KI und Datenschutz in der bAV: DSGVO trifft KI-Verordnung

Warum bAV-Daten besonders sensibel sind

In der betrieblichen Altersversorgung laufen Daten zusammen, die anderswo getrennt liegen: Entgelt und Entgeltumwandlung, Familienstand und Hinterbliebene, Beschäftigungszeiten, Anwartschaften, Adressen über Jahrzehnte. In der betrieblichen Krankenversicherung kommen Gesundheitsdaten hinzu, die als besondere Kategorie nach Art. 9 DSGVO nur unter engen Voraussetzungen verarbeitet werden dürfen. Und die Daten bleiben lange relevant, oft vom Eintritt bis zum Tod der Hinterbliebenen.

KI verändert die Risiken: Sie kann Daten verknüpfen, Muster erkennen und Einschätzungen über Personen erzeugen, die vorher niemand angestellt hat. Deshalb lohnt es sich, Datenschutz nicht nachträglich zu prüfen, sondern in die Auswahl des Anwendungsfalls einzubauen.

Rechtsgrundlagen für KI mit Beschäftigtendaten

• § 26 Abs. 1 BDSG trägt nicht mehr pauschal. Der EuGH hat am 30. März 2023 (C-34/21) entschieden, dass eine gleichlautende Landesvorschrift keine zulässige spezifischere Regelung nach Art. 88 DSGVO ist. Das Bundesarbeitsgericht hat daraus am 8. Mai 2025 (8 AZR 209/21) gefolgert, dass auch § 26 Abs. 1 BDSG keine tragfähige Rechtsgrundlage ist, und den Fall nach Art. 6 DSGVO entschieden. In der Praxis wird die Verarbeitung deshalb direkt auf Art. 6 DSGVO gestützt.
• Art. 6 Abs. 1 Buchst. b und c DSGVO: Was zur Durchführung der Versorgungszusage oder zur Erfüllung gesetzlicher Pflichten erforderlich ist, ist zulässig. Ob dafür KI eingesetzt werden muss, ist eine eigene Frage der Erforderlichkeit.
• Art. 6 Abs. 1 Buchst. f DSGVO: Für zusätzliche KI-Funktionen, etwa Assistenten oder Datenprüfung, kommt das berechtigte Interesse in Betracht, mit dokumentierter Abwägung.
• Betriebsvereinbarung: Sie kann nach Art. 88 DSGVO und § 26 Abs. 4 BDSG Grundlage der Verarbeitung sein, ersetzt aber nicht die allgemeinen Anforderungen der DSGVO: Die Grundsätze des Art. 5 und die Voraussetzungen der Art. 6 und 9 müssen trotzdem erfüllt sein. Die Mitbestimmung regelt sie ohnehin.
• Einwilligung: Im Arbeitsverhältnis wegen der Abhängigkeit selten freiwillig und deshalb meist die schwächste Grundlage.

Automatisierte Entscheidungen und Scoring

Art. 22 DSGVO verbietet grundsätzlich Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Betroffene rechtlich oder ähnlich erheblich beeinträchtigen. Ausnahmen gelten nur, wenn die Entscheidung für einen Vertrag erforderlich ist, ein Gesetz sie erlaubt oder eine ausdrückliche Einwilligung vorliegt, jeweils mit Schutzmaßnahmen wie dem Recht auf menschliches Eingreifen.

Seit dem SCHUFA-Urteil des EuGH vom 7. Dezember 2023 (C-634/21) gilt: Schon ein automatisch erstellter Wert kann eine solche Entscheidung sein, wenn ein anderer ihn maßgeblich für seine Entscheidung heranzieht. Für die bAV heißt das: Ein KI-System, das Beschäftigte für Angebote, Kommunikation oder Leistungsfälle einstuft, ist heikel, wenn die Sachbearbeitung seinem Ergebnis praktisch immer folgt. Eine menschliche Prüfung, die nur formal abzeichnet, schützt nicht.

Transparenz und Auskunft

Beschäftigte müssen erfahren, dass und wofür KI ihre Daten verarbeitet (Art. 13 und 14 DSGVO). Bei automatisierten Entscheidungen kommen aussagekräftige Informationen über die involvierte Logik hinzu. Der EuGH hat am 27. Februar 2025 (C-203/22, Dun & Bradstreet Austria) klargestellt, was das bedeutet: eine verständliche Erläuterung, welche Daten auf welche Weise zum Ergebnis geführt haben. Die bloße Übergabe eines Algorithmus genügt nicht; Geschäftsgeheimnisse sind im Einzelfall abzuwägen, schließen die Auskunft aber nicht aus.

Unabhängig davon verlangt Artikel 50 der KI-Verordnung seit August 2026, dass Beschäftigte erkennen, wenn sie mit einem KI-System kommunizieren, etwa einem Chatbot im Mitarbeiterportal.

Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Bei KI in der bAV ist das häufig der Fall: neue Technologie, Beschäftigtendaten in großem Umfang, mögliche Bewertung von Personen, bei der bKV Gesundheitsdaten. Die DSFA beschreibt Zweck, Datenflüsse, Risiken und Gegenmaßnahmen und ist das zentrale Dokument, das Aufsichtsbehörde, Betriebsrat und Revision sehen wollen. Praktische Prüffragen liefert die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz vom 6. Mai 2024.

KI-Anbieter, Verträge und Drittlandtransfer

• Auftragsverarbeitung: Mit jedem KI-Dienst, der personenbezogene Daten im Auftrag verarbeitet, ist ein Vertrag nach Art. 28 DSGVO nötig. Darin gehört geregelt, dass Eingaben nicht zum Training des Anbietermodells genutzt werden.
• Drittland: Bei Anbietern außerhalb der EU braucht es eine Grundlage für den Transfer nach Art. 44 ff. DSGVO, etwa eine Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework, das das Gericht der EU am 3. September 2025 bestätigt hat (Rechtsmittel möglich), oder Standardvertragsklauseln mit Transfer-Folgenabschätzung.
• Lokale Verarbeitung: Modelle, die im eigenen oder einem deutschen Rechenzentrum laufen, vermeiden Drittlandtransfer und Trainingsnutzung strukturell. Für bAV-Daten ist das oft der einfachste Weg; Hintergründe in Lokale KI statt Black Box.

KI-Modelle und personenbezogene Daten

Der Europäische Datenschutzausschuss hat am 17. Dezember 2024 in seiner Stellungnahme 28/2024 klargestellt: Ein KI-Modell, das mit personenbezogenen Daten trainiert wurde, ist nicht automatisch anonym. Ob sich Daten aus dem Modell wieder gewinnen lassen, ist im Einzelfall zu prüfen. Für das berechtigte Interesse als Rechtsgrundlage beim Entwickeln und Einsetzen von Modellen gilt die übliche dreistufige Prüfung aus Interesse, Erforderlichkeit und Abwägung.

Für die bAV folgt daraus eine einfache Regel: Eigene Modelle mit Bestandsdaten zu trainieren, ist selten nötig. Meist reicht es, ein vorhandenes Modell lokal zu betreiben und ihm im Einzelfall die nötigen Dokumente bereitzustellen, ohne dass Daten dauerhaft in das Modell eingehen.

Die EU-Kommission hat im November 2025 Änderungen an der DSGVO vorgeschlagen, unter anderem zum berechtigten Interesse bei KI. Solange solche Änderungen nicht in Kraft sind, gilt der bisherige Text.

DSGVO und KI-Verordnung zusammen denken

Die KI-Verordnung ersetzt die DSGVO nicht, sie kommt hinzu. Wo beide greifen, lassen sich Nachweise bündeln: Betreiber von Hochrisiko-KI nutzen die Informationen, die der Anbieter nach Art. 13 KI-VO bereitstellt, gegebenenfalls für ihre Datenschutz-Folgenabschätzung (Art. 26 Abs. 9 KI-VO). Das KI-Register aus der Governance und das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO lassen sich verknüpfen. Wie beides organisatorisch zusammenspielt, beschreibt der Leitfaden zur KI-Governance in HR und bAV; die Fristen der KI-Verordnung stehen im Leitfaden zum EU AI Act in der bAV.

Blueprint in sechs Schritten

1. Datenflüsse kartieren: HR-System, Entgeltabrechnung, bAV-Plattform, Aktuariat, Versicherer. Zweck, Rechtsgrundlage, Speicher- und Löschlogik je Fluss.
2. Anwendungsfall einordnen: Unterstützt die KI nur, oder entscheidet oder bewertet sie? Je näher an Art. 22 DSGVO und Anhang III KI-VO, desto höher die Anforderungen.
3. DSFA durchführen und Datenschutzbeauftragten früh einbinden.
4. Technik wählen: lokale oder vertraglich abgesicherte Modelle, Rollen und Berechtigungen, Trennung von Test- und Produktivdaten, Pseudonymisierung wo möglich.
5. Transparenz herstellen: Information der Beschäftigten, Kennzeichnung von Chatbots, Betriebsvereinbarung.
6. Betrieb absichern: Protokollierung, Qualitäts- und Fehlerkontrolle, Prozess für Auskunftsersuchen, regelmäßige Überprüfung.

Häufige Fragen

Darf ich bAV-Daten in einen öffentlichen KI-Chat eingeben?

In aller Regel nicht. Ohne Vertrag zur Auftragsverarbeitung, mit möglicher Trainingsnutzung und Übermittlung in Drittländer fehlt für Beschäftigtendaten meist die Grundlage.

Ist ein Chatbot für bAV-Fragen eine automatisierte Entscheidung?

Normalerweise nicht, solange er informiert und nicht über Ansprüche entscheidet. Er muss aber als KI erkennbar sein, und die Datenverarbeitung braucht eine Rechtsgrundlage.

Brauche ich für KI in der bAV immer eine Datenschutz-Folgenabschätzung?

Nicht immer, aber häufig. Bei Beschäftigtendaten in größerem Umfang, Bewertung von Personen oder Gesundheitsdaten ist sie regelmäßig erforderlich.

Gilt § 26 BDSG noch?

Als pauschale Rechtsgrundlage für Beschäftigtendaten nicht mehr: Nach dem EuGH (30. März 2023) hat auch das Bundesarbeitsgericht (8. Mai 2025) § 26 Abs. 1 BDSG nicht mehr angewendet. Maßgeblich sind Art. 6 und Art. 88 DSGVO.

Wie hoch sind die Bußgelder?

Nach der DSGVO bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Die KI-Verordnung hat eigene Bußgeldrahmen, die daneben gelten.

---

Sie planen ein KI-Projekt in der bAV? Die KI-Assistenten von smart!bAV laufen ausschließlich lokal in einem zertifizierten Rechenzentrum in Deutschland, ohne Datenübermittlung an externe KI-Anbieter. Auftragsverarbeitungsvertrag und TOMs erhalten Sie über unser Trustcenter. Termin für ein Gespräch vereinbaren.

---