Personendaten sind in der Personalabteilung unvermeidlich. Bewerbungen, Verträge, Gehaltsabrechnungen, Krankheitsmeldungen, Leistungsbeurteilungen – überall stecken sensible Informationen. Für KMU bedeutet das: Wer HR-Prozesse nicht sauber aufsetzt, riskiert Abmahnungen, Bußgelder und vor allem Vertrauensverlust bei Bewerbern und Mitarbeitern. Gleichzeitig eröffnen KI-Tools echte Entlastung – vom automatischen Screening von Lebensläufen bis zu Chatbots, die Mitarbeiterfragen beantworten. Der Schlüssel liegt darin, beides zusammenzubringen: Datenschutz als festen Bestandteil der Prozesse und KI als Werkzeug mit klaren Leitplanken.
Der folgende Beitrag führt Sie praxisnah durch den gesamten Mitarbeiterlebenszyklus. Er richtet sich an Geschäftsführer und HR-Verantwortliche, die handfeste Orientierung brauchen – keine juristischen Abhandlungen.
1. Recruiting
Typische Daten
Name, Adresse, E-Mail, Telefon, Lebenslauf, Zeugnisse, Foto, Gehaltsvorstellungen, Social-Media-Profile (wenn vom Bewerber angegeben), Ergebnisse von Online-Tests oder Video-Interviews.
Häufige Risiken und Fehler
Daten werden länger als nötig gespeichert („Wir behalten die Bewerbung für den Talentpool“ ohne Einwilligung). Unklare oder fehlende Datenschutzhinweise im Bewerbungsformular. Weitergabe von Unterlagen an Fachabteilungen ohne Dokumentation. Nutzung von LinkedIn- oder XING-Profilen ohne Rechtsgrundlage. KI-Tools, die unbemerkt Diskriminierungsrisiken erzeugen.
DSGVO-konforme Gestaltung
- Immer eine klare Rechtsgrundlage dokumentieren: meist Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b). Für Talentpools ist eine gesonderte, freiwillige Einwilligung nötig.
- Datenschutzhinweis direkt im Bewerbungsprozess sichtbar machen – kurz, verständlich, mit Hinweis auf Speicherdauer (in der Regel 6 Monate nach Abschluss des Verfahrens).
- Zugriff nur für die am Verfahren beteiligten Personen. Löschkonzept festlegen und technisch umsetzen.
- Bei Video-Interviews oder Online-Tests: Einwilligung einholen und Anbieter prüfen.
KI-Unterstützung & besondere Aufmerksamkeit
Recruiting-KI kann Lebensläufe vorsortieren, Matching-Scores berechnen oder Chatbots erste Fragen beantworten lassen. Recruiting- und Auswahlverfahren fallen häufig unter die Hochrisiko-KI-Systeme des AI Acts. Das bedeutet: Transparenzpflichten, menschliche Aufsicht, Dokumentation und Risikomanagement. Schließen Sie immer einen AV-Vertrag mit dem Anbieter. Informieren Sie Bewerber klar, dass KI zum Einsatz kommt. Die endgültige Entscheidung darf nie allein der KI überlassen werden.
2. Onboarding
Typische Daten
Personalstammdaten, Bankverbindung, Steuer-ID, Sozialversicherungsdaten, Notfallkontakte, ggf. Führerschein- oder Gesundheitsdaten, Zugangsdaten zu Systemen.
Häufige Risiken und Fehler
Zu viele Daten auf einmal abfragen. Unsichere Weitergabe per E-Mail. Fehlende Verarbeitungsverzeichnisse. Speicherung von Gesundheitsdaten ohne besondere Rechtsgrundlage. Onboarding-Tools, die Daten unkontrolliert an Drittanbieter senden.
DSGVO-konforme Gestaltung
- Datensparsamkeit: Nur erheben, was für den Vertrag und gesetzliche Pflichten nötig ist.
- Separate Einwilligungen für optionale Daten (z. B. Foto für Intranet).
- Sichere Übermittlung (verschlüsselte Portale statt ungeschützte E-Mails).
- Löschfristen von Anfang an festlegen und Mitarbeiter über ihre Rechte informieren.
KI-Unterstützung & besondere Aufmerksamkeit
HR-Chatbots beantworten Standardfragen; automatisierte Workflows erinnern an fehlende Unterlagen. Transparente Information der neuen Mitarbeiter ist Pflicht. AV-Verträge und ggf. Datenschutz-Folgenabschätzung prüfen – besonders bei Gesundheits- oder biometrischen Daten.
3. Beschäftigungsverhältnis
Typische Daten
Arbeitszeit, Gehalt, Leistungsbeurteilungen, Krankheitszeiten, Urlaub, Weiterbildungsdaten, Kommunikationsdaten, ggf. Standortdaten bei Außendienst.
Häufige Risiken und Fehler
Überwachung ohne klare Grundlage und ohne Information der Beschäftigten. Leistungsbewertungen auf intransparenten KI-Scores. Fehlende Dokumentation von Zugriffsrechten. Lange Aufbewahrung über gesetzliche Fristen hinaus. BYOD ohne klare Regelungen.
DSGVO-konforme Gestaltung
- Rechtsgrundlage ist in der Regel der Arbeitsvertrag bzw. § 26 BDSG. Für Gesundheitsdaten gelten strengere Regeln.
- Betriebsvereinbarung oder klare Richtlinie zu Monitoring und Leistungsbewertung.
- Zweckbindung und Datensparsamkeit einhalten; Zugriffsrechte regelmäßig prüfen.
- Führungskräfte schulen: Was darf in die Personalakte?
KI-Unterstützung & besondere Aufmerksamkeit
Analyse-Tools und Performance-Systeme können entlasten – Systeme, die maßgeblich über Einstellung, Beförderung oder Kündigung entscheiden, gelten als Hochrisiko-KI. Menschliche Aufsicht und Nachvollziehbarkeit sind Pflicht. Beschäftigte müssen wissen, wenn und wie KI ihre Daten auswertet.
4. Offboarding
Typische Daten
Kündigungsschreiben, Abwicklungsdaten, Resturlaub, Exit-Interview-Notizen, Zugangsdaten, ggf. Wettbewerbsverbote.
Häufige Risiken und Fehler
Zugänge bleiben zu lange aktiv. Daten werden nicht oder zu spät gelöscht. Exit-Interviews ohne klare Zweckbindung. Ehemalige Mitarbeiter erhalten weiterhin Zugänge oder Newsletter.
DSGVO-konforme Gestaltung
- Sofortige Deaktivierung aller Zugänge am letzten Arbeitstag.
- Löschkonzept: gesetzlich notwendige Aufbewahrung vs. Löschung/Anonymisierung des Rests.
- Exit-Interviews nur mit klarer Zweckbindung und ggf. Einwilligung.
- Übergabe an Nachfolger: nur das Nötigste dokumentieren.
KI-Unterstützung & besondere Aufmerksamkeit
Automatisierte Workflows können Checklisten und Löschfristen unterstützen. Bei Auswertung von Exit-Gesprächen: Anonymisierung, Zweckbindung und AV-Verträge beachten.
Kurze Checkliste für HR
- Dokumentierte Rechtsgrundlage und aktueller Datenschutzhinweis für jeden Prozessschritt?
- Aktuelles Verarbeitungsverzeichnis und Löschkonzept?
- AV-Verträge mit allen relevanten Anbietern (inkl. KI-Tools)?
- Transparenz gegenüber Bewerbern und Mitarbeitern bei KI-Einsatz?
- Menschliche Aufsicht bei automatisierten Entscheidungen?
- Zugriffsrechte regelmäßig geprüft und Zugänge bei Austritt sofort gesperrt?
- Schulung für Führungskräfte und HR erfolgt?
Konkrete nächste Schritte
- Inventur: Alle HR-Prozesse und eingesetzten/geplanten KI-Tools erfassen.
- Hinweise & Einwilligungen: Besonders für Bewerbungen, Talentpools und optionale Onboarding-Daten aktualisieren.
- AV-Verträge prüfen: Bei jedem relevanten Tool kontrollieren.
- Löschkonzept & Zugangsmanagement: Technisch und organisatorisch festzurren.
- Schulung & Dokumentation: Praxisnahe Schulung durchführen und wesentliche Entscheidungen dokumentieren.
Datenschutz und KI sind kein Widerspruch. Wer die Prozesse klar strukturiert, die Rechtsgrundlagen sauber dokumentiert und KI nur dort einsetzt, wo Transparenz und menschliche Kontrolle gewährleistet sind, gewinnt Effizienz und Vertrauen zugleich.
Sie wollen HR-Prozesse datenschutzkonform und KI-ready aufstellen?
Sprechen Sie mich an – im kostenlosen Erstgespräch klären wir Ihre Ausgangslage.