KI in der Personalabteilung: Arbeitszeugnis, Abmahnung und Mitarbeiterdaten

Darf die Personalabteilung Beschäftigtendaten in KI-Tools eingeben?

Nur mit Rechtsgrundlage, im passenden Tarif und möglichst pseudonymisiert. Die Datenschutzkonferenz (DSK) hält fest, dass für jeden Verarbeitungsschritt mit personenbezogenen Daten in einer KI-Anwendung eine Rechtsgrundlage nötig ist.^[3] Das gilt für Beschäftigte genauso wie für Kundschaft; für Beschäftigte kommt § 26 BDSG hinzu (siehe unten). Dieser Ratgeber behandelt KI in der Personalabteilung jenseits des Recruitings (dazu: KI im Recruiting): Arbeitszeugnis, Abmahnung, Gesprächsnotizen und Auswertungen.

Stand: 13. November 2026. Allgemeine Information, keine Rechtsberatung; die Einordnung Ihres Falls klären Sie mit Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Auf welche Rechtsgrundlage lassen sich Beschäftigtendaten stützen?

Das ist im Einzelfall zu prüfen. § 26 Abs. 1 Satz 1 BDSG erlaubt, Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses zu verarbeiten, wenn bestimmte Voraussetzungen erfüllt sind.^[2] Ob diese Generalklausel als alleinige Rechtsgrundlage trägt, ist nach dem EuGH-Urteil C-34/21 vom 30. März 2023 zweifelhaft. Der Gerichtshof hat entschieden, dass eine nationale Generalklausel wie § 23 Abs. 1 des Hessischen Datenschutzgesetzes, die Satz 1 des § 26 Abs. 1 BDSG entspricht, keine „spezifischere Vorschrift“ im Sinne des Art. 88 DSGVO ist, sofern sie die Anforderungen des Art. 88 Abs. 2 DSGVO nicht erfüllt (so die Darstellung in der Handreichung des Hessischen Datenschutzbeauftragten). Der Hessische Datenschutzbeauftragte hält es deshalb für möglich, dass die Klausel nicht angewendet werden kann, und nennt als Alternativen Art. 6 Abs. 1 Buchst. b, c und f DSGVO.^[1] In der Literatur ist das umstritten. Verlassen Sie sich also nicht allein auf § 26 BDSG, sondern prüfen und dokumentieren Sie je Aufgabe, worauf Sie die Übermittlung an ein KI-Tool stützen.

Zwei Fragen helfen bei der Prüfung: Ist die Übermittlung an einen KI-Anbieter für den Zweck überhaupt erforderlich, oder geht es auch mit einer Vorlage ohne Namen? Und wie stark greift die Übermittlung in die Interessen der Beschäftigten ein? Wo ein Betriebsrat besteht, ist er je nach Vorhaben zu beteiligen; das behandelt der Ratgeber KI und Betriebsrat.

Warum ist ein Verbraucherkonto für Beschäftigtendaten ein Problem?

Weil die Anbieter für Verbraucherprodukte keinen Auftragsverarbeitungsvertrag nennen oder ausschließen und Eingaben je nach Einstellung zum Training dienen können. Für ChatGPT Business, Enterprise und die API nennt OpenAI, dass Eingaben und Ausgaben standardmäßig nicht zum Training verwendet werden.^[9] Einen Auftragsverarbeitungsvertrag nennt OpenAI für ChatGPT Business, Enterprise und die API; für die Verbrauchertarife nennt OpenAI keinen.^[10] Bei Free, Plus und Pro ist die Datenfreigabe auf persönlichen Arbeitsbereichen standardmäßig eingeschaltet und lässt sich in den Einstellungen abschalten; gibt jemand Feedback (Daumen hoch oder runter), kann die gesamte zugehörige Unterhaltung zum Training verwendet werden.^[11] Bei Anthropic entscheiden Nutzende von Free, Pro und Max, ob Chats zum Training genutzt werden dürfen; bei Erlaubnis beträgt die Aufbewahrung bis zu fünf Jahre. Claude for Work und die API sind davon ausgenommen.^[12] Der Auftragsverarbeitungsvertrag von Anthropic gilt für die kommerziellen Produkte, nicht für Verbraucherprodukte.^[13] Tarife ändern sich häufig; prüfen Sie die Seiten der Anbieter vor jeder Freigabe.

Hinzu kommt die Kontoführung: Die DSK empfiehlt, dass Arbeitgeber Dienstgeräte und Dienstkonten bereitstellen, Beschäftigte nicht auf private Konten angewiesen sind und Kontonamen keine Namen einzelner Beschäftigter enthalten.^[3] Mehr zum Zusammenhang von Tarif und Vertrag steht im Ratgeber AVV für ChatGPT und andere KI-Tools.

Welche HR-Aufgaben sind unkritisch, welche heikel?

Die Tabelle ordnet typische Aufgaben nach dem, was in den Prompt gelangt. Sie ist eine Orientierung und kein Urteil über Ihren Einzelfall.

Wie gehen Sie mit Gesundheitsdaten um?

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO untersagt, solange keine Ausnahme nach Art. 9 Abs. 2 DSGVO greift.^[4] § 26 Abs. 3 BDSG enthält eine Regelung für besondere Kategorien im Beschäftigungsverhältnis; ob und wie weit er nach C-34/21 trägt, klären Sie mit Ihrer Rechtsberatung, und Art. 9 DSGVO bleibt der Maßstab für die Verarbeitung.^[2] Praktisch gilt: Krankheitsgründe, Diagnosen, Angaben zu Schwerbehinderung oder zur Wiedereingliederung bleiben aus Prompts in allgemeinen Chat-Tools heraus. Wenn Sie ein Schreiben vorbereiten, genügt ein Platzhalter wie [Fehlzeit].

Was gilt für Leistungsbewertung und die KI-Verordnung?

Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689, im Folgenden KI-VO) führt in Anhang III Nr. 4 Buchst. b KI-Systeme auf, die für Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung, zur Aufgabenverteilung nach individuellem Verhalten oder persönlichen Merkmalen und zur Überwachung und Bewertung von Leistung und Verhalten bestimmt sind.^[6] Ein allgemeines Chat-Tool, das Sie zur Leistungsbewertung von Beschäftigten einsetzen, kann dadurch in diesen Hochrisiko-Bereich geraten; ob das auf Ihren Einsatz zutrifft, ist eine Einzelfallprüfung.

Für Hochrisiko-Systeme nach Anhang III nennt die Europäische Kommission nach der Digital-Omnibus-Änderung den 2. Dezember 2027.^[7] Die Änderung ist die Verordnung (EU) 2026/1744 vom 8. Juli 2026.^[8] Ältere Texte nennen noch den 2. August 2026; das ist überholt. Die Pflicht, Maßnahmen zu ergreifen, um die KI-Kompetenz zu fördern (Art. 4 KI-VO), gilt dagegen schon seit dem 2. Februar 2025;^[7] siehe KI-Kompetenz nach Art. 4 KI-VO und KI-Verordnung: Pflichten für Unternehmen.

Wann greift Art. 22 DSGVO bei Entscheidungen über Beschäftigte?

Art. 22 Abs. 1 DSGVO gibt Betroffenen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruht und ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Ausnahmen nennt Abs. 2 (Vertrag, Rechtsvorschrift mit Schutzmaßnahmen, ausdrückliche Einwilligung); in den Fällen Vertrag und Einwilligung muss der Verantwortliche mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sichern (Abs. 3). Besondere Kategorien dürfen nur in engen Fällen Grundlage solcher Entscheidungen sein (Abs. 4).^[5]

Für Beschäftigte heißt das: Eine Abmahnung, Bewertung oder Kündigung, die eine KI ausschließlich automatisiert festlegt, ist heikel. Nach der DSK sollen Entscheidungen mit rechtlicher Wirkung grundsätzlich nur von Menschen getroffen werden, die echten Entscheidungsspielraum haben; eine bloß formale Beteiligung genügt nicht (Rn. 12).^[3] Wer einen KI-Entwurf ungeprüft übernimmt, kann genau diese Lage schaffen.

Wie sieht ein Arbeitszeugnis-Prompt vorher und nachher aus?

Das Beispiel ist frei erfunden. Es zeigt, wie sich ein Prompt ändert, wenn Sie Namen, Daten und Kennungen ersetzen. Die Ersetzung senkt das Risiko, macht den Text aber nicht anonym: Die Datenschutzkonferenz schreibt, dass das Entfernen von Namen und Adressen regelmäßig nicht ausreicht.^[3] Eintrittsdatum, Abteilung und Aufgabe können eine Person im kleinen Betrieb weiterhin erkennbar machen.

Was sich geändert hat: Name, Geburtsdatum und Adresse sind Platzhalter; die Firma ist ein Platzhalter; die Krankheitszeit steht nicht mehr drin, weil sie für das Zeugnis nicht nötig ist (und Gesundheitsdaten sind besondere Kategorien); das Eintrittsdatum ist ersetzt. Setzen Sie die echten Angaben erst im eigenen Dokument ein, nicht im KI-Tool. Ein Werkzeug wie die Browser-Erweiterung Ainym kann Treffer lokal vorschlagen und später in die Antwort zurücksetzen; Sie bestätigen jeden Treffer selbst, und eine eigene Sichtprüfung bleibt nötig. Zur Methode siehe Daten für ChatGPT pseudonymisieren.

Prüfen Sie den Text anschließend inhaltlich. Zeugnisse unterliegen arbeitsrechtlichen Anforderungen; ein KI-Entwurf ersetzt weder die Kenntnis der Rechtslage noch die Verantwortung der Personalleitung.

Was gilt für den Betriebsrat?

In der Regel ist der Betriebsrat über die Planung von Arbeitsverfahren einschließlich des Einsatzes von Künstlicher Intelligenz zu unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG).^[15] Wann zusätzlich eine Mitbestimmung greifen kann, steht im Ratgeber KI und Betriebsrat: Unterrichtung, Beratung, Mitbestimmung und Betriebsvereinbarung. Die Hamburger Aufsichtsbehörde nennt in ihrer Checkliste ebenfalls die Beteiligung von Datenschutzbeauftragten, Datenschutz-Folgenabschätzung und Betriebsrat.^[14]

Wo landen Beschäftigtendaten, und was davon können Sie kontrollieren?

Auch mit Geschäftstarif sehen Sie nach dem Absenden nicht, wo ein Anbieter eine Eingabe verarbeitet, kopiert oder speichert. Sie haben die Dokumentation und den Vertrag, und deren Zusagen haben dokumentierte Ausnahmen. Ein Beispiel: Bei OpenAI gilt die Datenresidenz für berechtigte Kunden von Enterprise, Edu, Healthcare und der API und betrifft die Speicherung ruhender Inhalte; ChatGPT Business ist dort nicht aufgeführt, und die regionale Verarbeitung auf GPUs ist eine eigene Zusatzoption.^[9] Ein Auftragsverarbeiter darf außerdem nach Art. 28 Abs. 2 und 4 DSGVO weitere einsetzen; Sie haben es mit einer Kette zu tun.^[16] Was einmal gesendet wurde, lässt sich nicht zurückholen, und die Beschäftigten haben darauf keinen Einfluss.

Mit eigenen Mitteln steuern Sie nur, was Ihr Gerät verlässt: Namen, Kennungen und Krankheitszeiten weglassen, wo die Aufgabe sie nicht braucht, wie es der Grundsatz der Datenminimierung beschreibt.^[17] Das ersetzt weder Rechtsgrundlage noch Vertrag noch die menschliche Prüfung, und automatische Erkennung findet nicht alles. Zusagen und Ausnahmen der Anbieter im Überblick: Wo landen Ihre Daten bei KI-Anbietern?

Wie gehen Sie in sechs Schritten vor?

1. Aufgaben sortieren (Personalleitung). Mit der Tabelle oben festlegen, welche Aufgaben ohne Personenbezug laufen, welche mit Schutzmaßnahmen und welche vorerst nicht.
2. Tarif und Vertrag prüfen (IT, Datenschutz). Nur Geschäftstarife mit Auftragsverarbeitungsvertrag und ohne Training mit Eingaben für Beschäftigtendaten freigeben.
3. Rechtsgrundlage dokumentieren (Datenschutzbeauftragte). Je Aufgabe festhalten, worauf der Schritt beruht, und das Verzeichnis der Verarbeitungstätigkeiten anpassen.
4. Beschäftigte informieren (Personalabteilung). Die Datenschutzinformation für Beschäftigte um KI-Tools ergänzen.
5. Betriebsrat einbeziehen (Geschäftsführung). Frühzeitig unterrichten.
6. Pseudonymisieren und prüfen (alle Nutzenden). Namen und sensible Angaben ersetzen oder weglassen, Ausgabe selbst prüfen, keine Entscheidung der KI überlassen.

Beginnen Sie mit Schritt 1 und den Vorlagen mit Platzhaltern: Sie bringen Nutzen, ohne dass Beschäftigtendaten das Haus verlassen.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.