KI im Recruiting und die DSGVO: Was Recruiter beachten müssen

Die kurze Antwort: Ja, KI kann Sie beim Recruiting unterstützen, aber die DSGVO regelt jeden Schritt. Ein Lebenslauf ist ein personenbezogenes Datum. Manches davon ist sogar sensibel, etwa Gesundheit oder ethnische Herkunft. Die DSGVO verlangt Datenminimierung (Artikel 5). Geben Sie der KI nur das, was die Aufgabe wirklich braucht. Artikel 22 regelt vollständig automatisierte Entscheidungen. Eine allein von der Maschine getroffene Ablehnung kann ohne menschliche Prüfung rechtswidrig sein. Der EU AI Act stuft KI im Recruiting als hochriskant ein. Und einen Lebenslauf in eine Verbraucher-KI einzufügen fügt ein Speicherrisiko hinzu. Die Lösung lässt sich auf drei Worte bringen: minimieren, anonymisieren, einen Menschen in der Schleife behalten.

Ein Lebenslauf ist ein personenbezogenes Datum (und manchmal sensibel)

Ein Lebenslauf enthält viele personenbezogene Daten. Name, Kontaktdaten, Werdegang, manchmal ein Foto. Manche Informationen gehen weiter. Gesundheit, aus einem Diversitäts-Monitoring abgeleitete ethnische Herkunft, Meinungen. Die DSGVO nennt diese „besondere Kategorien“ von Daten (Artikel 9). Sie erfordern eine zusätzliche rechtliche Bedingung. Die DSGVO legt außerdem die Datenminimierung fest (Artikel 5 Absatz 1 Buchstabe c). Sie verarbeiten nur Daten, die dem Zweck angemessen und erheblich sowie auf das für die Stelle Notwendige beschränkt sind. Diese Regel gilt für Sie. Sie gilt auch für jede KI, die Sie einsetzen.

In der Praxis summieren sich mehrere DSGVO-Pflichten schon ab der allerersten Bewerbung, die Sie erhalten.

• Eine Rechtsgrundlage für die Verarbeitung von Bewerbungen (Artikel 6).
• Eine zusätzliche Bedingung für sensible Daten (Artikel 9).
• Minimierung: nur Daten, die die Stelle benötigt (Artikel 5).
• Transparenz: Bewerber darüber informieren, dass die KI beteiligt ist (Artikel 13 und 14).

Automatisierte Entscheidungen: Was Artikel 22 verlangt

Artikel 22 der DSGVO zielt auf einen genauen Fall. Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen. Und die eine rechtliche oder ähnlich erhebliche Wirkung entfalten. Eine Ablehnung oder ein Ranking, das eine Bewerbung besiegelt, kann in den Anwendungsbereich fallen. Wenn er greift, hat der Bewerber Rechte. Informiert zu werden. Ein echtes Eingreifen eines Menschen zu erwirken. Seinen Standpunkt darzulegen. Die Entscheidung anzufechten.

Der Anwendungsbereich von Artikel 22 ist eng und umstritten. Wenn ein Recruiter das Ergebnis wirklich prüft und es außer Kraft setzen kann, fällt die Entscheidung oft aus dem Verbot heraus. Aber der Mensch in der Schleife muss echt sein. Kein bloßer Stempel. Europas oberstes Gericht und die Aufsichtsbehörden legen Artikel 22 weit aus. Eine vollständig automatisierte Ablehnung ohne Prüfung kann also rechtswidrig sein.

Der EU AI Act stuft Recruiting als hochriskant ein

Der EU AI Act, die europäische Verordnung über künstliche Intelligenz, weist in dieselbe Richtung. Er stuft KI-Systeme für Recruiting und Auswahl als „hochriskant“ ein (Anhang III). Das umfasst das gezielte Ausspielen von Stellenanzeigen, das Filtern von Bewerbungen und das Bewerten von Kandidaten. Der Hochrisiko-Status löst Pflichten aus. Risikomanagement, Daten-Governance, menschliche Aufsicht, Transparenz, Protokollierung. Diese Pflichten treten schrittweise in Kraft, grob im Zeitraum 2026-2027.

Ein Wort zum Geltungsbereich. Der EU AI Act gilt in der EU und im EWR. Er gilt nicht unmittelbar im Vereinigten Königreich. Dort regeln die UK GDPR und der Data Protection Act 2018 das Thema, unter der Aufsicht der ICO. In Frankreich ist die CNIL die maßgebliche Behörde für Beschäftigung und Recruiting.

Was die ICO bei der Prüfung der Tools festgestellt hat

Im November 2024 veröffentlichte die ICO die Ergebnisse freiwilliger Prüfungen von KI-Recruiting-Tools. Sie gab fast 300 Empfehlungen aus. Die Befunde sind aufschlussreich. Manche Tools sammelten weit mehr Daten als nötig. Andere bewahrten sie ohne zeitliche Begrenzung auf. Manche ließen Recruiter Bewerber nach geschützten Merkmalen filtern. Andere leiteten Geschlecht oder ethnische Herkunft aus einem Namen ab, statt zu fragen.

Die zentralen Empfehlungen der ICO passen in wenige Zeilen. Fairness, Transparenz und Erklärbarkeit. Echte menschliche Prüfung der KI-Ergebnisse, um Verzerrungen und Fehler abzufangen. Daten minimieren und rechtmäßig verarbeiten. Und eine Datenschutz-Folgenabschätzung (eine DPIA, Data Protection Impact Assessment) durchführen, bevor das Tool eingesetzt wird, nicht danach.

Die Falle der Verbraucher-KI

Einen Lebenslauf in eine Verbraucher-KI einzufügen fügt ein zweites Risiko hinzu. Über die Sichtungsentscheidung selbst hinaus. Die Daten des Bewerbers können gespeichert werden. Von Mitarbeitern eingesehen werden. Oder unter den Standardeinstellungen zum Training der Modelle des Anbieters genutzt werden. Das ist eine Verarbeitung, die der Recruiter dem Bewerber oft nicht offengelegt hat. Und für die er keine Rechtsgrundlage hat.

Ein aktueller Fall zeigt dieses Risiko. 2024 verhängte die italienische Behörde (der Garante) eine Geldbuße von 15 Millionen Euro gegen OpenAI, wegen des Trainings und der Transparenz von ChatGPT. Im März 2026 hob ein Gericht in Rom die Geldbuße auf. Aber aus Zuständigkeitsgründen, nicht in der Sache. Die inhaltliche Frage bleibt offen. Der Fall betrifft das Training von Modellen, nicht das Recruiting. Er zeigt schlicht, warum Bewerberdaten nicht im Klartext nach außen gelangen sollten.

Die Lösung: minimieren, anonymisieren, den Menschen behalten

Gute Nachricht: KI bleibt ein nützliches Recruiting-Werkzeug. Sie kann eine Stellenanzeige entwerfen. Ein Anschreiben zusammenfassen. Kompetenzen vergleichen. Dafür braucht sie die Identität des Bewerbers nicht. Entfernen Sie die direkten Identifikatoren vor dem Prompt. Geben Sie dem Modell nur das Material, das die Aufgabe benötigt.

Wenn Sie einen echten Lebenslauf verarbeiten müssen, anonymisieren Sie ihn zuerst. Ersetzen Sie den Namen, die Kontaktdaten und die Identifikatoren durch Token. Die KI schließt dann über Kompetenzen, nie über die Identität. Sie stellen die echten Werte anschließend lokal wieder her. Und Sie behalten einen Menschen für die endgültige Entscheidung.

1. 1Minimieren: nur die Daten verarbeiten, die die Stelle benötigt.
2. 2Direkte Identifikatoren vor jedem Prompt anonymisieren.
3. 3Einen Menschen behalten, der die Sichtung prüfen und umstoßen kann.
4. 4Bewerbern mitteilen, dass die KI am Prozess beteiligt ist.
5. 5Vor dem Einsatz eine Datenschutz-Folgenabschätzung (DPIA) durchführen.
6. 6Prüfen, dass das Tool seine Modelle nicht mit Ihren Daten trainiert.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt die sensiblen Daten in einem Lebenslauf — Name, Kontaktdaten, Identifikatoren — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI sieht nur Token, nie die echte Identität des Bewerbers. Sie erfüllen die von der DSGVO geforderte Minimierung und behalten einen Menschen für die endgültige Entscheidung.