DSGVO & KI-Verordnung: Die Compliance-Checkliste für KI-Teamassistenten

Der EU AI Act tritt am 2. August 2026 in voller Durchsetzung in Kraft. KI-Systeme im HR- und Beschäftigungsbereich werden unter Anhang III, Punkt 4 als Hochrisiko klassifiziert. Das umfasst Rekrutierung, Aufgabenzuteilung, Leistungsmonitoring und Teamentwicklungs-Tools. Nur 6 % der EU-Organisationen betrachten sich als vollständig vorbereitet (KPMG). 78 % der deutschen Unternehmen nutzen oder planen KI, aber weniger als 30 % haben eine KI-spezifische Risikobewertung durchgeführt (Bitkom). 52 % der deutschen Betriebsräte berichten, nicht über KI-Tools in ihrer Organisation informiert zu sein (Hans-Bockler-Stiftung). Dieser Leitfaden bietet eine praktische 15-Punkte-Compliance-Checkliste für DSGVO und EU AI Act mit spezifischer Anleitung für die Betriebsrats-Abstimmung im DACH-Raum.

Der EU AI Act schafft ein risikobasiertes Klassifizierungssystem. Nicht alle KI wird gleich reguliert: Verbotene KI (verboten seit Feb 2025): Social Scoring, biometrische Echtzeit-Überwachung, Emotionserkennung am Arbeitsplatz. Hochrisiko-KI (durchsetzbar ab Aug 2026): KI im Beschäftigungs- und HR-Bereich. Konkret Anhang III, Punkt 4 umfasst: Rekrutierung und CV-Screening, Aufgabenzuteilung basierend auf individuellen Merkmalen, Monitoring und Bewertung der Arbeitsleistung, Entscheidungen über Beförderung, Kündigung oder Vertragskonditionen. KI mit begrenztem Risiko: Chatbots, Content-Generierung. Muss KI-Natur gegenüber Nutzern offenlegen. Minimales Risiko: Spam-Filter, KI in Spielen. Keine spezifischen Pflichten. Wenn Ihr Team einen KI-Assistenten für HR-nahe Funktionen nutzt (Teamanalysen, Puls-Befragungen, Coaching, Terminplanung, Performance-Einblicke), fällt er wahrscheinlich unter Hochrisiko. Das bedeutet nicht, dass Sie ihn nicht nutzen dürfen. Es bedeutet, dass Sie spezifische Anforderungen erfüllen müssen.

Eine häufige Frage: "Wir sind bereits DSGVO-konform. Reicht das?" Nein. DSGVO und KI-Verordnung überschneiden sich, haben aber unterschiedliche Anforderungen: DSGVO umfasst: Verarbeitung personenbezogener Daten, Rechtsgrundlage (Art. 6), Datenminimierung, DSFA für Hochrisiko-Verarbeitung (Art. 35), Schutzmaßnahmen bei automatisierter Entscheidungsfindung (Art. 22), Recht auf Erklärung. KI-Verordnung ergänzt: Risikomanagementsystem (Art. 9), technische Dokumentation (Art. 11), automatische Protokollierung von KI-Entscheidungen (Art. 12), Transparenzanforderungen (Art. 13), verpflichtende menschliche Aufsichtsrollen (Art. 14), Genauigkeits- und Bias-Monitoring (Art. 15). Beide erfordern: Datenschutz-Folgenabschätzung, Transparenz über KI-Nutzung, menschliche Aufsicht bei bedeutenden Entscheidungen, Dokumentation und Audit-Trails. Die praktische Auswirkung: Wenn Ihr KI-Teamassistent Mitarbeiterdaten verarbeitet (Puls-Befragungen, Assessments, Feedback, Coaching), brauchen Sie Compliance mit beiden Verordnungen gleichzeitig. Bußgelder können sich addieren: DSGVO bis 20 Mio. EUR / 4 % Umsatz PLUS KI-Verordnung bis 35 Mio. EUR / 7 % Umsatz.

Für deutsche und österreichische Organisationen hat der Betriebsrat Mitbestimmungsrechte nach BetrVG Paragraph 87 Abs. 1 Nr. 6 bei Einführung technischer Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmenden überwachen. Das Bundesarbeitsgericht (BAG) bestätigte 2023, dass dies für KI-basierte Software gilt (BAG 1 ABR 14/22). Praktische Anforderungen: - Betriebsvereinbarung verhandeln, die abdeckt: KI-System-Umfang, verarbeitete Daten, Mitarbeiterrechte, Überprüfungszyklen - Nach Paragraph 80 Abs. 3 können Betriebsräte externe KI-Sachverständige auf Kosten des Arbeitgebers hinzuziehen - Assessment-Teilnahme muss freiwillig sein - Individuelle Coaching-Daten dürfen für das Management nicht sichtbar sein - Der Betriebsrat muss vor dem Einsatz jedes neuen KI-Tools informiert werden 52 % der deutschen Betriebsräte berichten, nicht über KI-Tools in ihrer Organisation informiert zu sein. Proaktives Engagement verhindert Konflikte und Verzögerungen.

Teamo AI ist von Grund auf für EU AI Act und DSGVO-Konformität konzipiert: - EU-Datenresidenz: Alle Daten in EU-Rechenzentren gehostet. Keine US-Transfers. - Audit-Logging: Jede KI-Aktion protokolliert, mit Zeitstempel versehen, Nutzer und Session zugeordnet. Durchsuchbar und exportierbar für behördliche Überprüfung. - Rollenbasierte Zugriffskontrolle: 4-stufiges Berechtigungssystem (Mitglied/Observer/Admin/Super-Admin). KI-Fähigkeiten pro Rolle begrenzt. - Tool-Ausführungsrichtlinien: 4 Profile (minimal/standard/admin/full). Gefährliche Aktionen erfordern menschliche Bestätigung. - Anonymisierung als Standard: Individuelle Assessment-Ergebnisse und Coaching-Gespräche anonymisiert. Nur aggregierte Team-Level-Einblicke für das Management sichtbar. - Betriebsrats-kompatibel: Freiwillige Teilnahme, Datentrennung zwischen Coaching und Leistung, Informationsrechte des Betriebsrats unterstützt. - Menschliche Aufsicht: Tool-Bestätigungssystem bietet Vorschau + Genehmigung für ausgehende Aktionen. Keine automatisierten Entscheidungen ohne menschliche Überprüfung bei bedeutenden Ergebnissen. Für den vollständigen Enterprise-Sicherheitsvergleich siehe unseren Enterprise-KI-Agent-Sicherheitsleitfaden.