Digitale Personalakte & KI: Wann eine Datenschutz-Folgenabschätzung Pflicht ist

Für die Verwaltung digitaler Personalakten, für automatisiertes Recruiting, für HR-Analytics – KI-gestützte Tools sind aus den HR-Abteilungen fast nicht mehr wegzudenken. Sie machen viele Prozesse effizienter, aber wer haftet, wenn das KI-System beispielsweise beim Recruiting einen Kandidaten aufgrund der Religion diskriminiert und aussortiert? Oder Gesundheitsdaten falsch verarbeitet? Und hat das Unternehmen vor dem Go-live geprüft, ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich war? In diesem Beitrag ordne ich für Sie ein, wann die DSFA Pflicht ist und warum das Gespräch mit dem Datenschutzbeauftragten besser früher stattfinden sollte als zu spät.

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Die Datenschutz-Folgenabschätzung ist in Art. 35 DSGVO geregelt. Das Ziel ist pragmatisch: Risiken einer Datenverarbeitung vorab identifizieren und sie ausschließen oder zumindest reduzieren, bevor etwas schief läuft und sich das Risiko realisiert.

Wann ist eine DSFA nach Art. 35 DSGVO erforderlich?

Erforderlich ist sie nicht bei jeder Datenverarbeitung. Relevant für HR sind insbesondere folgende Konstellationen:

Die Datenschutz-Aufsichtsbehörden haben Positiv- und Negativlisten mit konkreten Use Cases veröffentlicht, darunter die Liste der Datenschutzkonferenz. Diese Listen sind ein hilfreicher erster Anhaltspunkt, doch die individuelle Prüfung ersetzen sie nicht.

KI in HR – Warum die Kombination eine DSFA so oft zur Pflicht macht

KI-Systeme unterstützen bei der Verwaltung von Personaldaten, analysieren Lebensläufe oder treffen Vorauswahl-Entscheidungen im Recruiting. Das klingt zwar effizient und ist es häufig auch, aber KI-Systeme arbeiten nicht immer transparent. Sie können Muster aus Trainingsdaten übernehmen, die diskriminierend wirken. Sie treffen Entscheidungen mit erheblichen Konsequenzen für Betroffene, etwa eine Absage auf eine Stellenbewerbung. Und sie verarbeiten dabei oft besonders sensible Datenkategorien, wie Weltanschauung, Gesundheitsdaten, sexueller Orientierung etc..

Genau diese Kombination aus KI und Personaldaten ist datenschutzrechtlich ein Bereich, der besondere Sorgfalt erfordert. In vielen Fällen macht sie eine DSFA zwingend erforderlich.

Zwei Praxisbeispiele: Wann die DSFA-Pflicht konkret greift

Beispiel 1: KI-gestützte Verwaltung der digitalen Personalakte

In der digitalen Personalakte fließen viele personenbezogene Daten zusammen. Dazu gehören:

• Angaben zu Gesundheit oder Religion (besonders geschützt nach Art. 9 DSGVO)

• Daten zu Familie und Finanzen

• Leistungsbeurteilungen, Abmahnungen, Gehaltsverläufe

Wird ein KI-System zur Verwaltung, Analyse oder Auswertung dieser Daten eingesetzt, sind gleich mehrere DSFA-Kriterien erfüllt: großer Datenumfang, neue Technologie, gegebenenfalls automatisierte Auswertungen. Eine falsche oder unzulässige Verarbeitung dieser Daten ist ein Risiko für die Mitarbeitenden und für den Arbeitgeber gleichermaßen.

Beispiel 2: Automatisiertes Recruiting-Tool mit KI-Funktion

Im Recruiting geht es darum, Bewerbungen mit einer ausgeschriebenen Stelle zu matchen. Das allein bedeutet bereits: Bewerten und Einstufen, ein DSFA-relevantes Kriterium nach Art. 35 Abs. 3 lit. a DSGVO.

Wird das Tool um eine KI-Funktion erweitert, die automatisch Absagen an unpassende Kandidat:innen verschickt, ist eine weitere Schwelle überschritten. Es liegt eine ausschließlich automatisierte Entscheidungsfindung mit Rechtswirkung im Sinne von Art. 22 DSGVO vor, wenn kein menschliches Review („Human-in-the-Loop“) erfolgt und der Adressat die Stelle nicht erhält.

Spannend wird es bei der Frage, was passiert, wenn das KI-System nicht zuverlässig funktioniert:

• Geeignete Kandidat:innen kommen nicht in die engere Auswahl.

• Es kann zu einer Diskriminierung nach AGG kommen.

Insbesondere der letzte Punkt kann Schadensersatzansprüche gegen das Unternehmen auslösen. Das ist kein hypothetisches Szenario. Es ist ein reales Risiko, das sich mit einer sorgfältig durchgeführten DSFA im Vorfeld deutlich reduzieren lässt.

So läuft eine DSFA in der Praxis ab – Schritt für Schritt

Die DSFA ist kein Selbstzweck. Sie ist das strukturierte Verfahren, mit dem:

1. Die Verarbeitungstätigkeit beschrieben wird

2. Notwendigkeit und Verhältnismäßigkeit geprüft werden

3. Risiken identifiziert und bewertet werden

4. Maßnahmen zur Risikominimierung definiert werden

5. Bei verbleibenden hohem Risiko die Aufsichtsbehörde konsultiert wird (Art. 36 DSGVO)

Der wichtigste Schritt kommt vor all dem: das Gespräch mit dem Datenschutzbeauftragten, bevor die KI zum Einsatz kommt. Nicht um eine gesetzliche Anforderung formal zu erfüllen, sondern um Risiken zu identifizieren und zu vermeiden, die sich im Nachhinein als erheblich teurer erweisen können.

Ein wesentlicher und entscheidender Punkt ist die Risikoidentifizierung. Allein wenn man die Frage stellt: “Was kann alles schief gehen?” ist schon ein großer Schritt in die Richtung der Risikominimierung getan. Hier können auch die meisten Fehler passieren. Ein Mindset im Sinne von “Das wird schon gut gehen” ist hier schädlich.  

Häufig gestellte Fragen

Muss für jedes KI-Tool in HR eine DSFA durchgeführt werden?

Nicht für jedes Tool, aber die Pflicht greift in HR schnell. Eine DSFA ist erforderlich, sobald ein KI-System personenbezogene Daten in großem Umfang verarbeitet, Bewerbende bewertet oder automatisierte Entscheidungen trifft. Die Positivlisten der Aufsichtsbehörden helfen bei einer ersten Einschätzung. Die finale Bewertung sollte immer gemeinsam mit dem Datenschutzbeauftragten erfolgen.

Was passiert, wenn keine DSFA durchgeführt wird, obwohl sie erforderlich wäre?

Fehlt eine vorgeschriebene DSFA, drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Weiter können zivilrechtliche Schadensersatzansprüche Betroffener bestehen, etwa bei diskriminierenden KI-Entscheidungen im Recruiting. Juristisch gilt: Die DSFA muss nachweisbar dokumentiert werden, auch wenn sie zum Ergebnis kommt, dass keine DSFA erforderlich ist. Fehlt diese Dokumentation, ist der Verstoß evident.

Wer ist für die DSFA verantwortlich – IT, HR oder der Datenschutzbeauftragte?

Verantwortlich ist das Unternehmen, rechtlich die Geschäftsführung als Verantwortlicher im Sinne der DSGVO. In der Praxis treiben HR und IT den Prozess gemeinsam voran, der Datenschutzbeauftragte wird zwingend einbezogen (Art. 35 Abs. 2 DSGVO) und berät bei der Durchführung. Die DSFA ist eine Teamaufgabe, kein Soloprojekt einer einzelnen Abteilung.

‍