Betriebsrat und KI-Nutzungsauswertung: was vor dem Einschalten zu klären ist

Inhalt in Kürze

• Mitbestimmungspflichtig ist schon das Einschalten, nicht erst die erste Auswertung.
• Es genügt die objektive Eignung zur Überwachung — die Absicht spielt keine Rolle (BAG, Beschluss vom 16.07.2024 – 1 ABR 16/23).
• § 26 Abs. 1 BDSG trägt nicht mehr. Wer ihn noch zitiert, arbeitet mit einer überholten Vorlage.
• Personenbezug nur, soweit anonyme Daten den Zweck nicht erreichen. Für „welche Abteilung braucht Schulung” reicht die zusammengefasste Sicht.

Sobald jemand vorschlägt, den Bestand an KI-Diensten sichtbar zu machen, steht die Frage im Raum: Dürfen wir das überhaupt? Die Antwort ist meistens ja — aber nicht ohne den Betriebsrat, und nicht erst, wenn die erste Liste auf dem Tisch liegt.

Warum die Mitbestimmung schon beim Einschalten greift

§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Zwei Punkte daraus werden regelmäßig übersehen.

1. Es genügt die Eignung. Ob Sie einzelne Personen tatsächlich auswerten wollen, ist unerheblich. Das Bundesarbeitsgericht stellt auf die objektive Eignung ab, nicht auf die Zweckbestimmung des Arbeitgebers (Beschluss vom 16.07.2024 – 1 ABR 16/23).
2. Auch die Anwendung ist erfasst. Deshalb ist bereits die Aktivierung eines solchen Werkzeugs der mitbestimmungspflichtige Vorgang — nicht der Moment, in dem jemand die Auswertung öffnet.

Eine Liste, die zeigt, welche KI-Dienste mit Firmenkonten verbunden sind und in welchen Abteilungen sie benutzt werden, erfüllt diese Voraussetzungen. Sie ist zur Überwachung geeignet, auch wenn sie ausschließlich für das KI-Register gedacht ist.

Rechtsgrundlage: was nach dem BAG-Urteil noch trägt

Viele Vorlagen berufen sich auf „Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 26 BDSG”. Diese Kombination sollte man nicht mehr verwenden.

Das Bundesarbeitsgericht hat mit Urteil vom 08.05.2025 (8 AZR 209/21) entschieden, dass § 26 Abs. 1 BDSG unangewendet zu bleiben hat. Ein Beschäftigtendatengesetz, das die Lücke füllen würde, gibt es bis heute nicht.

Aus demselben Urteil folgt ein zweiter Satz, der die Ausgestaltung bestimmt: Personenbezug nur, soweit anonyme Daten den Zweck nicht erreichen. Für die Frage, welche Dienste im Haus laufen und welche Abteilung Schulung braucht, erreicht die zusammengefasste Sicht den Zweck vollständig. Personenbezogen wird es erst dort, wo eine Richtlinie zur Kenntnisnahme an bestimmte Personen gehen soll.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten) ausführlich behandelt. Jetzt herunterladen →

Was in die Betriebsvereinbarung gehört

Der Umfang ist überschaubar. Ein Gremium sagt selten grundsätzlich nein — es sagt nein zu Unklarheit.

• Zweck, und was ausdrücklich nicht Zweck ist. Bestandsaufnahme, Schulungszuweisung, Richtlinien-Kenntnisnahme. Keine Leistungs- oder Verhaltenskontrolle.
• Datenarten. Name des Dienstes, erteilte Berechtigung, Zeitpunkt des ersten und letzten Kontakts, betroffenes Konto. Keine Inhalte.
• Auswertungsebene. Zusammengefasst, mit Mindestgruppengröße. Darunter wird nichts angezeigt.
• Voraussetzungen für Personenbezug. Wer entscheidet, mit welcher Begründung, mit welcher Protokollierung.
• Aufbewahrungsfrist und Zugriffsrechte. Wer darf die Auswertung sehen, wie lange bleibt sie.
• Folgenlosigkeit. Ein Fund führt zu Schulung und Regel, nicht zu einer Abmahnung.

Der letzte Punkt ist der wichtigste. Wenn im Betrieb der Eindruck entsteht, die Liste diene der Suche nach Schuldigen, wandert die Nutzung in den privaten Browser — und dort sieht sie niemand mehr.

Was die Auswertung ohnehin nicht kann

Diese Grenzen gehören in die Sitzung, nicht in eine Fußnote. Sie nehmen der Diskussion die Schärfe und verhindern Erwartungen, die das Werkzeug nicht erfüllt.

• Keine Inhalte. Was jemand einer KI geschrieben hat, wird nicht gelesen — technisch nicht vorgesehen.
• Nur Firmenkonten. Private Konten im Browser bleiben unsichtbar. Die Auswertung ist deshalb kein Vollbild und darf nicht als eines dargestellt werden.
• Anmeldeprotokolle brauchen Entra ID P1. Ohne diese Lizenzstufe sind nur die verbundenen Anwendungen sichtbar, nicht die Häufigkeit der Nutzung.
• Der Copilot-Bericht liefert nur Zahlen. Microsoft anonymisiert die Kennungen mandantenweit.

Aus der Praxis

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Im Betriebsratsgespräch ist es dieselbe Erfahrung. Die Fragen sind fast immer die vier gleichen: Was wird gespeichert, wer sieht es, wie lange bleibt es, was passiert mit mir, wenn mein Name auftaucht. Wer diese vier Antworten schriftlich mitbringt, ist meist nach einer Sitzung durch.

Ihr nächster Schritt

Nehmen Sie die bestehende Betriebsvereinbarung zur IT-Nutzung und suchen Sie zwei Dinge: den Verweis auf § 26 BDSG und das Wort „KI”. Fehlt das eine nicht und das andere doch, ist die Vorlage älter als der aktuelle Stand. Was danach kommt, beschreibt der Beitrag Schatten-KI im Mittelstand; die Regeln für die Belegschaft gehören in die KI-Nutzungsrichtlinie, die Nachweise in die KI-Kompetenzschulung nach Art. 4.

Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Eine Betriebsvereinbarung wird stets betriebsindividuell geschlossen.

Häufige Fragen (FAQ)

Ist eine Auswertung der KI-Nutzung mitbestimmungspflichtig?

In Betrieben mit Betriebsrat regelmäßig ja. Eine Auswertung, wer welchen Dienst benutzt, ist eine technische Einrichtung, die zur Überwachung von Verhalten oder Leistung geeignet ist. Nach § 87 Abs. 1 Nr. 6 BetrVG kommt es auf die objektive Eignung an, nicht auf die Absicht — so das BAG im Beschluss vom 16.07.2024 (1 ABR 16/23).

Ab wann greift die Mitbestimmung — erst bei der ersten Auswertung?

Nein, schon bei der Aktivierung. § 87 Abs. 1 Nr. 6 BetrVG erfasst Einführung und Anwendung. Sobald das Werkzeug eingeschaltet ist und Daten sammelt, ist der mitbestimmungspflichtige Vorgang eingetreten — unabhängig davon, ob jemand die Auswertung öffnet.

Welche Rechtsgrundlage trägt für die Auswertung?

Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, gestützt auf Art. 32 Abs. 1 DSGVO. § 26 Abs. 1 BDSG scheidet aus: Das Bundesarbeitsgericht hat mit Urteil vom 08.05.2025 (8 AZR 209/21) entschieden, dass die Vorschrift unangewendet zu bleiben hat. Ein Beschäftigtendatengesetz gibt es bis heute nicht.

Muss die Auswertung personenbezogen sein?

Nur soweit anonyme Daten den Zweck nicht erreichen — das folgt aus demselben BAG-Urteil. Für die Frage, welche Dienste im Haus laufen und welche Abteilung Schulung braucht, genügt in der Regel die zusammengefasste Sicht.

Was gehört in die Betriebsvereinbarung?

Zweck und ausdrücklicher Ausschluss der Leistungskontrolle, die Datenarten, die Auswertungsebene mit Mindestgruppengröße, die Voraussetzungen für eine personenbezogene Auswertung, Aufbewahrungsfrist, Zugriffsrechte und die Folgenlosigkeit eines Fundes für die einzelne Person.