten und Performance-Risiken
• Logging-, Rollen- und Audit-Funktionen
• Subprozessoren, Hosting-Orte und Drittlandtransfers
• Löschkonzepte und Retention-Support
• vertragliche Unterstützung bei DSFA, Incident Response und Beschäftigteninformationen

Das ist besonders wichtig, wenn ein Tool zwischen operativer Steuerung und Personalentscheidung angesiedelt ist. Workforce-Analytics-, Insider-Risk-, Copilot- oder Manager-Dashboard-Produkte können schnell in den Hochrisiko-Bereich kippen, sobald ihre Outputs für echte Beschäftigtenentscheidungen genutzt werden.

Verwandte Themen auf Compound Law sind KI-Hiring-Tools, KI-Chatbots und unsere Expertise-Seite. Unternehmen, die Monday.com KI-Funktionen zur Arbeitssteuerung oder Slack KI für die interne Kommunikationsanalyse einsetzen, sollten deren Einsatzbereich auf verbotene Überwachungspraktiken prüfen. Branchenspezifische Anforderungen finden Sie in unseren Leitfäden zu KI in der Fertigungsindustrie und den KI-Act-Pflichten für professionelle Dienstleistungen. Einen umfassenden Überblick über alle EU-AI-Act-Compliance-Anforderungen bietet unser Compliance-Hub.

Praktische Checkliste für den Rollout

Vor dem Einsatz von KI-Mitarbeiterüberwachung in Deutschland sollten Arbeitgeber typischerweise diese Reihenfolge abarbeiten:

1. Use Case sauber abgrenzen. Security-Logging, Workflow-Analytik, HR-Decision-Support und biometrische Überwachung gehören nicht in denselben Prüftopf.
2. Rechtsrisiko klassifizieren. DSGVO, § 26 BDSG, Mitbestimmung und AI-Act-Hochrisiko sollten gemeinsam bewertet werden.
3. Erforderlichkeit und Verhältnismäßigkeit dokumentieren. Begründen Sie, warum das Tool benötigt wird und warum mildere Mittel nicht ausreichen.
4. Datenschutz-Dokumentation vorbereiten. Aktualisieren Sie Informationen, Verzeichnisse, Löschfristen und Verträge. Führen Sie bei Bedarf eine DSFA durch.
5. Betriebsrat früh einbinden. Wenn ein Betriebsrat besteht, sollte die Abstimmung vor dem Rollout und nicht erst nach Vertragsabschluss beginnen.
6. Nutzung der Outputs begrenzen. Experimentelle Scores sollten nicht ohne klare Policies und menschliche Prüfung für Sanktionen, Vergütung oder Beurteilung verwendet werden.
7. Interne Nutzer schulen. HR, Führungskräfte und IT brauchen KI-Kompetenz, Eskalationswege und ein Verständnis der Grenzen des Systems.
8. Nach dem Go-live weiter prüfen. Drifts, Fehlalarme, Bias und Scope Creep können ein anfänglich vertretbares Setup später unzulässig machen.

FAQ

Was ist der sicherste Umgang mit Workplace-AI-Monitoring in Deutschland?

Am sichersten ist eine enge operative Nutzung mit wenig Daten, kurzen Speicherfristen, klarer Information der Beschäftigten und ohne direkte Verwendung der Outputs für Sanktionen, Beförderung oder Kündigung.

Brauche ich fuer KI-Mitarbeiterueberwachung eine Datenschutz-Folgenabschaetzung?

Häufig ja. Eine DSFA ist besonders naheliegend bei systematischer Überwachung, Profiling, biometrischen Daten oder sonstigen hohen Risiken für die Rechte der Beschäftigten.

Duerfen wir KI zur Produktivitaetsbewertung einsetzen?

Mit hoher Vorsicht. Sobald Scores Managemententscheidungen, Vergütung, Entwicklung oder arbeitsrechtliche Maßnahmen beeinflussen, steigt die Prüfungsdichte unter DSGVO, Arbeitsrecht und gegebenenfalls AI Act erheblich.

Ist Gesichtserkennung fuer Zeiterfassung zulaessig?

Das ist in Deutschland schwer zu rechtfertigen. Wegen der besonderen Sensibilität biometrischer Identifizierung sollten Arbeitgeber mit strenger Prüfung nach Art. 9 DSGVO, § 26 BDSG, DSFA und deutlicher Mitbestimmungsrelevanz rechnen.

Ist Bewerber-Scoring dasselbe wie Mitarbeiterueberwachung?

Nicht ganz, aber die Themen liegen nah beieinander. Hiring-Systeme sind eigenständig sensibel und können klar in die Hochrisiko-Fälle des Beschäftigungskontexts fallen. Mehr dazu auf unserer Seite zu KI-Hiring-Tools.

Kontakt zu Compound Law

Wenn Ihr Unternehmen Produktivitätsanalytik, HR-Automation, Insider-Risk-Tools oder biometrische Workplace-Kontrollen prüft, ist das rechtliche Problem selten nur die Software. Entscheidend ist, wie das System konfiguriert wird, welche Entscheidungen beeinflusst werden und ob der Rollout unter deutschem Arbeits- und Datenschutzrecht belastbar ist.

Compound Law berät Arbeitgeber, Gründer und Legal Teams zu KI-Mitarbeiterüberwachung in Deutschland, einschließlich Vendor Review, DSFA, Betriebsvereinbarung und AI-Act-Readiness. Für eine projektspezifische Einschätzung kontaktieren Sie unser Team. Diese Seite enthält nur allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall.