Immer mehr Arbeitgeber setzen KI-Dienste externer Anbieter ein. Dabei stellt sich im Beschäftigtendatenschutz die Frage, ob Beschäftigte explizit darüber informiert werden müssen, falls ein KI-Dienstleister ihre Daten verarbeitet. Und falls ja, woher kommt diese Pflicht? Die Antwort ist differenzierter als oft angenommen.
Verlangt Art. 13 DSGVO eine Information über den KI-Einsatz?
Art. 13 DSGVO enthält keine Regelung, die Verantwortliche verpflichtet, Betroffene explizit darüber zu informieren, dass ihre personenbezogenen Daten in einem KI-System verarbeitet werden. Die Norm verlangt Angaben zu Zweck, Rechtsgrundlage, Speicherdauer sowie die Nennung der Empfänger oder Kategorien von Empfängern. Eine darüber hinausgehende ausdrückliche Pflicht, den KI-Einsatz als solchen offenzulegen, besteht nicht.
Muss der KI-Dienstleister als solcher in den Datenschutzhinweisen stehen?
Eine ausdrückliche Informationspflicht besteht nicht. Art. 13 Abs. 1 lit. e DSGVO verlangt die Angabe von Empfängern oder Kategorien von Empfängern, schreibt aber nicht vor, wie diese zu benennen sind. Ein KI-Anbieter kann grundsätzlich unter verschiedene bestehende Kategorien fallen:
- „IT-Dienstleister“
- „Cloud-Anbieter“
- „Softwaredienstleister“
- „Anbieter von Analysetools“
Führt ein Arbeitgeber in seinen Datenschutzhinweisen für Beschäftigte bereits eine Kategorie wie „IT-Dienstleister“ auf und fällt der KI-Anbieter darunter, besteht möglicherweise kein Änderungsbedarf. Die Einführung eines KI-Dienstleisters würde dann keine Anpassung der Datenschutzhinweise erfordern.
Allerdings verlangt der Transparenzgrundsatz nach Art. 5 Abs. 1 lit. a DSGVO, dass Empfänger-Kategorien hinreichend bestimmt formuliert sind. Bei KI-Dienstleistern dürfte das regelmäßig relevant werden: Die Verarbeitung personenbezogener Daten in einem Sprachmodell unterscheidet sich erheblich von klassischen IT-Dienstleistungen wie Hosting oder Support. Eine pauschale Kategorie wie „IT-Dienstleister“ wird dem in der Regel nicht gerecht. Vieles spricht daher dafür, den KI-Dienstleister als eigene Empfänger-Kategorie auszuweisen. Dabei sollte die Angabe einer Kategorie wie „KI-Dienstleister“ genügen. Die namentliche Nennung einzelner Anbieter ist nach Art. 13 Abs. 1 lit. e DSGVO nicht erforderlich.
Welche Pflichten schafft die KI-Verordnung bei Hochrisiko-Systemen?
Die KI-Verordnung (EU) 2024/1689 stellt neben der DSGVO eigene Anforderungen an die Transparenz gegenüber Betroffenen. Art. 26 Abs. 7 S. 1 KI-VO verpflichtet Betreiber, die Arbeitgeber sind, vor der Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz die Arbeitnehmervertreter und betroffenen Arbeitnehmer darüber zu informieren, dass sie der Verwendung eines solchen Systems unterliegen werden. Ob ein System als Hochrisiko gilt, bestimmt sich nach Art. 6 i. V. m. Anhang III der KI-VO. Für den Beschäftigungskontext relevant ist Anhang III Nr. 4: KI-Systeme, die für Einstellung, Auswahl, Leistungsbewertung oder Überwachung von Arbeitnehmern eingesetzt werden.
Wie bewertet die DSK die aktuelle Rechtslage?
Die Datenschutzkonferenz (DSK) hat die fehlende KI-spezifische Informationspflicht als Regelungslücke identifiziert. In ihrer Entschließung zu DSGVO-KI-Anpassungen vom 12.12.2025 stellt die DSK fest: Verantwortliche sind bislang nicht explizit verpflichtet, Betroffene darüber zu informieren, dass ihre Daten in einem KI-System verarbeitet werden.
Konkret schlägt die DSK vor:
- Ergänzung von Art. 13 Abs. 2 und Art. 14 Abs. 2 DSGVO um eine ausdrückliche Informationspflicht bei KI-Verarbeitung
- Ergänzung von Art. 15 Abs. 1 DSGVO um ein entsprechendes Auskunftsrecht
Sollten die Vorschläge umgesetzt werden, müssten Arbeitgeber künftig in ihren Datenschutzhinweisen ausdrücklich angeben, dass personenbezogene Daten in einem KI-System verarbeitet werden. Die Informationspflicht würde dann nicht mehr allein an den Empfänger anknüpfen, sondern an die Technologie selbst.
Was Arbeitgeber Beschäftigten zum KI-Einsatz mitteilen müssen
Nach geltendem Recht besteht keine eigenständige Pflicht, Beschäftigte über den KI-Einsatz als solchen zu informieren. Die bestehende Pflicht beschränkt sich darauf, den KI-Dienstleister als Empfänger zu nennen. Der Transparenzgrundsatz dürfte regelmäßig dazu führen, dass „KI-Dienstleister“ als eigene Empfänger-Kategorie auszuweisen ist. Mit der von der DSK vorgeschlagenen Ergänzung der DSGVO könnte künftig auch noch eine ausdrückliche Pflicht hinzukommen, den KI-Einsatz unabhängig von der Empfänger-Frage offenzulegen.
Gibt es einen konkreten Entwurf, wie die Information aussehen soll? Dankeschön
Vielen Dank für den Kommentar. Einen allgemein gültigen Formulierungsvorschlag gibt es derzeit nicht. Die konkrete Information hängt vom jeweiligen KI-Einsatz ab.
Die Berücksichtigung von § 90 Abs. 1 Nr. 3 BetrVG wäre noch interessant gewesen, wenn man sowieso die Einbeziehung des Betriebsrates adressiert.
Vielen Dank für den Hinweis. Das ist ein wichtiger ergänzender Aspekt. § 90 Abs. 1 Nr. 3 BetrVG verpflichtet den Arbeitgeber, den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des KI-Einsatzes zu unterrichten. Diese Pflicht steht neben der Informationspflicht nach Art. 26 Abs. 7 KI-VO bei Hochrisiko-KI.