KI in Deutschland: Wenn drei Rechtsbereiche gleichzeitig greifen

Stellen wir uns folgendes Szenario vor. Ein mittelgroßes deutsches Produktionsunternehmen, 400 Mitarbeitende, Betriebsrat vorhanden. Die Geschäftsführung hat entschieden, ein KI-System zur Bewerbervorauswahl einzuführen. Das Tool ist europäisch, laut Herstellerangaben DSGVO-konform, preiswert, und hat gute Bewertungen von anderen Unternehmen.

Was jetzt folgt, ist kein einfaches Tool-Rollout. Es ist die Navigation durch drei unabhängige Rechtsrahmen, die gleichzeitig greifen.

Ebene eins: Der EU AI Act

Bewerber-KI ist hochriskant nach Annex III, das steht unabhängig von jeder Fristverschiebung fest. Nur der Zeitpunkt hat sich zuletzt geändert: Der Digital Omnibus hat die konkreten Pflichten, Risikomanagement, menschliche Aufsicht, Dokumentation, Vorfallsmeldung, im Juli 2026 von ursprünglich August 2026 auf den 2. Dezember 2027 verlegt. Das Unternehmen bleibt in diesem Fall Deployer und trägt eigene Pflichten, sobald diese Frist greift: menschliche Aufsicht sicherstellen, betroffene Personen informieren, den Betrieb überwachen, Vorfälle melden. Wer diese Pflichten schon jetzt vorbereitet, muss zum Stichtag nicht mehr improvisieren.

Das ist der europäische Rahmen, der für alle EU-Mitgliedstaaten gilt.

Ebene zwei: Die DSGVO und die Datenschutz-Folgenabschätzung

Artikel 35 der Datenschutz-Grundverordnung verpflichtet zur Datenschutz-Folgenabschätzung (DSFA), wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat dazu eine gemeinsame Liste von Verarbeitungsvorgängen für den nicht-öffentlichen Bereich veröffentlicht, die genau benennt, wann eine DSFA nach Art. 35 Abs. 4 DSGVO zwingend ist. Ein Eintrag: die systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient. Eine KI-gestützte Bewerbervorauswahl, die maßgeblich vorentscheidet, welche Bewerbungen die Entscheidenden überhaupt zu Gesicht bekommen, fällt genau darunter. Steht der eigene Anwendungsfall nicht wörtlich auf der Liste, ist das übrigens kein Freibrief: Die DSK weist ausdrücklich darauf hin, dass jede Verarbeitung, die aufgrund ihrer Art, ihres Umfangs oder ihrer Umstände voraussichtlich ein hohes Risiko birgt, trotzdem eine DSFA verlangt.

Die DSFA hat eine eigene Struktur: Beschreibung der Verarbeitung und ihrer Zwecke, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Risikoanalyse für die betroffenen Personen, geplante Maßnahmen zur Risikoreduzierung. Wenn nach dieser Analyse ein hohes Restrisiko bestehen bleibt, kommt noch eine weitere Pflicht dazu: die vorherige Konsultation der zuständigen Landesdatenschutzbehörde.

Das Gute: Die Risikoanalyse nach AI Act und die DSFA nach DSGVO überlappen sich inhaltlich erheblich. Wer eine sorgfältige AI-Act-Risikoanalyse gemacht hat, hat einen großen Teil der DSFA bereits erarbeitet. Die Empfehlung ist deshalb, beide Verfahren koordiniert zu durchlaufen, nicht sequenziell und unabhängig voneinander. Zwei separate Teams, die denselben Use Case zweimal von Null bewerten, verdoppeln den Aufwand und produzieren gelegentlich widersprüchliche Ergebnisse.

Ebene drei: Das Betriebsverfassungsgesetz

Das ist die Ebene, die im europäischen Kontext oft fehlt und die im deutschen Unternehmensalltag dennoch die kritischste sein kann. Ihre Wurzeln reichen zurück in die Weimarer Republik: Die Weimarer Verfassung gab der betrieblichen Mitbestimmung 1919 Verfassungsrang, das erste Betriebsrätegesetz folgte 1920. Eine vergleichbar weitreichende Mitbestimmung bei technischen Überwachungssystemen hat sich in den meisten anderen EU-Staaten bis heute nicht in dieser Form durchgesetzt, der deutsche Betriebsrat bleibt in seiner Reichweite eine Ausnahme.

§87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Diesen Maßstab hat das Bundesarbeitsgericht schon 1975 im sogenannten Produktograph-Beschluss festgelegt (BAG, 09.09.1975, 1 ABR 20/74, BAGE 27, 256): Entscheidend ist die objektive Eignung zur Überwachung, nicht die Absicht des Arbeitgebers. 2022 hat das Gericht diesen Maßstab ausdrücklich auf moderne Software übertragen und die unternehmensweite Einführung von Microsoft Office 365 als mitbestimmungspflichtig eingestuft, weil das System Mitarbeitendendaten zentral auswertbar macht (BAG, 08.03.2022, 1 ABR 20/21). Für KI-Systeme gilt derselbe Maßstab: Sobald ein System objektiv geeignet ist, Verhalten oder Leistung zu erfassen, ist es mitbestimmungspflichtig, unabhängig davon, ob Überwachung der eigentliche Zweck war.

KI-Systeme, die Bewerbungen bewerten, Leistungsdaten auswerten, Aufgaben zuteilen oder Mitarbeitende monitoren, fallen regelmäßig unter diesen Tatbestand. Das gilt auch dann, wenn die Intention Effizienzsteigerung ist, nicht Kontrolle.

Was das praktisch bedeutet: Ohne Einigung mit dem Betriebsrat kann die Einführung eines solchen Systems gestoppt werden. Der Betriebsrat hat ein echtes Vetorecht. Wird keine Einigung erzielt, kann eine Einigungsstelle einberufen werden, was Zeit, Kosten und organisationale Energie kostet. Wer den Betriebsrat erst nach der Kaufentscheidung einbindet, hat die Verhandlungsposition bereits geschwächt.

Ein Hinweis für Unternehmen ohne Betriebsrat: §75 BetrVG und das Allgemeine Gleichbehandlungsgesetz gelten unabhängig von der Betriebsgröße. Transparenzpflichten gegenüber Beschäftigten bestehen in jedem Fall.

Die andere Seite der Medaille: Ein Betriebsrat, der frühzeitig und inhaltlich eingebunden wird, ist kein Hindernis, sondern ein Qualitätsmechanismus. Betriebsräte stellen oft genau die Fragen, die auch eine externe KI-Prüfung stellen würde: Wer trifft letztlich die Entscheidung? Was passiert, wenn das System einen Fehler macht? Können Betroffene widersprechen? Diese Fragen zu beantworten, bevor das System live geht, ist besser als danach.

Was die drei Ebenen gemeinsam haben

Alle drei Rechtsrahmen verlangen, dass KI-Systeme, die erheblichen Einfluss auf Personen haben, transparent, kontrollierbar und auf ihre Wirkung hin überprüfbar sind. Das ist kein Zufall, sondern eine gemeinsame rechtspolitische Überzeugung: Entscheidungen mit erheblichen Folgen für Menschen dürfen nicht ausschließlich von Algorithmen getroffen werden, ohne Dokumentation, ohne Transparenz, ohne Korrektiv.

Wer das als Last betrachtet, wird es als Last erfahren. Wer es als Qualitätsrahmen versteht, der hilft, gute Entscheidungen abzusichern, wird einen anderen Erfahrungswert haben.

Was jetzt konkret zu tun ist

Eine KI-Inventur ist der sinnvollste erste Schritt. Welche KI-Systeme sind im Einsatz? Was tun sie jeweils? Welche Daten verarbeiten sie? Welche Entscheidungen beeinflussen oder treffen sie?

Für jedes System, das als hochriskant einzustufen ist, folgen drei parallele Prüfungen: AI-Act-Kategorisierung und Pflichten je Rolle, DSFA-Prüfung ob erforderlich oder aktualisierungsbedürftig, Betriebsratseinbindung ob bereits erfolgt und in welcher Form.

Die Reihenfolge, die ich empfehle: Zuerst den Use Case präzise formulieren, dann alle drei Ebenen parallel ansehen. Datenschutzbeauftragte, Betriebsrat und fachlich Verantwortliche von Anfang an in einen Raum holen. Nicht nacheinander, sondern gleichzeitig.

Wer das tut, hat am Ende kein nur formal compliant-es System. Er hat ein System, das das Vertrauen der Belegschaft und das Vertrauen der Bewerber trägt, weil der Prozess dahinter sauber ist, und das ist langfristig mehr wert als jedes Compliance-Dokument.