DSGVO und KI-Interviews: Was HR-Teams vor dem Einsatz wissen müssen

Mitarbeiterdaten gehören zu den sensibelsten Daten die ein Unternehmen verarbeitet. Wenn Mitarbeitende in einem Gespräch über ihre Arbeitssituation berichten — über Führung, Teamkonflikte, persönliche Belastungen — entstehen Daten die weit über das hinausgehen was in einer klassischen Umfrage gesammelt wird.

Dass KI dabei helfen kann diese Gespräche zu führen und auszuwerten, macht das Potenzial groß. Aber es macht auch die Datenschutzanforderungen größer. Dieser Artikel erklärt was HR-Teams und Datenschutzbeauftragte konkret prüfen müssen — bevor ein KI-Tool für Mitarbeitergespräche eingesetzt wird.

Welche Rechtsgrundlage gilt?

Nach DSGVO braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Für Mitarbeiterbefragungen kommen zwei in Frage:

Art. 6 Abs. 1 lit. b — Vertragserfüllung Wenn die Befragung im Rahmen des Beschäftigungsverhältnisses stattfindet und die Datenerhebung zur Durchführung des Vertrags erforderlich ist. Das gilt z.B. für strukturierte Feedbackgespräche die Teil des Arbeitsverhältnisses sind.

Art. 6 Abs. 1 lit. a — Einwilligung Wenn die Teilnahme freiwillig ist. Hier ist besondere Sorgfalt geboten: Im Beschäftigungsverhältnis ist echte Freiwilligkeit schwer nachweisbar, weil das Machtgefälle zwischen Arbeitgeber und Arbeitnehmer strukturell vorhanden ist. Die Einwilligung muss informiert, unmissverständlich und ohne Nachteile bei Verweigerung möglich sein.

Was das für die Praxis bedeutet: Bei anonymisierten oder vertraulich behandelten Befragungen — wo Teilnehmer nicht identifizierbar sind — ist die Einwilligung in der Regel die richtige Grundlage. Wichtig: Die Einwilligung muss vor der Datenerhebung eingeholt werden, nicht danach.

Das Problem mit US-Cloud-Anbietern

Viele KI-Tools für Interviews und Befragungen kommen aus den USA. Das ist datenschutzrechtlich nicht trivial.

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet US-amerikanische Unternehmen dazu, auf Anfrage US-amerikanischer Behörden Daten herauszugeben — auch wenn diese Daten auf Servern in Europa liegen. Das gilt für alle Unternehmen die unter US-amerikanische Jurisdiktion fallen: also auch für europäische Töchter amerikanischer Konzerne.

Ähnliches gilt für FISA 702 (Foreign Intelligence Surveillance Act), der US-Geheimdiensten den Zugriff auf Kommunikationsdaten bei US-Anbietern erlaubt.

Das Schrems-II-Urteil des EuGH hat 2020 festgestellt, dass diese Zugriffsmöglichkeiten mit europäischem Datenschutzrecht unvereinbar sind. Die Konsequenz: Datentransfers in die USA sind seitdem nur noch unter strengen Auflagen möglich — und rechtlich nach wie vor nicht vollständig abgesichert.

Für HR-Teams bedeutet das konkret: Ein US-amerikanisches KI-Tool für Mitarbeitergespräche einzusetzen ist keine reine Formalität. Es ist eine bewusste Risikoentscheidung. Für viele Unternehmen — und für den Betriebsrat — ist das keine akzeptable Grundlage.

Was ein AVV abdeckt — und was nicht

Viele SaaS-Anbieter bieten einen Auftragsverarbeitungsvertrag (AVV) an. Das ist notwendig aber nicht hinreichend.

Ein AVV regelt:

• Wie der Anbieter mit den Daten umgeht
• Welche Subprozessoren eingesetzt werden
• Wie Daten gelöscht werden
• Welche technischen und organisatorischen Maßnahmen getroffen sind

Ein AVV regelt nicht:

• Ob der Anbieter auf Anordnung von Behörden — insbesondere US-amerikanischen — Daten herausgeben muss
• Ob der Serverstandort EU bedeutet dass keine US-Jurisdiktion greift

Bei US-Anbietern mit EU-Servern gilt: Der AVV ist vorhanden, aber der CLOUD Act bleibt wirksam. Das ist keine Spitzfindigkeit — das ist die rechtliche Realität nach aktuellem Stand.

Was EU-Hosting wirklich bedeutet

„EU-Hosting" ist kein einheitlicher Begriff. Es lohnt sich genau hinzuschauen.

Fragen die man stellen muss:

• Wo liegt der primäre Datenbankserver? (Region, Anbieter)
• Welche Subprozessoren werden eingesetzt — und wo sind diese ansässig?
• Werden Daten für die KI-Verarbeitung an APIs außerhalb der EU übermittelt?
• Welche Daten verlassen die EU — und auf welcher Grundlage?

Am Beispiel Qerie: Die Datenbankinfrastruktur läuft auf Supabase mit EU-Region (Frankfurt). Der VPS läuft bei Netcup in Deutschland. Für die KI-Verarbeitung wird die Anthropic Claude API genutzt — Anthropic ist ein US-Unternehmen, die Übermittlung erfolgt auf Basis von EU-Standardvertragsklauseln (SCC). Das ist transparent und dokumentiert.

Kein System das KI-APIs nutzt, ist vollständig frei von US-Berührungspunkten — solange die leistungsfähigsten KI-Modelle von US-Unternehmen betrieben werden. Die entscheidende Frage ist nicht ob es einen US-Berührungspunkt gibt, sondern ob er dokumentiert, kontrollierbar und auf einer vertraglichen Grundlage nach DSGVO basiert.

Was der Betriebsrat prüfen wird

Wenn ein KI-Tool für Mitarbeitergespräche eingesetzt werden soll, hat der Betriebsrat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG — technische Einrichtungen zur Überwachung des Verhaltens oder der Leistung von Arbeitnehmern.

Das gilt nicht nur für klassische Überwachungssoftware. Es gilt für alle Systeme die Daten über das Verhalten oder die Einstellungen von Mitarbeitenden erfassen — also auch für KI-gestützte Befragungstools.

Was der Betriebsrat typischerweise prüft:

• Wer hat Zugriff auf welche Daten?
• Können Teilnehmer identifiziert werden?
• Wie lange werden Daten gespeichert?
• Wo liegen die Daten?
• Wer wertet aus — und nach welchen Kriterien?

Eine gute Vorbereitung auf diese Fragen ist kein bürokratisches Hindernis. Sie ist der Beweis dass das Tool ernsthaft für den Einsatz in einem deutschen Unternehmen konzipiert wurde.

Die Checkliste vor dem Einsatz

Bevor ein KI-gestütztes Interview-Tool für HR-Zwecke eingesetzt wird, sollten diese Punkte geklärt sein:

Rechtliche Grundlage:

• [ ] Rechtsgrundlage festgelegt (lit. b oder lit. a DSGVO)
• [ ] Bei Einwilligung: Einwilligungstext formuliert, vor Datenerhebung eingeholt
• [ ] Verarbeitungszweck dokumentiert (Verzeichnis der Verarbeitungstätigkeiten)

Datenschutz:

• [ ] AVV mit Anbieter abgeschlossen
• [ ] Subprozessoren-Liste geprüft
• [ ] Serverstandort dokumentiert
• [ ] US-Jurisdiktion geprüft und bewertet
• [ ] Datenlöschfristen festgelegt

Organisatorisch:

• [ ] Datenschutzbeauftragter informiert / eingebunden
• [ ] Betriebsrat informiert (§ 87 Abs. 1 Nr. 6 BetrVG)
• [ ] Teilnehmer-Information formuliert (was wird erhoben, wer hat Zugriff, wie wird gelöscht)

Warum Datenschutz kein Nachteil ist

Es klingt wie eine bürokratische Hürde. Aber für den Erfolg einer Mitarbeiterbefragung ist Datenschutz eine Voraussetzung — nicht ein Hindernis.

Mitarbeitende die nicht wissen was mit ihren Antworten passiert, antworten anders. Sie sind vorsichtiger, oberflächlicher, weniger ehrlich. Gerade bei sensiblen Themen — Führungsverhalten, interne Konflikte, persönliche Belastung — ist Vertrauen die Grundlage für qualitativ hochwertige Erkenntnisse.

Ein Tool das transparent kommuniziert was es tut, wo die Daten liegen und wie lange sie gespeichert werden, erzeugt mehr Vertrauen — und damit bessere Ergebnisse. Das ist kein Nebeneffekt des Datenschutzes. Es ist sein Kern.

---

Qerie ist DSGVO-nativ entwickelt: EU-Hosting, transparente Subprozessoren, automatische Datenlöschung nach 30 Tagen, AVV auf Anfrage. Frühen Zugang anfragen →