Audit-Log ohne Personenbezug: So gestalten Sie KI-Systeme betriebsratsfest

Ein KI-Audit-Log, das keine personenbezogenen Auswertungen zulässt, ist der Schlüssel zur Betriebsratsfestigkeit. Denn nur wenn das System technisch garantiert, dass keine Leistungs- oder Verhaltenskontrolle von Mitarbeitern möglich ist, können Betriebsrat und Datenschutzbeauftragte der Einführung zustimmen. Dieser Leitfaden zeigt, wie Sie mit technischen und organisatorischen Maßnahmen ein Audit-Log gestalten, das Compliance-Anforderungen erfüllt und gleichzeitig das Vertrauen der Arbeitnehmervertretung gewinnt.

Warum ein personenbezogenes Audit-Log ein K.-o.-Kriterium ist

Ein Audit-Log, das personenbezogene Daten enthält, gefährdet die Einführung von KI-Systemen im Unternehmen. Nach deutschem Betriebsverfassungsgesetz (§ 87 Abs. 1 Nr. 6 BetrVG) hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Arbeitnehmern geeignet sind. Bereits die bloße Eignung zur Leistungskontrolle – nicht erst die tatsächliche Nutzung – löst die Mitbestimmungspflicht aus. Deshalb müssen KI-Systeme so konzipiert sein, dass eine personenbezogene Auswertung technisch unmöglich ist.

Konkret bedeutet das: Das Audit-Log darf keine direkten Rückschlüsse auf einzelne Mitarbeiter zulassen. Stattdessen werden Aktivitäten auf Rollen- oder Teamebene aggregiert, und personenbezogene Felder werden durch Referenzen und Hashes ersetzt. Nur so bleibt das System außerhalb des Anwendungsbereichs von Annex III Nr. 4 der KI-Verordnung (AI Act), die ein Verbot der Emotionserkennung und des Social Scorings am Arbeitsplatz vorsieht.

Die wichtigste Maßnahme: Audit-Log auf Rollen statt auf Personen aufbauen

Der zentrale Hebel für ein betriebsratsfestes Audit-Log ist die Umstellung von personenbezogenen auf rollenbasierte Protokollierung. Statt zu loggen, welcher Mitarbeiter welche Aktion ausgeführt hat, wird nur noch die Rolle erfasst, die für die Aktion verantwortlich ist. Rollen sind abstrakte Funktionen wie „Vertrieb“ oder „Support“, die nicht einer natürlichen Person zugeordnet sind. Dadurch wird eine Leistungsbewertung einzelner Mitarbeiter unmöglich, während die Nachvollziehbarkeit für Compliance-Zwecke erhalten bleibt.

Ein Beispiel aus der Praxis: In einem Workflow zur Anfragebearbeitung wird nicht protokolliert, dass „Max Mustermann“ eine Freigabe erteilt hat, sondern dass die Rolle „Vertrieb“ die Freigabe erteilt hat. Die Zuordnung, welche Person die Rolle aktuell besetzt, wird separat und nur für Zugriffskontrollen gespeichert – nicht im Audit-Log. So kann der Betriebsrat sicher sein, dass keine individuellen Verhaltensprofile entstehen.

Technische Umsetzung: Append-only-Log mit Referenzen statt Volltexten

Ein betriebsratsfestes Audit-Log ist ein Append-only-Log, das keine Updates oder Löschungen zulässt und personenbezogene Volltexte durch Referenzen und Hashes ersetzt. Die technische Umsetzung erfolgt über Datenbank-Trigger, die UPDATE- und DELETE-Befehle auf die Audit-Tabelle blockieren. Zusätzlich werden sensible Daten nicht im Klartext gespeichert, sondern als kryptografische Hashes oder als Verweise auf Objekte, die separat und mit kurzer Retention geführt werden.

Diese Maßnahmen haben zwei Vorteile: Erstens wird die Integrität des Logs garantiert – nachträgliche Manipulationen sind ausgeschlossen. Zweitens wird die Datenmenge reduziert, da keine Volltexte, sondern nur noch Prüfsummen und Referenzen gespeichert werden. Das spart Speicherplatz und erfüllt gleichzeitig das Prinzip der Datenminimierung nach Art. 5 DSGVO.

Der BR-Modus: Standard für alle Auswertungen

Der BR-Modus (Betriebsrats-Modus) ist eine technisch erzwungene Einstellung, die alle Auswertungen des Audit-Logs auf aggregierte, personenfreie Sichten beschränkt. Standardmäßig sind nur vordefinierte Views verfügbar, die Kennzahlen wie Anzahl der Vorgänge, durchschnittliche Bearbeitungszeit oder Fehlerquoten auf Teamebene liefern – ohne Bezug zu einzelnen Personen. Individuelle Abfragen, die personenbezogene Daten enthalten könnten, sind technisch blockiert.

Diese Vorgehensweise geht über eine reine Policy hinaus: Sie ist im System implementiert und kann nicht umgangen werden. Der Betriebsrat erhält dadurch die Sicherheit, dass keine heimlichen Leistungskontrollen möglich sind. Gleichzeitig bleiben die Daten für die geforderte Nachvollziehbarkeit von KI-Entscheidungen erhalten – etwa im Rahmen von Art. 22 DSGVO oder bei der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Organisatorische Maßnahmen: Betriebsvereinbarung und Schulungen

Neben der Technik sind organisatorische Maßnahmen entscheidend, um das Vertrauen des Betriebsrats zu gewinnen. Dazu gehört eine Betriebsvereinbarung, die die Nutzung des Audit-Logs verbindlich regelt: wer darf unter welchen Bedingungen auf das Log zugreifen, welche Auswertungen sind erlaubt, und wie werden Verstöße geahndet. Die Vereinbarung sollte vor der Einführung des KI-Systems mit dem Betriebsrat abgestimmt werden.

Zusätzlich sollten alle Mitarbeiter, die mit dem Audit-Log arbeiten, geschult werden. Sie müssen verstehen, dass das Log nicht der Überwachung dient, sondern der Sicherstellung von Compliance und Qualität. Eine offene Kommunikation verhindert Misstrauen und fördert die Akzeptanz des KI-Systems.

Praxisbeispiel: dataso-Plattform als Referenzarchitektur

Die dataso-Plattform zeigt, wie ein betriebsratsfestes Audit-Log in der Praxis umgesetzt wird. Die Plattform besteht aus zwei Komponenten: dem „Wiki“, einem selbstkuratierenden Wissenssystem, und den „Flows“, einer Workflow-Automatisierung mit KI-Agenten. Beide Komponenten nutzen ein gemeinsames Audit-Log, das nach den Prinzipien dieses Leitfadens aufgebaut ist.

Im dataso-Konzept werden alle Audit-Einträge auf Rollenebene erfasst, und die Auswertung erfolgt ausschließlich über den BR-Modus. Zusätzlich wird die Kuratierungs-Engine, die Wissensseiten automatisch aktualisiert, so gestaltet, dass sie keine personenbezogenen Daten verarbeitet. Das System ist damit nicht nur DSGVO-konform, sondern auch gegenüber Betriebsräten offensiv vertretbar: Die KI ist Zuarbeiter der Mitarbeiter, nicht ihr Aufseher.

FAQ

Warum ist ein Audit-Log ohne Personenbezug für den Betriebsrat wichtig?

Ein Audit-Log ohne Personenbezug verhindert, dass das KI-System zur Leistungs- oder Verhaltenskontrolle von Mitarbeitern genutzt werden kann. Da der Betriebsrat ein Mitbestimmungsrecht bei technischen Überwachungseinrichtungen hat, ist die technische Unmöglichkeit der Personenauswertung die Grundvoraussetzung für eine Zustimmung zur Einführung.

Welche technischen Maßnahmen sind notwendig, um ein Audit-Log betriebsratsfest zu machen?

Notwendig sind ein Append-only-Log (keine Updates/Löschungen), die Speicherung von Referenzen und Hashes statt Volltexten, die rollenbasierte Protokollierung und die Implementierung eines BR-Modus, der nur aggregierte, personenfreie Auswertungen zulässt. Zusätzlich sollten Zugriffsrechte strikt eingeschränkt und alle Zugriffe selbst protokolliert werden.

Wie kann ich den Betriebsrat von der Zulässigkeit des Audit-Logs überzeugen?

Überzeugen Sie den Betriebsrat durch Transparenz und frühzeitige Einbindung. Zeigen Sie die technischen Maßnahmen auf, die eine Personenauswertung unmöglich machen, und schließen Sie eine Betriebsvereinbarung ab, die die Nutzung des Logs verbindlich regelt. Bieten Sie dem Betriebsrat an, die Einhaltung regelmäßig zu überprüfen.

Was ist der BR-Modus und wie funktioniert er?

Der BR-Modus ist eine technisch erzwungene Einstellung, die alle Auswertungen des Audit-Logs auf aggregierte, personenfreie Sichten beschränkt. Er funktioniert über vordefinierte Views, die nur Kennzahlen auf Teamebene liefern, und blockiert individuelle Abfragen, die personenbezogene Daten enthalten könnten.

Welche Rolle spielt die DSGVO bei der Gestaltung des Audit-Logs?

Die DSGVO verlangt Datenminimierung (Art. 5) und die Sicherstellung der Rechte betroffener Personen (Art. 15–22). Ein Audit-Log ohne Personenbezug erfüllt diese Anforderungen, indem es keine personenbezogenen Daten speichert oder verarbeitet. Zudem wird das Risiko von Datenschutzverletzungen minimiert.

Fazit

Ein betriebsratsfestes Audit-Log ist keine Frage der Interpretation, sondern der Architektur. Unternehmen in der Region Rhein-Main, von Darmstadt bis Frankfurt, sollten ihre KI-Systeme so gestalten, dass eine personenbezogene Auswertung technisch ausgeschlossen ist – das schafft Rechtssicherheit und Vertrauen bei Betriebsrat und Belegschaft. Wir empfehlen, die hier beschriebenen Maßnahmen umzusetzen und eine Betriebsvereinbarung frühzeitig zu initiieren. So wird KI zum akzeptierten Werkzeug, das Produktivität steigert, ohne Grundrechte zu verletzen.