HR-Plattform mit KI: Ohne Mitbestimmung keine Einführung

Personalwirtschaft: Herr Fülbier, bei welchen Plattform-Funktionen greift die Mitbestimmung des Betriebsrats?
Dr. Ulrich Fülbier: Der Betriebsrat hat bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, ein sehr weitgehendes Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG.

Um welche Systeme geht es dabei konkret?
Die Arbeitsgerichte fassen darunter sämtliche IT-Systeme eines Unternehmens, die geeignet sind, die Leistung oder das Verhalten von Mitarbeitern zu überwachen. In diese Definition fallen im Grunde sämtliche HR-Systeme – und erst recht sämtliche KI-Systeme –, weil diese vermutlich immer Rückschlüsse auf das Verhalten oder die Leistung der Arbeitnehmer und Arbeitnehmerinnen ermöglichen können. Es reicht aus, dass das KI-System in irgendeiner Form Mitarbeitendeninformationen verarbeitet und der Arbeitgeber darauf zugreifen kann.

Gilt das auch schon für das Recruiting oder greift diese Regelung erst im laufenden Arbeitsverhältnis?
Das gilt nicht nur für das laufende Arbeitsverhältnis, sondern bereits im Bewerbungsprozess, wenn das IT-/KI-System auf personenbezogene Daten der Arbeitnehmer und Arbeitnehmerinnen zurückgreift, was meistens der Fall ist.  Ein weiteres Mitbestimmungsrecht ergibt sich aus § 95 Abs. 2a BetrVG. Demnach kann der Betriebsrat bei Auswahlrichtlinien für Personalentscheidungen mitbestimmen, wenn dabei KI eingesetzt wird. Dessen ungeachtet ist der Betriebsrat auch dann zwingend zu beteiligen, wenn die KI-Funktionen in Zusammenhang mit weiteren mitbestimmungspflichtigen Angelegenheiten des § 87 Abs. 1 BetrVG stehen.

Können Sie hierfür Beispiele nennen?
Gerne, der Betriebsrat muss etwa bei Angelegenheiten wie Entgeltgestaltung, Arbeitszeit und Fragen zur Ordnung des Betriebs einbezogen werden. Zudem muss der Arbeitgeber den Betriebsrat gemäß § 90 Abs. 1 Nr. 3 BetrVG unterrichten, wenn er plant, KI in Arbeitsverfahren und -abläufen einzusetzen. Der Betriebsrat selbst kann gemäß § 80 Abs. 3 S. 2 BetrVG für seine Beurteilung bezüglich der Künstlichen Intelligenz grundsätzlich auch einen Sachverständigen hinzuziehen.

Angenommen, die von Ihnen skizzierten Fälle liegen vor: Sieht eine Mitbestimmung des Betriebsrats vor, dass auch eine Betriebsvereinbarung (BV) geschlossen werden muss?
Ja. Denn bei diesem Thema kann man das Mitbestimmungsrecht des Betriebsrats kaum auf einzelne Funktionen beschränken, es ist sehr umfassend. Faktisch heißt das, dass das Unternehmen – wie immer im Bereich der sogenannten zwingenden Mitbestimmungstatbestände des § 87 Abs. 1 BetrVG – die betreffende Plattform nicht installieren und nutzen darf, ohne zuvor eine Betriebsvereinbarung mit dem zuständigen Betriebsrat abgeschlossen zu haben.

Damit hängt die KI-Transformation auch maßgeblich damit zusammen, wie gut man mit dem Betriebsrat gemeinsam Lösungen finden kann.
Ja, der Betriebsrat hat vor allem dann eine sehr große Einflussmöglichkeit, wenn das Unternehmen bei der Einführung einer solchen Plattform unter großem zeitlichen Druck steht, etwa weil das Programm nicht nur in Deutschland ausgerollt werden soll, sondern global im Rahmen einer internationalen Unternehmensgruppe.

Braucht eine Plattformeinführung eine eigene KI-Betriebsvereinbarung, oder lässt sich das in einer IT-Rahmenvereinbarung abbilden?
Eine Plattformeinführung kann grundsätzlich auch durch eine Rahmenbetriebsvereinbarung geregelt werden. Es ist auch in vielen Unternehmen üblich, eine sogenannte Rahmenbetriebsvereinbarung zu IT und Datenschutz und immer öfter auch zu KI-Systemen zu vereinbaren. Auch weit verbreitet ist, dass Unternehmen die Besonderheiten der einzelnen Systeme eher auf der Ebene von Anlagen zu der Rahmen-BV regeln, die immer wieder ergänzt und aktualisiert werden können.

Was muss eine solche Rahmenvereinbarung regeln?
Eine solche Rahmen-BV muss alle mitbestimmungspflichtigen Angelegenheiten zu dem Thema regeln, darf aber auch Vorgaben zu nicht-mitbestimmungspflichtigen Angelegenheiten enthalten. Die Einführung und Nutzung von HR-Plattformen sind in der Praxis für die Betriebsräte besonders sensibel, weil sie nicht nur personenbezogene Daten verarbeiten, sondern die Betriebsräte vor allem fürchten, dass sie dafür verwendet werden, Auswertungen etwa im Hinblick auf die Performance der Mitarbeitenden zu erstellen. Betriebsräte wollen die Nutzung der einzelnen Funktionen und die Verwendung von personenbezogenen Daten von Mitarbeitenden im Rahmen der einzelnen Funktionalitäten oft bis in das kleinste Detail geregelt haben wollen.

Das klingt nach einer langwierigen Angelegenheit.
Verhandlungen über solche Systeme können sich schon einmal über Monate oder sogar Jahre erstrecken. Wegen der Komplexität dieser Systeme ist die Besonderheit hier auch, dass sich Betriebsräte in Bezug darauf oft nicht mit den bestehenden Regelungen einer Rahmen-BV zufriedengeben, sondern tatsächlich den Abschluss einer eigenen KI-Betriebsvereinbarung fordern. Rein rechtlich wäre das aber nicht erforderlich.   

Was muss hinsichtlich des Datenschutzes beachtet werden, wenn Beschäftigtendaten auf einer Plattform gebündelt werden – besonders bei Analytics-Funktionen und KI-gestützten Auswertungen?
Auch bei der Anwendung von KI-Systemen ist und bleibt die Datenschutzgrundverordnung – DSGVO – anwendbar. Das bedeutet, dass der betroffene Mitarbeitende oder Kunde in die Datenverarbeitung einwilligen oder diese durch eine gesetzliche Regelung legitimiert werden muss. Denn wenn es um die Verarbeitung von personenbezogenen Daten geht, gilt ein sogenanntes Verbot mit Erlaubnisvorbehalt: Wenn die Datenverarbeitung nicht durch eine Einwilligung oder eine gesetzliche Regelung erlaubt wird, bleibt sie verboten. Personenbezogene Daten dürfen nur rechtmäßig, nach Treu und Glauben und transparent, das heißt, in einer für den Betroffenen nachvollziehbaren Weise, verarbeitet werden – Art. 5 Abs. 1 lit. a DSGVO.

Was bedeutet das konkret?
Die Verarbeitung ist für den Betroffenen nachvollziehbar, wenn sie in klarer, einfacher und verständlicher Art und Weise erklärt wird. Außerdem darf die Verarbeitung nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Darüber hinaus verbietet Art. 22 DSGVO, dass die KI autonome Entscheidungen über Personen trifft. Laut dem Europäischen Gerichtshof gilt das auch dann, wenn eine vorläufig automatisierte Entscheidung der KI maßgeblich für die endgültige Entscheidung des Arbeitgebers ist. KI-Empfehlungen sollten daher bestenfalls immer überstimmbar sein. Problematisch sind an dieser Stelle vor allem die Betroffenenrechte, insbesondere das Recht der Arbeitnehmer und Arbeitnehmerinnen auf Löschung ihrer Daten.

Warum?
Eine Löschung ist in der Regel bei KI-Systemen nicht möglich, da das System die Daten speichert und sich anhand dessen weiterentwickelt.

Welche Pflichten aus dem EU-AI-Act treffen Unternehmen konkret, wenn ihre HR-Plattform KI-Funktionen etwa in der Personalauswahl oder -beurteilung mitbringt?
Die Personalauswahl und -beurteilung gilt in der Regel als Hochrisiko-KI-System im Sinne der KI-Verordnung. Deshalb treffen das Unternehmen gemäß Art. 26 KI-VO als Betreiber im Sinne von Art. 3 Nr. 4 KI-VO mehrere Pflichten: Es muss den bestimmungsgemäßen Gebrauch des Systems sicherstellen, entsprechend geschulte Personen mit der Aufsicht beauftragen und darf nur zweckbestimmte und ausreichend repräsentative Informationen in das System einspeisen. Das Unternehmen muss zudem die Arbeitnehmer und Arbeitnehmervertretungen im Voraus über den bevorstehenden Einsatz des Systems informieren. Trifft das System Entscheidungen über natürliche Personen oder soll es bei den Entscheidungen unterstützen, muss das Unternehmen außerdem die Betroffenen davon unterrichten.

Gibt es hier Ausnahmen?
Eine Ausnahme zu diesem Grundsatz bilden Maßnahmen, die kein erhebliches Risiko für Gesundheit, Sicherheit oder die Grundrechte der Betroffenen mit sich bringen. Das ist etwa der Fall bei eng verfahrenstechnischen Aufgaben wie einem rein notenbasierten Lebenslauf-Parsing. Sicherheitshalber sollte das Unternehmen seine Entscheidung zudem dokumentieren, um sie im Falle einer behördlichen Aufforderung jederzeit vorlegen zu können.

Worauf sollten Unternehmen vertraglich bestehen, um sich bei Beendigung der Dienstleistungen abzusichern? Welche Klauseln der Plattformanbieter sind aus Ihrer Sicht die kritischsten?
Um einen verkappten Haftungsausschluss zu vermeiden, sollten Unternehmen vertraglich festhalten, dass die gesetzlichen Gewährleistungsrechte nicht ausgeschlossen werden. Außerdem ist zu empfehlen, dass die Unternehmen sich ein Sonderkündigungsrecht im Rahmen einer Freistellungsklausel sichern: Verändert der Anbieter die Software derart, dass sie nun wesentlich von der vereinbarten Leistung abweicht, kann das Unternehmen den Vertrag kündigen.

Welche Klauseln sind noch empfehlenswert?
Sogenannte „Data Ownership“-Klauseln garantieren dem Unternehmen die Rechte an den Daten. Dennoch benötigen Anbieter in der Regel Zugriff auf die Daten, um ihre Leistung erbringen zu können. In einem sogenannten Exit-Plan sollte daher stets die Datenmitnahme beziehungsweise die Verwertung der übertragenen Daten geregelt werden. Für die Datenmitnahme brauchen das Unternehmen und auch sein neuer Anbieter häufig Informationen bezüglich der verwendeten technischen Datenformate. Allgemein ist es deshalb sinnvoll, im Rahmen des Exit-Plans eine Beendigungsunterstützung des alten Anbieters für das Unternehmen festzulegen, und zwar möglichst konkret.

Was sollte bei einer solchen Beendigungsunterstützung bedacht werden?
Dass der alte Anbieter seine Leistungen auch nach Vertragsbeendigung weiter anbietet, bis das Unternehmen einen neuen Anbieter gefunden hat, und, dass der Altanbieter diesen neuen Anbieter entsprechend mit Informationen versorgt. Größere Anbieter speichern Daten auch zu Teilen im Ausland. Hier müssen die datenschutzrechtlichen Vorgaben der § 44 ff. DSGVO beachtet werden. Speichert der Anbieter Daten auf seinen Servern, sollte zwischen dem Anbieter und dem Unternehmen ein Auftragsverarbeitungsvertrag im Sinne des § 28 DSGVO geschlossen werden.

Sven Frost

Sven Frost betreut das Thema HR-Tech, zu dem unter anderem die Bereiche Digitalisierung, HR-Software, Zeit und Zutritt, SAP und Outsourcing gehören. Zudem schreibt er über Recruiting und Employer Branding. Er verantwortet weiterhin die redaktionelle Planung verschiedener Sonderpublikationen der Personalwirtschaft.