Ist der Einsatz von KI zur Leistungsbewertung von Beschäftigten rechtmäßig?

⏱️ Lesezeit: 14 min · 📁 Kategorie: KVKK & Digitale Compliance

Ist KI für Leistungsbewertung und Personaldaten rechtmäßig? (Dateiübermittlung, Analyse, Speicherung, Profilbildung und KVKK-Risiken – 2026)

Personalabteilungen analysieren inzwischen häufig Leistungsberichte mit KI,
laden Lebensläufe, Leistungsdaten und Feedback hoch und fragen, ob ein Beschäftigter ein Risiko darstellt;
manche Tools speichern die Daten in ihren eigenen Systemen.
Aus KVKK-Sicht beginnt das eigentliche Risiko bei diesen Praktiken.

🔑 Grundprinzip: Das KVKK-Risiko entsteht durch die an die KI übergebenen Daten und deren Zielort und nicht durch den KI-Einsatz selbst.
Die KVKK-Frage lautet: Wohin gelangten die Daten, wer griff darauf zu, wie lange wurden sie gespeichert und wofür genutzt? 1️⃣ Was ist eine Personalakte aus KVKK-Sicht?

Eine Personalakte enthält üblicherweise:

• Identitätsinformationen, Kontaktinformationen
• Lebenslauf sowie Ausbildungs- und Zertifikatsnachweise
• Formulare zur Leistungsbeurteilung
• Kommentare von Vorgesetzten und Feedbacknotizen
• Disziplinarverfahren und Protokolle
• Fehlzeiten, Ziele und Prämieninformationen

All dies sind personenbezogene Daten.
Leistungs-, Disziplinar- und Verhaltensdaten gelten meist als risikoreiche Datensätze
, da sie das Berufsleben und die wirtschaftliche Zukunft direkt beeinflussen können.

2️⃣ Risikokarte: Dateiübermittlung → Analyse → Speicherung → Profilbildung → Entscheidung

Im KI-Einsatz wächst das Risiko in der Regel in dieser Kette:

1. Datei an die KI übermitteln (PDF-, Excel- oder Word-Dateien hochladen, Text kopieren)
2. Analyse oder Interpretation (Zusammenfassung, Kommentar, Risikoerkennung, Potenzialbewertung)
3. Aufzeichnung oder Speicherung (speichert das Tool die Daten?)
4. Profilbildung oder Bewertung (Punktwert, Segment, Einstufung als riskant oder mit hohem Potenzial)
5. Einfluss auf Entscheidungen (Einsatz bei Beförderungen, Prämien oder Kündigungen)

📌 Warnsignal bei Prüfungen: Kommen die Schritte 3, 4 und 5 – Speicherung, Profilbildung und Entscheidungseinfluss – hinzu,
steigen Compliance-Aufwand und Nachweispflichten stark an. 3️⃣ Szenario 1: Leistungsakte in ein KI-Tool hochladen

Beispiel: Eine HR-Fachkraft fasste Leistungsformular, Vorgesetztenkommentare und Zieltabellen eines Beschäftigten in einer PDF zusammen.
Die Fachkraft lud die Datei in das KI-Tool hoch und fragte:
Wie hoch sind das Leistungsniveau und das Beförderungspotenzial dieses Beschäftigten?

Kriterien	Bewertung
Gibt es personenbezogene Daten?	✅
Gibt es Analysen/Interpretationen?	✅
Erfolgt eine Profilbildung oder Klassifizierung?	✅
Könnten der Person Nachteile entstehen?	✅

Dies ist eine risikoreiche Datenverarbeitung, da die KI aus Leistungsdaten wahrscheinlich
Interpretationen erzeugt und damit Entscheidungen beeinflusst.

Drei risikosteigernde Faktoren:

• Die gesamte Akte ohne Datenminimierung hochladen
• Nutzung der Ergebnisse für Beförderungen, Prämien oder Kündigungen
• Auslandsinfrastruktur oder unklare Speicherregeln des Tools

4️⃣ Szenario 2: Das KI-Tool speichert Daten im eigenen System

Beispiel: Die Nutzungsbedingungen besagen, dass eingegebene Daten zur Verbesserung des Dienstes gespeichert werden können.
HR lädt Leistungsdaten hoch, die das Tool in seiner eigenen Umgebung behalten kann.

Dies geht über die Analyse hinaus und erzeugt Risiken durch Speicherung und mögliche Wiederverwendung.
Die entscheidende KVKK-Frage ist, ob Speicherfristen, Zugriffsrechte und Nutzungszwecke kontrolliert werden können.

📌 Kernpunkt: Personaldaten könnten den Kontrollbereich des Arbeitgebers verlassen haben.
Unkontrollierte Speicherung gefährdet die Zweckbindung und die Datensicherheit. 5️⃣ Szenario 3: Ein KI-Leistungswert fließt in Entscheidungen ein

Beispielergebnis: Dieser Beschäftigte ist leistungsschwach, stellt ein Risiko dar und ist wenig motiviert.
Dieses Ergebnis wird für Beförderungen, Prämien oder Kündigungsverfahren genutzt.

Dies stellt praktisch Profilbildung und automatisierte Bewertung dar.
Das Risiko ist am höchsten, wenn aus einer Empfehlung die Entscheidung wird.

Die entscheidende Prüfungsfrage lautet: Wie wurde dieser Wert erzeugt, welche Daten wurden verwendet, wie wird ein fehlerhafter Wert berichtigt,
welches Verfahren greift bei einem Widerspruch des Beschäftigten, und gibt es eine menschliche Prüfung? 6️⃣ Szenario 4: vermeintlich anonymisierte Datei (Risiko indirekter Identifizierung)

Beispiel: HR hat Namen entfernt, die Datei enthält aber weiterhin Position, Abteilung, Betriebszugehörigkeit, Leistungsnotizen und konkrete Ereignisse.
Mit diesen Informationen in einem kleinen Team kann die Person indirekt identifiziert werden.

⚠️ Tatsache: Ist eine Person indirekt identifizierbar, handelt es sich weiterhin um personenbezogene Daten.
Gerade in kleinen Teams scheitert die "Anonymisierung" oft. 7️⃣ Szenario 5: KI empfiehlt, ein Mensch entscheidet (besser vertretbares Modell)

Beispiel: Die KI empfiehlt Schulung X für diesen Beschäftigten.
Die Führungskraft oder das HR-Gremium bewertet abschließend; der KI-Wert wird nicht allein genutzt, und Beschäftigte werden über das Verfahren informiert.

Dieses Modell ist durch einen Human-in-the-Loop -Ansatz besser vertretbar.
Datenminimierung, Sicherheit, Speicherung und Übermittlung müssen dennoch geregelt werden.

8️⃣ Wann ist bei Personaldaten ausdrückliche Einwilligung nötig?

Ausdrückliche Einwilligung ist nicht immer eine belastbare Grundlage, da ihre Freiwilligkeit im Beschäftigungsverhältnis umstritten ist.
Dennoch kann in folgenden Fällen ausdrückliche Einwilligung nötig sein; erforderlich ist zumindest eine sehr gründliche rechtliche Prüfung :

• Wenn Leistungsdaten systematisch mittels KI analysiert werden
• Wenn die KI Interpretationen, Profile oder Risikofolgerungen erstellt
• Wenn das AI-Tool Daten speichert
• Wenn eine Datenübermittlung ins Ausland möglich ist

❌ Falsche Annahmen:

• Es steht im Arbeitsvertrag → das allein reicht nicht aus
• Die Befugnisse des Arbeitgebers erlauben keine unbegrenzte Datenverarbeitung.

9️⃣ Datenübermittlung ins Ausland (der gefährlichste Punkt)

Viele KI-Tools laufen cloudbasiert und ihre Infrastruktur kann im Ausland angesiedelt werden.
Das Hochladen einer Personalakte kann das Risiko einer Datenübermittlung ins Ausland begründen.

• In welche Länder gelangen die Daten?
• Gibt es eine Kette von Unterauftragsverarbeitern?
• Wie ist die Aufbewahrungsfrist?
• Wie werden Zugriffsrechte und Protokolle verwaltet?

Praktischer Hinweis: Die Bezeichnung interne Nutzung beseitigt das Übermittlungsrisiko nicht, wenn Daten in Cloud-Dienste gelangen. 🔟 Ansatz des Datenschutzrats (Perspektive 2026)

Grundsätze, die sich aus der Perspektive der Prüfung herausstellen:

• Das Verhältnis zwischen Beschäftigten und Arbeitgeber ist ungleich; die Freiwilligkeit der Einwilligung ist stets zu hinterfragen.
• Ständige Überwachung und Scoring werden mit Vorsicht angegangen
• KI darf keine Blackbox sein; das Verfahren muss prüfbar sein
• Der Verantwortliche – der Arbeitgeber – kann seine Verantwortung nicht abgeben.

1️⃣1️⃣ Klare rote Linien für HR

• ❌ Personalakten in unkontrollierte KI-Tools hochladen
• ❌ Speicherung oder Wiederverwendung ohne Vertrag und Kontrolle erlauben
• ❌ Automatische Bewertungen allein als Entscheidung nutzen
• ❌ Keine Unterrichtung des Arbeitnehmers (keine Transparenz)
• ❌ Datenübermittlungen ins Ausland ignorieren

1️⃣2️⃣ Ein sichereres Modell aufbauen: operativer Überblick

• Minimierung: Nur die zwecknotwendigen Felder statt der gesamten Akte.
• Maskierung: Direkte und indirekte Identifikatoren entfernen.
• Speicherkontrolle: Keine Speicherung durch das Tool oder strenge vertragliche Grenzen.
• Menschliche Freigabe: Die KI empfiehlt nur; ein Mensch entscheidet.
• Transparenz: Beschäftigte datenschutzrechtlich informieren und das Verfahren erklären.
• Übermittlungskontrolle: Technische und vertragliche Kontrollen für Cloud- und Auslandsrisiken.
• Protokollierung: Wer verarbeitete welche Daten, zu welchem Zweck, wann? (Prüfungsnachweis)

🧠 Expertenfazit

KI kann die Leistung der Mitarbeiter unterstützen, aber das Schicksal des Mitarbeiters kann KI nicht überlassen werden.
Die Übergabe von Personalakten an KI kann in begrenzten Konstellationen möglich sein, ist in der Praxis aber meist risikoreich
und kann bei fehlerhafter Gestaltung unmittelbar gegen die KVKK verstoßen.

KI-Nutzungsrichtlinie für HR und KVKK-Risikokarte erhalten