KI und Arbeitsrecht: Wie Deep­fakes und Digital Twins Unter­nehmen her­aus­for­dern

Eckart von Hirschhausen empfiehlt in einem Videoclip angeblich Wunderpillen und Günther Jauch gibt scheinbar Börsentipps. Was beide verbindet: Sie sind Opfer von Deepfakes geworden – KI-generierten Fälschungen, die täuschend echt wirken und deren Verbreitung inzwischen weit über das Prominentenmilieu hinausgeht. Was für Prominente vorrangig ein Reputations- und Persönlichkeitsrechtsproblem ist, kann im arbeitsrechtlichen Kontext zum unternehmerischen Risiko werden.

Ein Beispiel aus der Praxis: Die M&A-Abteilung eines Unternehmens erhält morgens eine Videobotschaft der CEO und Vorstandsvorsitzenden. Sie wirkt angespannt, erklärt eine unmittelbar bevorstehende, streng vertrauliche Unternehmensübernahme und weist die Abteilung an, umgehend 2,5 Millionen Euro als "Halteprämien" auf ein ausländisches Konto zu überweisen. Die Stimme ist ihre, die Mimik auch. Der Hintergrund ist ihr gewohntes Büro – doch die Vorständin nahm dieses Video nie auf. Für solche und ähnliche Vorfälle hat sich in der Geschäftswelt die Bezeichnung "CEO-Fraud-Deepfakes" eingebürgert.

Gleichzeitig arbeiten in deutschen Werkshallen und Logistikzentren zunehmend sogenannte "Digital Twins", also digitale Zwillinge von Maschinen, Anlagen und immer häufiger auch von Arbeitnehmern. Beide Phänomene werfen unabhängig voneinander wichtige Fragen für Arbeitgeber auf: Wie schützt man Unternehmen und Belegschaft? Und wo verläuft die rechtliche Grenze zwischen legitimer technischer Optimierung und unzulässigem Eingriff in Persönlichkeitsrechte?

Deepfake ist nicht gleich Digital Twin

Um die arbeitsrechtlichen Risiken richtig einzuschätzen, bedarf es einer begrifflichen Klärung, denn in der Praxis werden Deepfakes und digitale Zwillinge oft in einen Topf geworfen.

Deepfakes sind täuschende, manipulierte digitale Inhalte. Die EU-KI-Verordnung (VO (EU) 2024/1689) liefert in Art. 3 Nr. 60 eine Legaldefinition: Danach ist ein Deepfake "ein durch KI erzeugter oder manipulierter Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde." Diese Definition umfasst ein breites Spektrum: Gesichtsaustausch (sog. Face-Swaps), Stimmfälschungen durch synthetische Stimmkopien (sog. Voice Cloning), die Fremdsteuerung von Gesichtsausdrücken (sog. Puppet-Master-Techniken) sowie Lippensynchronisation. Das entscheidende Merkmal des Deepfakes ist die Täuschungsabsicht und damit seine klare Abgrenzung von anderen KI-Anwendungen.

Digitale Zwillinge hingegen sind gewollte, datenbasierte virtuelle Abbilder von Maschinen, Anlagen oder auch von Arbeitnehmern. Sie dienen legitimen Zwecken der Industrie 4.0, etwa der Ergonomie-Optimierung, Schichtplanung oder Prozesssimulation.

Laut einer aktuellen Studie setzen bereits 48 % der Industrieunternehmen digitale Zwillinge in der Produktion ein. Digital Twins sind konsentierte, transparente Datenmodelle, ihr Einsatz ist offen und auf einen betrieblichen Mehrwert ausgerichtet. Deepfakes und digitale Zwillinge haben aber auch Gemeinsamkeiten. Beide verarbeiten biometrische und personenbezogene Daten von Beschäftigten: Gesichtsbilder, Stimmmuster, Bewegungsprofile.

Deepfakes als arbeitsrechtliche Gefahr

Im betrieblichen Kontext sind verschiedene Deepfake-Szenarien bekannt geworden: die Erstellung von Deepfakes mit sexuellem oder herabwürdigendem Inhalt von Kollegen oder Vorgesetzten oder auch zum Vortäuschen von Arbeitsanweisungen und Arbeitsaufträgen auf praktisch allen Hierarchieebenen des Unternehmens.

Erstellt oder verbreitet ein Arbeitnehmer Deepfakes mit herabwürdigendem oder sexualisiertem oder auch nur bewusst täuschendem Inhalt, der Kollegen oder Vorgesetzte betrifft, liegt in der Regel eine schwerwiegende Verletzung der arbeitsvertraglichen Rücksichtnahmepflicht nach § 241 Abs. 2 BGB vor. Dies gilt unabhängig davon, ob betriebliche oder private IT-Strukturen genutzt werden. Geschieht dies während der Arbeitszeit oder unter Nutzung betrieblicher Ressourcen, kommt oft zusätzlich ein Verstoß gegen die Arbeitspflicht und gegen IT-Richtlinien hinzu. Rein privates Verhalten ist dem Einflussbereich des Arbeitgebers grundsätzlich entzogen. Arbeitsrechtliche Relevanz entsteht erst, wenn ein konkreter Bezug zum Arbeitsverhältnis besteht, etwa weil Kollegen betroffen sind, der Betriebsfrieden gestört wird oder das Unternehmensansehen Schaden nimmt.

In all diesen Fällen kann eine fristlose Kündigung aus wichtigem Grund nach § 626 BGB in Betracht kommen, ohne dass es einer vorherigen Abmahnung bedarf. Das Landesarbeitsgericht Berlin-Brandenburg hat in einer Mobbingkonstellation entschieden (Urt. v. 30.01.2020, Az. 10 Sa 933/19), dass systematische Ausgrenzung und Herabwürdigung eines Arbeitnehmers eine schwerwiegende Verletzung des allgemeinen Persönlichkeitsrechts darstellen, die Schadensersatz- und Entschädigungsansprüche begründen und das Arbeitsverhältnis für das Opfer unzumutbar machen. Die dort angewandten Grundsätze sind durchaus auf Deepfake-Sachverhalte übertragbar: Denn bei Deepfakes wird das Persönlichkeitsrecht durch die digitale Verfälschung des Erscheinungsbildes einer Person in besonders nachhaltiger und öffentlichkeitswirksamer Weise verletzt.

Handlungspflicht des Arbeitgebers: Zuschauen ist keine Lösung

Der Arbeitgeber hat den Betrieb so zu organisieren, dass Persönlichkeitsrechtsverletzungen seiner Arbeitnehmer verhindert werden. Sexuell konotierte Deepfakefälle im Betrieb erfüllen regelmäßig die Tatbestandsvoraussetzungen einer sexuellen Belästigung (§ 3 Abs. 4 Allgemeines Gleichbehandlungsgesetz (AGG)) und lösen entsprechende Schutzmaßnahmepflichten des Unternehmens aus (§ 12 Abs. 1 AGG). Unterlässt der Arbeitgeber angemessene Maßnahmen wie Abmahnung, Versetzung oder Kündigung des Täters drohen Schadensersatz- und Schmerzensgeldforderungen des Opfers, die der Höhe nach erheblich sein können.

Der Maßnahmenkatalog (vgl. § 12 Abs. 3 AGG) ist abgestuft: Zunächst ist die weitere Verbreitung zu verhindern; das ist oft möglich durch eine Sperrung bzw. Löschung in der Unternehmens-IT. Auf der individualvertraglichen Ebene ist eine Versetzung oder Freistellung des Täters zu erwägen. Schließlich sind arbeitsrechtliche Sanktionen bis hin zur außerordentlichen Kündigung zu prüfen.

Datenschutz und KI-Verordnung: Neue Pflichten für Arbeitgeber

Deepfakes wie Digital Twins arbeiten regelmäßig mit biometrischen Daten im Sinne von Art. 9 Abs. 1 Datenschutz-Grundverordnung (DSGVO) – also mit Gesichtsbildern, Stimmmustern und Bewegungsprofilen, für die ein besonders strenger Schutzmaßstab gilt. Eine Verarbeitung ist nur auf Basis einer Rechtsgrundlage zulässig. Im Beschäftigungskontext kommt neben der ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a) i.V.m. Art. 9 Abs. 2 lit. a) DSGVO) vor allem § 26 Abs. 3 Bundesdatenschutzgesetz (BDSG) in Betracht. Daneben schützt das Recht am eigenen Bild nach §§ 22, 23 Kunsturhebergesetz (KUG) Arbeitnehmer vor der unautorisierten Verwendung ihrer Abbildungen, auch in KI-generierter Form. Das allgemeine Persönlichkeitsrecht (§ 823 Abs. 1 BGB i.V.m. Art. 1 Abs. 1, Art. 2 Abs. 1 GG) ergänzt diesen Schutz.

Für Arbeitgeber, die KI-Systeme zur Erstellung oder Verarbeitung von Inhalten in eigener Verantwortung verwenden, gelten ab dem 2. August 2026 die Transparenzpflichten nach Art. 50 Abs. 4 KI-VO: Betreiber müssen offenlegen, dass Bild-, Ton- oder Videoinhalte künstlich erzeugt oder manipuliert wurden. Dies ist insbesondere für Unternehmen relevant, die KI-gestützte Avatare oder synthetische Medien in der internen oder externen Kommunikation einsetzen, etwa für Schulungsvideos, virtuelle Assistenten oder Marketingkampagnen. Diese Transparenzpflichten gelten für Betreiber, also Unternehmen, die KI-Systeme einsetzen, nicht bei rein privater Nutzung.

Betriebsrat im Boot: Mitbestimmung bei KI und Digital Twins

Die Einführung von Systemen zur Erkennung von Deepfakes sowie von Digital-Twin-Lösungen, die Mitarbeiterdaten verarbeiten, unterliegt dem Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG), sofern diese technischen Einrichtungen geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Die Mitbestimmung greift aber nur bei technischen Überwachungseinrichtungen, nicht pauschal bei jeder KI-Nutzung. Für die bloße Nutzung von KI durch Arbeitnehmer selbst, ohne Überwachungscharakter, besteht nach der Rechtsprechung des Arbeitsgerichts Hamburg kein erzwingbares Mitbestimmungsrecht (Beschl. v. 16.01.2024, Az. 24 BVGa 1/24).

Hinzu kommen kann das Unterrichtungsrecht nach § 90 BetrVG bei der Planung neuer Arbeitsmethoden. Seit der BetrVG-Reform 2021 hat der Betriebsrat bei der Einführung von KI-Systemen zudem das Recht, einen Sachverständigen hinzuzuziehen (§ 80 Abs. 3 Satz 2 BetrVG). Arbeitgeber sollten daher frühzeitig eine Betriebsvereinbarung über den Umgang mit KI-gestützten Systemen und Digital Twins abschließen, die Zweck, Umfang der Datenverarbeitung und Schutzmaßnahmen regelt. Eine solche Vereinbarung schafft Rechtssicherheit auf beiden Seiten und verhindert spätere Konflikte, zumal Betriebsvereinbarungen im Beschäftigungskontext nach der Rechtsprechung des EuGH vollumfänglich DSGVO-konform sein müssen.

Vertrauensverlust vorbeugen

Deepfakes und Digital Twins sind keine fernliegenden Zukunftsvisionen, sondern schon jetzt arbeitsrechtliche Realität. Was im Prominentenmilieu heute für Schlagzeilen sorgt, landet morgen auf dem Schreibtisch der Personalverantwortlichen.

Die rechtlichen Instrumente, diese Herausforderung zu meistern, sind vorhanden. Entscheidend ist, sie vorausschauend einzusetzen, bevor ein Schaden eintritt. Wer hier abwartet, riskiert nicht nur rechtliche Nachteile, sondern den Verlust des wichtigsten Kapitals eines Unternehmens: das Vertrauen.

 

Dr. Jan Tibor Lelley, LL.M., ist Fachanwalt für Arbeitsrecht und Partner bei BUSE Rechtsanwälte Steuerberater. Er berät Unternehmen und Arbeitgeber.