Governance ist kein Anhang. Sie ist der Bauplan.
KI im Personalbereich berührt Menschen, Rechte und Mitbestimmung. Diese Seite beschreibt, nach welchen Regeln wir Agenten-Ensembles für HR-Prozesse entwerfen, betreiben und dokumentieren — und wo die Verantwortung zwischen Ihnen und uns verläuft.
Ausgangslage
Warum der Personalbereich ein Sonderfall ist.
Der EU AI Act — die Verordnung (EU) 2024/1689 — führt KI-Systeme, die für die Auswahl und Einstellung von Personen, für die Zuweisung von Aufgaben, für Beförderungsentscheidungen oder für die Beendigung von Beschäftigungsverhältnissen eingesetzt werden, in Anhang III als Hochrisiko-Anwendungen.
Hochrisiko heißt nicht verboten. Es heißt: Ein solches System darf eingesetzt werden, muss aber belegbar beherrscht sein. Die Anforderungen der Verordnung an Hochrisikosysteme sind zugleich die Gliederung, nach der wir jedes Projekt aufsetzen — nicht erst zur Abnahme, sondern ab dem ersten Workshop.
Zur zeitlichen Einordnung. Der AI Act ist am 1. August 2024 in Kraft getreten und wird gestaffelt anwendbar. Die Verbote bestimmter Praktiken und die Pflicht zur ausreichenden KI-Kompetenz gelten seit Februar 2025; die Anforderungen an Hochrisikosysteme greifen zu späteren Zeitpunkten und werden auf europäischer Ebene laufend durch Leitlinien und Normen konkretisiert.
Welche Frist für Ihr konkretes System gilt — und ob sich der Zeitplan durch aktuelle Rechtsakte verschiebt — prüfen wir zu Projektbeginn gemeinsam mit Ihrer Rechts- und Datenschutzberatung. Wir bauen so, dass die Anforderungen unabhängig vom Stichtag erfüllt sind, statt auf eine Frist hin zu improvisieren.
Unsere Prinzipien
Sieben Leitplanken, die wir in jedem Projekt einziehen.
Diese sieben Punkte sind nicht verhandelbar. Sie stehen in jedem Angebot, jedem Umsetzungsplan und jeder Betriebsdokumentation, die wir übergeben. Wenn ein Anwendungsfall sich nur ohne sie umsetzen ließe, setzen wir ihn nicht um.
01 · Art. 22 DSGVO
Mensch entscheidet
Über Einstellung, Beförderung, Versetzung oder Beendigung entscheidet eine Person, nicht ein Modell. Die Verordnung (EU) 2016/679 gibt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Unsere Agenten liefern deshalb Vorschläge samt Begründung und Quellen — die Freigabe erfolgt durch einen Menschen, und diese Freigabe wird namentlich protokolliert.
02 · Nachvollziehbarkeit
Nachvollziehbarkeit by Design
Jeder Arbeitsschritt eines Agenten wird protokolliert: Zeitpunkt, beteiligter Agent, verwendete Eingabe, erzeugtes Ergebnis, Begründung und die freigebende Person. Das Protokoll entsteht im Betrieb und wird nicht nachträglich rekonstruiert. Es ist so aufgebaut, dass Revision, Datenschutzbeauftragte und Betriebsrat einen Einzelfall vollständig nachvollziehen können, ohne dass wir dafür Zugriff auf Ihr System benötigen.
03 · Datenminimierung
So wenig Daten wie möglich
Jeder Agent bekommt genau die Felder, die er für seine Aufgabe braucht — nicht die Personalakte, nicht das ganze Bewerbungsdossier. Wo eine Aufgabe ohne Klarnamen auskommt, arbeitet der Agent mit pseudonymisierten Daten. Welche Felder das jeweils sind, wird je Anwendungsfall festgelegt, dokumentiert und technisch durchgesetzt. Besondere Kategorien personenbezogener Daten bleiben grundsätzlich außerhalb der Verarbeitung.
04 · Datenresidenz
Verarbeitung in Europa
Wir setzen auf europäische Verarbeitungsregionen und wählen Dienste, die eine Verarbeitung innerhalb der EU zusichern. Ihre Personal- und Bewerberdaten werden nicht zum Training fremder Modelle verwendet. Diese Punkte stehen im Auftragsverarbeitungsvertrag und in den Anbieterbedingungen, nicht in einer Präsentation. Unterauftragsverarbeiter werden Ihnen offengelegt, bevor sie eingesetzt werden.
05 · Fairness
Prüfung auf Diskriminierung
Bewertende Systeme werden regelmäßig gegen sachfremde Merkmale geprüft. Dazu vergleichen wir Stichproben der maschinellen Einstufung mit menschlichen Bewertungen derselben Fälle und beobachten die Verteilung der Ergebnisse über die Zeit. Auffällige Abweichungen werden untersucht und dokumentiert, nicht wegerklärt. Der Testplan, die Stichprobengröße und die Schwellen, ab denen wir eingreifen, werden vor Produktivsetzung vereinbart.
06 · Mitbestimmung
Betriebsrat von Anfang an
Wo eine Belegschaftsvertretung besteht, binden wir sie früh ein — in der Analysephase, nicht kurz vor dem Rollout. Wir liefern die technische Beschreibung, das Datenflussdiagramm, das Protokollierungskonzept und die Liste der verarbeiteten Felder als Grundlage für die Betriebsvereinbarung und begleiten die Abstimmung fachlich. Systeme, die den Betriebsrat überraschen, scheitern — meist erst nach der Investition.
07 · KI-Kompetenz
Kompetenz statt Blindvertrauen
Artikel 4 des AI Act verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz bei den Personen zu sorgen, die mit dem System arbeiten. Wir setzen das nicht als Pflichtübung um: Ihre Anwenderinnen und Anwender lernen, wie die Agenten zu ihren Ergebnissen kommen, wo deren Grenzen liegen und woran man ein fragwürdiges Ergebnis erkennt — anhand von Fällen aus Ihrem eigenen Alltag. Eine Freigabe, die niemand fachlich beurteilen kann, ist keine menschliche Aufsicht, sondern ein Klick.
Datenfluss
Der Datenweg — wer wann was sieht.
Die häufigste Frage im Datenschutz-Gespräch lautet nicht „ist das erlaubt“, sondern „wohin gehen unsere Daten eigentlich“. Deshalb zeichnen wir den Weg vor der Umsetzung auf — Feld für Feld, Grenze für Grenze.
Grundregel: Die Originaldaten bleiben in Ihren Systemen. Was den geschützten Bereich verlässt, ist der kleinstmögliche Ausschnitt, der für einen einzelnen Arbeitsschritt nötig ist — und er kommt als Ergebnis mit Begründung zurück, nicht als neue Datenhaltung.
Personalakte, Gehalts- und Gesundheitsdaten, Bewerbungsdokumente im Original
Nur die Felder des jeweiligen Schritts, pseudonymisiert wo die Aufgabe es zulässt
Zeitpunkt, Agent, Eingabe, Ergebnis, Begründung, freigebende Person
Zwischenstände nach Abschluss des Schritts, Protokolle nach vereinbarter Frist
Bewerbermanagement, Personalsystem, Postfach. Hier liegen die Originaldaten, hier bleiben sie. Wir legen keine zweite Personaldatenbank an.
Eine definierte Feldliste je Arbeitsschritt. Namen, Kontaktdaten, Geburtsdatum und Foto werden ersetzt oder entfernt, wo die Aufgabe sie nicht braucht.
Feldliste dokumentiert und geprüft
Der Agent verarbeitet den Ausschnitt über europäische Endpunkte. Kein Training auf Ihren Daten, keine dauerhafte Speicherung beim Modellanbieter.
Zwischenstände werden verworfen
Das Ergebnis wird in Ihrem System wieder mit der Person verknüpft und einer verantwortlichen Person zur Entscheidung vorgelegt.
revisionssicher bei Ihnen abgelegt
Konkret: eine eingehende Bewerbung.
Beispielhafter Ablauf für einen Screening-Anwendungsfall. Welche Felder in Ihrem Fall tatsächlich übergeben werden, legen wir gemeinsam mit Ihrem Datenschutzbeauftragten fest und halten es in der technischen Dokumentation fest.
Eingang im Bewerbermanagementsystem
Anschreiben, Lebenslauf und Zeugnisse landen wie bisher in Ihrem System. Die Bewerbung erhält dort eine interne Kennung. Ab diesem Moment gilt Ihre Datenschutzinformation gegenüber der bewerbenden Person, ergänzt um den Hinweis auf den KI-gestützten Verarbeitungsschritt.
Übergabe eines reduzierten Datensatzes
An den Extraktions-Agenten geht der Dokumenteninhalt ohne Foto und ohne Kontaktdaten, verknüpft nur über die interne Kennung. Name und Anschrift werden für diesen Schritt nicht benötigt und deshalb nicht übergeben. Angaben zu Gesundheit, Religion oder Herkunft werden nicht ausgewertet und sind kein Kriterium.
Bewertung gegen das Anforderungsprofil
Der Matching-Agent vergleicht das strukturierte Profil mit den vorab definierten Kriterien der Stelle und begründet jede Einstufung einzeln. Die Kriterien stammen aus Ihrer Stellenbeschreibung, nicht aus dem Modell. Eine Prüfinstanz kontrolliert das Ergebnis auf sachfremde Merkmale, bevor es weitergereicht wird.
Rückführung und menschliche Entscheidung
Erst in Ihrem System wird das Ergebnis wieder mit der Person verknüpft. Die zuständige Person im Recruiting sieht Vorschlag, Begründung und Quellenverweis, kann korrigieren und entscheidet. Ohne diese Freigabe geht keine Einladung und keine Absage hinaus.
Protokollierung und Löschung
Protokolliert werden Zeitpunkt, Agent, verwendete Felder, Ergebnis, Begründung und die freigebende Person. Zwischenstände der Verarbeitung werden nach Abschluss des Schritts verworfen. Für die Bewerbungsdaten selbst gilt Ihr Löschkonzept; Aufbewahrungsfristen zur Abwehr möglicher Ansprüche werden vorab festgelegt, nicht im Nachhinein diskutiert.
Zuständigkeiten
Wer wofür geradesteht.
Rollen sauber zu trennen ist kein Formalismus, sondern die Voraussetzung dafür, dass im Ernstfall jemand handlungsfähig ist. Die folgende Zuordnung ist der Regelfall für unsere Projekte; die verbindliche Festlegung erfolgt im Vertrag und im Auftragsverarbeitungsvertrag.
Rollen im Sinne von DSGVO und AI Act
| Rolle | Wer das ist | Wofür sie einsteht |
|---|---|---|
| Verantwortlicher (DSGVO) |
Ihr Unternehmen | Zweck und Mittel der Verarbeitung, Rechtsgrundlage, Information der Betroffenen, Wahrung der Betroffenenrechte, Datenschutz-Folgenabschätzung, Löschkonzept. |
| Auftragsverarbeiter (DSGVO) |
Taktfabrik, soweit wir in Ihrem Auftrag personenbezogene Daten verarbeiten | Verarbeitung ausschließlich nach Ihrer Weisung, technische und organisatorische Maßnahmen, Offenlegung von Unterauftragsverarbeitern, Unterstützung bei Betroffenenanfragen. |
| Betreiber (AI Act) |
In aller Regel Ihr Unternehmen, weil das System unter Ihrer Aufsicht und in Ihrem Namen eingesetzt wird | Einsatz gemäß Zweckbestimmung und Betriebsanleitung, Sicherstellung wirksamer menschlicher Aufsicht, Information der Beschäftigten und ihrer Vertretung, Aufbewahrung der Protokolle. |
| Anbieter (AI Act) |
Wer das System entwickelt und unter eigenem Namen bereitstellt — im Einzelfall zu bestimmen | Konformität des Systems, technische Dokumentation, Risikomanagement, Angaben zur bestimmungsgemäßen Verwendung. Bei individuell gebauten Systemen klären wir die Zuordnung vertraglich, bevor produktiv gearbeitet wird. |
| Modell- und Infrastrukturanbieter | Eingesetzte Cloud- und Modelldienste | Bereitstellung der Verarbeitungsleistung in der vereinbarten Region, keine Nutzung der Inhalte zum Modelltraining, vertraglich als Unterauftragsverarbeiter eingebunden. |
| Belegschaftsvertretung | Betriebsrat, sofern vorhanden | Mitbestimmung bei Systemen, die personenbezogene Beschäftigtendaten verarbeiten oder zur Kontrolle geeignet sind; Abschluss der Betriebsvereinbarung. |
Arbeitsteilung im Projekt
| Thema | Taktfabrik | Ihr Unternehmen |
|---|---|---|
| Risikoklassifizierung des Anwendungsfalls | erstellt den Entwurf und begründet ihn | prüft, ergänzt, gibt frei |
| Technische Dokumentation und Datenfluss | erstellt und pflegt sie | übernimmt sie in die eigene Systemdokumentation |
| Datenschutz-Folgenabschätzung | liefert die technische Zuarbeit | führt sie durch und verantwortet sie |
| Rechtsgrundlage und Betroffeneninformation | weist auf den Bedarf hin | legt sie fest, gemeinsam mit der eigenen Rechtsberatung |
| Betriebsvereinbarung | liefert technische Beschreibung und Diagramme, begleitet fachlich | verhandelt und schließt sie ab |
| Bias-Tests | plant, führt durch, dokumentiert | stellt Vergleichsstichproben bereit, bewertet die Ergebnisse mit |
| Freigaben im laufenden Betrieb | baut die Freigabestellen ein | besetzt sie mit zuständigen Personen |
| Abschaltung im Störfall | stellt den Mechanismus bereit und beschreibt ihn | entscheidet über die Abschaltung |
Lieferumfang
Governance ist bei uns ein Lieferergebnis, keine Absichtserklärung.
01
Risikoklassifizierung
Einordnung jedes Anwendungsfalls entlang der Kategorien des AI Act, mit Begründung und Ableitung der konkreten Pflichten. Grundlage für alles Weitere.
02
Technische Dokumentation
Systembeschreibung, Agenten und ihre Aufträge, Datenflüsse, Schnittstellen, Grenzen und bekannte Schwächen — in einer Form, die auch ohne uns lesbar bleibt.
03
Zuarbeit zur Datenschutz-Folgenabschätzung
Verarbeitungsbeschreibung, Datenkategorien, Empfänger, Risiken und getroffene Maßnahmen. Die DSFA selbst führt Ihr Unternehmen durch — wir liefern den technischen Teil.
04
Protokollierungskonzept
Was wird wo wie lange festgehalten, wer darf es einsehen, wie wird ein Einzelfall rekonstruiert. Inklusive Beispielprotokoll eines vollständigen Durchlaufs.
05
Unterlagen für die Betriebsvereinbarung
Technische Beschreibung, Datenflussdiagramm, Feldlisten und Auswertungsgrenzen — aufbereitet für die Verhandlung mit der Belegschaftsvertretung.
06
Schulungsunterlagen
Material und Schulung zur KI-Kompetenz nach Art. 4 AI Act, zugeschnitten auf die Rollen: Anwendung, Freigabe, Administration. Mit Beispielen aus Ihren eigenen Fällen.
07
Bias-Testplan
Prüfverfahren, Stichprobengrößen, Vergleich gegen menschliche Bewertung, Schwellenwerte und Eskalationsweg. Erste Messung vor Produktivsetzung, danach in festem Rhythmus.
08
Notfall- und Abschaltkonzept
Wer darf abschalten, wie schnell wirkt das, was passiert mit laufenden Vorgängen und wie läuft der Prozess in der Zwischenzeit manuell weiter. Einmal jährlich geprobt.
09
Lösch- und Aufbewahrungskonzept
Fristen je Datenkategorie, Umgang mit Löschbegehren, Behandlung der Protokolle und Nachweis der Löschung bei allen beteiligten Stellen.
Ehrlich beantwortet
Die Fragen, die im Raum stehen.
Diese sieben Punkte kommen in Datenschutz- und Betriebsratsgesprächen fast immer. Wir beantworten sie hier so, wie wir sie auch am Tisch beantworten.
Etwas Wichtiges fehlt? Schreiben Sie an datenschutz@taktfabrik.at — wir antworten selbst, nicht per Agent.
Was diese Seite ist — und was nicht. Taktfabrik erbringt technische und organisatorische Beratung: Wir klassifizieren, dokumentieren, bauen Freigabewege ein und liefern die Unterlagen, mit denen Sie und Ihre Gremien arbeiten können. Das machen wir gründlich, und wir stehen dafür ein.
Rechtsberatung erbringen wir nicht. Die rechtliche Würdigung im Einzelfall — Rechtsgrundlage, Vertragsgestaltung, arbeitsrechtliche Bewertung, Haftungsfragen — gehört zur Rechts- und Datenschutzberatung Ihres Unternehmens. Wir arbeiten dieser Beratung zu, und zwar gern: Je früher Ihre Juristinnen und Juristen am Tisch sitzen, desto weniger muss später umgebaut werden.
Bringen Sie Ihren Datenschutzbeauftragten gleich mit.
Im ersten Gespräch gehen wir den Datenweg für Ihren Anwendungsfall durch und sagen Ihnen, welche Unterlagen Sie brauchen und welche wir liefern. 30 Minuten, kostenlos, ohne Folgeverpflichtung — auch dann, wenn am Ende steht: „So, wie Sie es geplant haben, machen wir das nicht.“