KI in Bewerbung und Personaleinsatz: Wann sie als Hochrisiko gilt und was Träger der Sozialen Arbeit und Pflege tun müssen

Hochrisiko-KI im Personalbereich ist ein KI-System, das bestimmungsgemäß Bewerber auswählt oder bewertet oder Arbeitsbedingungen, Beförderung und Kündigung beeinflusst. Dazu zählt auch ein System, das Aufgaben nach Verhalten zuweist oder Leistung und Verhalten von Beschäftigten bewertet (Anhang III Nr. 4 KI-Verordnung).

Wann gilt KI in Bewerbung und Personaleinsatz als Hochrisiko?

Die KI-Verordnung (EU) 2024/1689, englisch AI Act, teilt KI-Systeme nach ihrem Risiko ein. Besonders strenge Regeln gelten für Hochrisiko-Systeme. Dazu zählt KI im Personalbereich, weil sie Berufschancen und Einkommen beeinflusst und Benachteiligungen fortschreiben kann (Erwägungsgrund 57).

Der Träger ist dabei Betreiber, also die Stelle, die ein KI-System in eigener Verantwortung beruflich nutzt. Wer die Software entwickelt und unter eigenem Namen anbietet, ist Anbieter (Art. 3 Nr. 3 und 4). Hochrisiko heißt nicht verboten, sondern: Es gelten zusätzliche Pflichten.

Anhang III Nr. 4 erfasst Systeme, die bestimmungsgemäß verwendet werden sollen:

• Buchst. a: „für die Einstellung oder Auswahl natürlicher Personen“, insbesondere „um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten“.
• Buchst. b: „für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen von Arbeitsvertragsverhältnissen beeinflussen“.
• Ebenfalls Buchst. b: „für die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale oder Eigenschaften“.
• Ebenfalls Buchst. b: „für die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in solchen Beschäftigungsverhältnissen“.

Auf das Wort „bestimmungsgemäß“ kommt es an. Maßgeblich ist der Zweck, den der Anbieter in Betriebsanleitung, Werbung und Unterlagen nennt (Art. 3 Nr. 12). Programme, die nur nach festen, von Menschen gesetzten Regeln rechnen, sind nach Erwägungsgrund 12 schon keine KI-Systeme.

Nach Angaben des Digitalverbands Bitkom (2026; Befragung von 604 Unternehmen ab 20 Beschäftigten im Jahr 2025) setzen 14 % der Unternehmen, die KI nutzen, sie in der Personalabteilung ein. Eine eigene Erhebung für soziale Träger ist mir nicht bekannt.

Zur Auslegung hat die EU-Kommission am 19. Mai 2026 einen Entwurf für Leitlinien mit Beispielen veröffentlicht. Er ist nicht verbindlich, eine endgültige Fassung habe ich nicht gefunden. Der Entwurf fasst Beschäftigungsverhältnisse weit und schließt Honorarkräfte ein, deren Zugang zu Aufträgen ein System steuert (Randnummern, kurz Rn., 239 bis 241). Ob auch Ehrenamtliche, Freiwilligendienstleistende und Werkstattbeschäftigte erfasst sind, ist offen.

Wann gilt ein System trotz Anhang III nicht als hochriskant?

Ein System aus Anhang III gilt nicht als hochriskant, wenn es das Ergebnis der Entscheidung nicht wesentlich beeinflusst und deshalb kein erhebliches Risiko für Grundrechte birgt. Dafür muss eine von vier Bedingungen vorliegen (Art. 6 Abs. 3):

• Das System führt nur eine eng gefasste Verfahrensaufgabe durch.
• Es verbessert das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit.
• Es erkennt Entscheidungsmuster und soll eine abgeschlossene menschliche Bewertung nicht ohne angemessene Überprüfung ersetzen oder beeinflussen.
• Es bereitet eine Bewertung lediglich vor.

Die Ausnahme hat eine Gegenausnahme: Ein System, das Profiling natürlicher Personen vornimmt, bleibt immer hochriskant. Profiling ist jede automatisierte Bewertung persönlicher Aspekte, ausdrücklich auch von Arbeitsleistung, Zuverlässigkeit und Verhalten (Art. 4 Nr. 4 Datenschutz-Grundverordnung, DSGVO). Bewertet ein System einzelne Bewerber oder Beschäftigte, liegt Profiling deshalb nahe und die Ausnahme entfällt.

Menschliche Kontrolle allein ändert die Einstufung nicht. Aufsicht durch Menschen ist eine Pflicht für Hochrisiko-Systeme, kein Ausweg. Nach dem Entwurf können das Einlesen und Ordnen von Lebensläufen, die Terminabstimmung für Vorstellungsgespräche und automatische Eingangsbestätigungen unter die Ausnahme fallen. Eignungswerte, Ranglisten und Passungsprofile, die die Vorauswahl lenken, tun es nicht (Leitlinienentwurf Rn. 70, 71, 253 und 254 sowie die dortigen Beispiele).

Die Einstufung nimmt zuerst der Anbieter vor. Hält er sein System für nicht hochriskant, muss er das dokumentieren (Art. 6 Abs. 4). Ich empfehle, sie sich vor dem Einsatz schriftlich geben zu lassen.

Welche Anwendungen im Personalbereich sind hochriskant?

Die Tabelle ordnet Anwendungen ein. Sie stützt sich auf Gesetzestext und Leitlinienentwurf und ersetzt nicht die Prüfung des einzelnen Produkts.

Dienstplanung

Bei Dienstplänen entscheidet das Kriterium. Verteilt die Software Dienste nach Verfügbarkeit und erforderlicher Qualifikation, gilt das nach dem Leitlinienentwurf als neutral. Fließen Zuverlässigkeit, Annahmequote oder Bewertungen ein, ist es eine Zuweisung nach individuellem Verhalten. Alltägliche Anpassungen erreichen die Schwelle nicht, eine wesentliche Änderung der Arbeitszeit einzelner Personen kann sie erreichen (Leitlinienentwurf Rn. 259 bis 272).

Auswertung von Leistung und Verhalten

Nr. 4 Buchst. b erfasst das Beobachten und das Bewerten, jedes für sich genügt. Zur Leistung zählen Mengen wie bearbeitete Fälle ebenso wie Rückmeldungen und Rangfolgen. Meldet ein Werkzeug Hinweise nur an die Beschäftigten selbst, kann es außerhalb liegen (Leitlinienentwurf Rn. 274 bis 278).

Welche Pflichten hat der Träger als Betreiber und ab wann?

Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten erst ab dem 2. Dezember 2027, nicht wie geplant ab dem 2. August 2026 (Art. 113 Abs. 3 Buchst. c). Das hat die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, geändert. Die Verbote gelten unverändert: Emotionserkennung am Arbeitsplatz ist seit dem 2. Februar 2025 untersagt, außer aus medizinischen Gründen oder Sicherheitsgründen. Die weiteren Fristen erklärt der Beitrag AI Act nach dem Digital Omnibus: Fristen auf qm-praxiswerk.de.

Für Systeme, die vor dem 2. Dezember 2027 auf den Markt gebracht oder in Betrieb genommen werden, gilt eine Sonderregel: Die Verordnung erfasst sie nur, wenn ihre Konzeption danach erheblich verändert wird (Art. 111 Abs. 2). Was „erheblich“ heißt und ob schon ein größeres Update genügt, ist ungeklärt. Ich empfehle, sich nicht auf diesen Bestandsschutz zu verlassen.

Ab dem Stichtag muss der Träger als Betreiber Folgendes tun (Art. 26):

• Das System nach der Betriebsanleitung verwenden (Abs. 1).
• Die menschliche Aufsicht Personen mit Kompetenz, Ausbildung und Befugnis übertragen. Sie müssen die Neigung zum blinden Vertrauen in die Ausgabe kennen und Ergebnisse übersteuern können (Abs. 2, Art. 14 Abs. 4).
• Eingabedaten, die der Träger kontrolliert, dem Zweck entsprechend und ausreichend repräsentativ halten (Abs. 4).
• Den Betrieb überwachen, bei einem Risiko die Verwendung aussetzen und Anbieter und Marktüberwachungsbehörde unverzüglich informieren und schwerwiegende Vorfälle ebenfalls melden (Abs. 5). Diese Behörde ist für private Träger die Bundesnetzagentur (§ 2 Abs. 1 KI-Marktüberwachungs- und Innovationsförderungs-Gesetz, KI-MIG).
• Protokolle mindestens sechs Monate aufbewahren, soweit das Datenschutzrecht nichts anderes verlangt (Abs. 6).
• Vor der Inbetriebnahme Arbeitnehmervertretung und betroffene Beschäftigte informieren (Abs. 7).
• Bewerber und Beschäftigte informieren, dass ein Hochrisiko-System bei Entscheidungen über sie mitwirkt (Abs. 11).

Betroffene können zudem eine klare Erläuterung verlangen. Voraussetzung ist eine Entscheidung des Betreibers auf Grundlage eines Hochrisiko-Systems, die rechtliche oder ähnlich erhebliche Folgen hat und nach Ansicht der Betroffenen deren Gesundheit, Sicherheit oder Grundrechte beeinträchtigt. Die Erläuterung betrifft die Rolle des Systems und die wichtigsten Elemente der Entscheidung (Art. 86 Abs. 1).

Das Recht gilt formal seit dem 2. August 2026, knüpft aber an die Einstufung als Hochrisiko-System an, die erst ab Dezember 2027 gilt. Ich gehe davon aus, dass es erst dann praktisch greift. Geklärt ist das nicht.

Die Bußgelder reichen für Betreiberpflichten bis 15 Mio. € oder, wenn höher, 3 % des Jahresumsatzes. Bei kleinen und mittleren Unternehmen sowie kleinen Midcap-Unternehmen, also größeren Mittelständlern, gilt der niedrigere Betrag (Art. 99 Abs. 4, 6 und 6a).

Wie Aufsichtspersonen geschult und nachgewiesen werden, steht im Beitrag zur KI-Kompetenz nach Art. 4 KI-Verordnung.

Muss ein freier Träger eine Grundrechte-Folgen­abschätzung machen?

Die Grundrechte-Folgen­abschätzung ist eine schriftliche Prüfung vor dem ersten Einsatz eines Hochrisiko-Systems. Sie beschreibt Verfahren, betroffene Personen, drohende Schäden, menschliche Aufsicht und Maßnahmen im Schadensfall (Art. 27 Abs. 1). Pflicht ist sie für „Einrichtungen des öffentlichen Rechts“ und „private Einrichtungen, die öffentliche Dienste erbringen“. Sie gilt für Systeme nach Anhang III außer Nr. 2. Nr. 4 ist also erfasst.

Ungeklärt ist, ob freie Träger dazugehören. Erwägungsgrund 96 nennt als Aufgaben im öffentlichen Interesse unter anderem Bildung, Gesundheitsversorgung und Sozialdienste. Das spricht dafür, dass Träger, die Sozialleistungen erbringen, erfasst sein können. Eine verbindliche Auslegung ist mir nicht bekannt.

Offen ist auch, ob die Pflicht an die Eigenschaft des Betreibers anknüpft und dann ebenso für Personalsysteme gilt. Der Wortlaut spricht dafür. Ich empfehle, die Pflicht vorsorglich einzuplanen.

Das Ergebnis meldet der Träger der Marktüberwachungsbehörde mit einem Fragebogenmuster, das das Büro für Künstliche Intelligenz der EU erarbeiten soll. Besteht schon eine Datenschutz-Folgen­abschätzung, kann darauf verwiesen werden. Besteht die Pflicht und unterbleibt die Abschätzung, kann das nach dem KI-MIG mit einer Geldbuße bis zu 50.000 € geahndet werden, gegen öffentliche Stellen nicht (§ 15 Abs. 1 Nr. 3 und Abs. 3, § 17 Abs. 2).

Was verlangt das Datenschutzrecht bei Bewerbungen und Personaldaten?

Das Datenschutzrecht gilt schon heute. Niemand muss sich einer Entscheidung unterwerfen, die ausschließlich auf automatisierter Verarbeitung beruht und rechtliche oder ähnlich erhebliche Wirkung hat. Eine Absage, die allein das System ausspricht, kann darunter fallen. Ausnahmen bestehen für erforderliche Vertragsentscheidungen, Rechtsvorschriften und ausdrückliche Einwilligung. Bei Vertrag und Einwilligung müssen mindestens das Eingreifen einer Person, die Darlegung des Standpunkts und die Anfechtung gesichert sein (Art. 22 Abs. 1 bis 3 DSGVO).

Der Europäische Gerichtshof hat 2023 im SCHUFA-Fall entschieden, dass schon ein Wahrscheinlichkeitswert eine automatisierte Entscheidung sein kann, wenn der Empfänger ihm eine maßgebliche Rolle beimisst (C-634/21). Dort ging es um Kredite. Ob das auf Bewerberwerte übertragbar ist, hat das Gericht nicht entschieden. Ich halte es für naheliegend.

Bewerber gelten als Beschäftigte (§ 26 Abs. 8 Bundes­datenschutz­gesetz, BDSG). Für sie verlangt § 26 Abs. 1 BDSG, dass die Verarbeitung für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist.

Der Gerichtshof hat aber am 30. März 2023 entschieden, dass nationale Vorschriften zum Beschäftigtendatenschutz grundsätzlich unangewendet bleiben, wenn sie Art. 88 Abs. 1 und 2 DSGVO nicht erfüllen (C-34/21, Rn. 82 und Tenor Nr. 2). Das Bundesarbeitsgericht lässt § 26 Abs. 1 BDSG seit seinem Urteil vom 8. Mai 2025 unangewendet. Satz 1, der auch für Bewerber gilt, erfüllt danach die Anforderungen von Art. 88 DSGVO nicht, weil Schutzmaßnahmen nach Art. 88 Abs. 2 fehlen (8 AZR 209/21, Rn. 16 und 17). Ich empfehle, Bewerberdaten auf Art. 6 Abs. 1 DSGVO zu stützen, also auf vorvertragliche Maßnahmen oder berechtigtes Interesse.

Eine Betriebs- oder Dienst­vereinbarung kann die Verarbeitung zusätzlich regeln. Sie muss Art. 88 Abs. 2 DSGVO und die übrigen Vorgaben der DSGVO erfüllen. Ein Gericht darf sie vollständig prüfen (Rechtssache C-65/23, Urteil vom 19. Dezember 2024).

Vor dem Einsatz ist eine Datenschutz-Folgen­abschätzung nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko hat. Das gilt besonders für eine systematische und umfassende automatisierte Bewertung persönlicher Aspekte, die Grundlage erheblicher Entscheidungen ist (Art. 35 Abs. 3 Buchst. a DSGVO). Die Muss-Liste der Datenschutz­konferenz nennt Verhaltensdaten Beschäftigter und KI, die persönliche Aspekte bewertet. Verantwortlich bleibt der Träger, der Datenschutz­beauftragte berät.

Bewerber sind zudem über automatisierte Entscheidungen und die involvierte Logik zu informieren (Art. 13 Abs. 2 Buchst. f und Art. 14 Abs. 2 Buchst. g DSGVO).

Kirchliche Träger wenden das Gesetz über den Kirchlichen Datenschutz (KDG) oder das EKD-Datenschutzgesetz (DSG-EKD) an. Beide regeln automatisierte Entscheidungen, Beschäftigtendaten und die Folgen­abschätzung (§§ 24, 35 und 53 KDG, §§ 25a, 34 und 49 DSG-EKD). Die Kirchen dürfen eigene Regeln nach Art. 91 DSGVO anwenden. Ob die Überlegungen zu Art. 88 darauf übertragbar sind, ist offen.

Wer muss mitreden: Betriebsrat, Mitarbeiter­vertretung und Gleichbehandlung?

Die KI-Verordnung verdrängt die Mitbestimmung nicht. Sie lässt für Arbeitnehmer günstigere Vorschriften und Kollektivvereinbarungen ausdrücklich zu (Art. 2 Abs. 11). Beim Betriebsrat sind diese Vorschriften des Betriebs­verfassungs­gesetzes einschlägig:

• Technische Einrichtungen, die Verhalten oder Leistung überwachen sollen, unterliegen der Mitbestimmung (§ 87 Abs. 1 Nr. 6). Für Dienstpläne gilt Nr. 2.
• Personalfragebogen und allgemeine Beurteilungsgrundsätze bedürfen der Zustimmung (§ 94).
• Auswahlrichtlinien bedürfen der Zustimmung, auch wenn KI bei ihrer Aufstellung hilft (§ 95 Abs. 1 und 2a). Ein festes Bewertungsschema für Bewerbungen kann eine solche Richtlinie sein.
• Über die Planung eines KI-Einsatzes ist der Betriebsrat rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3). Einen Sachverständigen darf er hinzuziehen, bei KI gilt das als erforderlich (§ 80 Abs. 3).

Betriebe, die unmittelbar und überwiegend karitativen Zwecken dienen, sind Tendenzbetriebe. Das Gesetz gilt dort, soweit die Eigenart des Betriebs nicht entgegensteht. Für Religionsgemeinschaften und ihre karitativen Einrichtungen gilt es nicht. Dort greifen kirchliche Regeln (§ 118 Abs. 1 und 2).

Die katholische Mitarbeiter­vertretungsordnung (MAVO) sieht Zustimmungsrechte für Personalfragebogen, Beurteilungsrichtlinien und Überwachungstechnik vor. Muss die Arbeitszeit kurzfristig festgesetzt werden, beschränkt sich die Beteiligung bei Dienstplänen auf deren Grundsätze. Die MAVO-Nummern können je nach Diözese abweichen (§ 36 Abs. 1 Nr. 5, 6 und 9 und Abs. 3 der MAVO Hildesheim).

Das evangelische Mitarbeitenden­vertretungsgesetz (MVG-EKD) nennt als Mitbestimmungsfälle Personalfragebogen, Beurteilungsgrundsätze, Dienstplangrundsätze, grundlegend neue Arbeitsmethoden und Überwachungstechnik (§ 39 Buchst. a und b, § 40 Buchst. d, h und k).

Das Gleichbehandlungsrecht bleibt beim Träger. Auch scheinbar neutrale Kriterien können mittelbar benachteiligen. Beweist ein Bewerber Indizien für eine Benachteiligung, trägt der Arbeitgeber die Beweislast (§ 3 Abs. 2 und § 22 Allgemeines Gleichbehandlungsgesetz, AGG). Kann der Träger nicht darlegen, nach welchen Kriterien ein Werkzeug sortiert, kann ihm die Widerlegung schwerfallen.

Bewerber müssen eine Entschädigung binnen zwei Monaten nach Zugang der Ablehnung schriftlich geltend machen. Bei Nichteinstellung ist sie auf drei Monatsgehälter begrenzt, wenn der Bewerber auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre (§ 15 Abs. 2 und 4 AGG).

Was in den nächsten Wochen zu tun ist

Vorbereiten lohnt sich jetzt, weil Verträge, Beteiligung der Vertretung und Datenschutzprüfung Zeit brauchen. Ich empfehle diese Schritte:

1. Bestandsaufnahme machen. Alle Programme mit KI im Personalbereich auflisten, auch KI-Funktionen in der Fachsoftware. Nutzungen ohne Freigabe gehören dazu, wie sie der Beitrag zu Schatten-KI und privaten KI-Konten beschreibt.
2. Zweck schriftlich verlangen. Vom Anbieter Zweckbestimmung, Einstufung nach Art. 6 Abs. 3, Betriebsanleitung und verarbeitete Datenarten anfordern.
3. Jede Anwendung einstufen. Festhalten: Hochrisiko, nicht hochriskant oder offen. Bei jeder Bewertung einzelner Personen Profiling prüfen.
4. Verbotenes stoppen. Emotionserkennung bei Beschäftigten beenden und allgemeine Chatbots für die Bewerberauswahl untersagen.
5. Vertretung früh beteiligen. Betriebsrat oder Mitarbeiter­vertretung vor der Anschaffung informieren und eine Dienst- oder Betriebs­vereinbarung vorbereiten.
6. Datenschutz klären. Rechtsgrundlage festlegen, die Folgen­abschätzung mit dem Datenschutz­beauftragten planen, Informationstext und Löschfristen für Bewerber festlegen.
7. Aufsicht und Verfahren festlegen. Aufsichtspersonen benennen und schulen, ein Verfahren für Erläuterungsanfragen einführen und jede Absage von einer Person prüfen lassen.

Die Einstufung der vorhandenen Anwendungen ist Teil des KI-Checks. Wer die Pflichten für Hochrisiko-Systeme dauerhaft steuern will, kann dafür ein KI-Management­system aufbauen.

Häufige Fragen

Quellen

1. Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung, Stand 27. Juli 2026, Art. 2 Abs. 11, Art. 3 Nr. 3, 4 und 12, Art. 5 Abs. 1 Buchst. f, Art. 6, 14, 25, 26, 27, 86, 99, 111, 113 und Anhang III Nr. 4; Erwägungsgründe 12, 57 und 96 nach der Fassung im ABl. L vom 12. Juli 2024. Konsolidierter Text bei EUR-Lex, abgerufen am 8. Oktober 2026.
2. Europäische Union: Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), Art. 1 Nr. 39 (Art. 111 Abs. 2) und Nr. 40 (Art. 113 Abs. 3), ABl. L vom 24. Juli 2026. Volltext bei EUR-Lex, abgerufen am 8. Oktober 2026.
3. Europäische Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 4, Art. 13, 14, 22, 35, 88 und 91. Volltext bei EUR-Lex, abgerufen am 8. Oktober 2026.
4. Europäische Kommission: Entwurf der Leitlinien zur Einstufung von Hochrisiko-KI-Systemen nach Art. 6 der KI-Verordnung (Fassung für die Konsultation der Beteiligten), veröffentlicht am 19. Mai 2026, Teil „Allgemeine Grundsätze“ und Teil „Anhang III“, Rn. 70, 71 und 236 bis 278 sowie die Beispiele dazu. Seite der Kommission, abgerufen am 8. Oktober 2026.
5. Bundesrepublik Deutschland: KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026, BGBl. 2026 I Nr. 223, §§ 2, 15 und 17. Gesetzestext bei gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
6. Bundesministerium der Justiz: § 26 Bundes­datenschutz­gesetz (BDSG), Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Gesetzestext bei gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
7. Gerichtshof der Europäischen Union: Urteil vom 30. März 2023 in der Rechtssache C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer), Rn. 82 und Tenor Nr. 2. Urteil bei EUR-Lex, abgerufen am 15. Oktober 2026.
8. Bundesarbeitsgericht: Urteil vom 8. Mai 2025, 8 AZR 209/21, Rn. 16 bis 20. Urteil beim Bundesarbeitsgericht, abgerufen am 15. Oktober 2026.
9. Gerichtshof der Europäischen Union: Urteil vom 19. Dezember 2024 in der Rechtssache C-65/23 (MK/K GmbH), Verarbeitung von Beschäftigtendaten auf Grundlage einer Kollektivvereinbarung. Urteil bei EUR-Lex, abgerufen am 8. Oktober 2026.
10. Gerichtshof der Europäischen Union: Pressemitteilung Nr. 186/23 vom 7. Dezember 2023 zum Urteil in der Rechtssache C-634/21, SCHUFA Holding (Scoring). Pressemitteilung als PDF, abgerufen am 8. Oktober 2026.
11. Datenschutz­konferenz (DSK): Liste der Verarbeitungs­tätigkeiten, für die eine Datenschutz-Folgen­abschätzung durchzuführen ist (nicht-öffentlicher Bereich), Version 1.1 vom 17. Oktober 2018, Nr. 8 und 11. Muss-Liste als PDF, abgerufen am 8. Oktober 2026.
12. Bundesministerium der Justiz: Betriebs­verfassungs­gesetz (BetrVG), §§ 80, 87, 90, 94, 95 und 118. Gesetzestext bei gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
13. Bundesministerium der Justiz: Allgemeines Gleichbehandlungsgesetz (AGG), §§ 3, 15 und 22. Gesetzestext bei gesetze-im-internet.de, abgerufen am 8. Oktober 2026.
14. Bistum Hildesheim: Mitarbeiter­vertretungsordnung für das Bistum Hildesheim (MAVO) in der Fassung vom 1. Januar 2018, § 36 Abs. 1 Nr. 5, 6 und 9 sowie Abs. 3. PDF des Bistums, abgerufen am 8. Oktober 2026.
15. Evangelische Kirche in Deutschland: Kirchengesetz über die Mitarbeitenden­vertretungen in der EKD (MVG-EKD), Neufassung vom 20. Januar 2024, zuletzt geändert am 12. Dezember 2025, § 39 Buchst. a und b, § 40 Buchst. d, h und k. Kirchenrecht Online, abgerufen am 8. Oktober 2026.
16. Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG) in der Fassung des Beschlusses vom 24. November 2025, §§ 24, 35 und 53, veröffentlicht vom Bistum Trier. PDF des Bistums Trier, abgerufen am 8. Oktober 2026.
17. Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025, ABl. EKD 2025 Nr. 1, §§ 25a, 34 und 49. Kirchenrecht Online (PDF), abgerufen am 8. Oktober 2026.
18. Bitkom e. V.: Künstliche Intelligenz in Deutschland. Perspektiven aus Bevölkerung und Unternehmen, Studienbericht 2026 (Befragung von 604 Unternehmen ab 20 Beschäftigten, Kalenderwochen 27 bis 32 des Jahres 2025), S. 26, Abbildung 16. PDF des Bitkom, abgerufen am 8. Oktober 2026.

Christian Monat

Ich bin externer Datenschutz­beauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich

Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.