KI in der Personalauswahl: Was rechtlich gilt und was HR-Teams vor dem Einsatz klären

Darf ein HR-Team Bewerbungen mit KI vorsortieren?

Ja, wenn die Entscheidung über die Bewerbung bei einem Menschen liegt. Art. 22 Abs. 1 DSGVO gibt jeder Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine automatische Absage erfüllt das. Abs. 3 verlangt, dass Betroffene mindestens das Eingreifen einer Person, die Darlegung ihres Standpunkts und die Anfechtung der Entscheidung erreichen können.

Was darüber hinaus zulässig ist, hat die Hamburger Datenschutzbehörde (HmbBfDI) am 6. Juni 2024 für Bewerbungsverfahren beschrieben. Lebenslaufparser, die Daten auslesen und strukturiert in das Bewerbermanagementsystem übertragen, sind grundsätzlich zulässig, wenn die Daten richtig sind. Kommt nach dem Parsing eine zusätzliche Analyse hinzu, muss Art. 22 DSGVO eingehalten werden. Einem Sprachmodell die vollständige Auswahlentscheidung oder den finalen Kandidatenvorschlag zu überlassen, nennt die Behörde problematisch und grundsätzlich unzulässig.

Zu klären ist, was "Entscheidung" heißt. Der Europäische Gerichtshof hat am 7. Dezember 2023 in der Schufa-Sache (C-634/21) entschieden, dass schon ein Score eine automatisierte Entscheidung sein kann, wenn der Empfänger seine Entscheidung maßgeblich darauf stützt. Das Argument, man liefere nur eine Zahl und der Mensch entscheide, ließ das Gericht nicht gelten. Übertragen auf das Recruiting: Eine Rangliste, der die Personalerin in fast allen Fällen folgt, ist keine Entscheidungshilfe, sondern die Entscheidung. Das Hamburger Papier sagt es für Bewerbungen so: Eine bloß formelle menschliche Beteiligung reicht nicht, die entscheidende Person muss echten Entscheidungsspielraum haben und darf nicht hauptsächlich auf Grundlage des KI-Vorschlags entscheiden.

Art. 22 Abs. 2 DSGVO kennt Ausnahmen, etwa wenn die Entscheidung für den Abschluss eines Vertrags erforderlich ist. Ich plane nicht auf diese Ausnahme, weil die Hamburger Behörde für die Auswahlentscheidung dennoch den Menschen verlangt. Wer sie nutzen will, sollte das vorab mit dem Datenschutzbeauftragten schriftlich bewerten.

Belege1234

Ist Ihr Recruiting-Tool Hochrisiko-KI?

Meistens ja, sobald es Bewerbungen filtert, bewertet oder in eine Reihenfolge bringt. Anhang III Nr. 4 Buchst. a der KI-Verordnung nennt als Hochrisiko KI-Systeme, die für die Einstellung oder Auswahl natürlicher Personen bestimmt sind, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu analysieren und zu filtern und Kandidaten zu bewerten. Buchst. b erfasst Entscheidungen über Beförderung und Kündigung, die Aufgabenzuweisung nach Verhalten oder persönlichen Merkmalen und die Überwachung von Leistung und Verhalten.

Eine Ausnahme gibt es in Art. 6 Abs. 3: Ein Anhang-III-System gilt nicht als Hochrisiko, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, etwa weil es nur eine enge Verfahrensaufgabe erledigt oder eine vorbereitende Aufgabe übernimmt. Davon gibt es eine harte Rückausnahme: Führt das System Profiling natürlicher Personen durch, gilt es immer als Hochrisiko. Wer die Ausnahme für sein System in Anspruch nimmt, muss seine Bewertung dokumentieren (Art. 6 Abs. 4). Das ist zunächst Sache des Anbieters, aber Sie sollten die Dokumentation anfordern, bevor Sie das Tool einsetzen.

Die folgende Auswahl führt in vier Fragen durch diese Einstufung. Sie ersetzt keine rechtliche Prüfung, zeigt aber, an welcher Stelle Ihr Tool landet und welche Frage Sie dem Anbieter stellen.

Belege567

Welche Pflichten haben Betreiber, und ab wann gelten sie?

Ab dem 2. Dezember 2027, nicht mehr ab dem 2. August 2026. Der Digital Omnibus hat die Anforderungen für Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Das ordnet das Future of Privacy Forum so ein, und Art. 113 Buchst. c nennt in seiner geänderten Fassung diesen Termin. Die Verschiebung ändert nichts an den Verboten: Kapitel I und II der Verordnung gelten seit dem 2. Februar 2025.

Als Betreiber, also als Unternehmen, das ein Recruiting-System einsetzt, treffen Sie dann die Pflichten aus Art. 26. Sie übertragen die menschliche Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis. Sie prüfen, dass die Eingabedaten, die Sie kontrollieren, für den Zweck relevant und ausreichend repräsentativ sind. Sie überwachen den Betrieb anhand der Gebrauchsanweisung und melden Risiken und Vorfälle. Sie bewahren die automatisch erzeugten Protokolle, soweit sie unter Ihrer Kontrolle stehen, mindestens sechs Monate auf. Und Sie informieren vor dem Einsatz die Arbeitnehmervertretung und die betroffenen Beschäftigten (Abs. 7) sowie die Personen, über die das System mitentscheidet (Abs. 11). Das sind im Recruiting die Bewerbenden.

Hinzu kommt Art. 86: Wer von einer Entscheidung betroffen ist, die auf dem Ergebnis eines Anhang-III-Systems beruht und sich nachteilig auswirkt, kann vom Betreiber klare und aussagekräftige Erklärungen zur Rolle des Systems und zu den wesentlichen Elementen der Entscheidung verlangen. Praktisch heißt das: Sie müssen einer abgelehnten Person erklären können, welche Rolle die KI gespielt hat. Das setzt voraus, dass Sie es selbst wissen.

Bei der Aufsicht liegt die eigentliche Schwierigkeit. Art. 14 Abs. 4 Buchst. b nennt die Neigung, dem Ergebnis eines Hochrisiko-Systems automatisch zu vertrauen (Automatisierungsneigung), ausdrücklich als etwas, dessen sich die Aufsichtspersonen bewusst bleiben müssen. Das deckt sich mit dem Maßstab des Datenschutzes. Wer die Aufsicht nur auf dem Papier benennt, erfüllt weder die eine noch die andere Anforderung. Für die Schulung dieser Personen hilft der Artikel zur KI-Schulung für Mitarbeitende.

Verstöße gegen Art. 26 können mit Geldbußen bis 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist (Art. 99 Abs. 4). Das ist der Rahmen, kein Normalfall. Er zeigt, welchen Rang der Gesetzgeber den Betreiberpflichten gibt.

Belege891011121314

Welche Rechtsgrundlage und welche Datenschutz-Folgenabschätzung brauchen Sie?

Sie brauchen eine Rechtsgrundlage für jede Verarbeitung von Bewerberdaten und in aller Regel eine Datenschutz-Folgenabschätzung. § 26 Abs. 1 Satz 1 BDSG erlaubt die Verarbeitung für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses, wenn sie erforderlich ist. Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) genügt diese Norm nach Einschätzung von Gleiss Lutz wahrscheinlich nicht den Anforderungen des Art. 88 Abs. 2 DSGVO, die für nationale Regeln zum Beschäftigtendatenschutz gelten. Arbeitgeber behalten Art. 6 Abs. 1 Buchst. b DSGVO als eigenständige Grundlage. Für die Praxis bedeutet das: Die Grundlage im Verarbeitungsverzeichnis nicht allein auf § 26 BDSG stützen.

Die Einwilligung ist im Bewerbungsverhältnis keine bequeme Abkürzung. § 26 Abs. 2 BDSG verlangt, für die Freiwilligkeit die Abhängigkeit der beschäftigten Person und die Umstände der Erteilung zu berücksichtigen. Wer sich bewirbt und dabei einem KI-Interview zustimmen soll, um im Verfahren zu bleiben, entscheidet kaum frei. Die Hamburger Behörde zweifelt aus diesem Grund an der Freiwilligkeit der Einwilligung bei Emotionsanalysen.

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen hat. Abs. 3 Buchst. a nennt als Regelbeispiel die systematische und umfassende Bewertung persönlicher Aspekte, die auf automatisierter Verarbeitung einschließlich Profiling gründet und Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung stützt. Ein Ranking-Tool im Recruiting passt auf diese Beschreibung. Die Folgenabschätzung machen Sie als Verantwortlicher, die Informationen des Anbieters dafür müssen Sie einfordern. Art. 26 Abs. 9 der KI-Verordnung sieht ausdrücklich vor, dass Betreiber die Anbieterinformationen nach Art. 13 KI-VO für diese Abschätzung nutzen.

Die Bewerbenden müssen informiert werden. Art. 13 Abs. 2 Buchst. f DSGVO verlangt Angaben zum Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und aussagekräftige Informationen über die involvierte Logik sowie Tragweite und Auswirkungen. Ein Satz im Datenschutzhinweis, "wir nutzen KI zur Unterstützung", ist dafür zu wenig. Mehr zur DSGVO-Seite von KI im Personalwesen finden Sie auf der Seite DSGVO und KI im HR.

Belege14151617

Was verlangt das AGG, wenn die KI Bewerbende aussortiert?

Dass die Auswahl niemanden wegen eines geschützten Merkmals benachteiligt, auch wenn ein Algorithmus aussortiert. § 6 Abs. 1 AGG stellt Bewerberinnen und Bewerber den Beschäftigten gleich, und § 7 Abs. 1 verbietet die Benachteiligung wegen eines in § 1 genannten Grundes. Das Gesetz fragt nicht, ob ein Mensch oder eine Software die Entscheidung getroffen hat. Der Arbeitgeber ist der Adressat.

Für den Streitfall zählt die Beweislast. Nach § 22 AGG genügt es, dass eine Partei Indizien beweist, die eine Benachteiligung vermuten lassen. Dann muss die andere Seite beweisen, dass kein Verstoß vorlag. Ein Tool, dessen Auswahllogik Sie nicht erklären können, macht diesen Gegenbeweis schwer. Wer die Gründe für eine Absage nicht rekonstruieren kann, hat im Zweifel keine Verteidigung.

Die Folgen sind in § 15 AGG geregelt. Der Arbeitgeber muss den Schaden ersetzen, und wegen eines Nichtvermögensschadens können Betroffene eine angemessene Entschädigung verlangen. Bei einer Nichteinstellung ist sie auf höchstens drei Monatsgehälter begrenzt, wenn die Person auch bei diskriminierungsfreier Auswahl nicht eingestellt worden wäre. Ansprüche sind nach Abs. 4 innerhalb von zwei Monaten schriftlich geltend zu machen. Diese kurze Frist spricht dafür, Auswahlentscheidungen und die Gründe so zu dokumentieren, dass Sie sie auch später noch belegen können.

Ein Fall aus den USA zeigt, wie ein solcher Streit aussehen kann. Am 16. Mai 2025 ließ das Bundesbezirksgericht für den nördlichen Bezirk von Kalifornien (Richterin Rita Lin) in Mobley gegen Workday ein Sammelverfahren nach dem Age Discrimination in Employment Act vorläufig zu. Es betrifft Bewerbende ab 40, die seit dem 24. September 2020 über die Plattform abgelehnt wurden. Das Gericht sah die zentrale Frage, ob das KI-System ältere Bewerbende überproportional trifft, als gemeinsam klärbar an. Das ist amerikanisches Recht und kein Maßstab für Deutschland, aber es zeigt, dass Gerichte neben den Anwendern auch die Systeme in den Blick nehmen.

Belege1819202122

Was muss der Betriebsrat mitentscheiden?

Bei Auswahlrichtlinien, Fragebögen, der Einführung von KI und der Überwachung. Das Betriebsverfassungsgesetz nennt KI inzwischen ausdrücklich. § 95 Abs. 1 BetrVG macht Auswahlrichtlinien bei Einstellungen, Versetzungen, Umgruppierungen und Kündigungen zustimmungspflichtig. Abs. 2a erweitert das auf Fälle, in denen bei der Aufstellung der Richtlinien Künstliche Intelligenz zum Einsatz kommt. Wenn ein Tool also Kriterien erzeugt, nach denen Bewerbungen gewichtet werden, gelten diese Kriterien als Richtlinie, auch wenn sie nie in einem Dokument standen.

Dazu kommen weitere Rechte. Nach § 90 Abs. 1 Nr. 3 BetrVG ist der Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von KI rechtzeitig zu unterrichten. Muss er die Einführung oder Anwendung von KI beurteilen, gilt nach § 80 Abs. 3 die Hinzuziehung eines Sachverständigen insoweit als erforderlich. Personalfragebogen, also auch strukturierte Abfragen im Bewerbungsprozess, brauchen nach § 94 Abs. 1 die Zustimmung. Und bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen, bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 6 mit. Das betrifft vor allem Tools, die später für Mitarbeitende weiter genutzt werden.

Bei jeder Einstellung kommt § 99 Abs. 1 Satz 1 BetrVG hinzu: In Betrieben mit in der Regel mehr als zwanzig wahlberechtigten Arbeitnehmern ist der Betriebsrat vor der Einstellung zu unterrichten, ihm sind die erforderlichen Bewerbungsunterlagen vorzulegen. Die Frage, wie viel der Betriebsrat von einem KI-Ranking sehen darf, sollten Sie klären, bevor die erste Einstellung ansteht, am besten in einer Betriebsvereinbarung. Wie sie aufgebaut sein kann, beschreibt die Seite zur Betriebsvereinbarung KI.

Ich empfehle eine einfache Reihenfolge: zuerst unterrichten, dann beraten, dann den Einsatz regeln. Ein Pilot ohne Betriebsrat gefährdet den Einsatz, denn der Betriebsrat kann nach § 80 Abs. 3 einen Sachverständigen hinzuziehen, und die Einführung verzögert sich.

Belege232425262728

Was sagen die Anbieter, und wie verbreitet ist KI im Recruiting?

Verbreitet ist sie in Deutschland nach den letzten belastbaren Zahlen kaum, und die Anbieter sagen wenig zu den rechtlichen Fragen. Der Digitalverband Bitkom hat für seine Befragung von 852 Unternehmen ab drei Beschäftigten (Kalenderwochen 38 bis 44 des Jahres 2024, telefonisch, repräsentativ) ermittelt, dass nur 1 Prozent Bewerbungen mit KI-Hilfe screenen. 3 Prozent nutzen eine KI-gestützte Kompetenz- oder Potenzialanalyse, 4 Prozent einen KI-Chatbot, und 1 Prozent lassen Bewerbungsgespräche von einer KI führen. Vorstellen können sich das für die Zukunft 21, 29, 25 und 7 Prozent. Neuere Zahlen für das Recruiting habe ich nicht gefunden. Die Befragung stammt aus dem Jahr 2024. Ob die Werte heute höher liegen, kann ich nicht belegen.

Aus meiner eigenen Erhebung zu KI-Tools für HR stammen die Zahlen zu den Anbietern. Sie umfasst 46 Recruiting-Tools ohne archivierte Einträge, 23 davon mit KI-Screening von Lebensläufen oder KI-Video-Interviews. Bei 6 dieser 23 fand ich eine Aussage des Anbieters zum EU AI Act, bei 13 keine und bei 4 wurde sie noch nicht geprüft. Einen öffentlich einsehbaren Auftragsverarbeitungsvertrag haben 5 der 23. Bei keinem der 46 Recruiting-Tools fand ich eine Anbieterseite zur Beteiligung des Betriebsrats. Erfasst ist nur, was auf den Anbieterseiten steht, Stand 14. Oktober 2026. Fehlt eine Aussage dort, heißt das nicht, dass der Anbieter sie auf Anfrage nicht liefern kann. Es heißt, dass Sie sie anfordern müssen.

Daraus folgt eine einfache Einkaufsregel. Machen Sie die Unterlagen zur Bedingung für den Test, nicht für den Vertrag: die Einstufung des Systems nach der KI-Verordnung samt Dokumentation einer Ausnahme nach Art. 6 Abs. 3, die Beschreibung der Logik für die Information der Bewerbenden und die Folgenabschätzung, die Protokollierung und ihre Dauer, den Datenstandort und die Unterauftragnehmer. Liefert ein Anbieter nichts davon, sollten Sie den Einsatz nicht beginnen.

Belege29

Was gehört in die Prüfliste vor dem Einsatz?

Die folgende Liste fasst die Punkte aus den Abschnitten oben zusammen, in der Reihenfolge, in der ich sie vor einem Einsatz abarbeiten würde. Jeder Punkt geht auf eine der genannten Vorschriften oder auf einen Schritt zurück, der sich aus ihnen ergibt. Die Liste ersetzt keine Rechtsprüfung.

Haken Sie ab, was bei Ihnen geklärt ist. Die Liste bleibt in Ihrem Browser gespeichert, und mit dem Knopf unten kopieren Sie den Stand als Text.

Belege101

Wie ich mit dem Thema umgehe

Ich bewerte hier keine Tools, und ich bin kein Rechtsanwalt. Was ich einbringe, ist die Sicht einer Personalleitung, die Auswahl selbst gemacht hat: über 1.000 geführte Interviews und mehr als 100 Einstellungen in zwölf und mehr Ländern. Ich halte die Dokumentation der Entscheidung für wichtiger als das Tool, weil die Gründe für eine Absage später gefragt werden: von Bewerbenden, vom Betriebsrat oder vor Gericht (§ 22 AGG). Das ist meine Einschätzung, keine Studie.

Wenn ein Unternehmen mich zu KI im Recruiting anspricht, beginne ich mit zwei Fragen. Wer entscheidet heute, und worauf stützt sich die Person dabei? Und was soll das Tool ersetzen: Lesezeit, Entscheidungszeit oder Verantwortung? Soll es Lesezeit sparen, passen Parsing und Zusammenfassung, und die Rechtslage ist beherrschbar. Soll es Entscheidungen übernehmen, sind wir bei Art. 22 DSGVO, bei Anhang III und beim Betriebsrat, und dann steigt der Aufwand für Unterlagen und Beteiligung deutlich.

Das ist auch Teil meines Angebots: Ich arbeite als HR Interim Manager und KI-Berater und habe damit ein Eigeninteresse daran, dass Sie mich ansprechen. Wenn Ihr Vorhaben ein Lebenslaufparser mit menschlicher Entscheidung ist, brauchen Sie dafür weder mich noch ein Gutachten, sondern eine saubere Dokumentation und einen Betriebsrat, der unterrichtet wurde. Ich sage Ihnen das im Erstgespräch.

Belege2