Compliance-Monitoring-Agent

HR-Compliance scheitert nicht an der Überwachung, sondern an der nachweisbaren Zuständigkeit

Die kontinuierliche Überwachung von Personaldaten und Personalalgorithmen ist technisch gelöst. Eine GRC-Plattform liefert dazu Scores und Dashboards im Minutentakt - was sie im Ernstfall nicht liefert, ist der Beleg, wer eine konkrete Bewertung verantwortet hat und ob eine Maschine sie allein getroffen hat. Genau dieser Nachweis, nicht die Menge der Kontrollen, entscheidet, ob ein Befund vor dem Betriebsrat und vor dem Bundesarbeitsgericht standhält.

Die Datenschutz-Grundverordnung zieht in Artikel 22 die rechtliche Grenze: Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber einer Person darf nicht ausschliesslich auf automatisierter Verarbeitung beruhen, es braucht ein Recht auf menschliches Eingreifen. Ein Verstoss kann nach Artikel 83 mit einem Bussgeld bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Konzern-Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Stand: Mai 2026). Ein Compliance-Monitoring-Agent macht deshalb nicht die Überwachung zum Produkt, sondern die prüfbare Entscheidungs-Zuständigkeit für jede einzelne Prüfung.

Das Regelwerk prüft, die KI liefert Indikatoren, der Mensch bewertet

Drei Arten von Entscheidungen laufen in jeder HR-Compliance-Prüfung zusammen, und sie dürfen nicht vermischt werden. Die erste ist deterministisch: Welche Norm zu welchem Stichtag in welcher Fassung gilt, ob ein Verzeichnis der Verarbeitungstätigkeiten vollständig ist und ob eine technische Einrichtung den Mitbestimmungstatbestand auslöst, folgt festen Regeln. Das übernimmt das Decision Layer als Regelwerk, abgekürzt R.

Die zweite Art ist statistisch. Ob eine Auswahlquote im Recruiting auf eine mögliche mittelbare Benachteiligung hindeutet oder ob nach Bereinigung um sachliche Faktoren ein auffälliger Entgeltunterschied bleibt, ist ein Indikator, kein Urteil. Die KI meldet ein Muster, abgekürzt A, und entscheidet bewusst nichts über einzelne Beschäftigte. Das ist die unmittelbare Konsequenz aus Artikel 22: Ein Algorithmus, der eine geschützte Person betrifft, darf einen Hinweis liefern, aber keine Feststellung treffen.

Die dritte Art bleibt beim Menschen, abgekürzt H. Ob ein Indikator nach Paragraph 22 AGG sachlich gerechtfertigt ist, ob ein Befund bestandsgefährdend ist und ob er an Geschäftsführung oder Aufsichtsgremium eskaliert wird, ist ein rechtliches Werturteil. Diese Trennung ist nicht kosmetisch - sie ist die juristische Begründung dafür, dass der Agent überhaupt eingesetzt werden darf.

Warum statistisches Monitoring erst durch die Beweislast-Umkehr wertvoll wird

Der eigentliche Geschäftswert kontinuierlicher Überwachung entsteht an Paragraph 22 des Allgemeinen Gleichbehandlungsgesetzes. Sobald eine Person Indizien beweist, die eine Benachteiligung wegen eines geschützten Merkmals vermuten lassen, trägt der Arbeitgeber die Beweislast, dass keine Diskriminierung vorlag. Die Entschädigung bei einer Nichteinstellung ist nur dann auf drei Monatsgehälter gedeckelt, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre (Paragraph 15 AGG); andernfalls ist sie ungedeckelt, und der Anspruch ist binnen zwei Monaten schriftlich geltend zu machen (Stand: Mai 2026).

Damit wird klar, warum ein Audit-Trail kein Nebenprodukt ist, sondern das Kerngut. Wer im Streitfall belegen muss, dass eine Auswahl sachlich und benachteiligungsfrei war, braucht eine fortlaufende, prüfbare Dokumentation - keine nachträglich zusammengesuchte Tabelle. Dass der Beratungsbedarf real steigt, zeigt die offizielle Statistik der Antidiskriminierungsstelle des Bundes: 2024 gingen dort 11.405 Beratungsanfragen zu Diskriminierung ein, mehr als jemals zuvor in einem Jahr und seit 2019 (damals 4.247) mehr als verdoppelt; rund ein Drittel der Fälle betrifft die Arbeitssuche, das Bewerbungsgespräch, den Arbeitsplatz oder das Ausscheiden aus dem Arbeitsverhältnis (Stand: Mai 2026). Genau diese Dokumentation produziert der Agent fortlaufend, sodass sie vor Gericht zum Asset wird statt zum Risiko.

Die korrekte Rechtsgrundlage ist heute eine andere als noch vor drei Jahren

Eine belastbare Compliance-Aussage hängt an der richtigen Rechtsgrundlage - und die hat sich verschoben. Der Europäische Gerichtshof hat mit Urteil vom 30. März 2023 entschieden, dass eine nationale Vorschrift keine spezifischere Regelung im Sinne der Öffnungsklausel des Artikels 88 der Datenschutz-Grundverordnung ist, wenn sie deren besondere Schutzanforderungen nicht erfüllt. Damit ist die zentrale Generalklausel des Beschäftigtendatenschutzes in Paragraph 26 Absatz 1 des Bundesdatenschutzgesetzes als alleinige Stütze nicht mehr tragfähig.

Für die Praxis heisst das: Die Verarbeitung von Beschäftigtendaten lässt sich nicht mehr pauschal auf diese Generalklausel stützen, sondern muss direkt auf eine Stütze der Datenschutz-Grundverordnung gestellt werden. Ein angekündigtes Beschäftigtendatengesetz liegt zwar als Entwurf vor, ist aber derzeit nicht in Kraft, sodass für jeden Datenfluss die unmittelbare Rechtsgrundlage geprüft werden muss (geplant, Stand: Mai 2026, Basis: vorliegender Referentenentwurf ohne Inkrafttreten). Ein Agent, der diese Korrektur nicht abbildet und weiter gegen eine überholte Norm prüft, erzeugt eine trügerische Sicherheit - die kontinuierliche Pflege des Pflichtenkatalogs ist deshalb kein Komfort, sondern die Voraussetzung dafür, dass die Prüfung überhaupt richtig ist.

Das Tool selbst ist mitbestimmungspflichtig - und genau darin liegt sein Argument

Ein Compliance-Monitoring-Agent ist per Definition eine technische Einrichtung, die Verhalten und Leistung von Beschäftigten berührt, und unterliegt damit nach Paragraph 87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes der zwingenden Mitbestimmung des Betriebsrats. Wird er ohne Betriebsvereinbarung eingeführt, drohen ein Unterlassungsanspruch, ein Beweisverwertungsverbot der gewonnenen Daten und faktisch ein Einführungsstopp bis zur Einigung, notfalls über die Einigungsstelle (Stand: Mai 2026).

Was zunächst wie eine Hürde wirkt, ist in Wahrheit der stärkste Hebel. Eine Lösung, die der Betriebsrat unterschreibt, bevor sie dem Vorstand präsentiert wird, lebt davon, dass jede Prüfung ihre Zuständigkeit offenlegt: Regelwerk, KI-Indikator oder Mensch, jeweils mit Normzitat und Anfechtungspfad. Genau diese Transparenz nimmt dem Gremium die Unsicherheit, aus der heraus es sonst blockiert - der Agent ist damit nicht das Problem in der Mitbestimmung, sondern dessen Lösung.

Der Agent überwacht die Hochrisiko-Systeme, ohne selbst eines zu sein

Recruiting, Leistungsbewertung, Beförderung, Kündigung und Aufgabenzuweisung gelten nach Anhang III Nummer 4 der Verordnung 2024/1689 als Hochrisiko-KI und unterliegen Pflichten zu Risikomanagement, Datenqualität, Transparenz, menschlicher Aufsicht und Robustheit. Pflichtverletzungen bei Hochrisiko-Systemen können nach Artikel 99 mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden; die höheren 35 Millionen Euro beziehungsweise 7 Prozent gelten ausschliesslich für verbotene Praktiken nach Artikel 5, nicht für Hochrisiko-Pflichten (Stand: Mai 2026).

Der Agent selbst trifft keine Endentscheidung und ist deshalb kein Hochrisiko-System - aber er überwacht die Personalsysteme, die es sind. Der reguläre Anwendungsbeginn der Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III ist der 2. August 2026 und bleibt rechtlich verbindlich. Eine vorläufige politische Einigung vom 7. Mai 2026 würde diese Pflichten auf den 2. Dezember 2027 verschieben (erwartet, Stand: Mai 2026, Basis: Trilog-Einigung zum Digital Omnibus, noch nicht im Amtsblatt veröffentlicht). Solange keine Veröffentlichung erfolgt, gilt der frühere Termin, und Unternehmen müssen beide Szenarien abdecken. Genau hier zahlt sich kontinuierliches statt jährliches Monitoring aus: Bei einer Frist im Fluss muss man jederzeit wissen, was an einem bestimmten Tag gilt - und das liefert nur ein gepflegtes Regelwerk, kein Audit, der ein Jahr alt ist.

Der nächste Schritt ist keine Tool-Einführung, sondern eine Bestandsaufnahme: An welcher Compliance-Prüfung in Ihrem Personalbereich lässt sich heute lückenlos belegen, wer sie verantwortet hat - das Regelwerk, ein statistischer Indikator oder ein Mensch? Dort, wo diese Antwort heute fehlt, sitzt das Risiko, das ein Compliance-Monitoring-Agent schliesst.

Auf einen Blick

• Was er tut: prüft HR-Daten und HR-Algorithmen kontinuierlich gegen das geltende Regelwerk und dokumentiert für jede Prüfung nachweisbar, wer sie verantwortet
• Klassifikation: selbst kein EU-AI-Act-Hochrisiko-System (keine automatisierte Personalentscheidung nach Artikel 22 DSGVO), überwacht aber die Hochrisiko-Systeme nach Anhang III der Verordnung 2024/1689
• Entscheidungslogik: Regelwerk prüft (R), KI liefert statistische Indikatoren (A), Mensch bewertet und eskaliert (H) - getrennt und protokolliert
• Compliance-Anker: Artikel 22 DSGVO, Beweislast-Umkehr nach Paragraph 22 AGG, Mitbestimmung nach Paragraph 87 Absatz 1 Nummer 6 BetrVG, Paragraph 26 BDSG nach EuGH-Urteil vom 30. März 2023 nicht mehr als alleinige Stütze tragfähig
• Integration: Entscheidungs-Schicht über SAP GRC, Workday oder ServiceNow IRM - kein Ersatz für die GRC-Plattform
• Stichtag im Blick: Hochrisiko-Pflichten regulär ab 2. August 2026, mögliche Verschiebung auf 2. Dezember 2027 (Digital Omnibus, noch nicht im Amtsblatt) - beide Szenarien werden tagesaktuell abgedeckt