# KI und Beschäftigtendaten: welche Rechtsgrundlage trägt?

Quelle: https://ai-mitarbeiter.pro/ki-und-beschaeftigtendaten/
Aktualisiert: 5. Oktober 2026
Anbieter: Datenschutzfabrik (Datenschutzfabrik UG (haftungsbeschränkt), Wuppertal)

**Kurz gesagt:** Verarbeitet eine Stelle Daten über Beschäftigte, braucht es eine Rechtsgrundlage. Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) gilt § 26 Abs. 1 Satz 1 BDSG nach überwiegender Auffassung nicht mehr als eigenständige Grundlage; herangezogen werden Art. 6 Abs. 1 DSGVO und Betriebsvereinbarungen nach Art. 88 DSGVO. Die Einwilligung trägt im Arbeitsverhältnis selten. Protokolle über Beschäftigte berühren § 87 Abs. 1 Nr. 6 BetrVG.

Rechtsstand: 28. September 2026.

Fast jedes KI-System im Betrieb verarbeitet Daten über Beschäftigte. Das beginnt beim Benutzerkonto und endet bei Protokollen, aus denen sich ablesen lässt, wer wann was gefragt oder freigegeben hat. Für jede dieser Verarbeitungen braucht es eine Rechtsgrundlage, und über die Grundlage im Beschäftigungsverhältnis hat der EuGH 2023 entschieden.

## Das Urteil und seine Folge

Der EuGH hat mit Urteil vom 30. März 2023 (C-34/21) über eine hessische Vorschrift entschieden, § 23 Abs. 1 Satz 1 HDSIG. Anlass war der Unterricht per Videokonferenz, der ohne Einwilligung der Lehrkräfte übertragen werden sollte. Die Vorschrift erlaubte die Verarbeitung von Beschäftigtendaten, wenn sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist.

Der Kern des Urteils: Eine nationale Vorschrift ist nur dann eine spezifischere Vorschrift nach Art. 88 Abs. 1 DSGVO, wenn sie die Anforderungen aus Art. 88 Abs. 2 erfüllt, also geeignete und besondere Maßnahmen zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten enthält. Eine Vorschrift, die nur wiederholt, was Art. 6 Abs. 1 DSGVO ohnehin verlangt, erfüllt das nicht. Sie ist dann nicht anzuwenden, es sei denn, sie ist eine Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO.

§ 26 Abs. 1 Satz 1 BDSG ist fast wortgleich mit der hessischen Vorschrift. Nach überwiegender Auffassung gilt er deshalb seit dem Urteil nicht mehr als eigenständige Rechtsgrundlage. Der Paragraph steht unverändert im Gesetz; herangezogen wird für die Verarbeitung Art. 6 Abs. 1 DSGVO. Wie weit die Folge für die übrigen Absätze von § 26 reicht, wird nicht einheitlich beurteilt.

Für die Praxis heißt das: In Verarbeitungsverzeichnis, Datenschutzhinweisen und Betriebsvereinbarungen sollte nicht mehr allein § 26 Abs. 1 Satz 1 BDSG als Grundlage stehen.

## Welche Grundlagen tragen

| Grundlage | Trägt zum Beispiel | Grenze |
|---|---|---|
| Art. 6 Abs. 1 Buchst. b DSGVO, Vertrag | Verarbeitung, die zur Durchführung des Arbeitsvertrags erforderlich ist; bei Bewerbern Maßnahmen vor Vertragsschluss auf ihre Anfrage | nur, was für den Vertrag erforderlich ist, nicht alles, was nützlich ist |
| Art. 6 Abs. 1 Buchst. c DSGVO, rechtliche Verpflichtung | Lohnabrechnung, Meldungen an Sozialversicherung und Finanzamt | die Pflicht muss sich aus einer Rechtsvorschrift ergeben |
| Art. 6 Abs. 1 Buchst. f DSGVO, berechtigte Interessen | Zugriffsprotokolle zur Sicherheit eines Systems | Abwägung gegen die Interessen der Beschäftigten, dokumentiert |
| Art. 88 DSGVO mit § 26 Abs. 4 BDSG, Kollektivvereinbarung | Betriebsvereinbarung über ein KI-System mit Zweck, Datenarten, Fristen, Auswertungsverbot | muss Art. 88 Abs. 2 erfüllen und nach EuGH C-65/23 zusätzlich Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO |
| Art. 7 DSGVO, Einwilligung | Ausnahmefälle mit echter Wahl | Freiwilligkeit, jederzeitiger Widerruf |

Die Betriebsvereinbarung verdient einen zweiten Blick. Der EuGH hat mit Urteil vom 19. Dezember 2024 (C-65/23) entschieden, dass eine Kollektivvereinbarung nach Art. 88 DSGVO die allgemeinen Anforderungen der DSGVO nicht unterschreiten darf, insbesondere Art. 5, Art. 6 Abs. 1 und Art. 9. Nationale Gerichte prüfen das vollständig. Eine Betriebsvereinbarung kann eine Verarbeitung also konkretisieren und absichern; eine Verarbeitung, die nach der DSGVO nicht erforderlich wäre, macht sie nicht zulässig.

Gerade deshalb passt sie zu KI-Systemen. Art. 88 Abs. 2 verlangt Maßnahmen insbesondere zur Transparenz der Verarbeitung und zu Überwachungssystemen am Arbeitsplatz, und genau das regelt eine gute Vereinbarung: welche Protokolle entstehen, wer sie sieht, wie lange sie bleiben, wofür sie nicht verwendet werden. Den Aufbau zeigt [KI-Betriebsvereinbarung](/ki-betriebsvereinbarung-was-hineingehoert/).

Für besondere Kategorien, etwa Gesundheitsdaten, reicht Art. 6 nicht; es braucht zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. In der Akte von Ruth (AI) sind Personalakten und Lohndaten gesperrt; sensible Inhalte, etwa Gesundheitsangaben, verarbeitet sie nur, wenn die Datenklasse der Besprechung es zulässt.

## Einwilligung im Arbeitsverhältnis

Eine Einwilligung ist nur wirksam, wenn sie freiwillig erteilt wird. Nach Art. 7 Abs. 4 DSGVO ist dabei zu berücksichtigen, ob die Erfüllung eines Vertrags von einer nicht erforderlichen Einwilligung abhängig gemacht wird. § 26 Abs. 2 BDSG nennt für das Beschäftigungsverhältnis die Abhängigkeit der beschäftigten Person und die Umstände der Erteilung als Maßstab. Freiwilligkeit kann danach vorliegen, wenn die Person einen rechtlichen oder wirtschaftlichen Vorteil erlangt oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, und der Arbeitgeber klärt in Textform über Zweck und Widerrufsrecht auf.

Zwei Gründe sprechen gegen die Einwilligung als Grundlage für ein KI-System im laufenden Betrieb:

| Grund | Folge |
|---|---|
| Abhängigkeit | wer ablehnt, fürchtet Nachteile; die Freiwilligkeit ist angreifbar |
| Widerruf nach Art. 7 Abs. 3 DSGVO | jederzeit möglich; ein System, das mit allen arbeitet, lässt sich für eine Person nicht einfach abschalten |

Die Einwilligung nach Datenschutzrecht ist von anderen Zustimmungen zu trennen. [Ruth (AI)](/belegschaft/am-006-protokolle/) nimmt auf Einladung an Teams-Besprechungen teil und führt das Protokoll. Sie sagt zu Beginn an, dass sie eine KI ist, und zeichnet erst auf und schreibt erst mit, wenn alle Teilnehmenden zugestimmt haben, weil § 201 StGB die unbefugte Aufnahme des nichtöffentlich gesprochenen Wortes auf einen Tonträger unter Strafe stellt. Widerspricht jemand, endet die Aufnahme für die ganze Besprechung. Diese Zustimmung beantwortet die strafrechtliche Frage. Die datenschutzrechtliche Grundlage wird davon getrennt bestimmt; im Betrieb mit Betriebsrat liegt die Betriebsvereinbarung nahe. Ohne Vereinbarung mit der Arbeitnehmervertretung setzen wir dort keine Stelle ein, auch nicht für Teams-Besprechungen wie bei Ruth (AI).

## Protokolle über Beschäftigte und § 87 Abs. 1 Nr. 6 BetrVG

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Nach ständiger Rechtsprechung genügt die objektive Eignung. Ein KI-System, das Protokolle mit Personenbezug führt, ist fast immer geeignet.

Die Akten nennen je Stelle, welche Daten dabei entstehen:

| Stelle | Protokolldaten über Beschäftigte | Aus der Akte |
|---|---|---|
| [Ruth (AI)](/belegschaft/am-006-protokolle/), Protokolle | Gesprochenes aus der Besprechung, Teilnehmerliste | § 87 Abs. 1 Nr. 6 greift ohne Diskussion; keine Auswertung von Redeanteilen, Stimmung oder Anwesenheitszeiten; Aufnahme nach Ihrer Frist gelöscht, über alle Kopien |
| [Mira (AI)](/belegschaft/am-004-bewerbervorauswahl/), Bewerbervorauswahl | Auswertungen im Bewerbermanagement | § 94 und § 95 BetrVG, für Auswertungen zusätzlich § 87 Abs. 1 Nr. 6 |
| [Anton (AI)](/belegschaft/am-005-dokumentenrecherche/), Dokumentenrecherche | wer wann welche Unterlage gesucht hat | § 87 Abs. 1 Nr. 6 ist zu prüfen |

Bei Mira (AI) kommt hinzu, dass sie selbst Daten von Bewerberinnen und Bewerbern verarbeitet, die nach § 26 Abs. 8 Satz 2 BDSG als Beschäftigte gelten. Welche Regeln dafür gelten, steht unter [KI in der Bewerberauswahl](/ki-in-der-bewerberauswahl/).

Greift § 87 Abs. 1 Nr. 6, braucht die Einführung [die Zustimmung des Betriebsrats](/pruefen/betriebsrat/). Die Vereinbarung, die dabei entsteht, ist zugleich die naheliegende Rechtsgrundlage nach Art. 88 DSGVO, wenn sie die Anforderungen aus Abs. 2 und aus dem Urteil C-65/23 erfüllt. Ob die Verarbeitung zusätzlich eine Datenschutz-Folgenabschätzung braucht, steht unter [DSFA für KI](/dsfa-fuer-ki/).

## Häufige Fragen

### Ist § 26 BDSG nach dem Urteil ungültig?

Der Paragraph steht unverändert im Gesetz. Nach überwiegender Auffassung ist Abs. 1 Satz 1 wegen des Urteils C-34/21 aber keine spezifischere Vorschrift im Sinne von Art. 88 DSGVO und damit keine eigenständige Rechtsgrundlage. Gestützt wird die Verarbeitung auf Art. 6 Abs. 1 DSGVO.

### Reicht eine Betriebsvereinbarung als Rechtsgrundlage?

Sie kann nach Art. 88 DSGVO und § 26 Abs. 4 BDSG eine Grundlage sein, wenn sie die Anforderungen aus Art. 88 Abs. 2 erfüllt. Nach dem Urteil des EuGH vom 19. Dezember 2024 (C-65/23) muss sie zusätzlich Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO einhalten, und Gerichte prüfen das voll.

### Können Beschäftigte in ein KI-System einwilligen?

Rechtlich ja, praktisch selten tragfähig. Wegen der Abhängigkeit im Arbeitsverhältnis ist die Freiwilligkeit fraglich, und nach Art. 7 Abs. 3 DSGVO kann die Einwilligung jederzeit widerrufen werden. Für ein System, das laufend im Betrieb arbeitet, ist das keine stabile Grundlage.

### Gelten Bewerber als Beschäftigte?

Ja. Nach § 26 Abs. 8 Satz 2 BDSG gelten Bewerberinnen und Bewerber als Beschäftigte. Für die Bewerbungsunterlagen kommt Art. 6 Abs. 1 Buchst. b DSGVO in Betracht: Maßnahmen vor Vertragsschluss auf Anfrage der betroffenen Person.

## Quellen

- [EuGH, Urteil vom 30.03.2023, C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer)](https://curia.europa.eu/juris/liste.jsf?num=C-34/21)
- [EuGH, Urteil vom 19.12.2024, C-65/23 (Betriebsvereinbarung und DSGVO)](https://curia.europa.eu/juris/liste.jsf?num=C-65/23)
- [Art. 6 DSGVO, Rechtmäßigkeit der Verarbeitung](https://dsgvo-gesetz.de/art-6-dsgvo/)
- [Art. 7 DSGVO, Bedingungen für die Einwilligung](https://dsgvo-gesetz.de/art-7-dsgvo/)
- [Art. 88 DSGVO, Datenverarbeitung im Beschäftigungskontext](https://dsgvo-gesetz.de/art-88-dsgvo/)
- [§ 26 BDSG, Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses](https://www.gesetze-im-internet.de/bdsg_2018/__26.html)
- [§ 87 BetrVG, Mitbestimmungsrechte](https://www.gesetze-im-internet.de/betrvg/__87.html)
- [§ 201 StGB, Verletzung der Vertraulichkeit des Wortes](https://www.gesetze-im-internet.de/stgb/__201.html)

---

Bei Zitaten bitte Quelle nennen: ai-mitarbeiter.pro, https://ai-mitarbeiter.pro/ki-und-beschaeftigtendaten/
Angaben zur Rechtslage sind keine Rechtsberatung.