Informationspflichten des Arbeitgebers beim KI-Einsatz

Immer mehr Arbeitgeber setzen KI-Dienste externer Anbieter ein. Dabei stellt sich im Beschäftigtendatenschutz die Frage, ob Beschäftigte explizit darüber informiert werden müssen, falls ein KI-Dienstleister ihre Daten verarbeitet. Und falls ja, woher kommt diese Pflicht? Die Antwort ist differenzierter als oft angenommen.

Verlangt Art. 13 DSGVO eine Information über den KI-Einsatz?

Art. 13 DSGVO enthält keine Regelung, die Verantwortliche verpflichtet, Betroffene explizit darüber zu informieren, dass ihre personenbezogenen Daten in einem KI-System verarbeitet werden. Die Norm verlangt Angaben zu Zweck, Rechtsgrundlage, Speicherdauer sowie die Nennung der Empfänger oder Kategorien von Empfängern. Eine darüber hinausgehende ausdrückliche Pflicht, den KI-Einsatz als solchen offenzulegen, besteht nicht.

Muss der KI-Dienstleister als solcher in den Datenschutzhinweisen stehen?

Eine ausdrückliche Informationspflicht besteht nicht. Art. 13 Abs. 1 lit. e DSGVO verlangt die Angabe von Empfängern oder Kategorien von Empfängern, schreibt aber nicht vor, wie diese zu benennen sind. Ein KI-Anbieter kann grundsätzlich unter verschiedene bestehende Kategorien fallen:

• „IT-Dienstleister“
• „Cloud-Anbieter“
• „Softwaredienstleister“
• „Anbieter von Analysetools“

Führt ein Arbeitgeber in seinen Datenschutzhinweisen für Beschäftigte bereits eine Kategorie wie „IT-Dienstleister“ auf und fällt der KI-Anbieter darunter, besteht möglicherweise kein Änderungsbedarf. Die Einführung eines KI-Dienstleisters würde dann keine Anpassung der Datenschutzhinweise erfordern.

Allerdings verlangt der Transparenzgrundsatz nach Art. 5 Abs. 1 lit. a DSGVO, dass Empfänger-Kategorien hinreichend bestimmt formuliert sind. Bei KI-Dienstleistern dürfte das regelmäßig relevant werden: Die Verarbeitung personenbezogener Daten in einem Sprachmodell unterscheidet sich erheblich von klassischen IT-Dienstleistungen wie Hosting oder Support. Eine pauschale Kategorie wie „IT-Dienstleister“ wird dem in der Regel nicht gerecht. Vieles spricht daher dafür, den KI-Dienstleister als eigene Empfänger-Kategorie auszuweisen. Dabei sollte die Angabe einer Kategorie wie „KI-Dienstleister“ genügen. Die namentliche Nennung einzelner Anbieter ist nach Art. 13 Abs. 1 lit. e DSGVO nicht erforderlich.

Welche Pflichten schafft die KI-Verordnung bei Hochrisiko-Systemen?

Die KI-Verordnung (EU) 2024/1689 stellt neben der DSGVO eigene Anforderungen an die Transparenz gegenüber Betroffenen. Art. 26 Abs. 7 S. 1 KI-VO verpflichtet Betreiber, die Arbeitgeber sind, vor der Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz die Arbeitnehmervertreter und betroffenen Arbeitnehmer darüber zu informieren, dass sie der Verwendung eines solchen Systems unterliegen werden. Ob ein System als Hochrisiko gilt, bestimmt sich nach Art. 6 i. V. m. Anhang III der KI-VO. Für den Beschäftigungskontext relevant ist Anhang III Nr. 4: KI-Systeme, die für Einstellung, Auswahl, Leistungsbewertung oder Überwachung von Arbeitnehmern eingesetzt werden.

Wie bewertet die DSK die aktuelle Rechtslage?

Die Datenschutzkonferenz (DSK) hat die fehlende KI-spezifische Informationspflicht als Regelungslücke identifiziert. In ihrer Entschließung zu DSGVO-KI-Anpassungen vom 12.12.2025 stellt die DSK fest: Verantwortliche sind bislang nicht explizit verpflichtet, Betroffene darüber zu informieren, dass ihre Daten in einem KI-System verarbeitet werden.

Konkret schlägt die DSK vor:

1. Ergänzung von Art. 13 Abs. 2 und Art. 14 Abs. 2 DSGVO um eine ausdrückliche Informationspflicht bei KI-Verarbeitung
2. Ergänzung von Art. 15 Abs. 1 DSGVO um ein entsprechendes Auskunftsrecht

Sollten die Vorschläge umgesetzt werden, müssten Arbeitgeber künftig in ihren Datenschutzhinweisen ausdrücklich angeben, dass personenbezogene Daten in einem KI-System verarbeitet werden. Die Informationspflicht würde dann nicht mehr allein an den Empfänger anknüpfen, sondern an die Technologie selbst.

Was Arbeitgeber Beschäftigten zum KI-Einsatz mitteilen müssen

Nach geltendem Recht besteht keine eigenständige Pflicht, Beschäftigte über den KI-Einsatz als solchen zu informieren. Die bestehende Pflicht beschränkt sich darauf, den KI-Dienstleister als Empfänger zu nennen. Der Transparenzgrundsatz dürfte regelmäßig dazu führen, dass „KI-Dienstleister“ als eigene Empfänger-Kategorie auszuweisen ist. Mit der von der DSK vorgeschlagenen Ergänzung der DSGVO könnte künftig auch noch eine ausdrückliche Pflicht hinzukommen, den KI-Einsatz unabhängig von der Empfänger-Frage offenzulegen.