KI im Recruiting: Wenn die Maschine Bewerber gegen die Stelle abgleicht

Immer mehr mittelständische Betriebe lassen eine KI vorsortieren, wer auf eine offene Stelle passt. Das spart Zeit, das verstehe ich. Aber genau hier entscheiden sich Menschen und Existenzen, und das Datenschutzrecht schaut sehr genau hin. Ich zeige an einem konkreten Beispiel, wie so ein Prozess abläuft, wo die Fallstricke liegen und wie man ihn sauber aufsetzt.

So läuft der KI-Prozess im Betrieb ab

Stellen Sie sich einen Handwerksbetrieb mit 40 Mitarbeitern vor. Es kommen 60 Bewerbungen auf eine Stelle als Projektleiter. Früher hat die Personalverantwortliche jede Mappe einzeln gelesen. Jetzt läuft es anders.

Die Stellenanzeige wird in ein KI-Tool eingegeben: gefordert sind zum Beispiel eine abgeschlossene Ausbildung, fünf Jahre Berufserfahrung, Führungskompetenz und Kenntnisse in einer bestimmten Software. Dann werden die Bewerbungsunterlagen hochgeladen: Lebenslauf, Anschreiben, Zeugnisse, oft als PDF, teils mit Foto, Geburtsdatum, Anschrift, manchmal sogar Angaben zu Familienstand oder Gesundheit.

Die KI liest diese Dokumente aus. Sie erkennt Text, sortiert Angaben nach Kategorien wie Ausbildung, Erfahrung und Fähigkeiten, und gleicht sie mit den Anforderungen ab. Am Ende kommt heraus, was die Personalverantwortliche in Sekunden statt Stunden hat: eine Rangliste. Bewerber A passt zu 92 Prozent, Bewerber B zu 74 Prozent, Bewerber C zu 41 Prozent. Oft mit einer kurzen Begründung, warum jemand oben oder unten steht.

Die Personalverantwortliche schaut sich meist nur die obersten Kandidaten genauer an. Und genau das ist der Punkt, an dem aus einer Arbeitshilfe eine Entscheidung mit Wirkung wird.

Die datenschutzrechtliche Einordnung

Hier werden hochsensible personenbezogene Daten verarbeitet: Name, Adresse, Geburtsdatum, Lebenslauf, Zeugnisnoten, oft ein Bewerbungsfoto. In Bewerbungen tauchen regelmäßig auch besondere Kategorien nach Artikel 9 DSGVO auf, also Angaben, die besonders geschützt sind: Gesundheit, Schwerbehinderung, Religion durch eine Konfession, Herkunft durch ein Foto. Diese Daten dürfen nur unter engen Voraussetzungen verarbeitet werden. Man kann nicht einfach eine KI darüberlaufen lassen.

Die Rechtsgrundlage ist im Bewerbungsverfahren in der Regel Paragraf 26 Bundesdatenschutzgesetz, also die Datenverarbeitung für das Beschäftigungsverhältnis, gestützt auf Artikel 6 DSGVO. Für die eigentliche Stellenbesetzung dürfen Sie Bewerberdaten verarbeiten. Aber: Der Einsatz einer KI zur Vorauswahl geht über das reine Lesen hinaus. Sie brauchen eine klare Begründung, warum dieses Werkzeug erforderlich ist, und Sie müssen den Grundsatz der Datenminimierung beachten. Ein Foto, das Geburtsdatum oder der Familienstand sind für die fachliche Eignung meist irrelevant und sollten der KI gar nicht erst zur Bewertung vorliegen.

Der heikelste Punkt ist die automatisierte Entscheidung. Artikel 22 DSGVO verbietet grundsätzlich, dass eine Person allein durch eine Maschine über etwas mit erheblicher Wirkung entschieden bekommt, und eine Absage im Bewerbungsverfahren ist so eine Wirkung. Solange die KI nur eine Rangliste vorschlägt und ein Mensch jede Auswahl echt und inhaltlich prüft, ist das zulässig. Wird aber alles unterhalb einer Prozentschwelle automatisch aussortiert und nie wieder angeschaut, kippt es in eine verbotene automatisierte Einzelentscheidung. Der Mensch muss wirklich entscheiden, nicht nur abnicken.

Dazu kommt der EU AI Act. KI im Recruiting, die Bewerber bewertet oder filtert, gilt dort als Hochrisiko-System. Das bringt zusätzliche Pflichten mit sich: menschliche Aufsicht, Prüfung auf Diskriminierung, Dokumentation. Denn eine KI, die aus alten Einstellungsdaten lernt, kann bestehende Vorurteile fortschreiben und etwa systematisch bestimmte Gruppen benachteiligen.

Fast immer läuft so ein Tool über einen externen Anbieter, oft mit Servern in den USA. Dann brauchen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO und, bei einem Drittlandtransfer, eine tragfähige Grundlage wie das EU-US Data Privacy Framework oder Standardvertragsklauseln. Prüfen Sie außerdem, ob der Anbieter die Bewerberdaten zum Training seiner eigenen Modelle nutzt. Das wäre in der Regel unzulässig und muss vertraglich ausgeschlossen sein.

Und Sie haben Transparenzpflichten. Bewerber müssen in der Datenschutzinformation erfahren, dass eine KI zur Vorauswahl eingesetzt wird. Weil hier systematisch und umfangreich sensible Daten bewertet werden, ist zudem meist eine Datenschutz-Folgenabschätzung nötig, bevor Sie starten.

Fazit

KI-Matching im Recruiting kann sich lohnen. Es nimmt echte Arbeit ab und bringt Struktur in einen Stapel Bewerbungen. Aber es ist kein Werkzeug, das man nebenbei einführt. Es kommt auf drei Dinge an: der Mensch entscheidet am Ende wirklich, die KI bekommt nur die Daten, die sie fachlich braucht, und der Anbieter ist vertraglich sauber eingebunden. Wer das beachtet, spart Zeit, ohne rechtlich ins Risiko zu geraten. Ob KI-Matching in Ihrem konkreten Fall zulässig ist und welche Grundlage greift, hängt vom Einzelfall ab. Genau dafür ist mein kostenloses, unverbindliches Erstgespräch da.