Datenschutz im KI-Coaching: Was HR-Teams prüfen müssen

Ein Mitarbeiter tippt seine größte berufliche Unsicherheit in einen KI-Coach und ahnt nicht, wo diese Information landet. Für HR-Teams wird genau das zur zentralen Frage vor jeder Einführung: Welche Daten erfasst das Tool, wie lange, und wer sieht sie? Sharpists KI-Coach verarbeitet solche Angaben ausschließlich mit Einwilligung, verschlüsselt und dauerhaft innerhalb der EU.

Das Thema kurz und kompakt

Warum Datenschutz beim KI-Coaching ein Enterprise-Risiko ist, kein Randthema

Coaching-Gespräche berühren häufig besondere Kategorien personenbezogener Daten, etwa Angaben zur Gesundheit oder zu persönlichen Überzeugungen, sobald Lernende sie freiwillig offenlegen. Artikel 9 Absatz 1 DSGVO untersagt die Verarbeitung solcher Daten grundsätzlich und lässt sie nur bei einem der zehn Ausnahmetatbestände zu, in der Praxis wird meist die ausdrückliche Einwilligung benötigt. Diese rechtliche Grundlage betrifft jeden Einsatz von KI in der Personalentwicklung, unabhängig vom gewählten Anbieter.

Für HR-Teams bedeutet das ein Compliance-Risiko, das erst nach der Einführung sichtbar wird, wenn die Opt-in-Einwilligung beim gewählten Coaching-Tool nicht sauber verankert ist. Sharpists KI-Coach verarbeitet solche Angaben ausschließlich auf Basis einer ausdrücklichen Zustimmung, die jederzeit widerrufbar ist und auf Artikel 6 Absatz 1 Buchstabe a in Verbindung mit Artikel 9 Absatz 2 Buchstabe a DSGVO gestützt ist.

Die EU-KI-Verordnung verschärft die Anforderungen an HR-Tech zusätzlich

Seit dem 2. Februar 2025 verbietet Artikel 5 Absatz 1 Buchstabe f der EU-KI-Verordnung den Einsatz von KI-Systemen, die aus Mimik, Stimme oder Körpersprache auf den emotionalen Zustand von Arbeitnehmenden schließen. Diese Vorgabe gilt ausnahmslos, und der Bußgeldrahmen reicht bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, die höchste Bußgeldstufe der Verordnung.

Für den HR-Tech-Markt ergibt sich daraus eine klare Grenze. Tools mit biometrischer Emotionsanalyse-Funktion fallen in diesen Verbotsbereich, ein textbasierter Coaching-Dialog ohne Gesichts- oder Stimmauswertung tut das nicht. Wer KI-Coaching richtig einsetzen möchte, sollte diese Grenze bei der Anbieterauswahl aktiv prüfen. Sharpists KI-Coach arbeitet mit freiwillig eingegebenem Freitext im Coaching-Dialog, nicht mit biometrischer Auswertung, die 16 Qualitätssicherungs-Agenten der Plattform prüfen dabei ICF-Coaching-Standards, keine Gefühlszustände.

Was HR vor der Einführung prüfen sollte: Zertifizierungen und Auftragsverarbeiter

Eine saubere Anbieterprüfung berücksichtigt eine anerkannte Informationssicherheits-Zertifizierung, ein Branchenprüfsiegel, eine vollständige Liste der Auftragsverarbeiter, den Serverstandort und klar definierte Löschfristen. Wer diese Punkte vor der Vertragsunterschrift klärt, vermeidet Nachverhandlungen im laufenden Rollout.

Sharpist ist ISO/IEC 27001 zertifiziert (seit dem 9. September 2022, die jährlich erneuert wird) und registrierter TISAX®-Teilnehmer, geprüft durch DNV. Die Verarbeitung für die KI-Coach-Funktion erfolgt ausschließlich innerhalb der EU, laufende Gespräche werden 30 Tage nach der letzten Interaktion gelöscht, abgeschlossene Gespräche innerhalb von 7 Tagen. Diese Fristen sollten HR-Teams explizit im Auftragsverarbeitungsvertrag abfragen.

Warum ein spezialisierter KI-Coach mehr Schutz bietet als ChatGPT im HR-Kontext

Mitarbeitende geben in öffentlichen Consumer-Chatbots häufig sensible Inhalte ein, ohne dass ein Enterprise-Auftragsverarbeitungsvertrag, definierte Löschfristen oder eine EU-Verarbeitungsgarantie dahinterstehen. Dieses Schatten-KI-Risiko entsteht dort, wo HR-Teams keine Kontrolle über die Dateninfrastruktur haben, und es lässt sich kaum nachträglich schließen.

Sharpists KI-Coach unterscheidet sich von generischer Chatbot-Logik in mehreren Punkten: eine coach-ähnliche Persönlichkeit, 16 ICF-Qualitätssicherungs-Agenten, verschlüsselte Speicherung, definierte Löschfristen und keine Nutzung der Eingaben zum Training des KI-Modells. Die Auftragsverarbeitung läuft über vertraglich benannte Dienstleister statt über ein anonymes Web-Interface, was die Verantwortung für HR-Teams nachvollziehbar macht.

Mitbestimmung nicht vergessen: Die Rolle des Betriebsrats bei KI-Coaching-Tools

IT-Systeme, die zur Überwachung von Verhalten oder Leistung von Mitarbeitenden geeignet sind, unterliegen in Deutschland der Mitbestimmung nach § 87 Absatz 1 Nummer 6 BetrVG. Dieser Zeitfaktor wird im Rollout-Plan häufig unterschätzt und verzögert die Einführung, wenn er erst spät berücksichtigt wird.

HR-Teams sollten den Betriebsrat früh einbinden und die Einwilligungs- und Datenminimierungsarchitektur direkt mitbringen, statt sie nachzuliefern. Bei Sharpist erhalten Kunden-Dashboards aggregierte Erkenntnisse erst ab einer Schwelle von mindestens 5 Lernenden und 10 Sitzungen, individuelle Transkripte werden nie offengelegt, was viele Standardfragen des Betriebsrats direkt beantwortet.

Sharpists hybrider Ansatz: Datenschutz als Teil der Produktarchitektur, nicht als Nachtrag

Sharpists hybrider Coaching-Ansatz verbindet drei Elemente, jedes mit einer eigenen Datenschutz-Absicherung:

Für einen CHRO bedeutet das einen konkreten Vorteil bei der internen Freigabe. Die Einführung lässt sich gegenüber Betriebsrat und Datenschutzbeauftragtem mit einer fertigen Antwort auf jede Prüffrage starten, statt Antworten erst im laufenden Rollout nachzuliefern.

Wie Sharpists Datenschutzarchitektur die Einführungshürden für HR aus dem Weg räumt

Datenschutz beim KI-Coaching ist kein Blocker, wenn die Architektur von Anfang an einwilligungsbasiert, EU-only und zertifiziert ist. Diese Übersicht ersetzt keine individuelle Rechtsberatung, sie zeigt, worauf HR-Teams bei der Anbieterauswahl achten sollten:

HR-Teams, die diese Punkte vor der Anbieterauswahl klären, sparen sich Rückfragen im laufenden Rollout. Vereinbaren Sie ein persönliches Gespräch mit Sharpist, um die Details für Ihre Organisation zu besprechen.

FAQ

Welche Daten verarbeitet ein KI-Coach, wenn Mitarbeitende persönliche Themen ansprechen?

Ein KI-Coach verarbeitet die Angaben, die Lernende freiwillig eingeben, darunter mitunter besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Solche Daten dürfen nur mit ausdrücklicher Einwilligung genutzt werden. Sharpists KI-Coach setzt diese Einwilligung als aktiven Opt-in um, die Angaben bleiben dabei ausschließlich innerhalb der EU.

Welche rechtlichen Anforderungen gelten für Unternehmen beim Einsatz von KI im Coaching?

Artikel 9 DSGVO regelt die Einwilligungspflicht für besondere Kategorien personenbezogener Daten, Artikel 5 der EU-KI-Verordnung verbietet KI-Systeme zur Emotionserkennung am Arbeitsplatz. Beide Regelwerke greifen unabhängig von der gewählten Coaching-Plattform.

Welche Bußgelder drohen Unternehmen bei einem Datenschutzverstoß im KI-Coaching?

Verstöße gegen das Emotionserkennungsverbot der EU-KI-Verordnung können mit bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden. Zusätzlich sind Bußgelder nach der DSGVO möglich, wenn besondere Kategorien personenbezogener Daten ohne Rechtsgrundlage verarbeitet werden.

Muss der Betriebsrat der Einführung eines KI-Coaching-Tools zustimmen?

In der Regel ja, denn IT-Systeme mit Eignung zur Verhaltens- oder Leistungsüberwachung unterliegen nach § 87 Absatz 1 Nummer 6 BetrVG der Mitbestimmung des Betriebsrats. HR-Teams sollten den Betriebsrat deshalb frühzeitig in die Anbieterauswahl einbinden.

Worin unterscheidet sich Sharpists KI-Coach von der Nutzung von ChatGPT für Coaching-Gespräche?

Sharpists KI-Coach arbeitet mit ICF-Qualitätssicherung durch 16 spezialisierte Agenten, verarbeitet Daten ausschließlich innerhalb der EU und nutzt Eingaben nie zum Training des KI-Modells. Ein öffentlicher Chatbot wie ChatGPT bietet keine dieser Garantien und keinen Enterprise-Auftragsverarbeitungsvertrag.

Wie lange speichert eine digitale Coaching-Plattform die Gesprächsdaten der Lernenden?

Bei Sharpist werden laufende, unvollständige Gespräche 30 Tage nach der letzten Interaktion gelöscht. Abgeschlossene Gespräche werden innerhalb von 7 Tagen gelöscht. Diese Fristen gelten für die Verarbeitung durch den KI-Coach.