Kandidatenauswahl durch automatisierte Systeme: Darf die KI über Bewer­bungen ent­scheiden?

Bei hunderten Bewerbungen auf eine Stelle können Personalabteilungen längst KI nutzen, um gar nicht passende Bewerber aus dem Verfahren auszuschließen. Die KI kann Lebensläufe analysieren, Bewerbungen filtern, Rankings erstellen oder empfehlen, wer weiterkommen soll. Der Personaler könnte am Ende nur noch auf "bestätigen" klicken. In der Praxis dürfte ein solches Verfahren vor allem bei Absagen relevant werden.

Allerdings haben Bewerber das Recht, einer nicht bloß automatisierten Entscheidungsfindung unterworfen zu werden. Das sieht Art. 22 Abs. 1 Datenschutzgrundverordnung (DSGVO) vor. Bei Verstößen drohen für die Anwender, in der Begrifflichkeit der DSGVO "Verantwortliche", Entschädigungsansprüche.

Wann also hat beim Einsatz von KI wirklich noch ein Mensch entschieden und nicht bloß eine Entscheidung der KI abgenickt?

Ein Mensch im Prozess reicht nicht immer

Nicht jeder KI-Einsatz in HR ist sofort eine automatisierte Entscheidung iSd Art. 22 Abs. 1 DSGVO. Nutzt ein Personaler KI nur, um Unterlagen zusammenzufassen, prüft er anschließend selbst die Bewerbung und trifft eine eigene Entscheidung, bleibt der Mensch maßgeblich beteiligt. Anders kann es aussehen, wenn ein System Kandidaten bewertet oder ein Ranking erstellt und HR dessen Empfehlung regelmäßig übernimmt.

Nach den vom Europäischen Datenschutzausschuss (EDSA) bestätigten Leitlinien zu automatisierten Entscheidungen muss menschliche Kontrolle tatsächlich inhaltlich sein und darf nicht nur zum Schein erfolgen. Die kontrollierende Person muss über die Kompetenz und Befugnis verfügen, die Entscheidung zu ändern, und die relevanten Informationen tatsächlich berücksichtigen.

Dazu passt das Schufa-Urteil des Europäischen Gerichtshofs (EuGH, Urt. v. 7.12.2023, Az. C-634/21, C-26/22 und C-64/22). Danach kann schon die automatisierte Erstellung eines Wahrscheinlichkeitswerts eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO darstellen, wenn dieser Wert bei der Entscheidung eines Dritten eine maßgebliche Rolle spielt.

Auf das Recruiting übertragen heißt das: Dass formal noch ein Personaler zwischen KI-Empfehlung und Absage sitzt, reicht nicht zwingend. Entscheidend ist sein tatsächlicher Einfluss. HR muss also eine KI-Empfehlung hinterfragen und gegebenenfalls korrigieren können. Wer lediglich einen Score von 34 von 100 sieht, dessen Zustandekommen nicht nachvollziehen kann, und den Vorschlag routinemäßig bestätigt, ist kaum ein echter "Human in the Loop" (Mensch im (KI-)Kreislauf).

Bewerbungs-Tools als Hochrisiko-Systeme

Neben der DSGVO gilt zudem die europäische KI-Verordnung ((VO) AI-Act), die europaweit einen einheitlichen Rechtsrahmen für die Anwendung von KI bilden soll. Die Regelungen aus der KI-VO und der DSGVO stehen nebeneinander und ergänzen sich.

In der KI-VO sind KI-Systeme zur Einstellung oder Auswahl von Personen, insbesondere zur Analyse und Filterung von Bewerbungen oder zur Bewertung von Kandidaten, in Anhang III Nr. 4 lit. a KI-VO erfasst und gelten nach Art. 6 Abs. 2 KI-VO grundsätzlich als Hochrisiko-KI‑Systeme. Art. 6 Abs. 3 KI-VO sieht unter bestimmten Voraussetzungen Ausnahmen vor.

Für Hochrisiko-Systeme verlangt Art. 14 KI-VO eine wirksame menschliche Aufsicht. Die dafür eingesetzten Personen müssen die Fähigkeiten und Grenzen des Systems angemessen verstehen, dessen Ergebnisse richtig interpretieren und sich des Risikos bewusst sein, automatisch erzeugten Ergebnissen zu stark zu vertrauen. Sie müssen Ergebnisse gegebenenfalls außer Acht lassen oder umkehren können.

Für HR ergibt sich daraus eine einfache Faustregel: Je stärker die KI das Ergebnis vorzeichnet, desto weniger darf sich die menschliche Kontrolle auf den letzten Klick beschränken.

“Hat eine KI mich aussortiert?”

Abgelehnte Bewerber wissen häufig nicht, ob ein automatisiertes System an der Auswahl beteiligt war. Genau hier setzt Art. 15 DSGVO an. Nach Art. 15 Abs. 1 lit. h DSGVO haben Betroffene einen Anspruch auf Auskunft, ob eine automatisierte Entscheidungsfindung oder ein Profiling durchgeführt worden ist, und können gegebenenfalls aussagekräftige Informationen über die involvierte Logik, Tragweite und angestrebten Auswirkungen verlangen.

Was "aussagekräftig" bedeutet, hat der EuGH inzwischen konkretisiert. Im Fall Dun & Bradstreet Austria verlangt er eine präzise und verständliche Erläuterung des konkret angewandten Verfahrens und der Grundsätze. Die betroffene Person muss nachvollziehen können, welche ihrer personenbezogenen Daten auf welche Art verwendet wurden (EuGH, Urt. v. 27.02.2025, C-203/22).

Den Algorithmus oder gar komplizierten Quellcode offenzulegen, genügt dafür nicht. Die Erklärung muss die betroffene Person vielmehr in die Lage versetzen, die automatisierte Entscheidung zu verstehen und anzufechten. Der EuGH nennt als mögliche Erklärung etwa, aufzuzeigen, wie sich eine Veränderung der berücksichtigten personenbezogenen Daten auf das Ergebnis ausgewirkt hätte.

Auch Geschäftsgeheimnisse beenden den Auskunftsanspruch nicht automatisch. Werden solche Geheimnisse oder personenbezogene Daten Dritter geltend gemacht, sind die betreffenden Informationen nach dem EuGH der zuständigen Aufsichtsbehörde oder dem zuständigen Gericht vorzulegen, damit diese die widerstreitenden Rechte und Interessen abwägen können.

Für Unternehmen folgt daraus: Sie müssen keinen Quellcode verschicken, sollten aber verständlich erklären können, welche personenbezogenen Daten einflossen, wie sie verarbeitet wurden und wie daraus das Ergebnis entstand.

Wenn die KI alte Vorurteile mitlernt

Neben dem Datenschutzrecht kann das Allgemeine Gleichbehandlungsgesetz (AGG) relevant werden. Wird ein System etwa mit historischen Personaldaten trainiert, können sich frühere Auswahlmuster in dessen Empfehlungen fortsetzen. Auch scheinbar neutrale Kriterien können zu Benachteiligungen führen.

Relevant sind insbesondere §§ 1 und 7 AGG, die eine Benachteiligung und die relevanten Kriterien aufführen, sowie § 22 AGG als Beweislastregel: Trägt ein Bewerber Indizien vor, die eine Benachteiligung wegen eines geschützten Merkmals vermuten lassen, trägt die andere Seite die Beweislast dafür, dass kein Verstoß gegen die Bestimmungen zum Schutz vor Benachteiligung vorgelegen hat.

Bei einem Verstoß kann der Diskriminierte § 15 Abs. 2 AGG eine Entschädigung für den immateriellen Schaden verlangen. Bei einer Nichteinstellung ist sie auf drei Monatsgehälter begrenzt, wenn der Bewerber auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre, § 15 Abs. 2 AGG. Materielle Schäden können nach § 15 Abs. 1 AGG hinzukommen.

Auch lernende KI darf keine Blackbox werden

Die KI-VO erfasst ausdrücklich Hochrisiko-Systeme, die nach ihrer Inbetriebnahme weiterlernen. Art. 43 Abs. 4 KI-VO regelt, wann Veränderungen eines solchen Systems eine neue Konformitätsbewertung erforderlich machen. Hinzu kommen bei Hochrisiko Systemen Vorgaben zur Protokollierung, Transparenz und menschlichen Aufsicht nach Art. 12 bis 14 KI‑VO.

Für HR bedeutet das: Auch wenn sich das System verändert, muss seine Nutzung kontrollierbar bleiben. Wer eine KI-Empfehlung nicht mehr sinnvoll interpretieren oder hinterfragen kann, kann eine wirksame menschliche Kontrolle kaum gewährleisten.

Für Unternehmen wird deshalb nicht nur wichtig, ob ein Mensch beteiligt war. Sie müssen auch erklären können, was dieser Mensch tatsächlich geprüft und entschieden hat.

Das Problem endet nicht beim Recruiting. Bei Bonitätsprüfungen hat der EuGH die Grenzen automatisierter Entscheidungen bereits ausgelotet; vergleichbare Fragen können sich auch bei Versicherungen stellen. Je stärker KI wirtschaftliche und berufliche Chancen vorsortiert, desto wichtiger wird eine scheinbar einfache Frage: Entscheidet noch der Mensch oder bestätigt er nur noch die Maschine?

Dr. Karin Kristina Reiber ist promovierte Juristin und als Unternehmensjuristin mit den Schwerpunkten Datenschutz, KI‑Governance und Compliance tätig. Sie promovierte an der Eberhard-Karls-Universität Tübingen und verfügt zudem über einen LL.M. mit internationaler Ausrichtung.