--- title: "EU AI Act Mitarbeiterüberwachung: Nicht automatisch zulässig (2026)" description: "Nicht automatisch zulässig: Emotionserkennung am Arbeitsplatz ist seit 2. Februar 2025 verboten; sonstige KI braucht DSGVO-, § 26 BDSG- und Betriebsratsprüfung." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/ai-employee-monitoring/" language: "de" --- ![EU AI Act Mitarbeiterüberwachung Deutschland Leitfaden](https://compound.law/assets/images/compliance/compliance_1.webp) compliance # EU AI Act Mitarbeiterüberwachung: Nicht automatisch zulässig (2026) 22\. Mai 2026 Kurzantwort EU AI Act Mitarbeiterüberwachung in Deutschland ist nicht automatisch zulässig. Arbeitgeber dürfen KI nur in engen, verhältnismäßigen Konstellationen einsetzen; Emotionserkennung am Arbeitsplatz ist seit dem 2. Februar 2025 verboten, und bei arbeitsrelevanten KI-Systemen müssen Datenschutz, Mitbestimmung und Betreiberpflichten gemeinsam geprüft werden. - Emotionserkennung am Arbeitsplatz ist seit dem 2. Februar 2025 grundsätzlich verboten. - Vendor-Compliance ersetzt nicht die eigene Betreiber-, DSGVO- und Betriebsratsprüfung des Arbeitgebers. - Unternehmen sollten 2026 als spätesten Readiness-Zeitpunkt behandeln und zugleich die Kommissionslinie zum 2. Dezember 2027 verfolgen. **EU AI Act Mitarbeiterüberwachung in Deutschland** ist nicht automatisch zulässig. Arbeitgeber dürfen KI nur in engen, verhältnismäßigen Konstellationen einsetzen. Emotionserkennung am Arbeitsplatz ist seit **2. Februar 2025** verboten, und jede KI, die Personalentscheidungen wesentlich vorbereitet oder beeinflusst, braucht eine eigene Prüfung nach **DSGVO**, **§ 26 BDSG**, **BetrVG** und den Betreiberpflichten des **EU AI Act**. Wenn Sie die Kurzfassung vor Einkauf oder Pilot brauchen, ist sie diese: - **Keine Emotionserkennung einführen** und keine Tools, die Stress, Ehrlichkeit, Motivation oder Engagement aus biometrischen Signalen ableiten sollen. - **Vendor-Compliance nie mit Arbeitgeber-Compliance verwechseln**. Der Anbieter entlastet Sie nicht von Ihren eigenen Pflichten. - **Use Case vor dem Rollout sauber klassifizieren**: Security-Logging, Analytics, HR-Decision-Support und biometrische Überwachung sind rechtlich unterschiedliche Kategorien. - **Datenschutz und Mitbestimmung parallel steuern**: DSGVO, **§ 26 BDSG**, Löschfristen, Zugriffsrechte und **§ 87 Abs. 1 Nr. 6 BetrVG** gehören in dasselbe Projekt. - **2026 als spätesten Readiness-Zeitpunkt behandeln**, auch wenn die Kommission für Beschäftigungs-Hochrisiko-KI inzwischen auf **2. Dezember 2027** verweist. ## 2. August 2026 oder 2. Dezember 2027? Welche Frist Arbeitgeber verfolgen sollten Gerade beim Thema Mitarbeitermonitoring kursieren noch viele veraltete Zeitachsen. Die **AI-Act-FAQ** der Europäischen Kommission beschreibt weiterhin den **2. August 2026** als Stichtag für Annex-III-Hochrisiko-Pflichten und Transparenzpflichten nach Art. 50. Die zentrale **AI-Act-Policy-Seite** der Kommission wurde nach der politischen Einigung vom **7. Mai 2026** aber bereits angepasst und nennt für Hochrisiko-Bereiche einschließlich **Beschäftigung** den **2. Dezember 2027**. Für deutsche Arbeitgeber folgt daraus kein Anlass zum Abwarten, sondern eher das Gegenteil: 1. **Verbote gelten schon jetzt**, insbesondere seit **2. Februar 2025**. 2. **Governance für Beschäftigungs-KI muss vor dem Einsatz stehen**, nicht erst bei behördlicher Nachfrage. 3. **2026 bleibt der späteste sinnvolle interne Vorbereitungszeitpunkt**, selbst wenn die finale Annex-III-Anwendung für Beschäftigung auf **2. Dezember 2027** rutscht. Denn auch vor der vollen Hochrisiko-Anwendung können datenschutzrechtliche, mitbestimmungsrechtliche und reputationsbezogene Risiken sofort eintreten. ## Warum „der Anbieter ist compliant“ rechtlich nicht reicht Ein häufiger Fehler in Projekten zur Mitarbeiterüberwachung ist die Annahme, die rechtliche Einordnung ließe sich an den SaaS-Anbieter delegieren. So funktioniert die Risikoverteilung praktisch nicht. Der Anbieter kann **Provider** des Systems sein. Der Arbeitgeber ist regelmäßig aber der **Deployer** des konkreten betrieblichen Einsatzes. Der Arbeitgeber legt fest: - welche Teams oder Rollen betroffen sind - welche Datenpunkte erhoben werden - wer Dashboards, Alerts oder Rankings sehen darf - ob Outputs in Vergütung, Bewertung, Disziplinarmaßnahmen oder Kündigungen einfließen - ob der Rollout vor Abschluss der Mitbestimmung startet Damit beantwortet ein DPA, ein Security-Paper oder eine AI-Act-Selbstdarstellung des Anbieters noch nicht die entscheidenden deutschen Rechtsfragen. Sie müssen weiterhin Erforderlichkeit nach **§ 26 BDSG**, Transparenz nach **Art. 13 und 14 DSGVO**, mögliche **Art.-22-DSGVO**-Risiken, Löschfristen, interne Berechtigungskonzepte und die Mitbestimmung nach **BetrVG** prüfen. Wenn intern gesagt wird „der Vendor ist AI-Act-compliant“, sollte die Anschlussfrage immer lauten: **Für welchen intended use und unter wessen Governance?** ## Welche Formen der Mitarbeiterüberwachung verboten, hochriskant oder eher vertretbar sind Nicht jedes Workplace-AI-Feature gehört in dieselbe rechtliche Schublade. Für die Praxis hilft diese Trennung: | Anwendungsfall | Praktische Einordnung | Hauptproblem | | -------------------------------------------------------------------------------------- | ------------------------------------- | ------------------------------------------------------------------------------- | | Enge Security-Logs, Fraud-Alerts oder Zutrittsanalytik mit kurzer Speicherdauer | Häufig vertretbar mit Kontrollen | Verhältnismäßigkeit, Information, Löschung, Zugriffsbeschränkung | | Produktivitätsanalysen, Workflow-Scoring, Manager-Dashboards oder Queue-Priorisierung | Erhöhtes Risiko | Erforderlichkeit nach § 26 BDSG, Mitbestimmung, verdeckte HR-Nutzung | | KI mit Einfluss auf Bewertung, Einsatzplanung, Beförderung, Sanktion oder Kündigung | Hohe Prüfungsdichte | Beschäftigungs-Hochrisiko, Profiling, menschliche Aufsicht, Dokumentation | | Emotionserkennung, biometrische Stimmungsanalyse oder Ehrlichkeits-/Engagement-Scoring | Regelmäßig verboten oder zu vermeiden | Art. 5 AI Act, Art. 9 DSGVO, massives arbeitsrechtliches Risiko | | Gesichtserkennung für Zeiterfassung oder dauerhafte Identitätsverfolgung | Sehr schwer zu rechtfertigen | Besondere Kategorien personenbezogener Daten, DSFA, Widerstand des Betriebsrats | Für angrenzende Themen siehe auch [KI-Hiring-Tools](https://compound.law/de-DE/compliance/ai-hiring-tools/), [KI-Recruitment-Screening](https://compound.law/de-DE/compliance/ai-recruitment-screening/) und [KI-Gesichtserkennung](https://compound.law/de-DE/compliance/ai-facial-recognition/). ## Die klare Verbotslinie: Emotionserkennung ist bereits raus Hier ist die Rechtslage derzeit am eindeutigsten. Die Europäische Kommission nennt **Emotionserkennung in Arbeitsumgebungen** ausdrücklich als verbotene KI-Praxis. Diese Verbote gelten seit **2. Februar 2025**. Für Arbeitgeber heißt das: Tools, die aus Stimme, Mimik, Webcam-Signalen, Tippverhalten oder ähnlichen Proxys Stress, Motivation, Müdigkeit, Ehrlichkeit oder „Einstellung“ ableiten sollen, gehören in aller Regel nicht in den Betrieb, sofern keine enge medizinische oder sicherheitsbezogene Ausnahme vorliegt. Es hilft rechtlich nicht, wenn der Anbieter dieselbe Funktion als „Wellbeing“, „Engagement Intelligence“ oder „Meeting Quality“ vermarktet. Maßgeblich ist, was das System tatsächlich über Beschäftigte inferiert. ## DSGVO, § 26 BDSG und Art. 22 DSGVO bleiben der Kern Auch wenn ein Einsatz nicht verboten ist, bleibt die eigenständige **Beschäftigtendatenschutz-Prüfung** zentral. In der Praxis ist vor allem diese Normenkette relevant: - **Art. 5 DSGVO** für Zweckbindung, Datenminimierung, Speicherbegrenzung und Transparenz - **Art. 6 DSGVO** für die allgemeine Rechtsgrundlage - **§ 26 BDSG** für die arbeitsbezogene Erforderlichkeit - **Art. 9 DSGVO** bei biometrischen oder sonstigen besonderen Kategorien personenbezogener Daten - **Art. 22 DSGVO** bei ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung - **Art. 35 DSGVO** für die **Datenschutz-Folgenabschätzung** Eine Einwilligung der Beschäftigten ist meist keine belastbare Hauptgrundlage. Praktisch entscheidend ist vielmehr, ob Sie die Maßnahme als **erforderlich**, **verhältnismäßig** und **eng begrenzt** begründen können. Vor dem Rollout sollten mindestens diese fünf Fragen schriftlich beantwortet sein: 1. Welches konkrete Problem soll das System lösen? 2. Warum ist dafür gerade KI erforderlich und kein milderes Mittel ausreichend? 3. Welche Beschäftigtendaten werden verarbeitet und wie lange? 4. Fließen Outputs in Bewertung, Einsatzplanung, HR-Maßnahmen oder Kündigungen ein? 5. Welcher menschliche Review- und Eskalationspfad greift bei Fehlalarmen, Bias oder Übermaß? Wenn diese Antworten unklar bleiben, ist das Projekt noch nicht go-live-fähig. ## Mitbestimmung muss vor Einkauf und Pilot geklärt werden Viele Projekte scheitern nicht an der Technik, sondern an der falschen Reihenfolge. **§ 87 Abs. 1 Nr. 6 BetrVG** gibt dem Betriebsrat Mitbestimmungsrechte bei technischen Einrichtungen, die Verhalten oder Leistung von Arbeitnehmern überwachen können. Diese Schwelle ist weit. Erfasst werden damit nicht nur klassische Überwachungsprodukte. Auch Manager-Dashboards, Produktivitätswerte, Insider-Risk-Alerts, Quality-Scoring, Aktivitätslogs und KI-gestützte Workforce-Analytics können darunter fallen, wenn sie zur Leistungs- oder Verhaltensbeobachtung eingesetzt werden können. Für die Praxis heißt das: - **Vendor nicht unterschreiben, bevor der Use Case eingegrenzt ist** - **Pilot nicht starten, bevor der Mitbestimmungspfad steht** - **keine granularen Manager-Zugriffe zusagen, bevor die Betriebsvereinbarung vorbereitet ist** Das betrifft auch Enterprise-Search-Rollouts: Wenn Microsoft 365, Google Workspace oder Confluence KI-gestützt über Mitarbeiterdokumente, E-Mails und Chats suchen, können Query Logs, Sichtbarkeiten und Snippets denselben Mitbestimmungstatbestand auslösen. Den Vollrahmen dazu behandeln wir in unserem Leitfaden zu [Enterprise Search und DSGVO](https://compound.law/de-DE/compliance/enterprise-search-dsgvo/). Eine belastbare **Betriebsvereinbarung** für KI-Monitoring regelt typischerweise: - den genauen Zweck des Tools - die betroffenen Beschäftigtengruppen - erhobene und ausgeschlossene Datenkategorien - Zugriffsrechte von Führungskräften, HR, Compliance und Anbietern - Löschfristen und Archivierungsgrenzen - die Nutzung oder Nichtnutzung für Disziplinarmaßnahmen - menschliche Review- und Eskalationsschritte - Audit-, Test- und Change-Management-Pflichten ## Brauchen private Arbeitgeber eine Pflicht-Analyse nach Art. 27 AI Act? Nicht automatisch. Dieser Punkt wird in vielen Sekundärquellen zu pauschal dargestellt. Die **AI Act Service Desk**-Erläuterung der Kommission beschreibt **Art. 27** als Pflicht zur **Fundamental Rights Impact Assessment** vor dem Einsatz für **öffentliche Stellen**, **private Unternehmen mit öffentlichen Dienstleistungen** und bestimmte weitere Annex-III-Fälle. Für den typischen privaten Arbeitgeber stehen deshalb meist zuerst diese Bausteine im Vordergrund: - Systemklassifizierung und intended use - Betreiberanweisungen und menschliche Aufsicht - Provider-Dokumentation und Einsatzgrenzen - DSGVO-Dokumentation und gegebenenfalls **DSFA** - Mitbestimmung und interne Nutzungsrichtlinien Das ändert nichts daran, dass eine strukturierte Grundrechts- oder Risikoanalyse sinnvoll sein kann, wenn ein Tool spürbar in Rechte von Beschäftigten eingreift. Es ist nur nicht automatisch dieselbe formale Pflicht für jeden privaten Arbeitgeber. ## Praktische Rollout-Checkliste für Arbeitgeber in Deutschland Vor jedem Einsatz von AI Employee Monitoring in Deutschland sollten Arbeitgeber typischerweise diese Reihenfolge abarbeiten: 1. **Use Case präzise mappen.** Trennen Sie IT-Sicherheit, Workflow-Analytik, HR-Decision-Support und biometrische Überwachung. 2. **Verbotene Features zuerst streichen.** Entfernen Sie Emotionserkennung, pseudo-psychologische Scores und ähnliche Inferenzfunktionen. 3. **Rechtsrisiko gemeinsam klassifizieren.** Prüfen Sie DSGVO, § 26 BDSG, Art. 22 DSGVO, Mitbestimmung und mögliche AI-Act-Relevanz zusammen. 4. **Vendor-Modell vertraglich und technisch absichern.** Klären Sie Hosting, Unterauftragsverarbeiter, Löschung, Trainingsausschlüsse, Audit-Logs und intended-use-Grenzen. 5. **Dokumentationspaket vorbereiten.** Aktualisieren Sie Datenschutzhinweise, Verzeichnisse, Löschregeln, Zugriffskonzepte und DSFA-Unterlagen. 6. **Betriebsrat früh einbinden.** Besteht ein Betriebsrat, muss die Abstimmung vor Pilot und Rollout beginnen. 7. **Manager-Nutzung begrenzen.** Experimentelle Scores dürfen nicht nebenbei Vergütung, Sanktionen oder Beförderungen steuern. 8. **Interne Nutzer schulen.** Die KI-Kompetenzpflicht gilt seit **2. Februar 2025**; HR, IT, Compliance und Führungskräfte müssen das System und seine Grenzen verstehen. Für die allgemeine Fristenlage siehe unsere [EU AI Act August 2026 Frist-Checkliste](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/) sowie den Leitfaden zu [AI Scheduling Optimization](https://compound.law/de-DE/compliance/ai-scheduling-optimization/). ## FAQ ### Dürfen Arbeitgeber KI zur Mitarbeiterüberwachung einsetzen? Ja, aber nur in begrenzten und verhältnismäßigen Fällen. Arbeitgeber brauchen eine belastbare Rechtsgrundlage, eine dokumentierte Erforderlichkeit und häufig die Beteiligung des Betriebsrats. ### Ersetzt Vendor-Compliance die Pflichten des Arbeitgebers? Nein. Der Anbieter kann mit Dokumentation und technischen Kontrollen helfen, aber der Arbeitgeber bleibt für Zweckbindung, Löschung, Managerzugriffe und den Einsatz der Outputs im Beschäftigungsverhältnis verantwortlich. ### Ist Emotionserkennung am Arbeitsplatz erlaubt? Nein, abgesehen von engen medizinischen oder sicherheitsbezogenen Ausnahmen. Die Kommission behandelt Emotionserkennung im Arbeitsumfeld seit **2. Februar 2025** als verbotene KI-Praxis. ### Ist KI-Mitarbeiterüberwachung immer Hochrisiko? Nein. Enge Security- oder Zutrittsfunktionen sind nicht automatisch Hochrisiko. Sobald ein System aber Bewertung, Einsatzplanung, Beförderung, Disziplinarmaßnahmen oder Kündigungen wesentlich beeinflusst, steigt die Prüfungsdichte erheblich. ### Brauchen private Arbeitgeber immer eine Fundamental Rights Impact Assessment? Nein. Art. 27 ist keine pauschale Pflicht für jeden privaten Arbeitgeber. Häufig stehen zunächst DSFA, interne Risikoanalyse und belastbare Governance im Vordergrund. ### Muss der Betriebsrat KI-Monitoring-Tools zustimmen? In vielen Fällen ja. **§ 87 Abs. 1 Nr. 6 BetrVG** erfasst viele technische Systeme, die Verhalten oder Leistung von Arbeitnehmern überwachen können, auch wenn sie als Analytics- oder Produktivitätstools verkauft werden. ## Kontakt zu Compound Law Wenn Ihr Unternehmen Produktivitätsanalytik, Insider-Risk-Tools, AI Scheduling, HR-Dashboards oder biometrische Workplace-Kontrollen prüft, lautet die eigentliche Rechtsfrage nicht, ob die Software ein AI-Label trägt. Entscheidend ist, ob der konkrete Rollout unter **DSGVO**, **§ 26 BDSG**, **BetrVG** und der sich entwickelnden **EU-AI-Act-Zeitachse** belastbar ist. Compound Law berät Arbeitgeber, Gründer und Legal Teams zu **EU AI Act Mitarbeiterüberwachung in Deutschland**, einschließlich Vendor Review, DSFA, Betriebsvereinbarung und Rollout-Governance. Für eine projektspezifische Einschätzung [kontaktieren Sie unser Team](https://compound.law/de-DE/#booking). Diese Seite enthält nur allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. ## Weitere Compliance-Guides [![KI Kundenservice DSGVO und AI Act Compliance Deutschland](https://compound.law/assets/images/compliance/compliance_2.webp)](https://compound.law/de-DE/compliance/ai-customer-service/) [compliance](https://compound.law/de-DE/compliance/ai-customer-service/) ### [Datenschutzbedenken KI Kundenservice: Risiken & DSGVO](https://compound.law/de-DE/compliance/ai-customer-service/) [Datenschutzbedenken bei KI im Kundenservice: DSGVO-Pflichten, KI-Agenten, Bot-Audits und Checkliste für deutsche Unternehmen erklärt.](https://compound.law/de-DE/compliance/ai-customer-service/) [![KI-Gesichtserkennung Deutschland Compliance-Leitfaden 2026](https://compound.law/assets/images/compliance/compliance_2.webp)](https://compound.law/de-DE/compliance/ai-facial-recognition/) [compliance](https://compound.law/de-DE/compliance/ai-facial-recognition/) ### [KI-Gesichtserkennung in Deutschland: Compliance-Leitfaden 2026](https://compound.law/de-DE/compliance/ai-facial-recognition/) [Gesichtserkennung und Datenschutz: Was AI Act Art. 5 und DSGVO in Deutschland verbieten — und welche Hochrisiko-Pflichten seit dem 2. August 2026 gelten.](https://compound.law/de-DE/compliance/ai-facial-recognition/) [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ## Häufige Fragen Ja, aber nur in begrenzten und verhältnismäßigen Fällen. Arbeitgeber brauchen einen tragfähigen Zweck, eine belastbare Rechtsgrundlage, Transparenz und häufig die Beteiligung des Betriebsrats. Nein. Der Anbieter kann Dokumentation und technische Kontrollen liefern, aber der Arbeitgeber entscheidet über Zweck, Datenumfang, Speicherdauer, Managerzugriffe und den Einsatz der Outputs für Personalentscheidungen. Deshalb bleiben DSGVO, § 26 BDSG und Mitbestimmung beim konkreten Rollout in der Verantwortung des Arbeitgebers. Nein, abgesehen von engen medizinischen oder sicherheitsbezogenen Ausnahmen. Die Europäische Kommission führt Emotionserkennung in Arbeitsumgebungen als verbotene KI-Praxis, die seit dem 2. Februar 2025 gilt. Nein. Enge Security-Logs oder Zutrittskontrollen sind nicht automatisch Hochrisiko. Die Prüfungsdichte steigt deutlich, wenn KI Bewertung, Einsatzplanung, Beförderung, Disziplinarmaßnahmen oder Kündigungen wesentlich beeinflusst. Häufig bei systematischer Überwachung, Profiling, biometrischen Daten oder hohen Risiken für die Rechte der Beschäftigten. Bei vielen Workplace-AI-Tools sollte die DSFA vor dem Rollout und nicht erst nach der Beschaffung geprüft werden. In vielen Fällen ja. § 87 Abs. 1 Nr. 6 BetrVG greift bei technischen Einrichtungen, die Verhalten oder Leistung von Arbeitnehmern überwachen können, und erfasst damit auch zahlreiche Analyse-, Produktivitäts- und HR-Tools. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "EU AI Act Mitarbeiterüberwachung: Nicht automatisch zulässig (2026)", "description": "Nicht automatisch zulässig: Emotionserkennung am Arbeitsplatz ist seit 2. Februar 2025 verboten; sonstige KI braucht DSGVO-, § 26 BDSG- und Betriebsratsprüfung.", "image": "https://compound.law/assets/images/compliance/compliance_1.webp", "datePublished": "2026-05-22T00:00:00.000Z", "dateModified": "2026-05-22T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/ai-employee-monitoring/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "EU AI Act Mitarbeiterüberwachung: Nicht automatisch zulässig", "item": "https://compound.law/de-DE/compliance/ai-employee-monitoring/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Dürfen Arbeitgeber KI zur Mitarbeiterüberwachung einsetzen?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, aber nur in begrenzten und verhältnismäßigen Fällen. Arbeitgeber brauchen einen tragfähigen Zweck, eine belastbare Rechtsgrundlage, Transparenz und häufig die Beteiligung des Betriebsrats." } }, { "@type": "Question", "name": "Ersetzt Vendor-Compliance die Pflichten des Arbeitgebers?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Der Anbieter kann Dokumentation und technische Kontrollen liefern, aber der Arbeitgeber entscheidet über Zweck, Datenumfang, Speicherdauer, Managerzugriffe und den Einsatz der Outputs für Personalentscheidungen. Deshalb bleiben DSGVO, § 26 BDSG und Mitbestimmung beim konkreten Rollout in der Verantwortung des Arbeitgebers." } }, { "@type": "Question", "name": "Ist Emotionserkennung am Arbeitsplatz erlaubt?", "acceptedAnswer": { "@type": "Answer", "text": "Nein, abgesehen von engen medizinischen oder sicherheitsbezogenen Ausnahmen. Die Europäische Kommission führt Emotionserkennung in Arbeitsumgebungen als verbotene KI-Praxis, die seit dem 2. Februar 2025 gilt." } }, { "@type": "Question", "name": "Ist KI-Mitarbeiterüberwachung immer Hochrisiko nach dem EU AI Act?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Enge Security-Logs oder Zutrittskontrollen sind nicht automatisch Hochrisiko. Die Prüfungsdichte steigt deutlich, wenn KI Bewertung, Einsatzplanung, Beförderung, Disziplinarmaßnahmen oder Kündigungen wesentlich beeinflusst." } }, { "@type": "Question", "name": "Wann ist eine Datenschutz-Folgenabschätzung nötig?", "acceptedAnswer": { "@type": "Answer", "text": "Häufig bei systematischer Überwachung, Profiling, biometrischen Daten oder hohen Risiken für die Rechte der Beschäftigten. Bei vielen Workplace-AI-Tools sollte die DSFA vor dem Rollout und nicht erst nach der Beschaffung geprüft werden." } }, { "@type": "Question", "name": "Muss der Betriebsrat KI-Monitoring-Tools zustimmen?", "acceptedAnswer": { "@type": "Answer", "text": "In vielen Fällen ja. § 87 Abs. 1 Nr. 6 BetrVG greift bei technischen Einrichtungen, die Verhalten oder Leistung von Arbeitnehmern überwachen können, und erfasst damit auch zahlreiche Analyse-, Produktivitäts- und HR-Tools." } } ] } ] ```