Bei hunderten Bewerbungen auf eine Stelle liegt der Einsatz von KI nahe: Sie kann Lebensläufe analysieren, Rankings erstellen und Absagen vorschlagen – der Personaler klickt am Ende nur noch „bestätigen“.
Rechtlich ist das riskanter, als es klingt. Gleich drei Regelungswerke greifen ineinander: DSGVO, KI-Verordnung (AI-Act) und AGG. Wann welches Gesetz relevant wird und was es in diesem Kontext vorschreibt wird im Folgenden erläutert.
Zudem werden konkrete Handlungsempfehlungen für den Umgang der Anforderungen und Risiken für Personalabteilungen/HR in Unternehmen gegeben.
Kein „Abnicken“ automatisierter Entscheidungen (Art. 22 DSGVO)
Nach Art. 22 DSGVO dürfen Bewerber keiner rein automatisierten Entscheidung unterworfen werden. Entscheidend ist dabei nicht, ob formal ein Mensch im Prozess sitzt, sondern ob er tatsächlich Einfluss nimmt.
Der EuGH hat im Schufa-Urteil (EuGH, 07.12.2023 – C634/21) klargestellt: Schon ein automatisiert erzeugter Score kann eine automatisierte Entscheidung darstellen, wenn er maßgeblich in die Entscheidung einfließt. Wer nur einen Wert von „34/100″ sieht und den KI-Vorschlag routinemäßig übernimmt, ist kein echter „Human in the Loop“.
HR muss die Empfehlung inhaltlich nachvollziehen, hinterfragen und im Zweifel korrigieren können.
Bewerbungstools als Hochrisiko-KI
Die KI-VO stuft Systeme zur Auswahl und Bewertung von Bewerbern grundsätzlich als Hochrisiko-KI ein (Art. 6 Abs. 2 i.V.m. Anhang III Nr. 4 a) KI-VO). Das verlangt nach Art. 14 KI-VO eine wirksame menschliche Aufsicht: Die verantwortlichen Personen müssen Fähigkeiten und Grenzen des Systems verstehen und Ergebnisse notfalls verwerfen können.
Faustregel: Je stärker die KI vorentscheidet, desto intensiver muss die menschliche Kontrolle sein.
Daneben treffen Unternehmen als Betreiber solcher Hochrisiko-Systeme weitere Pflichten:
- laufendes Risikomanagement und regelmäßige Kontrolle des Systems (vgl. Art. 9 KI-VO)
- Registrierung des Systems nach Art. 49 KI-VO
- Nachweis, dass das System nicht diskriminiert (vgl. Art. 10 KI-VO)
- Dokumentation und Nachvollziehbarkeit der Entscheidungsprozesse (vgl. Art. 11 und 12 KI-VO)
Für die Praxis bedeutet das: HR-Abteilungen sollten sich vor dem Einsatz eines Tools vom Anbieter bestätigen lassen, dass diese Pflichten erfüllt sind, und intern festlegen, wer die Registrierung, Dokumentation und laufende Kontrolle verantwortet.
Informationspflichten bei der Datenerhebung (Art. 14 DSGVO)
Auch die Erhebung der Bewerberdaten selbst unterliegt der DSGVO und dem BDSG. Besonders relevant ist die Informationspflicht nach Art. 14 DSGVO: Werden Daten nicht direkt beim Bewerber, sondern etwa durch KI-gestützte Online-Recherche erhoben, muss trotzdem offengelegt werden, woher die Daten stammen – in der Praxis oft schwierig, wenn das System selbstständig im Netz recherchiert.
Zudem müssen die Erhebung und Nutzung der Daten verhältnismäßig und zweckgebunden bleiben; unzulässig erfragte Informationen (etwa zu Gesundheit, Familienplanung oder Schwangerschaft) dürfen auch dann nicht in die Bewertung einfließen, wenn die KI sie irgendwo aufgegriffen hat.
Für HR heißt das: Vor dem Einsatz von Recherche-Tools sollte geklärt werden, welche Quellen das System nutzt, und intern festgelegt werden, welche Datenkategorien für die Auswahlentscheidung überhaupt herangezogen werden dürfen.
Auskunftsansprüche abgelehnter Bewerber (Art. 15 DSGVO)
Abgelehnte Bewerber können nach Art. 15 DSGVO Auskunft verlangen, ob eine automatisierte Entscheidung vorlag und mit welcher Logik gearbeitet wurde.
Der EuGH konkretisierte kürzlich: Der Quellcode muss nicht offengelegt werden, wohl aber eine verständliche Erklärung, wie die Daten verarbeitet wurden – auch Geschäftsgeheimnisse befreien Unternehmen davon nicht automatisch. Unternehmen sollten also vorbereitet sein, ihre Auswahlkriterien nachvollziehbar zu erläutern.
Diskriminierungsrisiko durch historische Daten
Wird eine KI mit vergangenen Personaldaten trainiert, kann sie frühere Auswahlmuster – und damit Vorurteile – fortschreiben.
Das AGG greift hier über die Beweislastregel des § 22 AGG: Legt ein Bewerber Indizien für eine Benachteiligung vor, muss das Unternehmen beweisen, dass kein Verstoß vorlag.
Bei einem Verstoß haftet der Arbeitgeber für Schadensersatz und Entschädigung nach § 15 AGG – einen Anspruch auf Einstellung begründet ein Verstoß dagegen nicht.
Unzulässig erhobene oder diskriminierende Daten unterliegen zudem einem Verwertungsverbot: Sie dürfen nicht in die Auswahlentscheidung einfließen, selbst wenn sie im System vorhanden sind.
Für HR bedeutet das: Trainings- und Bewertungsdaten sollten regelmäßig auf problematische Muster geprüft und klar geregelt werden, welche Datenfelder für die Entscheidung überhaupt herangezogen werden dürfen.
Beteiligung des Betriebsrats
Ist ein Betriebsrat vorhanden, hat er bei Einführung und Anwendung von KI-Systemen umfassende Beteiligungsrechte.
Nach § 80 Abs. 3 BetrVG ist die Hinzuziehung von Sachverständigen erleichtert, wenn KI-Systeme eingeführt werden sollen – der Betriebsrat kann sich also leichter externe Expertise zur Bewertung des Systems holen.
Die Mitbestimmung erstreckt sich dabei nicht nur auf das KI-Tool selbst, sondern auch auf die Gestaltung der Auswahlverfahren, in denen es eingesetzt wird.
Für HR folgt daraus: Der Betriebsrat sollte frühzeitig – idealerweise vor Einführung eines KI-gestützten Auswahltools – eingebunden werden, um spätere Verzögerungen oder Streitigkeiten über die Mitbestimmungspflicht zu vermeiden.
Fazit: Nicht die bloße Anwesenheit eines Menschen im Prozess schützt vor rechtlichen Risiken – entscheidend ist sein tatsächlicher, informierter Einfluss auf die Entscheidung.