Art. 22 DSGVO und KI-Verordnung: Automatisierte Personalentscheidungen im Spannungsfeld zweier Regelwerke

Unternehmen, die KI-Systeme in der Personalentscheidung einsetzen – etwa zur Lebenslaufauswahl, Leistungsbewertung oder Beförderungsentscheidung –, stehen vor einer regulatorischen Doppelbelastung. Art. 22 DSGVO verbietet bereits jetzt vollständig automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung, es sei denn, es gibt angemessene menschliche Kontrolle. Ab dem 2. Dezember 2027 kommen zusätzlich die Hochrisiko-Pflichten der KI-Verordnung (EU) 2024/1689 hinzu. Wer heute nichts tut, riskiert nicht nur Bußgelder nach der DSGVO, sondern baut auch technische Schulden auf, die 2027 teuer zu beheben sind.

Art. 22 DSGVO: Das Verbot mit drei Ausnahmen

Art. 22 Abs. 1 DSGVO formuliert ein grundsätzliches Verbot: Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Im HR-Kontext sind das typischerweise Einstellungen, Beförderungen, Kündigungen oder Leistungsbeurteilungen, die auf KI-Empfehlungen basieren. Die EU-Kommission stellt klar: Wenn ein Algorithmus entscheidet, welche Bewerberinnen und Bewerber zu einem Vorstellungsgespräch eingeladen werden, ist das eine Entscheidung mit erheblicher Wirkung im Sinne von Art. 22.

Das Verbot gilt nicht in drei Fällen (Art. 22 Abs. 2):

• Vertragserfüllung: Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags erforderlich. Im HR-Kontext selten relevant – eine Einstellung ist kein Vertrag im Sinne dieser Ausnahme.
• Rechtliche Erlaubnis: Unions- oder Mitgliedstaatenrecht erlaubt die automatisierte Entscheidung und sieht angemessene Maßnahmen zum Schutz der Rechte der betroffenen Person vor. In Deutschland regelt § 37 BDSG dies für Beschäftigungsverhältnisse, aber nur unter engen Voraussetzungen.
• Einwilligung: Die betroffene Person hat ausdrücklich eingewilligt. Im Beschäftigungskontext problematisch, weil Einwilligungen aufgrund des Machtgefälles oft nicht freiwillig sind (Erwägungsgrund 43 DSGVO).

Die Pflichten aus Art. 22 Abs. 3 DSGVO

Selbst wenn eine der Ausnahmen greift, muss der Verantwortliche angemessene Maßnahmen treffen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren. Dazu gehören mindestens:

• Recht auf Erwirkung des Eingreifens einer Person: Die betroffene Person kann verlangen, dass ein Mensch die Entscheidung überprüft.
• Recht auf Darlegung des eigenen Standpunkts: Die betroffene Person soll ihre Sicht der Dinge vortragen können.
• Recht auf Anfechtung der Entscheidung: Die betroffene Person kann die Entscheidung contestieren.

In der Praxis bedeutet das: Wer KI zur Lebenslaufauswahl einsetzt, muss sicherstellen, dass abgelehnte Bewerberinnen und Bewerber verlangen können, dass ein Mensch ihre Bewerbung noch einmal prüft. Das System muss so gestaltet sein, dass diese Rechte technisch und organisatorisch umsetzbar sind.

Besonders streng ist Art. 22 Abs. 4: Entscheidungen nach Abs. 2 dürfennicht auf besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 beruhen – also etwa ethnische Herkunft, politische Meinung, religiöse Überzeugung, Gesundheitsdaten oder Sexualleben. Ausnahmen gelten nur bei ausdrücklicher Einwilligung oder bei erheblichem öffentlichem Interesse. Im HR-Kontext ist das besonders relevant, weil KI-Systeme oft indirekt auf solche Daten zugreifen (etwa über Postleitzahlen als Proxy für ethnische Herkunft).

KI-Verordnung: Hochrisiko-KI im Beschäftigungskontext ab 2027

Parallel zur DSGVO gilt ab dem 2. Dezember 2027 die KI-Verordnung für Hochrisiko-KI-Systeme im Beschäftigungskontext. Anhang III der KI-VO listet explizit auf:

• KI-Systeme zur Rekrutierung oder Auswahl natürlicher Personen, insbesondere zur Anzeige von Stellenanzeigen, zur Siebung oder Auswahl von Bewerbungen, zur Bewertung von Kandidatinnen und Kandidaten.
• KI-Systeme zur Entscheidung über Beförderungen oder Versetzungen.
• KI-Systeme zur Bewertung von Leistung und Verhalten in Beschäftigungsverhältnissen.

Diese Systeme müssen ab Dezember 2027 strenge Anforderungen erfüllen:

• Risikomanagementsystem: Systematische Identifikation und Bewertung von Risiken, die das KI-System für die Gesundheit, Sicherheit oder Grundrechte von Personen mit sich bringt.
• Datenqualität: Hohe Qualität der Trainings-, Validierungs- und Testdatensätze, um das Risiko diskriminierender Ergebnisse zu minimieren.
• Technische Dokumentation: Ausführliche Dokumentation des Systems, seiner Funktionsweise und seines Zwecks.
• Protokollierung: Automatische Protokollierung der Aktivitäten des KI-Systems zur Gewährleistung der Rückverfolgbarkeit.
• Transparenz: Klare und angemessene Informationen für die Betreiber des Systems.
• Menschliche Aufsicht: Angemessene Maßnahmen der menschlichen Aufsicht, um Risiken zu minimieren.
• Robustheit und Cybersicherheit: Hohe Robustheit, Genauigkeit und Cybersicherheit.

Die Schnittstelle: Was bedeutet das für Unternehmen?

Die Kombination aus Art. 22 DSGVO und KI-VO erzeugt eine komplexe regulatorische Landschaft. Unternehmen müssen zwei Fragen beantworten:

1. Fällt unser KI-System unter Art. 22 DSGVO? Wenn ja, gelten die Pflichten sofort: menschliches Eingreifen, Recht auf Darlegung des Standpunkts, Recht auf Anfechtung, besondere Vorsicht bei sensiblen Daten.
2. Fällt unser KI-System unter die KI-VO Hochrisiko-Kategorie? Wenn ja, müssen wir ab Dezember 2027 die sieben Pflichten erfüllen – aber die Vorbereitung sollte jetzt beginnen.

Die gute Nachricht: Viele der Maßnahmen, die Art. 22 DSGVO erfordert, sind auch für die KI-VO-Compliance nützlich. Menschliche Aufsicht, Dokumentation, Transparenz – all das hilft bei beiden Regelwerken. Wer heute Art. 22 DSGVO ernst nimmt, baut die Grundlage für die KI-VO- Compliance von morgen.

Praxisbeispiele: Wo die Regeln greifen

Typische Anwendungsfälle, bei denen sowohl Art. 22 DSGVO als auch die KI-VO Hochrisiko-Kategorie relevant sind:

• CV-Screening-Tools: KI-Systeme, die Lebensläufe automatisch auswerten und Kandidatinnen und Kandidaten ranken. Art. 22 DSGVO verlangt menschliche Überprüfung der Ablehnungen; die KI-VO verlangt ab 2027 Risikomanagement, Datenqualität und Dokumentation.
• Video-Interview-Analyse: KI-Systeme, die Gesichtsausdrücke, Sprachmuster oder Wortwahl analysieren, um Kandidatinnen und Kandidaten zu bewerten. Hier kommen zusätzlich biometrische Daten ins Spiel (Art. 9 DSGVO), was die Hürden noch höher macht.
• Leistungsbeurteilung: KI-Systeme, die Mitarbeiterleistungen auf Basis von Produktivitätsdaten, Kommunikationsmustern oder anderen Metriken bewerten. Art. 22 DSGVO verlangt menschliche Überprüfung; die KI-VO verlangt ab 2027 Robustheit, Fairness und Transparenz.
• Beförderungsentscheidungen: KI-Systeme, die Empfehlungen für Beförderungen aussprechen. Auch hier gilt: Art. 22 DSGVO sofort, KI-VO ab 2027.

Bußgelder: Was droht bei Verstößen?

Die Sanktionen sind bei beiden Regelwerken scharf:

• DSGVO (Art. 83): Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes bei Verstößen gegen die Grundsätze der Verarbeitung, einschließlich Art. 22.
• KI-VO (Art. 99): Bußgelder bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes bei Verstößen gegen Hochrisiko-Pflichten.

Wichtig: Die Bußgelder können kumulativ verhängt werden. Wer gegen beide Regelwerke verstößt, muss mit beiden Sanktionen rechnen.

In sieben Schritten zur Compliance

Für Unternehmen, die KI in der Personalentscheidung einsetzen oder planen, empfehlen sich folgende Schritte:

• 1. Bestandsaufnahme: Welche KI-Systeme werden im HR-Bereich eingesetzt? Dokumentieren Sie alle Systeme, ihre Funktionsweise und ihre Entscheidungslogik.
• 2. Art. 22-Prüfung: Fällt jedes System unter Art. 22 DSGVO? Wenn ja: Gibt es eine Ausnahme (Vertrag, Recht, Einwilligung)? Wenn nein: Stellt das System sicher, dass betroffene Personen ihre Rechte (menschliches Eingreifen, Darlegung des Standpunkts, Anfechtung) wahrnehmen können?
• 3. Sensible Daten prüfen: Verarbeitet das System besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)? Wenn ja: Gibt es eine Ausnahme nach Art. 9 Abs. 2? Wenn nein: Das System ist nach Art. 22 Abs. 4 verboten.
• 4. KI-VO-Klassifizierung: Fällt das System unter Anhang III der KI-VO (Hochrisiko im Beschäftigungskontext)? Wenn ja: Beginnen Sie jetzt mit der Vorbereitung auf die Pflichten ab Dezember 2027.
• 5. Menschliche Aufsicht implementieren: Stellen Sie sicher, dass für jede automatisierte Entscheidung ein Mensch verantwortlich ist, der die Entscheidung überprüfen und korrigieren kann. Dokumentieren Sie die Zuständigkeiten.
• 6. Transparenz schaffen: Informieren Sie Bewerberinnen und Bewerber sowie Mitarbeitende darüber, dass KI- Systeme eingesetzt werden. Erklären Sie, wie die Systeme funktionieren und welche Rechte die betroffenen Personen haben.
• 7. Dokumentation aufbauen: Beginnen Sie jetzt mit der Dokumentation der Systeme, ihrer Entscheidungslogik, der Trainingsdaten und der Risikobewertung. Diese Dokumentation wird für die KI-VO-Compliance ab 2027 benötigt.

Einordnung: DSGVO und KI-VO im Zusammenspiel

Die DSGVO und die KI-Verordnung ergänzen sich. Die DSGVO regelt den Umgang mit personenbezogenen Daten – unabhängig von der Technologie. Die KI-VO regelt spezifisch KI-Systeme – unabhängig davon, ob sie personenbezogene Daten verarbeiten. Im HR-Kontext überschneiden sich beide Regelwerke, weil KI-Systeme dort typischerweise personenbezogene Daten verarbeiten und als Hochrisiko-KI eingestuft werden.

Wer sich nur auf ein Regelwerk konzentriert, läuft Gefahr, das andere zu übersehen. Unternehmen, die ihre Compliance-Strukturen ohnehin zentral aufstellen – etwa im Rahmen des NIS2-Umsetzungsgesetzes oder der KI-Verordnung allgemein– können die HR-Compliance nahtlos integrieren.

Fazit

Art. 22 DSGVO und die KI-Verordnung erzeugen für Unternehmen, die KI in der Personalentscheidung einsetzen, eine doppelte regulatorische Anforderung. Art. 22 DSGVO gilt sofort und verbietet vollständig automatisierte Entscheidungen ohne angemessene menschliche Kontrolle. Die KI-VO Hochrisiko-Pflichten gelten ab Dezember 2027 und verlangen strenge Anforderungen an Risikomanagement, Datenqualität, Dokumentation und Transparenz.

Die gute Nachricht: Viele der Maßnahmen, die Art. 22 DSGVO erfordert, sind auch für die KI-VO-Compliance nützlich. Wer heute handelt – Bestandsaufnahme, menschliche Aufsicht implementieren, Transparenz schaffen, Dokumentation aufbauen – ist auf der sicheren Seite und vermeidet den Stress der letzten Minute vor 2027.

Die Bußgelder sind bei beiden Regelwerken scharf, und sie können kumulativ verhängt werden. Unternehmen, die die regulatorischen Anforderungen ernst nehmen, werden nicht nur compliant sein, sondern auch das Vertrauen ihrer Bewerberinnen, Bewerber und Mitarbeitenden stärken – in einem Markt, der zunehmend auf faire und transparente Personalentscheidungen Wert legt.