Dr. Michael Witteler

Das Hess. LAG hat eine zentrale Weiche für die zukünftige Gestaltung des betrieblichen Datenschutzes gestellt: Es entschied, dass das erzwingbare Mitbestimmungsrecht des Betriebsrats bei der Einführung und Anwendung von technischen Überwachungseinrichtungen kein umfassendes und erzwingbares Gestaltungsrecht bezüglich der allgemeinen datenschutzrechtlichen Pflichten des Arbeitgebers begründet.

Verstößt die Überwachung eines Arbeitnehmers durch eine Detektei aufgrund des Verdachts einer vorgetäuschten Arbeitsunfähigkeit gegen die Datenschutz-Grundverordnung (DSGVO) und begründet dies einen Anspruch auf immateriellen Schadenersatz? Zu diesen Fragen hat das BAG entschieden.

Die EU-Verordnung für Künstliche Intelligenz (KI-VO) markiert einen bedeutenden Schritt in der Regulierung von KI-Systemen innerhalb der Europäischen Union und zielt darauf ab, einheitliche Standards für die Entwicklung und Nutzung von KI zu schaffen. Die KI-VO ist am 02.08.2024 in Kraft getreten, jedoch noch nicht anwendbar. Das ändert sich schrittweise. Seit dem 02.02.2025 sind erste Artikel der Verordnung anwendbar. Es handelt sich um die Art. 1 bis 5 (Kapitel 1 und 2).

Vor der Auswahl von Bewerbern führen Arbeitgeber immer häufiger eigenständig Nachforschungen, sogenannte Pre-Employment-Screenings oder Background-Checks, durch. Unternehmen wollen auf diesem Weg mehr über die Kandidaten erfahren als diese selbst preisgeben oder Informationen auf Korrektheit prüfen. Was ist datenschutzrechtlich zulässig?

Software-Tools, Trainingsdaten, personenbezogene Daten – auch die kommende KI-Verordnung befreit Arbeitgeber nicht davon, das geltende Datenschutzrecht in vollem Umfang zu berücksichtigen. Die Geltung der DSGVO bleibt unberührt.

Das Gesetz über künstliche Intelligenz (kurz: KI-Verordnung oder KI-VO) ist am 13.03.2024 vom Europäischen Parlament verabschiedet worden. Es ist der letzte große Baustein der digitalen Strategie der EU-Kommission. Nach Zustimmung durch den Europäischen Rat und der Verkündung im Amtsblatt wird die Verordnung dann in Kraft treten und als Verordnung in allen Mitgliedstaaten der EU unmittelbar geltendes Recht sein. Es bedarf keiner Umsetzung durch die Mitgliedstaaten.

Entschädigungsansprüche nach dem AGG und Schadensersatzansprüche nach Art. 82 DSGVO zählen zu den Dauerbrennern in der Rechtsprechung. Eine Entscheidung des LAG Mecklenburg-Vorpommern zeigt, dass viele der streitigen Rechtsfragen mittlerweile entschieden sind. Dennoch lohnt sich ein Blick auf die Entscheidung.

Das Auskunftsrecht der betroffenen Person („right of access“) aus Art. 15 DSGVO ist Gegenstand vieler Auseinandersetzungen. Am 04.05.2023 hat der EuGH sein Urteil in der Rechtssache C-487/21 verkündet. Doch damit sind längst nicht alle Streitigkeiten geklärt. Betrachtet man die Urteilsgründe, herrscht nicht einmal in dem konkreten Verfahren Klarheit für die Parteien.

Das Urteil des EuGH vom 12.01.2023 (C-154/21) befasst sich mit dem datenschutzrechtlichen Auskunftsanspruch gemäß Art. 15 DSGVO. Der EuGH hat entschieden, dass im Rahmen der Beantwortung des Auskunftsersuchens konkrete Angaben über den bzw. die Empfänger der personenbezogenen Daten des Betroffenen gemacht werden müssen. Nicht ausreichend ist es, die Kategorien von Empfängern zu benennen. Der EuGH lässt nur wenige Ausnahmen von dieser Verpflichtung zu.

Wenn Unternehmen personenbezogene Daten auf Basis von Standarddatenschutzklauseln in ein Drittland übermitteln, besteht unter Umständen Handlungsbedarf.