KI im Betrieb: Art. 22 DSGVO und Mitbestimmung des Betriebsrats (DE)

Was Art. 22 DSGVO verlangt

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) gilt in Deutschland unmittelbar. Nach Art. 22 Abs. 1 DSGVO hat die betroffene Person das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Drei Voraussetzungen müssen zusammenkommen: eine Entscheidung über eine natürliche Person, ausschließlich automatisiert, mit rechtlicher Wirkung oder einer in ähnlicher Weise erheblichen Beeinträchtigung. Ein KI-System, das Bewerbungen vorauswählt oder Leistungskennzahlen Beschäftigter bewertet, kann das erfüllen; eine Bedarfsprognose aus Verkaufsdaten nicht, weil sie keine Person betrifft.

Art. 4 Nr. 4 DSGVO beschreibt Profiling als automatisierte Verarbeitung personenbezogener Daten, mit der persönliche Aspekte wie Arbeitsleistung, wirtschaftliche Lage, Zuverlässigkeit oder Verhalten bewertet werden. Nach Absatz 2 gilt Absatz 1 nicht, wenn die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist, wenn sie aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt, zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten, oder wenn sie mit ausdrücklicher Einwilligung der betroffenen Person erfolgt; Absatz 3 verlangt in den Fällen der Buchstaben a und c angemessene Maßnahmen, zu denen mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung gehören. Absatz 4 untersagt Entscheidungen auf besonderen Kategorien personenbezogener Daten, außer nach Art. 9 Abs. 2 Buchstaben a oder g DSGVO und nur, wenn angemessene Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen wurden.

Wann der Betriebsrat mitbestimmt

Das Betriebsverfassungsgesetz (BetrVG) knüpft die Mitbestimmung an die Überwachungseignung einer Funktion, nicht an die Bezeichnung des Systems. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Das Recht besteht, soweit keine gesetzliche oder tarifliche Regelung eingreift (einleitender Halbsatz des § 87 Abs. 1 BetrVG); ohne Einigung entscheidet die Einigungsstelle, deren Spruch die Einigung ersetzt (§ 87 Abs. 2 BetrVG).

Auf eine Überwachungsabsicht kommt es nicht an: Zur Überwachung bestimmt sind technische Einrichtungen nach dem Bundesarbeitsgericht, wenn sie objektiv geeignet sind, Verhaltens- oder Leistungsinformationen über die Arbeitnehmer zu erheben oder aufzuzeichnen; ausreichend ist, dass nur ein Teil des Überwachungsvorgangs technisch erfolgt (BAG, Beschluss vom 16. Juli 2024 – 1 ABR 16/23, Rn. 25). Ein Headset-System, mit dem Vorgesetzte Gespräche mithören können, ist deshalb eine Überwachungseinrichtung im Sinn des § 87 Abs. 1 Nr. 6 BetrVG, auch wenn keine Gespräche aufgezeichnet oder gespeichert werden. Für KI-Funktionen kommt es danach darauf an, dass die Funktion objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu erheben oder aufzuzeichnen; Einführung und Anwendung sind eine einheitliche Angelegenheit (BAG 1 ABR 16/23, Rn. 19).

Die Form ist offen: Betriebsvereinbarung, Regelungsabrede oder Zustimmung zu einer geplanten Maßnahme; in allen drei Formen braucht es einen Beschluss des Gremiums nach § 33 BetrVG (BAG, Urteil vom 27. Januar 2026 – 1 AZR 147/24, Rn. 83).

Die KI-Funktionen im Überblick

Die Tabelle ordnet fünf typische KI-Funktionen ein. Für die Spalte Betriebsrat zählt die Überwachungseignung, für Art. 22 DSGVO, ob eine betroffene Person ohne menschliches Eingreifen einer solchen Entscheidung unterworfen wird.

KI-Funktion im ERP	Betriebsrat (Deutschland)	Art. 22 DSGVO
Absatz- oder Bedarfsprognose aus Verkaufs- und Lagerdaten	Kein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG; berührt der KI-Einsatz Arbeitsabläufe, gilt § 90 Abs. 1 Nr. 3 und Abs. 2 BetrVG	Kein Fall: betroffen sind Mengen und Waren, nicht eine natürliche Person
Vorschlag für Bestellmenge oder Preis, den ein Beschäftigter bestätigt	§ 87 Abs. 1 Nr. 6 BetrVG nur bei Überwachungseignung; sonst § 90 Abs. 1 Nr. 3 und Abs. 2 BetrVG	Kein Fall des Absatzes 1, wenn eine Person die Entscheidung prüft und trifft
Auswertung von Leistungskennzahlen einzelner Beschäftigter	Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, auch wenn das System nichts aufzeichnet oder speichert (BAG 1 ABR 16/23)	Absatz 1 bei einer ausschließlich automatisierten Bewertung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Entgelt, Weiterbeschäftigung); dann die Ausnahmen und Schutzvorkehrungen nach Absatz 2 bis 4 und die Information nach Art. 13 Abs. 2 Buchstabe f DSGVO prüfen
KI-Vorauswahl von Bewerbungen mit Einstellungsvorschlag	Zustimmung nach § 95 Abs. 1 BetrVG zu Auswahlrichtlinien, auch bei KI-Einsatz (§ 95 Abs. 2a BetrVG); zusätzlich § 87 Abs. 1 Nr. 6 BetrVG bei Beschäftigtenüberwachung	Absatz 1, wenn die Absage ohne menschliches Eingreifen ergeht und die Entscheidung der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt; der 71. Erwägungsgrund der DSGVO nennt das Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen
Automatisches Kreditlimit oder Zahlungsziel für Kundinnen und Kunden	Kein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG, weil keine Beschäftigtenüberwachung	Absatz 1, wenn die Entscheidung ausschließlich automatisiert über eine betroffene natürliche Person ergeht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt; Absatz 2 Buchstabe a lässt sie zu, wenn sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, und Absatz 3 verlangt dann angemessene Maßnahmen

Zwei Bedingungen ändern das Ergebnis: Prüft und trifft am Ende doch eine Person die Entscheidung, entfällt Art. 22 Abs. 1 DSGVO; überwacht dieselbe Funktion zusätzlich Beschäftigte, bleibt es bei § 87 Abs. 1 Nr. 6 BetrVG, auch wenn die Hauptentscheidung Kunden oder Waren betrifft. Rollen und Protokolle für selbst auslösende Systeme behandelt KI-Agenten absichern: Rechte, Freigaben, Protokoll.

Was § 90, § 95 und § 80 zusätzlich verlangen

Auch ohne Mitbestimmungsrecht bleiben Informations- und Beratungsrechte: Der Arbeitgeber muss den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz rechtzeitig unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG) und die Maßnahmen mit ihm beraten, so rechtzeitig, dass Vorschläge noch berücksichtigt werden können (§ 90 Abs. 2 BetrVG). Ein Vetorecht gibt § 90 nicht.

Bei der personellen Auswahl ist die Stellung stärker: Richtlinien über die personelle Auswahl bei Einstellungen, Versetzungen, Umgruppierungen und Kündigungen bedürfen der Zustimmung des Betriebsrats (§ 95 Abs. 1 Satz 1 BetrVG); kommt keine Einigung zustande, entscheidet auf Antrag des Arbeitgebers die Einigungsstelle (§ 95 Abs. 1 Sätze 2 und 3 BetrVG). Nach § 95 Abs. 2a BetrVG gilt das auch, wenn bei der Aufstellung der Richtlinien Künstliche Intelligenz zum Einsatz kommt; in Betrieben mit mehr als 500 Arbeitnehmern kann der Betriebsrat die Aufstellung solcher Richtlinien verlangen (§ 95 Abs. 2 BetrVG).

Muss der Betriebsrat den Einsatz von Künstlicher Intelligenz beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 Satz 2 BetrVG); zu unterrichten ist er rechtzeitig und umfassend (§ 80 Abs. 2 BetrVG).

Seit wann das gilt

Art. 22 DSGVO gilt seit dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Das BetrVG steht in der Fassung der Bekanntmachung vom 25. September 2001 (BGBl. I S. 2518) und ist nach der Standangabe der amtlichen Sammlung zuletzt durch Artikel 1 des Gesetzes vom 19. Juli 2024 (BGBl. 2024 I Nr. 248) geändert worden; so lautet die Fassung, die am 14. Oktober 2026 gelesen wurde. Die Rechtsprechung dazu ist jünger: 1 ABR 16/23 vom 16. Juli 2024, C-65/23 vom 19. Dezember 2024, 1 AZR 147/24 vom 27. Januar 2026.

Wann die Mitbestimmung nicht greift

1. Es gibt keinen Betriebsrat. Dann besteht kein Mitbestimmungsrecht; § 87, § 90 und § 95 BetrVG setzen ein gewähltes Gremium voraus. Gewählt wird ein Betriebsrat in Betrieben mit in der Regel mindestens fünf ständigen wahlberechtigten Arbeitnehmern, von denen drei wählbar sind (§ 1 Abs. 1 BetrVG).
2. Eine gesetzliche oder tarifliche Regelung deckt die Angelegenheit ab. Dann greift § 87 Abs. 1 BetrVG nach seinem einleitenden Halbsatz nicht.
3. Die Funktion ist nicht zur Überwachung bestimmt, etwa Stammdaten-, Buchhaltungs- und Warenwirtschaftsfunktionen ohne Personenbezug.
4. Die Einigung ersetzt keine Rechtsgrundlage: Eine Betriebsvereinbarung trägt die Verarbeitung von Beschäftigtendaten nur mit Art. 5, Art. 6 Abs. 1 und bei besonderen Kategorien Art. 9 Abs. 1 und 2 DSGVO (EuGH, Urteil vom 19. Dezember 2024 – C-65/23, Rn. 43). § 26 Abs. 4 BDSG lässt Kollektivvereinbarungen zu und verweist auf Art. 88 Abs. 2 DSGVO; § 26 Abs. 6 BDSG lässt die Beteiligungsrechte unberührt.

Was droht, wenn Sie den Betriebsrat übergehen

Wird die Mitbestimmung nach § 87 Abs. 1 BetrVG nicht wirksam ausgeübt – etwa weil ein Beschluss nach § 33 BetrVG fehlt –, sind Maßnahmen zum Nachteil der Beschäftigten unwirksam (Theorie der Wirksamkeitsvoraussetzung; BAG, Urteil vom 27. Januar 2026 – 1 AZR 147/24, Rn. 84). Der Betriebsrat kann die Angelegenheit vor das Arbeitsgericht bringen; im Verfahren 1 ABR 16/23 verlangte er, den Einsatz des Systems ohne seine Mitbestimmung zu unterlassen.

Für die Datenverarbeitung kommt ein Bußgeld hinzu: Verstöße gegen die Rechte der betroffenen Person nach den Artikeln 12 bis 22 DSGVO können mit bis zu 20.000.000 Euro oder im Fall eines Unternehmens mit bis zu 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchstabe b DSGVO).

Checkliste für Ihren Betrieb

1. Jede KI-Funktion auflisten und prüfen, ob sie Beschäftigtendaten verarbeitet und Verhalten oder Leistung sichtbar machen kann.
2. Unterrichtung und Beratung nach § 90 Abs. 1 Nr. 3 und Abs. 2 BetrVG vor der Einführung einplanen.
3. Bei Auswahlrichtlinien die Zustimmung nach § 95 Abs. 1 in Verbindung mit Abs. 2a BetrVG vorher einholen.
4. Betriebsvereinbarung vorbereiten: Systeme, Zwecke, Datenkategorien, Auswertungen, Löschung, Rechte des Betriebsrats; Beschluss nach § 33 BetrVG dokumentieren.
5. Rechtsgrundlage (Art. 5, Art. 6 Abs. 1, Art. 88 DSGVO, § 26 BDSG) und Art. 22 DSGVO getrennt prüfen: Absatz 1 gilt für eine Entscheidung, die ausschließlich automatisiert über eine betroffene Person ergeht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt; greift er, Ausnahmen und Schutzvorkehrungen nach Absatz 2 bis 4 prüfen.
6. Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 Buchstabe a DSGVO prüfen.
7. Betroffene informieren (Art. 13 Abs. 2 Buchstabe f, Art. 14 Abs. 2 Buchstabe g, Art. 15 Abs. 1 Buchstabe h DSGVO).
8. Bedarf für einen Sachverständigen nach § 80 Abs. 3 Satz 2 BetrVG prüfen.

Zur Einordnung helfen KI-Einsatzfelder im ERP bewerten, BDE und Betriebsrat und KI-Verordnung: Pflichten für Unternehmen.