Künstliche Intelligenz und ihre Auswirkungen auf den Beschäftigtendatenschutz

Die bestehenden datenschutzrechtlichen Regelungen ermöglichen den Einsatz von Künstlicher Intelligenz im Rahmen des Beschäftigungsverhältnisses. Insbesondere im laufenden Beschäftigungsverhältnis darf bei Personalentscheidungen nicht allein auf die Künstliche Intelligenz abgestellt werden. Die arbeitgeberseitige Fürsorgepflicht gebietet durch Künstliche Intelligenz erzeugte Entscheidungen zumindest eine Überprüfung durch einen entscheidungsbefugten Personalverantwortlichen.

I. Künstliche Intelligenz (KI) im Beschäftigungsverhältnis

1. Definition der KI durch die Datenethikkommission (DEK)

In einer Empfehlung für die Strategie Künstliche Intelligenz der Bundesregierung hat die Datenethikkommission (DEK) folgende Begriffsdefinition für Künstliche Intelligenz (KI) vorgenommen:
„Wir verstehen „Künstliche Intelligenz“ in diesem Zusammenhang als Sammelbegriff für diejenigen Technologien und ihre Anwendungen, die durch digitale Methoden auf der Grundlage potenziell sehr großer und heterogener Datensätze in einem komplexen und die menschliche Intelligenz gleichsam nachahmenden maschinellen Verarbeitungsprozess ein Ergebnis ermitteln, das ggf. automatisiert zur Anwendung gebracht wird. Die wichtigsten Grundlagen für KI als Teilgebiet der Informatik sind die subsymbolische Mustererkennung, das maschinelle Lernen, die computergerechte Wissensrepräsentation und die Wissensverarbeitung, welche Methoden der heuristischen Suche, der Inferenz und der Handlungsplanung umfasst.“

Diese Begriffsdefinition ist sehr generisch. Eine effektive Regelungsfähigkeit des Einsatzes der KI im Beschäftigungsverhältnis setzt deutlich erkennbare Anwendungsszenarien und damit einhergehende tatsächliche Veränderungen für die Arbeitswelt voraus, um hierfür regulierende Rahmenbedingen zu setzen.

2. Auswirkungen der KI auf Beschäftigungsverhältnisse

Da Anwendungen mit KI in alle Lebensbereiche eingreifen können und auch immer mehr menschliches Verhalten in immer breiteren Handlungsfeldern automatisieren und ersetzen sollen, wird sich auch die Arbeitswelt durch die KI verändern. KI-gesteuerte Systeme sind für ihr Funktionieren auf große Datenmengen angewiesen. „Die konkrete Funktionsweise ist zudem in besonderer Weise abhängig von der Auswahl und der Qualität der jeweils eingegebenen und/oder für die Entwicklung („Training“) genutzten Daten.“

Sowohl Quantität als auch Qualität der Daten sind in der Konsequenz der Motor und der Kraftstoff für KI-Anwendungen. Im Beschäftigungsverhältnis muss somit der Beschäftigte selbst zum Datenlieferanten werden, damit die Technologie einen effektiven Nutzen entfalten kann. Ohne eine entsprechende Datengrundlage funktionieren die KI-Anwendung zugrundeliegenden Algorithmen nicht. Mittels „trial and error“ wird der Beschäftigte als betroffene Person zum Datensubjekt, bei dem so lange zulässige Lösungsmöglichkeiten versucht werden, bis die gewünschte Lösung gefunden wurde. Die dabei beim Beschäftigten erhobenen Daten können den Algorithmen etwa zum Targeting oder zur Erkennung von Mustern oder strukturellen Prozessen dienen.

II. Rechtlicher Rahmen

Die Verarbeitung personenbezogener Daten und mithin ihre Erhebung ist grundsätzlich verboten, sofern dafür keine rechtliche Erlaubnis gegeben ist. Nur wenn einer der Erlaubnistatbestände erfüllt ist, dürfen Daten mit Personenbezug oder Personenbeziehbarkeit verarbeitet werden. Nach diesem Regelungskonzept ist grundsätzlich jede Verarbeitung personenbezogener Daten rechtfertigungsbedürftig, sofern sie in den sachlichen (Art. 2) und räumlichen (Art. 3) Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) fällt. Unter diesen regulatorischen Rahmen fallen auch die für KI-Systeme erforderlichen Daten von Beschäftigten und ihre Verarbeitung.

1. Entwicklung von KI bzw. Algorithmen

Eine Software mit KI muss mit riesigen Datenmengen versehen werden und daraus Muster erkennen. Zu vernachlässigen ist aber nicht, wie die Muster zustande kommen. In einem zweiten Schritt werden dafür von der programmierenden Person Regeln hinzugefügt. Man kann zum Beispiel festlegen, dass mehrjährige Beschäftigungspausen in einem Bewerbungsprozess nachteilig gewertet werden. Anschließend sucht die Software aus Millionen oder Milliarden Kombinationsmöglichkeiten die beste Lösung für ein Problem heraus. Die KI vermag frühzeitig zu erkennen, welche theoretischen Optionen effektiv wirken können und verwirft alle übrigen Optionen unverzüglich. Es wird deswegen stets Zeit in Anspruch nehmen, bis das Zusammenspiel so funktioniert, dass KI-Systeme Aufgaben übernehmen und mithin eigenständige Entscheidungen treffen können. Experten und Data Scientists müssen die Daten vorsortieren und die Software beherrschen.

Die den KI-Anwendungen zugrundeliegenden Algorithmen arbeiten zwar mit statistischen Methoden, fallen aber nur unter die Ausnahme für statistische Zwecke, wenn sie im öffentlichen Interesse durchgeführt werden. Für die Auswertung großer, aus einer Vielzahl unterschiedlicher Quellen stammender unstrukturierter Daten zum Zwecke der Erkennung von Gesetzmäßigkeiten, Korrelationen und Kausalitäten und der Generierung neuer Informationen (Kontextwissen) wird regelmäßig auf Art. 6 Abs. 4 DS-GVO als Rechtsgrundlage verwiesen. Bei der Auswertung vorhandener Daten bzw. unter Hinzuspeichern weiterer Daten zu einem bereits existierenden Datensatz werden neue, spezifischere Informationen zu einer bereits zuvor individualisierten natürlichen Person generiert, weswegen bei solchen Szenarien der zwingend erforderliche Einsatz von wirksamen Pseudonymisierungstechniken durch umfassende Transparenz und Betroffenenrechte, insbesondere durch ein Widerspruchsrecht, geboten ist. Unter dem Vorhandensein geeigneter Garantien erscheint die Entwicklung von KI bzw. von entsprechenden Algorithmen auf Grundlage des Art. 6 Abs. 4 DS-GVO denkbar. Eine Weiterverarbeitung i.S.d. Art. 6 Abs. 4 DS-GVO unter anderem für wissenschaftliche Forschungs- oder für statistische Zwecke gilt überdies nicht als unvereinbar mit den ursprünglichen Zwecken.

Die Weiterverarbeitung personenbezogener Daten muss aber auch kollektivarbeitsrechtlich legitimiert sein. Hier bestehen gemäß § 87 Abs. 1 Nr. 6 BetrVG und gleichlautender Regelungen der Personalvertretungsgesetze umfassende Mitbestimmungsrechte der Mitarbeitervertretungen. Sofern die Mitarbeitervertretungen die Zustimmung der Datennutzung für die Generierung von KI verweigern, fehlt jedenfalls für Deutschland eine aussagekräftige Datenbasis für KI-Anwendungen. Diese müsste aus Ländern ohne arbeits- oder datenschutzrechtliche Restriktionen gewonnen werden. Deren Implikationen kultureller und rechtliche Art mit Blick auf die Nutzung in der deutschen Arbeitswelt sollte vorab untersucht werden.

2. Rechtmäßigkeit der Anwendung von KI bzw. Algorithmen

Nachdem die KI einsatzbereit zur Verfügung steht, gilt es zu überprüfen, ob diese neue Technologie auch angewendet werden darf.

a) Beschäftigtendatenschutzrecht

Die Zulässigkeit der Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses richtet sich nach der Erforderlichkeit „für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten“.

Für alle Erlaubnistatbestände des § 26 Abs. 1 BDSG ist das Merkmal der Erforderlichkeit für die Zweckerreichung der zentrale Maßstab für die Zulässigkeit und Rechtmäßigkeit der Datenverarbeitung. Insoweit ist zu untersuchen, inwieweit der Einsatz von KI-Anwendungen als erforderlich qualifiziert werden kann.

aa) KI erforderlich für das Beschäftigungsverhältnis?

Für die Beurteilung der Erforderlichkeit kann auf die zu § 32 BDSG a.F. entwickelten Grundsätze zurückgegriffen werden, da der Gesetzgeber dieses Kriterium bewusst beibehalten hat. Erforderlich i.S.v. § 32 Abs. 1 S. 1 BDSG a.F. ist die Datenverarbeitung zur Informationsgewinnung nur, wenn ein berechtigtes, billigenswertes und schutzwürdiges Interesse des Arbeitgebers an der Beantwortung seiner Fragen bzw. der sonstigen Informationsbeschaffung besteht und das Interesse des Arbeitsnehmers an der Geheimhaltung der Daten das Interesse des Arbeitgebers an ihrer Erhebung nicht überwiegt. Im Falle der Bewerbung eines Arbeitnehmers legt dieser im Bewerbungsprozess personenbezogene Daten offen, damit der Arbeitgeber sich einen Eindruck von der Person und ihren Qualifikationen verschaffen kann. Ein Geheimhaltungsinteresse lässt sich in diesem Beispiel verneinen, sodass aus dem weiten Verständnis der Erforderlichkeit kein Hindernis für den Einsatz von KI-Anwendungen resultiert; wie hier im Beispiel, um die Bewerbungen mit Hilfe von KI zu sichten und zu bewerten.

Problematischer dürfte die Erforderlichkeit der Nutzung von KI im laufenden Beschäftigungsverhältnis zu beurteilen sein. KI kann beispielsweise dazu genutzt werden, Teamstrukturen zu analysieren und zu optimieren (agiles Arbeiten). Durch den ggfls. nicht unerheblichen Eingriff in das Persönlichkeitsrecht der Beschäftigten ist die Zusammenstellung von Arbeitsteams unter Einsatz allein auf Effektivität ausgerichteter KI mit der arbeitgeberseitigen Fürsorgepflicht kritisch zu hinterfragen.

bb) Überwachungsdruck

Um erhebliche Datenmengen für das Funktionieren der Algorithmen zu generieren, droht der Beschäftigte in eine Totalüberwachung zu geraten. Die permanente Leistungsmessung vermag große Datensätze zu produzieren, die Aufschluss über Erfolgsmuster und effiziente Arbeitsweisen bieten können. Solche Daten sind für die funktionierende Anwendung von KI-Systemen maßgeblich. Der Beschäftigte droht dadurch aber in eine permanente Beobachtung zu geraten. Auch wenn es keiner dauerhaften visuellen Kontrolle (Videoüberwachung) des Beschäftigten für die Datengenerierung bedarf, ist der Eingriff doch vergleichbar. Die Analogie zur Videoüberwachung bietet rechtliche Orientierung über die Zulässigkeit einer potenziellen Totalüberwachung. Schon die Möglichkeit der jederzeitigen Überwachung erzeugt einen mit dem Anspruch des Arbeitnehmers auf Wahrung seiner Persönlichkeitsrechte (§ 75 Abs. 2 BetrVG) regelmäßig nicht zu vereinbarenden Druck. Deswegen ist eine Dauerhebung beim Beschäftigten rechtlich nicht begründbar.

b) Interessenabwägung

Der § 26 BDSG regelt die Verarbeitung personenbezogener Daten von Beschäftigten nicht abschließend. Daher ist es zumindest denkbar, dass sich die rechtmäßige Verarbeitung von Beschäftigtendaten zur Anwendung von KI-Systemen alternativ auf Art. 6 Abs. 1 lit. f DS-GVO stützen kann. Lässt sich der Einsatz von KI-gestützten Anwendungen als berechtigtes Interesse qualifizieren, gilt es demgegenüber den Eingriff in die Rechte der Beschäftigten abzuwägen. Überwiegen die schutzbedürftigen Interessen der Beschäftigten, so kann Art. 6 Abs. 1 lit. f DS-GVO den Einsatz von KI nicht legitimieren. In Betracht kommen dafür sogenannte „beschäftigungsfremde“ Zwecke, die außerhalb der Zweckbestimmung „Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses“ liegen. Für solche Datenverarbeitung abseits des eigentlichen Beschäftigungszwecks relevant ist, ob der Beschäftigte vernünftigerweise erwarten kann oder konnte, dass möglicherweise eine Verarbeitung für diesen aus Sicht des Arbeitgebers berechtigten Zweck erfolgen wird bzw. erfolgt ist. Davon wird im Falle des Einsatzes von KI regelmäßig nicht auszugehen sein.

c) Transparenzpflichten

Nach Art. 5 Abs. 1 lit. a DS-GVO muss eine Verarbeitung personenbezogener Daten nicht nur rechtmäßig, sondern auch transparent erfolgen. Die mit der DS-GVO stark erweiterten Informationspflichten nach Art. 13/14 DS-GVO stellen eine weitere Herausforderung für den Einsatz von KI-Systemen dar, sofern eine Rechtmäßigkeit gegeben ist. Sofern der Einsatz von KI als Profiling im Sinne des Art. 4 Abs. 4 DS-GVO qualifiziert werden kann, ist dem Betroffenen dem Wortlaut nach und unter teleologischen Gesichtspunkten zwingend Kenntnis über involvierte Logik, Tragweite und angestrebte Auswirkungen zu verschaffen. Denn ohne zumindest ein grundlegendes Verständnis der Funktionsweise des hinter dem Profiling steckenden mathematischen Algorithmus ist es der betroffenen Person andernfalls regelmäßig nicht möglich, von außen etwaige Verstöße zu erkennen. Wie immer im Datenschutzrecht bedarf es auch hier einer Abwägung zwischen den Interessen der betroffenen Person und der verarbeitenden Stelle. Insbesondere soll dieses Recht Geschäftsgeheimnisse nicht beeinträchtigen. Um der betroffenen Person dennoch die geforderten Informationen zur Verfügung zu stellen, ist daher ein gewisser Abstraktionsgrad erforderlich, um einerseits den Schutz von Geschäftsgeheimnissen zu wahren und andererseits die geforderte Transparenz der Verarbeitung herzustellen. Dabei wird der Verantwortliche die grundsätzliche Funktionsweise der automatisierten Entscheidungsfindung, die möglicherweise mit dem KI-Einsatz einhergeht, beschreiben müssen und die einfließenden Faktoren jedenfalls insoweit benennen, wie dies dem Schutz von Geschäftsgeheimnissen nicht entgegensteht. Nötigenfalls sind – auch wenn es sich hierbei nicht um Profiling handelt – die Faktoren abstrakt zu beschreiben oder in Gruppen zusammenzufassen. Eine allgemeine, verständliche Beschreibung der Berechnungsgrundlagen von Algorithmen und der Methodik dieser Berechnungen zur Erfüllung der Informationspflicht ist demnach ausreichend. Die Mitteilung des mathematischen Algorithmus selbst, der in aller Regel ein Geschäftsgeheimnis darstellen wird, ist hingegen nicht erforderlich, um die Informationspflicht zu erfüllen.

d) Automatisierte Einzelentscheidung

Gelingt der KI eine wie von ihr beabsichtigte eigenständige Entscheidungsfindung, droht damit eine automatisierte Einzelentscheidung einherzugehen, die gemäß Art. 22 DS-GVO regelmäßig untersagt ist. Aus einer ausschließlich automatisierten Bewertung einzelner Persönlichkeitsmerkmale dürfen demnach keine negativen Konsequenzen erwachsen. Fehlt es an einer für eine ausgeschriebenen Stelle erforderlichen Qualifikation und erfolgt aufgrund dessen eine Absage an den Bewerber, handelt es sich hierbei noch nicht um eine automatisierte Einzelentscheidung. Eine „ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung“ ist nicht gegeben, wenn die mithilfe eines Systems gewonnenen Erkenntnisse nur die Grundlage einer nicht nur formalen menschlichen Letztentscheidung bilden. Fällt der Unternehmer aufgrund eines Rankings der Bewerberdaten durch ein System letztlich selbst die Entscheidung, welche Bewerber zum Vorstellungsgespräch eingeladen werden, so ist der Tatbestand des Art. 22 DS-GVO eben nicht erfüllt. Erfolgt hingegen eine vollautomatisierte Absage aufgrund einer KI-Anwendung, handelt es sich wegen der rechtlichen Wirkung dabei um eine automatisierte Einzelentscheidung, die gemäß Art. 22 DS-GVO verboten ist. Die KI hat damit den Menschen erübrigt, der für die Rechtmäßigkeit einer solchen Handlung mit rechtlicher Wirkung oder ähnlicher Beeinträchtigung gemäß Art. 22 DS-GVO nötig ist.

Vielfach werden im laufenden Beschäftigungsverhältnis nur Entscheidungen aus dem Einsatz von KI resultieren, die nicht von der Regelung des Art. 22 DS-GVO erfasst sind, da sie keine unmittelbare Rechtswirkung entfalten oder den Grad der „erheblichen Beeinträchtigung“ nicht erreichen. Gleichwohl können diese Entscheidungen aber für die Persönlichkeitsrechte der Beschäftigten im Arbeitsverhältnis Auswirkungen haben. Aufgrund der arbeitgeberseitigen Fürsorgepflicht erscheint eine entsprechende Regelung im Sinne des Art. 22 DS-GVO für die durch KI getroffenen Entscheidungen mit Auswirkungen auf das Arbeitsverhältnis erwägenswert, insbesondere ein Recht auf menschliche Überprüfung und Letztentscheidung.

e) Diskriminierungsverbot, AGG

Bereits im Jahr 2014 hat Amazon in den USA eine Software entwickelt, die mittels KI ein Ranking der eingegangenen Bewerbungen erstellen sollte. Der Einsatz der Software führte dazu, dass Frauen diskriminiert wurden. Im Fall von Amazon bevorzugte das System vor allem technikaffine Bewerber. Da es in der IT-Branche mehr Männer gibt als Frauen, hat die KI geschlussfolgert, dass sich vor allem Männer für das Unternehmen interessieren und filterte Frauen eher heraus. In einem weiteren Fall in den USA erbrachte die KI, dass die Mitarbeiter, die weiter weg von der Arbeitsstelle wohnen, schneller ihre Stelle kündigen. Nicht berücksichtigt wurde allerdings, dass in den Außenbezirken oft Menschen wohnen, die einer ethnischen Minderheit angehören und damit unbeabsichtigt, aber faktisch im Auswahlverfahren diskriminiert wurden.

Eine grundsätzliche geschlechtsbezogene oder ethnische Bevorzugung verstößt aber gegen das Allgemeine Gleichbehandlungsgesetz (AGG), das diskriminierende Datenverarbeitungen verbietet. Der Einsatz von KI im Beschäftigungsverhältnis bedarf also vor deren Nutzung der Erprobung, um diskriminierungsrelevante Auswirkungen zu ermitteln und auszuschließen.

III. Fazit

Die KI wird zweifellos auch Auswirkungen auf Beschäftigungsverhältnisse haben. Zum jetzigen Zeitpunkt lösen die daraus erwachsenen Konsequenzen keine Notwendigkeit aus, ein Beschäftigtendatenschutzgesetz zu erlassen. Die wiederholt von den jeweiligen Bundesregierungen der letzten Koalitionen geäußerte Absicht, den Datenschutz im Beschäftigungsverhältnis zu regulieren, hat sicherlich im Allgemeinen ihre Berechtigung, aber begründet sich nicht im Einzug von KI in die moderne Arbeitswelt.