KI & Gesundheitsdaten

Darf KI die Gesundheitsdaten meiner Mitarbeitenden analysieren — was erlauben DSGVO und AI Act?

KI darf Mitarbeiter-Gesundheitsdaten nur unter engen Bedingungen analysieren: ausdrückliche Einwilligung (Art. 9 DSGVO), fürs Unternehmen nur anonym-aggregiert ab 5 Personen, keine Emotionserkennung (seit Februar 2025 verboten), BEM-Daten tabu, Betriebsrat und DSFA vor dem Start.

Der Rechtsrahmen für KI im BGM auf einen Blick

RegelungWas sie verlangtKonsequenz für KI im BGM
Art. 9 DSGVOGrundsätzliches Verarbeitungsverbot für Gesundheitsdaten, nur enge AusnahmenOhne ausdrückliche, freiwillige und widerrufbare Einwilligung keine personenbezogene KI-Analyse
EuGH C-413/23 P (2025)Daten ohne Re-Identifizierungsmöglichkeit sind für den Empfänger anonymAuswertungen nur aggregiert ab Gruppen von 5 Personen — dann fällt die Arbeitgeber-Sicht aus der DSGVO
Art. 5 KI-VO (gilt seit 02.02.2025)Verbot der Emotionserkennung am ArbeitsplatzKeine Stress- oder Stimmungsableitung aus Herzratenvariabilität, Sprache, Kamera oder Verhalten
Anhang III KI-VOKI-Bewertung einzelner Beschäftigter = Hochrisiko-SystemIndividual-Scores vermeiden — oder den vollen Pflichtenkatalog (Risikomanagement, Logging, menschliche Aufsicht) erfüllen
§ 87 Abs. 1 Nr. 6 BetrVGMitbestimmung bei technischen Einrichtungen mit ÜberwachungseignungOhne Einbindung des Betriebsrats kein KI-Rollout — sonst droht die Unterlassungsklage
§ 167 Abs. 2 SGB IXBesondere Vertraulichkeit des BEM-VerfahrensBEM-Daten technisch von jeder KI-Analyse ausschließen — keine Ausnahmen
Art. 35 DSGVODatenschutz-Folgenabschätzung bei hohem RisikoKI + Gesundheitsdaten + Beschäftigte erfüllt gleich mehrere Muss-Tatbestände der DSK-Liste — DSFA vor Go-live zwingend

Warum immer mehr Unternehmen KI-Analysen von Gesundheitsdaten intern verbieten

In vielen Unternehmen existieren inzwischen interne Vereinbarungen oder Richtlinien, die den KI-Einsatz auf Gesundheitsdaten kategorisch ausschließen — oft auf Initiative von Betriebsrat, Datenschutzbeauftragten oder BEM-Verantwortlichen. Das ist kein Einzelfall: Laut Cisco Data Privacy Benchmark 2024 haben 35 % der deutschen Unternehmen generative KI komplett verboten, 76 % beschränken, welche Daten eingegeben werden dürfen — hauptsächlich aus Datenschutz-Sorge.

Die Skepsis zieht sich durch alle Ebenen. Eine repräsentative Bitkom-Befragung (November 2025) zeigt: 71 % der Menschen in Deutschland sorgen sich vor Datenmissbrauch, wenn KI im Gesundheitskontext eingesetzt wird. Zugleich wären 46 % bereit, ihre Gesundheitsdaten für KI bereitzustellen — Vertrauen ist also vorhanden, aber nur unter nachweisbaren Bedingungen.

Auch unter Verantwortlichen ist das Bild gespalten: In der #whatsnext-Studie 2025 (IFBG/Techniker Krankenkasse) halten nur 50,5 % der Befragten KI im Gesundheitsmanagement für hilfreich — bei Gesundheitsverantwortlichen sind es 62,4 %, in der Geschäftsführung nur 34,0 %. Die Lehre daraus: Das Problem ist nicht die KI, sondern die fehlende nachweisbare Kontrolle darüber, was sie sieht. Wer diese Kontrolle belegen kann, verwandelt das interne Verbot in informierte Zustimmung.

Was die DSGVO erlaubt — und wo die rote Linie verläuft

Gesundheitsdaten sind nach Art. 9 DSGVO besondere Kategorien personenbezogener Daten mit grundsätzlichem Verarbeitungsverbot. Im freiwilligen BGM trägt praktisch nur eine Ausnahme: die ausdrückliche, informierte und freiwillige Einwilligung der Beschäftigten (Art. 9 Abs. 2 lit. a). Sie muss jederzeit widerrufbar sein, und eine Nichtteilnahme darf keinerlei Nachteile haben. Die Gesetzesbegründung zum BDSG nennt das BGM ausdrücklich als Fall, in dem der erkennbare Vorteil für Beschäftigte die Freiwilligkeit stützt.

Zwei verbreitete Irrtümer hat der Europäische Gerichtshof ausgeräumt: Erstens ist § 26 BDSG als alleinige Rechtsgrundlage unsicher geworden, seit der EuGH (C-34/21, 2023) eine strukturgleiche Norm für unionsrechtswidrig erklärt hat. Zweitens kann eine Betriebsvereinbarung die Einwilligung nicht ersetzen: Nach EuGH C-65/23 (2024) müssen Kollektivvereinbarungen selbst vollständig DSGVO-konform sein und können das Schutzniveau nicht absenken. Die Betriebsvereinbarung regelt das Verfahren — die Rechtsgrundlage für die Datenverarbeitung liefert sie nicht.

Der entscheidende Hebel für die Praxis ist die Anonymisierung durch Aggregation: Der EuGH hat 2025 (C-413/23 P) den relativen Personenbezug bestätigt. Daten, die der Empfänger mit vernünftigen Mitteln keiner Person mehr zuordnen kann, sind für ihn keine personenbezogenen Daten. Konkret: Sieht das Unternehmen ausschließlich aggregierte Auswertungen ab einer Mindestgruppengröße von 5 Personen — ohne Zugriff auf Rohdaten oder Zuordnungsschlüssel —, fällt diese Sicht aus dem Anwendungsbereich der DSGVO. Aggregation ab Gruppengröße 5 ist damit keine Kosmetik, sondern eine andere rechtliche Liga.

Vor dem Start gilt in jedem Fall: Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist Pflicht. Die Muss-Liste der Datenschutzkonferenz (DSK) erfasst KI-Einsatz zur Bewertung von Personen, umfangreiche Verarbeitung von Gesundheitsdaten und Beschäftigtendaten-Analysen — ein KI-BGM-Szenario erfüllt gleich mehrere dieser Tatbestände.

Was der EU AI Act zusätzlich regelt — inklusive eines echten Verbots

Seit dem 2. Februar 2025 verbietet Art. 5 der KI-Verordnung KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz — mit engen Ausnahmen nur für medizinische oder Sicherheitszwecke. Das betrifft genau die Funktionen, mit denen manche BGM-Anbieter aktuell werben: Systeme, die aus Herzratenvariabilität, Kamera-Vitalmessung, Sprach- oder Verhaltensdaten „Stressoren registrieren“ und daraufhin intervenieren, bewegen sich gefährlich nah an dieser Verbotszone — oder mittendrin. Verstöße gegen Art. 5 kosten bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.

Darüber hinaus stuft Anhang III der KI-Verordnung KI-Systeme als Hochrisiko ein, die Leistung oder Verhalten einzelner Beschäftigter bewerten oder Entscheidungen über Arbeitsbedingungen beeinflussen. Eine KI, die individuelle Gesundheits- oder Fehlzeiten-Prognosen für Arbeitgeber-Entscheidungen liefert, fällt sehr wahrscheinlich darunter — mit vollem Pflichtenkatalog: Risikomanagement, technische Dokumentation, Protokollierung, menschliche Aufsicht, Information der Arbeitnehmervertretung vor Inbetriebnahme.

Wichtig für die Planung: Die Hochrisiko-Pflichten sollten ursprünglich ab August 2026 gelten; im Mai 2026 haben sich Rat und Parlament im Digital Omnibus auf eine Verschiebung für eigenständige Anhang-III-Systeme auf Dezember 2027 geeinigt — die inhaltlichen Anforderungen bleiben unverändert. Das Emotionserkennungs-Verbot ist davon nicht betroffen, es gilt bereits. Die Architektur-Entscheidung liegt also auf dem Tisch: Wer KI auf aggregierte Organisationsanalysen ohne Bewertung einzelner Personen beschränkt, kann der Hochrisiko-Einstufung von vornherein entgehen.

Betriebsrat und BEM: die zwei Sonderzonen

KI-Analytik über Mitarbeiterdaten ist nach ständiger Rechtsprechung praktisch immer eine technische Einrichtung, die zur Verhaltens- oder Leistungsüberwachung objektiv geeignet ist — damit greift die zwingende Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, unabhängig davon, ob überhaupt eine Überwachungsabsicht besteht. Ohne Betriebsvereinbarung droht die Unterlassungsklage. Der konstruktive Weg: den Betriebsrat früh einbinden und die Vereinbarung als Qualitätsmerkmal nutzen. Der Bitkom-Leitfaden „KI und Mitbestimmung“ (2026) liefert dafür die Eckpfeiler.

Eine Zone bleibt komplett tabu: das Betriebliche Eingliederungsmanagement. BEM-Daten nach § 167 Abs. 2 SGB IX genießen gesteigerte Vertraulichkeit — strikt getrennte Akte, enge Zweckbindung, gestufte Einwilligung pro Verfahrensschritt. Jede KI-Auswertung von BEM-Inhalten wäre eine zweckändernde Verarbeitung höchstsensibler Daten ohne Rechtsgrundlage und würde das Vertrauensverhältnis zerstören, von dem das BEM lebt. Zulässig bleibt allein die diagnose-freie Fristenlogik: Das Erkennen der 42-AU-Tage-Schwelle, die das BEM-Angebot auslöst, ist gesetzlich vorgesehenes Monitoring — die Inhalte des Verfahrens selbst gehören technisch hinter eine Sperre, die auch die KI nicht öffnen kann.

Beschäftigte selbst sind übrigens weiter als viele denken: Laut WIdO/AOK Fehlzeiten-Report 2025 erleben 42 % der Beschäftigten KI bereits am eigenen Arbeitsplatz — aber nicht einmal 40 % der Beschäftigten in KI-nutzenden Betrieben wurden geschult. Schulung und Transparenz sind damit keine Kür, sondern der Hebel für Akzeptanz.

Best Practice: das 4-Stufen-Modell für KI-Datenzugriff

Aus Rechtslage und Praxis ergibt sich ein klares Architekturmuster, das sich als Best Practice etabliert: Statt KI pauschal an- oder abzuschalten, wird für jede Datenkategorie einzeln festgelegt, in welcher Form die KI sie sehen darf — und diese Regeln werden technisch erzwungen, bevor Daten das KI-Modell überhaupt erreichen.

Entscheidend ist der letzte Punkt: Eine Anweisung an die KI („beachte den Datenschutz“) ist keine technische und organisatorische Maßnahme im Sinne der DSGVO. Durchgesetzt werden muss in der Datenschicht — was die KI nicht sehen darf, wird herausgefiltert oder aggregiert, bevor es in die Anfrage gelangt. Interne KI-Vereinbarungen und Betriebsvereinbarungen lassen sich so als maschinenlesbare Regeln hinterlegen: Das Verbot steht dann nicht nur auf Papier, sondern ist im System scharf geschaltet.

Genau nach diesem Muster arbeiten EasyBGM und EasyBGF: Gesundheitsrohdaten wie Krankheitstage, Diagnosen oder BEM-Status sind für die KI technisch hart gesperrt, Befragungsergebnisse werden nur aggregiert ab Gruppen von 5 Personen ausgewertet, und der Datenzugriff der KI ist pro Datenkategorie granular steuerbar und dokumentiert — inklusive der Transparenz-Ansicht, die zeigt, was die KI sieht und was nicht. Das macht die DSFA belastbar und gibt dem Betriebsrat eine prüfbare Grundlage statt eines Versprechens.

  • Stufe 1 — Voll: nur für unkritische Daten (z. B. Maßnahmenkatalog, Budgets, Fristen), nie für Gesundheitsdaten
  • Stufe 2 — Pseudonymisiert: Namen und Kennungen werden vor der KI-Verarbeitung ersetzt; Rückschlüssel bleibt außerhalb der KI
  • Stufe 3 — Aggregiert (k ≥ 5): die KI sieht nur Gruppenwerte ab 5 Personen — nach EuGH C-413/23 P fällt diese Sicht aus der DSGVO
  • Stufe 4 — Gesperrt: Datenkategorie erreicht die KI nie; für BEM-Daten die einzige zulässige Einstellung
  • Durchsetzung in der Datenschicht, nicht per Prompt — plus Protokollierung jedes KI-Datenzugriffs

Passende Maßnahmen & Themen

Das Wichtigste in Kürze

  • Personenbezogene KI-Analyse von Gesundheitsdaten nur mit ausdrücklicher, freiwilliger Einwilligung — § 26 BDSG und Betriebsvereinbarung tragen allein nicht.
  • Aggregation ab Gruppengröße 5 ist der rechtliche Gamechanger: Die Arbeitgeber-Sicht fällt nach EuGH C-413/23 P aus der DSGVO.
  • Emotionserkennung am Arbeitsplatz ist seit Februar 2025 verboten — Stress-Inferenz aus HRV, Kamera oder Sprache ist keine Grauzone.
  • Betriebsrat (§ 87 BetrVG) und DSFA (Art. 35 DSGVO) kommen vor dem Rollout, nicht danach; BEM-Daten bleiben für KI komplett gesperrt.
  • Best Practice ist das 4-Stufen-Modell (voll / pseudonymisiert / aggregiert / gesperrt) — technisch erzwungen in der Datenschicht, nicht per Anweisung an die KI.

Häufige Fragen

Dürfen wir Krankenstandsdaten einfach mit ChatGPT auswerten?+

Nein. Die Eingabe personenbezogener Gesundheitsdaten in einen öffentlichen KI-Chatbot ist eine Übermittlung an einen Dritten ohne Rechtsgrundlage und ohne Auftragsverarbeitungsvertrag — ein klarer Art.-9-Verstoß. Zulässig ist die Auswertung nur in einer kontrollierten Umgebung mit AV-Vertrag und EU-Verarbeitung, und auch dort nur anonymisiert-aggregiert (Gruppen ab 5 Personen) oder mit ausdrücklicher Einwilligung der Betroffenen.

Ist KI-gestützte Stresserkennung per Wearable oder Kamera erlaubt?+

Am Arbeitsplatz in aller Regel nicht. Art. 5 der KI-Verordnung verbietet seit Februar 2025 KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz; die Ausnahmen für medizinische oder Sicherheitszwecke sind eng und tragen kein allgemeines Wellbeing-Monitoring durch den Arbeitgeber. Wer Stress-Level aus Herzratenvariabilität, Kamera-Vitalmessung oder Sprachverhalten ableitet, riskiert Bußgelder bis 35 Mio. € oder 7 % des Jahresumsatzes.

Reicht eine Betriebsvereinbarung als Rechtsgrundlage für die KI-Analyse?+

Nein. Nach EuGH C-65/23 müssen Betriebsvereinbarungen selbst vollständig DSGVO-konform sein und können das Schutzniveau nicht absenken. Die Betriebsvereinbarung regelt Verfahren, Grenzen und Kontrollrechte — die Rechtsgrundlage für personenbezogene Gesundheitsdaten bleibt die ausdrückliche, freiwillige Einwilligung der Beschäftigten. Für anonym-aggregierte Auswertungen ohne Personenbezug braucht es dagegen keine Einwilligung.

Muss der Betriebsrat zustimmen, bevor wir KI im BGM einsetzen?+

Ja. KI-Systeme, die Mitarbeiterdaten verarbeiten, sind praktisch immer zur Verhaltens- oder Leistungsüberwachung objektiv geeignet und unterliegen damit der zwingenden Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG — auf eine Überwachungsabsicht kommt es nicht an. Zusätzlich bestehen Unterrichtungsrechte bereits in der Planungsphase (§ 90 BetrVG). Ohne Beteiligung riskiert das Unternehmen einen Unterlassungsanspruch des Betriebsrats.

Darf KI im BEM-Prozess überhaupt irgendetwas unterstützen?+

Nur außerhalb der vertraulichen Inhalte: Das diagnose-freie Erkennen der 42-AU-Tage-Schwelle (§ 167 Abs. 2 SGB IX), Fristen-Tracking und Vorlagen-Erstellung sind zulässig. Die Inhalte des BEM-Verfahrens selbst — Gesprächsnotizen, Diagnosen, Maßnahmenpläne der BEM-Akte — sind für jede KI-Analyse tabu und sollten technisch gesperrt sein, nicht nur organisatorisch.

KI im BGM — aber mit nachweisbarer Kontrolle

EasyBGM und EasyBGF sperren Gesundheitsrohdaten technisch vor der KI, werten nur aggregiert ab 5 Personen aus und machen den KI-Datenzugriff pro Datenkategorie steuerbar — die prüfbare Grundlage für Betriebsrat und DSFA.

EasyBGM ansehenGesundheitsdaten & DSGVO im Detail

Quellen

Stand: 2026-07-06. Keine Rechts- oder Steuerberatung — im Einzelfall fachlich prüfen lassen.

Weiterlesen

Gesundheitsdaten & DSGVOWelche Gesundheitsdaten darf HR auswerten — und was verbietet die DSGVO?Agentic Health ManagementWas ist Agentic Health Management — und wie verändert proaktive KI das betriebliche Gesundheitssystem?BGM-Mitarbeiterbefragung DSGVO-konformWie führe ich eine BGM-Mitarbeiterbefragung DSGVO-konform durch — und was tue ich mit den Ergebnissen?BEM-Prozess erklärtWie läuft das Betriebliche Eingliederungsmanagement ab — Schritt für Schritt?