KI und Leistungs- oder Verhaltenskontrolle: Wo die Grenze verläuft

Wann gilt eine KI-Plattform als Kontrolleinrichtung?

Schon dann, wenn sie Daten über Verhalten oder Leistung erfassen könnte. Nach dem Bundesarbeitsgericht genügt die objektive Eignung, eine Absicht des Arbeitgebers ist nicht nötig (BAG, 13.12.2016, 1 ABR 7/15). Deshalb bestimmen Betriebsrat, Personalrat oder Mitarbeitervertretung bei der Einführung mit (§ 87 Abs. 1 Nr. 6 BetrVG, § 80 Abs. 1 Nr. 21 BPersVG, kirchliches Recht). Einzelheiten zu den Rechten stehen im Ratgeber Mitbestimmung bei KI.

Eine KI-Plattform kann typischerweise erfassen:

• Anmeldungen: wer sich wann anmeldet.
• Nutzung: welche Kennung welche App oder Verbindung zu einem System nutzt.
• Inhalte: Fragen, hochgeladene Dokumente und Antworten, wenn sie gespeichert oder protokolliert werden.
• Verbrauch: Menge der Anfragen, etwa für die Abrechnung.

Dass solche Daten entstehen, ist für Sicherheit und Nachweise nötig. Die Frage ist, wofür sie verwendet werden dürfen.

Wo verläuft die Grenze?

Verwendung	Einordnung	Was gilt
Protokoll für Sicherheit, Fehlersuche und Nachweise	zulässig mit Regelung	Zweck festlegen, Aufbewahrung begrenzen, Zugriff nur aus Anlass
Verbrauch für die ganze Organisation, etwa für die Abrechnung	zulässig	ohne Bezug auf einzelne Personen unkritisch
Statistik je Person: wer wie oft, wie lange, mit welchem Ergebnis	Leistungs- oder Verhaltenskontrolle	nur mit Rechtsgrundlage und Regelung mit der Vertretung, meist ausgeschlossen
Auswertung der Inhalte von Fragen einzelner Personen	Verhaltenskontrolle	eng begrenzen, Beschäftigte vorher deutlich informieren
KI bewertet Leistung oder Verhalten, etwa für Beurteilung oder Beförderung	Hochrisiko-KI nach Anhang III Nr. 4 KI-Verordnung	strenge Pflichten ab 2. Dezember 2027, Entscheidung trifft ein Mensch
Emotionserkennung am Arbeitsplatz	verboten seit 2. Februar 2025	Art. 5 Abs. 1 Buchst. f KI-Verordnung, Ausnahmen nur aus medizinischen oder Sicherheitsgründen

Was sagt der Beschäftigtendatenschutz?

Auch mit Zustimmung der Vertretung braucht jede Verarbeitung von Beschäftigtendaten eine Rechtsgrundlage und einen festen Zweck (Art. 5 und Art. 6 DSGVO). Eine Betriebs- oder Dienstvereinbarung kann selbst Rechtsgrundlage sein, wenn sie die Anforderungen von Art. 88 Abs. 2 DSGVO erfüllt: angemessene und besondere Maßnahmen zum Schutz der Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten, ausdrücklich auch bei Überwachungssystemen am Arbeitsplatz (§ 26 Abs. 4 BDSG).

Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) zu einer gleichlautenden hessischen Vorschrift gilt: Eine allgemeine nationale Erlaubnis für Beschäftigtendaten trägt nur, wenn sie die Vorgaben von Art. 88 DSGVO erfüllt. Für § 26 Abs. 1 BDSG wird das überwiegend verneint, Arbeitgeber stützen sich deshalb meist auf Art. 6 DSGVO. Umso wichtiger ist eine sorgfältig formulierte Vereinbarung mit klarem Zweck.

Welche Fragen sollten Sie dem Anbieter stellen?

Ob eine KI-Plattform zur Kontrolle taugt, entscheidet ihre Technik. Diese Fragen helfen der Vertretung und dem Datenschutz:

1. Was steht im Protokoll: Namen oder nur Kennungen, Inhalte oder nur Handlungen?
2. Lassen sich Inhalte von Fragen und Antworten protokollieren, und sehen die Beschäftigten, wenn das eingeschaltet ist?
3. Wie lange werden Protokolle aufbewahrt, und wer stellt das ein?
4. Lassen sich Protokolleinträge ändern oder löschen?
5. Welche Auswertungen sehen Administratoren in Dashboard und Berichten, und lassen sie sich einzelnen Personen zuordnen?
6. Welche Rollen gibt es, und woher kommen sie?
7. Wo liegen Chatverläufe, und wer kann sie lesen?

Die Antworten gehören in die Anlage der Vereinbarung. Ein Muster mit Anlage für die Protokolleinstellungen stellt der Ratgeber Muster-Dienstvereinbarung für KI vor.

Was gilt in Österreich und der Schweiz?

In Österreich brauchen Kontrollmaßnahmen und technische Systeme, die die Menschenwürde berühren, die Zustimmung des Betriebsrats in einer Betriebsvereinbarung (§ 96 Abs. 1 Z 3 ArbVG). In der Schweiz dürfen Systeme, die das Verhalten am Arbeitsplatz überwachen sollen, nicht eingesetzt werden (Art. 26 ArGV 3).

Wie geht das mit basebox?

Bei basebox gilt: Protokolliert wird zur Sicherheit, nicht zur Leistungskontrolle. Rollen kommen aus Ihrer Benutzerverwaltung, neue Profile entstehen nicht. Im Einzelnen:

• Audit-Log: Es hält fest, wer was wann getan hat, etwa Anmeldungen, Rechteänderungen, Konfiguration und Aufrufe von Konnektoren, mit Kennungen statt Namen oder E-Mail-Adressen. Einträge lassen sich nicht ändern und nicht einzeln löschen.
• Dashboard: Ihr Administrator sieht die Nutzung, auch je Person, aber keine Fragen und keine Inhalte.
• Inhalte: Fragen und Antworten bleiben außen vor, solange Ihr Administrator die ausführliche Protokollierung nicht einschaltet. Ist sie eingeschaltet, sehen alle im Chat einen Hinweis, der sich nicht abschalten lässt.
• Aufbewahrung: Das Audit-Log 6 Monate, einstellbar von 3 bis 36 Monaten. Systemprotokolle werden nach 7 Tagen gelöscht, wenn Sie nichts anderes einstellen.
• Rollen: Bewusst wenige, Personen und Administratoren.
• Chatverlauf: Er bleibt im Browser der Person, bis sie ihn löscht.
• Keine Bewertung von Beschäftigten: basebox macht Vorschläge, Entscheidungen treffen Menschen.

Weil das Dashboard die Nutzung je Person zeigt, ist basebox objektiv geeignet, Verhalten zu erfassen. Für die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG genügt das, unabhängig davon, ob jemand die Zahlen auswerten will. Die Dienst- oder Betriebsvereinbarung kann dazu regeln:

• wer das Dashboard sehen darf,
• dass Zahlen je Person nicht für Leistungs- oder Verhaltenskontrolle verwendet werden,
• ob und wann die Protokollierung von Fragen eingeschaltet wird,
• wie die Vertretung davon erfährt.

Keine Rechtsberatung: Dieser Ratgeber gibt den Stand vom 11. Oktober 2026 wieder. Die Rechtsprechung zum Beschäftigtendatenschutz entwickelt sich, und Personalvertretungs- und Kirchenrecht weichen im Einzelnen ab. Lassen Sie Vereinbarung und Datenschutz-Folgenabschätzung für Ihr Haus prüfen.