KI im Bewerbungsverfahren: Darf künstliche Intelligenz über Bewerber entscheiden?

Künstliche Intelligenz kann Personalabteilungen bei der Sichtung zahlreicher Bewerbungen erheblich entlasten. Systeme analysieren Lebensläufe, gleichen Qualifikationen mit Stellenprofilen ab, erstellen Ranglisten oder empfehlen, welche Kandidaten zu einem Vorstellungsgespräch eingeladen werden sollen. Je größer der Einfluss eines solchen Systems auf die Auswahlentscheidung wird, desto wichtiger werden jedoch Datenschutz, Transparenz und wirksame menschliche Kontrolle.

Die Entscheidung über eine Bewerbung darf grundsätzlich nicht allein einer KI überlassen werden, wenn sie für den Betroffenen rechtliche oder ähnlich erhebliche Auswirkungen hat. Eine Personalverantwortliche, die eine automatisch erzeugte Empfehlung nur noch bestätigt, macht daraus nicht zwingend eine menschliche Entscheidung. Unternehmen müssen außerdem die Vorgaben der Datenschutz-Grundverordnung, der europäischen KI-Verordnung, des Allgemeinen Gleichbehandlungsgesetzes und des Betriebsverfassungsrechts beachten.

Wie wird KI im Recruiting eingesetzt?

KI-Systeme können im Bewerbungsverfahren an sehr unterschiedlichen Stellen eingesetzt werden. Manche Anwendungen fassen lediglich Bewerbungsunterlagen zusammen oder helfen bei der Terminplanung. Andere Systeme analysieren Lebensläufe, bewerten Qualifikationen, ordnen Kandidaten in Ranglisten ein oder sortieren Bewerbungen bereits vor einer menschlichen Sichtung aus.

Auch digitale Interviews können KI-gestützt ausgewertet werden. Dabei können beispielsweise Antworten, Wortwahl oder andere Merkmale analysiert und mit einem Anforderungsprofil abgeglichen werden. Je nachdem, welche Daten verwendet und welche Schlüsse daraus gezogen werden, entstehen erhebliche Risiken für die Privatsphäre und die Chancengleichheit der Bewerber.

Rechtlich entscheidend ist daher nicht allein, ob ein Produkt als „KI“ bezeichnet wird. Maßgeblich ist, welche Funktion das System tatsächlich übernimmt, welche personenbezogenen Daten verarbeitet werden und welchen Einfluss sein Ergebnis auf die Auswahlentscheidung hat.

Was ist eine automatisierte Entscheidung?

Art. 22 Abs. 1 Datenschutz-Grundverordnung schützt Menschen davor, einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine Absage im Bewerbungsverfahren kann die beruflichen Chancen des Betroffenen erheblich berühren.

Eine ausschließlich automatisierte Entscheidung liegt offensichtlich vor, wenn ein System eine Bewerbung ohne jede Beteiligung eines Menschen aussortiert und automatisch eine Absage versendet. Schwieriger sind Fälle, in denen formal noch ein Personalverantwortlicher beteiligt ist.

Erstellt die KI einen Score oder ein Ranking, das für die spätere Entscheidung praktisch maßgeblich ist, kann Art. 22 DSGVO ebenfalls anwendbar sein. Der Europäische Gerichtshof hat in seiner SCHUFA-Entscheidung vom 07.12.2023 (Az. C-634/21) klargestellt, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts eine automatisierte Entscheidung darstellen kann, wenn ein Dritter diesem Wert bei seiner Entscheidung eine maßgebliche Rolle beimisst.

Auf das Bewerbungsverfahren übertragen kommt es deshalb nicht nur auf den letzten Klick an, sondern auf den tatsächlichen Einfluss des KI-Ergebnisses.

Wann entscheidet tatsächlich noch ein Mensch?

Eine menschliche Beteiligung ist nur dann rechtlich relevant, wenn sie tatsächlich inhaltlich erfolgt. Die zuständige Person muss über die fachliche Kompetenz, ausreichende Informationen und die Befugnis verfügen, die Empfehlung des Systems zu überprüfen und gegebenenfalls abzuändern.

Es genügt nicht, wenn die Personalabteilung lediglich einen nicht nachvollziehbaren Punktwert erhält und die vorgeschlagene Absage routinemäßig bestätigt. Eine wirksame menschliche Kontrolle setzt voraus, dass der Entscheider die wesentlichen Gründe für die Bewertung kennt, die Bewerbungsunterlagen selbst berücksichtigt und zu einem eigenständigen Ergebnis gelangen kann.

Unternehmen sollten deshalb dokumentieren, welche Informationen der menschliche Entscheider erhalten hat, welche Prüfung vorgenommen wurde und warum er der KI-Empfehlung gefolgt oder von ihr abgewichen ist. Eine solche Dokumentation kann später wichtig werden, wenn ein Bewerber Auskunft verlangt oder eine Diskriminierung geltend macht.

Gibt es Ausnahmen vom Verbot automatisierter Entscheidungen?

Art. 22 DSGVO enthält kein ausnahmsloses Verbot. Eine ausschließlich automatisierte Entscheidung kann zulässig sein, wenn sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, aufgrund einer Rechtsvorschrift erlaubt wird oder auf einer ausdrücklichen Einwilligung beruht.

Diese Ausnahmen sind eng auszulegen. Dass ein automatisiertes Verfahren für den Arbeitgeber schneller, günstiger oder organisatorisch bequem ist, macht es noch nicht zwingend erforderlich. Auch eine Einwilligung ist im Bewerbungsverfahren keine stets belastbare Grundlage. Bewerber können sich wegen des bestehenden Ungleichgewichts unter Druck gesetzt fühlen und möglicherweise keine echte Wahl haben.

Greift eine zulässige Ausnahme, muss der Verantwortliche angemessene Schutzmaßnahmen treffen. Dazu gehören grundsätzlich das Recht auf das Eingreifen einer Person, die Möglichkeit, den eigenen Standpunkt darzulegen, und das Recht, die Entscheidung anzufechten.

Was verlangt die europäische KI-Verordnung?

Die europäische KI-Verordnung, auch AI Act genannt, schafft zusätzliche Anforderungen für Entwicklung und Einsatz künstlicher Intelligenz. Sie gilt neben der DSGVO. Die Erfüllung der KI-Verordnung ersetzt daher weder eine datenschutzrechtliche Rechtsgrundlage noch die Beachtung der Rechte von Bewerbern.

Die Verordnung verfolgt einen risikobasierten Ansatz. Je größer die möglichen Auswirkungen eines KI-Systems auf Sicherheit und Grundrechte sind, desto strenger sind die Anforderungen. Anwendungen im Bereich Beschäftigung und Personalauswahl können wegen ihres Einflusses auf berufliche Chancen als Hochrisiko-KI eingestuft werden.

Daneben verpflichtet Art. 4 KI-Verordnung Anbieter und Betreiber dazu, Maßnahmen für eine ausreichende KI-Kompetenz der mit dem System befassten Personen zu treffen. Personalverantwortliche benötigen also nicht nur Zugriff auf das Tool. Sie müssen seine Möglichkeiten, Grenzen und Risiken angemessen verstehen.

Wann ist Recruiting-KI ein Hochrisiko-System?

Nach Art. 6 Abs. 2 in Verbindung mit Anhang III Nr. 4 Buchstabe a der KI-Verordnung gelten Systeme grundsätzlich als Hochrisiko-KI, wenn sie für die Einstellung oder Auswahl natürlicher Personen eingesetzt werden. Ausdrücklich genannt sind Systeme zur gezielten Platzierung von Stellenanzeigen, zur Analyse und Filterung von Bewerbungen sowie zur Bewertung von Kandidaten.

Nicht jede technische Unterstützung im Personalbereich ist damit automatisch ein Hochrisiko-System. Die KI-Verordnung sieht unter bestimmten Voraussetzungen Ausnahmen für Systeme vor, die nur eng begrenzte verfahrensbezogene oder vorbereitende Aufgaben übernehmen und das Ergebnis der Entscheidung nicht wesentlich beeinflussen.

Führt das System jedoch ein Profiling natürlicher Personen durch, spricht dies nach der KI-Verordnung regelmäßig für die Einstufung als Hochrisiko-System. Unternehmen müssen die konkrete Funktionsweise daher sorgfältig prüfen und dürfen sich nicht allein auf die Produktbeschreibung des Herstellers verlassen.

Welche Pflichten haben Arbeitgeber beim Einsatz von Hochrisiko-KI?

Arbeitgeber, die ein Hochrisiko-KI-System im Recruiting einsetzen, sind regelmäßig Betreiber im Sinne der KI-Verordnung. Sie müssen unter anderem die Gebrauchsanweisung beachten, eine wirksame menschliche Aufsicht sicherstellen und die Eingabedaten kontrollieren, soweit diese in ihrem Verantwortungsbereich liegen.

Die mit der Aufsicht betrauten Personen müssen das System und seine Grenzen ausreichend verstehen. Sie müssen mögliche Fehlinterpretationen erkennen, Ergebnisse hinterfragen und die Befugnis besitzen, Empfehlungen nicht zu übernehmen oder umzukehren. Besonders wichtig ist der sogenannte Automatisierungsbias: Menschen neigen dazu, computergenerierten Bewertungen ein größeres Vertrauen entgegenzubringen, als sachlich gerechtfertigt ist.

Abhängig vom konkreten System können weitere Pflichten hinzukommen, etwa zur Protokollierung, Überwachung und Aufbewahrung automatisch erzeugter Protokolle. Werden Risiken oder schwerwiegende Vorfälle festgestellt, müssen die vorgesehenen Reaktions- und Meldewege funktionieren.

Vor allem sollte das Unternehmen festlegen, wer für das System verantwortlich ist, wer Ergebnisse fachlich kontrolliert und wie fehlerhafte oder diskriminierende Bewertungen korrigiert werden.

Welche Informationen müssen Bewerber erhalten?

Werden personenbezogene Daten im Bewerbungsverfahren verarbeitet, müssen Bewerber nach Art. 13 oder Art. 14 DSGVO transparent informiert werden. Dazu gehören unter anderem die Zwecke der Verarbeitung, ihre Rechtsgrundlage, die Empfänger der Daten und die Speicherdauer.

Findet eine automatisierte Entscheidungsfindung einschließlich Profiling statt, sind zusätzlich aussagekräftige Informationen über die involvierte Logik sowie über die Tragweite und die angestrebten Auswirkungen der Verarbeitung bereitzustellen. Eine allgemeine Aussage wie „Wir nutzen moderne Software zur Bewerberauswahl“ reicht dafür nicht.

Der Europäische Gerichtshof hat mit Urteil vom 27.02.2025 (Az. C-203/22) betont, dass die Erklärung präzise, verständlich und so aussagekräftig sein muss, dass die betroffene Person die automatisierte Entscheidung nachvollziehen und anfechten kann. Die bloße Übersendung komplizierten Quellcodes wäre dafür weder erforderlich noch hilfreich.

Unternehmen sollten verständlich erklären können, welche Datenkategorien verwendet wurden, welche wesentlichen Bewertungskriterien eine Rolle spielten und wie diese das konkrete Ergebnis beeinflusst haben. Geschäftsgeheimnisse beseitigen den Auskunftsanspruch nicht automatisch.

Wie kann KI Bewerber diskriminieren?

KI-Systeme gelten nicht allein deshalb als neutral, weil sie mathematische Modelle verwenden. Werden sie mit historischen Personaldaten trainiert, können sie frühere Auswahlmuster und bestehende Benachteiligungen übernehmen. Auch scheinbar neutrale Kriterien können bestimmte Gruppen mittelbar benachteiligen.

Ein System könnte beispielsweise Merkmale oder Formulierungen bevorzugen, die in früher erfolgreichen Bewerbungen besonders häufig vorkamen. Diese Zusammenhänge können indirekt mit dem Geschlecht, dem Alter, der ethnischen Herkunft, einer Behinderung, der Religion oder anderen geschützten Merkmalen verknüpft sein.

Das Allgemeine Gleichbehandlungsgesetz verbietet Benachteiligungen wegen der in § 1 AGG genannten Merkmale. Der Arbeitgeber bleibt für das Auswahlverfahren verantwortlich, auch wenn eine externe Software die problematische Bewertung erzeugt hat. Die Entscheidung eines technischen Systems ist daher keine Rechtfertigung für eine diskriminierende Absage.

Wer KI im Recruiting einsetzt, muss die Ergebnisse regelmäßig auf mögliche Benachteiligungen und verzerrte Auswahlmuster prüfen. Dazu gehören aussagekräftige Tests vor dem Einsatz sowie eine laufende Kontrolle während des Betriebs.

Welche Ansprüche haben benachteiligte Bewerber?

Ein abgelehnter Bewerber kann nach Art. 15 DSGVO Auskunft darüber verlangen, ob seine Daten im Rahmen einer automatisierten Entscheidungsfindung oder eines Profilings verarbeitet wurden. Je nach Fall besteht außerdem ein Anspruch auf aussagekräftige Informationen über das konkret angewandte Verfahren und dessen Auswirkungen.

Bei einer unzulässigen Benachteiligung können Ansprüche nach § 15 AGG bestehen. Ersatzfähig können materielle Schäden und eine Entschädigung für immaterielle Nachteile sein. Wäre der Bewerber auch bei diskriminierungsfreier Auswahl nicht eingestellt worden, ist die Entschädigung wegen der Nichteinstellung grundsätzlich auf drei Monatsgehälter begrenzt.

Nach § 22 AGG genügt es zunächst, Indizien vorzutragen, die eine Benachteiligung wegen eines geschützten Merkmals vermuten lassen. Dann muss die andere Seite beweisen, dass kein Verstoß gegen die Schutzbestimmungen vorgelegen hat. Auffällige automatisierte Bewertungen oder intransparente Auswahlkriterien können dabei je nach Einzelfall Bedeutung gewinnen.

Ansprüche nach dem AGG müssen grundsätzlich innerhalb von zwei Monaten schriftlich geltend gemacht werden. Die Frist beginnt bei einer Bewerbung regelmäßig mit dem Zugang der Ablehnung. Für eine anschließende Klage gilt eine weitere Frist. Betroffene sollten deshalb nicht lange abwarten.

Welche Rechte hat der Betriebsrat?

Der Einsatz von KI in der Personalabteilung kann unterschiedliche Beteiligungsrechte des Betriebsrats auslösen. Nach § 90 Betriebsverfassungsgesetz muss der Arbeitgeber den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes künstlicher Intelligenz rechtzeitig informieren und mit ihm beraten.

Werden Auswahlrichtlinien für Einstellungen oder andere personelle Entscheidungen aufgestellt, ist § 95 BetrVG zu beachten. Das Gesetz stellt ausdrücklich klar, dass die Rechte des Betriebsrats auch dann gelten, wenn bei der Aufstellung solcher Richtlinien künstliche Intelligenz eingesetzt wird.

Kann das System zugleich Verhalten oder Leistung von Beschäftigten überwachen, kommt außerdem ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht. Bei personellen Einzelmaßnahmen sind je nach Betriebsgröße und konkreter Gestaltung zusätzlich die Beteiligungsrechte nach § 99 BetrVG zu prüfen.

Der Betriebsrat sollte daher frühzeitig einbezogen werden. Eine nachträgliche Vorstellung eines bereits beschafften und technisch eingerichteten Systems wird den gesetzlichen Beteiligungsrechten häufig nicht gerecht.

Ist eine Datenschutz-Folgenabschätzung erforderlich?

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Automatisierte Bewertungen, Profiling und umfangreiche Verarbeitung sensibler Bewerberdaten können ein solches Risiko begründen.

Unternehmen sollten die Erforderlichkeit bereits vor Einführung des Systems prüfen. Die Folgenabschätzung beschreibt die geplante Verarbeitung, bewertet ihre Notwendigkeit und Verhältnismäßigkeit und untersucht die Risiken für die Betroffenen. Anschließend sind geeignete Schutzmaßnahmen festzulegen.

Das Verfahren darf nicht zu einer bloßen Formalität werden. Werden die Zwecke, Datenquellen oder Bewertungsmodelle später wesentlich verändert, muss auch die Risikobewertung überprüft und gegebenenfalls aktualisiert werden.

Können sich Arbeitgeber auf den Softwareanbieter verlassen?

Der Hersteller oder Anbieter eines KI-Systems trägt eigene Pflichten. Der Arbeitgeber bleibt als Nutzer des Systems aber für die Rechtmäßigkeit seines Bewerbungsverfahrens und regelmäßig auch für die Verarbeitung der Bewerberdaten verantwortlich.

Vor der Beschaffung sollten Unternehmen daher klären, wie das System arbeitet, für welchen Zweck es entwickelt wurde und auf welchen Daten seine Bewertungen beruhen. Ebenso wichtig sind aussagekräftige Dokumentationen, Möglichkeiten zur menschlichen Kontrolle, Protokollierungsfunktionen und vertragliche Regelungen zum Datenschutz.

Kann der Anbieter nicht verständlich erklären, wie wesentliche Ergebnisse zustande kommen oder welche Schutzmaßnahmen gegen Verzerrungen bestehen, sollte das System nicht für folgenreiche Auswahlentscheidungen eingesetzt werden. Eine technisch nicht nachvollziehbare Blackbox lässt sich kaum rechtssicher überwachen.

Was sollten Unternehmen in der Praxis tun?

Vor dem Einsatz von KI im Bewerbungsverfahren empfiehlt sich ein strukturiertes Prüf- und Einführungskonzept. Dazu gehören insbesondere:

• den konkreten Einsatzzweck und die Entscheidungsrelevanz des Systems festlegen,
• die Einstufung nach der KI-Verordnung dokumentieren,
• eine datenschutzrechtliche Rechtsgrundlage bestimmen und gegebenenfalls eine Datenschutz-Folgenabschätzung durchführen,
• den Betriebsrat und den Datenschutzbeauftragten frühzeitig einbeziehen,
• Bewertungskriterien und Trainingsdaten auf Diskriminierungsrisiken prüfen,
• eine echte menschliche Kontrolle mit klaren Entscheidungsbefugnissen sicherstellen,
• Personalverantwortliche zu Funktionsweise, Grenzen und Risiken des Systems schulen,
• Informations- und Auskunftsprozesse für Bewerber vorbereiten und
• Entscheidungen, Abweichungen und regelmäßige Kontrollen nachvollziehbar dokumentieren.

Besondere Vorsicht ist geboten, wenn das System Bewerber automatisch aussortiert, Persönlichkeitseigenschaften ableitet oder schwer nachvollziehbare Scores erzeugt. Je stärker das Ergebnis die beruflichen Chancen eines Menschen beeinflusst, desto weniger darf sich die Kontrolle auf eine formale Bestätigung beschränken.

Was können betroffene Bewerber unternehmen?

Wer vermutet, durch ein automatisiertes System aussortiert worden zu sein, kann das Unternehmen zunächst um Auskunft nach Art. 15 DSGVO bitten. Dabei kann insbesondere gefragt werden, ob eine automatisierte Entscheidungsfindung oder ein Profiling stattgefunden hat, welche Daten verwendet wurden und welche wesentlichen Faktoren das Ergebnis beeinflusst haben.

Bestehen Anhaltspunkte für eine Benachteiligung wegen eines geschützten Merkmals, sollten die Ablehnung, die Stellenausschreibung und die bisherige Kommunikation gesichert werden. Wegen der kurzen Fristen des AGG empfiehlt sich eine schnelle rechtliche Prüfung.

Eine Absage begründet für sich genommen noch keinen Anspruch. Fehlen jedoch nachvollziehbare Informationen, zeigen sich auffällige Bewertungskriterien oder bestehen konkrete Hinweise auf eine diskriminierende Auswahl, können weitere rechtliche Schritte in Betracht kommen.

Wie Haas und Kollegen unterstützen kann

Der Einsatz von KI im Recruiting betrifft gleichzeitig Arbeitsrecht, Datenschutzrecht und neue regulatorische Pflichten aus der KI-Verordnung. Unternehmen müssen diese Anforderungen bereits bei Auswahl und Einführung eines Systems zusammenführen.

Haas und Kollegen unterstützt Arbeitgeber bei der rechtssicheren Auswahl und Nutzung von KI-Systemen im Bewerbungsverfahren. Wir prüfen Vertrags- und Datenschutzfragen, die Einstufung nach der KI-Verordnung, Informationspflichten, Beteiligungsrechte des Betriebsrats und mögliche Risiken nach dem AGG.

Bewerber beraten wir, wenn der Verdacht besteht, dass eine automatisierte Auswahl zu einer unzulässigen oder diskriminierenden Entscheidung geführt hat. Dabei prüfen wir Auskunfts-, Schadensersatz- und Entschädigungsansprüche sowie die einzuhaltenden Fristen.

Je früher die rechtlichen und technischen Abläufe geprüft werden, desto besser lassen sich intransparente Entscheidungen und spätere Auseinandersetzungen vermeiden.