Gesundheits-, Bewerber- oder Personaldaten

Situation: Ein Betrieb erhält 40 Bewerbungen und überlegt, sie von einer KI vorsortieren zu lassen. Oder jemand im Personalbüro möchte eine Krankmeldung oder die Notizen zu einem Personalgespräch zusammenfassen lassen.

Typische Sorge: „Das würde viel Zeit sparen – aber ist das nicht besonders heikel?“

Betroffene Daten: Bewerbungsunterlagen, Personalakten, Krankmeldungen, Angaben über Kinder. Gesundheitsdaten gehören zu den besonders geschützten Daten: Ihre Verarbeitung ist grundsätzlich untersagt; Ausnahmen regelt Art. 9 Abs. 2 DSGVO. ^{Q40 Art. 9} Das gilt nach Ansicht der Aufsichtsbehörden für die Eingabe, die Verarbeitung und die Ausgabe. ^{Q13 Abschn. 3.2}

• Training: In den privaten Tarifen kann mit Ihren Eingaben trainiert werden; Sie können es abschalten. In den Tarifen für Unternehmen und über die API wird nach Angaben beider Anbieter standardmäßig nicht trainiert. ^{siehe Tabelle}
• Speicherung: Auch ohne Training bleibt der Chat gespeichert, je nach Tarif bis zur Löschung oder nach den Einstellungen des Arbeitsbereichs. ^{siehe Tabelle}
• Zugriff: Im Firmenkonto können Administratoren bzw. der Inhaber des Firmenkontos auf Inhalte zugreifen oder sie exportieren. ^{Q20, Q43 · Q53, Q54} Personaldaten in einem Chat wären dann auch für sie einsehbar.
• Ort und Vertrag: Verarbeitet wird auch außerhalb des EWR, unter anderem in den USA; beide Anbieter stützen das auf Standardvertragsklauseln. ^{Q19, Q22, Q25, Q43} Einen Vertrag zur Auftragsverarbeitung sehen die gelesenen Bedingungen nur für die Tarife für Unternehmen und für die API vor. ^{Q19, Q44, Q22, Q23}

Eine Auswahl der Fragen, die dabei zur Sprache kommen:

• Rechtsgrundlage: Für die Eingabe von Personendaten braucht es nach Ansicht der Aufsichtsbehörden eine Rechtsgrundlage. ^{Q13 Abschn. 3.1} Für Gesundheitsdaten gelten die strengeren Regeln des Art. 9 DSGVO. ^{Q40 Art. 9}
• Datenschutz-Folgenabschätzung: Die Aufsichtsbehörden halten sie beim Einsatz von KI vielfach für erforderlich; entscheidend ist das Risiko der konkreten Verarbeitung. ^{Q13 Abschn. 2.3} → Begriff: DSFA
• Entscheidungen trifft ein Mensch: Entscheidungen mit Rechtswirkung sollen grundsätzlich Menschen treffen. Die Aufsichtsbehörden nennen dazu selbst ein Beispiel: Verschickt eine KI selbstständig Einladungen zu Vorstellungsgesprächen, sehen sie darin einen Verstoß gegen Art. 22 DSGVO. ^{Q13 Abschn. 1.6}
• KI-Verordnung: Anhang III Nr. 4 der KI-Verordnung nennt KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl von Personen verwendet werden sollen – etwa um Bewerbungen zu sichten, zu filtern oder Bewerber zu bewerten –, und solche für Entscheidungen über Beförderung, Kündigung oder Leistungsüberwachung. ^{Q17 Anhang III Nr. 4} Für Hochrisiko-KI nach Anhang III gelten die Pflichten aus Kapitel III Abschnitte 1 bis 3 ab 02.12.2027. ^Q16 Ob ein allgemeiner KI-Chat, den ein Betrieb dafür nutzt, darunter fällt, beurteilt dieses Angebot nicht.
• Betriebsrat: Das Betriebsverfassungsgesetz nennt KI ausdrücklich auch bei Auswahlrichtlinien. ^{Q38 § 95 Abs. 2a BetrVG} Außerdem bestimmt der Betriebsrat – soweit keine gesetzliche oder tarifliche Regelung besteht – mit bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. ^{Q35 § 87 Abs. 1 Nr. 6 BetrVG}

• Erst prüfen lassen, dann eingeben: Solche Daten gehen erst in einen KI-Dienst, wenn der Einsatz fachkundig geprüft ist. ^Grundsatz
• Datenschutzbeauftragte einbinden, wo es sie gibt: Das empfehlen die Aufsichtsbehörden beim Einsatz von KI stets. ^{Q13 Abschn. 1.12}
• Nichts von der KI entscheiden lassen: Auswahl, Absagen und Einladungen bleiben bei Menschen.
• Wo KI ohne diese Daten hilft: etwa bei einer allgemeinen Vorlage für Eingangsbestätigungen, ohne Namen und ohne Angaben aus den Bewerbungen.

Dieses Szenario sagt nicht, ob eine Verarbeitung im Einzelfall erlaubt ist, ob eine Ausnahme nach Art. 9 Abs. 2 DSGVO greift, ob eine Datenschutz-Folgenabschätzung nötig ist oder ob ein bestimmtes Werkzeug unter die KI-Verordnung fällt. Das gehört in die fachkundige Prüfung. ^Grundsatz