KI in der Personalabteilung: Bewerberdaten und die DSGVO

Kurz gesagt: KI darf Bewerbungen sichten, aber nicht allein entscheiden. Bewerberdaten sind personenbezogene Daten. Es gelten die DSGVO und der Beschäftigtendatenschutz nach § 26 BDSG. Wichtig sind vor allem Zweckbindung, Erforderlichkeit und Datenminimierung. Eine automatische Absage ohne Menschen ist nach Art. 22 DSGVO nicht erlaubt.

Was die DSGVO für Bewerberdaten verlangt

Bewerberdaten dürfen Sie nur verarbeiten, wenn es für das Bewerbungsverfahren nötig ist. Das regelt § 26 BDSG zusätzlich zur DSGVO. Fragen Sie nur ab, was Sie für die Eignung wirklich brauchen.

• Zweckbindung: Daten nur für das laufende Verfahren nutzen.
• Erforderlichkeit: nur erheben, was die Stelle wirklich verlangt.
• Datenminimierung: so wenig Daten wie möglich (Art. 5 DSGVO).
• Transparenz: Bewerber über die Verarbeitung informieren.
• Rechtsgrundlage: Art. 6 DSGVO und § 26 BDSG prüfen.

Keine vollautomatische Ablehnung (Art. 22)

Eine Entscheidung mit rechtlicher Wirkung darf nicht allein auf einer automatischen Verarbeitung beruhen. Eine Absage per Algorithmus ohne Menschen fällt genau darunter. Ein Mensch muss die Entscheidung prüfen und verantworten.

• KI darf vorsortieren und zusammenfassen, nicht endgültig ablehnen.
• Ein Mensch prüft jeden Vorschlag und entscheidet selbst.
• Bewerber haben ein Recht auf Erläuterung und Widerspruch.
• Dokumentieren Sie, wer die finale Entscheidung trifft.
• Ausnahmen sind eng gefasst und brauchen klare Garantien.

Bias und Diskriminierung vermeiden

Generative KI kann Muster aus alten Daten übernehmen. So entstehen Verzerrungen, die einzelne Gruppen benachteiligen. Das kann gegen das AGG verstoßen.

• KI-Vorschläge regelmäßig auf Verzerrungen prüfen.
• Keine sachfremden Merkmale bewerten lassen.
• Ergebnisse stichprobenartig von Hand gegenprüfen.
• Auswahlkriterien vorher klar und fair definieren.
• Bei Auswahl-Tools den Betriebsrat einbeziehen.

Keine besonderen Kategorien eingeben (Art. 9)

Manche Daten sind besonders geschützt. Art. 9 DSGVO zählt sie abschließend auf: Gesundheit, Herkunft, Religion, Gewerkschaft, Biometrie und mehr. Ein einfacher Name, eine Telefonnummer oder eine Adresse gehören nicht dazu.

• Keine Gesundheits- oder Herkunftsdaten in die KI eingeben.
• Angaben zu Religion oder Gewerkschaft weglassen.
• Fotos und biometrische Daten meiden.
• Name und Kontakt sind normal geschützt, aber nicht Art. 9.
• Im Zweifel Daten vor der Eingabe entfernen.

So setzen Sie KI datenschutzkonform ein

Mit klaren Regeln setzen Sie KI im Recruiting sicherer ein. Halten Sie die Schritte schriftlich fest. So bleibt der Prozess nachvollziehbar.

1. 1Rechtsgrundlage und Zweck vorab festlegen.
2. 2Verarbeitungstätigkeit ins Verzeichnis eintragen.
3. 3Bei hohem Risiko eine Datenschutz-Folgenabschätzung machen.
4. 4Bewerber transparent informieren.
5. 5Personenbezug vor der KI-Eingabe reduzieren.

Genau hier setzt ONYRI Sanitize an. Das Tool erkennt sensible Daten wie Namen und Kontaktdaten und ersetzt sie durch umkehrbare Platzhalter, bevor der Text zur KI geht. Die Zuordnung von Token und Wert bleibt in Ihrem Browser und wird nie an einen Server gesendet. Nach der Antwort der KI werden die echten Werte wieder eingesetzt. Ehrlich bleibt: Das ist Pseudonymisierung, keine Anonymisierung. Pseudonymisierte Daten bleiben personenbezogen (Erwägungsgrund 26 DSGVO). ONYRI reduziert die Datenexposition, ersetzt aber weder einen Auftragsverarbeitungsvertrag (AVV) noch eine Rechtsgrundlage.

KI kann die Personalabteilung entlasten. Aber der Mensch entscheidet, und die DSGVO gibt den Rahmen vor. Weniger Daten in der KI bedeutet weniger Risiko.