NEWS

Chancen, Risiken und gesetzliche Anforderungen

Die Anwendungsfälle von künstlicher Intelligenz sind unbegrenzt und gerade im HR-Bereich gibt es sehr interessante Möglichkeiten. Ob automatisiertes Screening von Lebensläufen, Chatbots für Erstgespräche oder Videoanalyse-Software.

Doch was nach Innovation klingt, ist datenschutzrechtlich hochsensibel. Sowohl die Datenschutz-Grundverordnung (DSGVO), als auch die seit 2024 wirksame KI-Verordnung (AI Act) stellen strenge Anforderungen an den Einsatz solcher Systeme, insbesondere, wenn Entscheidungen über Bewerberinnen und Bewerber teilweise oder vollständig automatisiert getroffen werden.

In diesem Newsletter beleuchten wir die rechtlichen Rahmenbedingungen und typische Stolperfallen und geben konkrete Handlungsempfehlungen für Unternehmen.

KI-gestützte Verfahren: Was ist zulässig und was nicht?

Um große Mengen an Bewerbungen effizienter zu verarbeiten, greifen immer mehr HR-Abteilungen auf automatisierte Tools zurück. Dazu zählen etwa Systeme, die Lebensläufe analysieren und in eine Rangfolge bringen, Matching-Plattformen, die Kandidaten automatisch vorschlagen, oder KI-basierte Tools, die Videos aus Bewerbungsgesprächen auswerten.

Grundsätzlich ist der Einsatz solcher Systeme nicht verboten, doch er unterliegt engen gesetzlichen Grenzen. Nach Artikel 22 DSGVO haben betroffene Personen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Dies betrifft etwa Ablehnungen, Einladungen oder Einstufungen, die auf KI-Bewertungen beruhen.

Hochrisiko-Anwendungen

Viele dieser Systeme gelten außerdem gemäß dem neuen AI Act als „Hochrisiko-Anwendungen“, wenn sie im Kontext von Beschäftigung, Personalauswahl oder Mitarbeiterbewertung eingesetzt werden. Das bedeutet, dass Unternehmen zusätzliche Anforderungen erfüllen müssen, z. B.: Risikobewertungen, Nachvollziehbarkeit der Entscheidungslogik, umfassende Dokumentationspflichten und klare menschliche Kontrollmechanismen. Ansonsten ist nicht auszuschließen, dass es durch die KI zu einer Diskriminierung bestimmter Personengruppen kommen kann.

Transparenz ist Pflicht

Ein zentrales Thema ist die Transparenz gegenüber den Bewerberinnen und Bewerbern. Diese müssen vor dem Einsatz der KITools darüber informiert werden, dass ihre Daten automatisiert verarbeitet werden und in welcher Form dies geschieht.

Dies umfasst vor allem:

• die Art der Daten (z. B. Lebenslauf, Sprache, Bild, Stimme),
• den Zweck der Verarbeitung,
• die eingesetzten Systeme,
• das Bestehen von Widerspruchs- oder Interventionsmöglichkeiten.

Dabei reicht eine allgemeine Formulierung wie „Wir nutzen moderne Analysetools zur Auswertung Ihrer Bewerbung“ keineswegs aus. Erforderlich sind transparente, verständliche Informationen, idealerweise bereits im Bewerbungsformular oder auf der Karriereseite.

Keine Entscheidung allein durch KI

Wichtig ist: Eine KI darf unter keinen Umständen allein über eine Bewerbung entscheiden. Es muss stets ein Mensch eingebunden sein, der die automatisierten Vorschläge prüft und bei Bedarf aktiv in die Entscheidung eingreift. Dabei darf dieser menschliche Eingriff nicht rein formaler Natur sein („Durchklicken“), sondern muss substantiell und kritisch erfolgen. Andernfalls droht ein klarer Verstoß gegen die DSGVO, der Bußgelder und Reputationsschäden nach sich ziehen kann.

Was ist mit der Einwilligung?

Ein häufiger Irrtum besteht darin, dass Bewerber doch einfach „einwilligen“ könnten, dass ihre Daten KI-basiert verarbeitet werden. Doch im Bewerbungsverfahren besteht ein strukturelles Machtgefälle zwischen Arbeitgeber und Bewerber. Eine Einwilligung wird daher in der Regel als nicht freiwillig betrachtet.

Praktische Empfehlungen

Wenn Ihr Unternehmen bereits KI-Tools im Recruiting einsetzt oder dies plant, sollten folgende Schritte unbedingt umgesetzt werden:

1. Überprüfen Sie eingesetzte Systeme:
Werden Bewerberdaten automatisiert ausgewertet? Welche Daten fließen ein? Gibt es eine nachvollziehbare Logik?
2. Erstellen Sie eine Datenschutz-Folgenabschätzung (DSFA):
Bei hohem Risiko ist eine DSFA nach Art. 35 DSGVO zwingend erforderlich, besonders bei Profiling und sensiblen Daten.
3. Schulen Sie Ihre HR-Mitarbeitenden:
Ihre Mitarbeitenden müssen erkennen können, welche Risiken der Einsatz von KI birgt und wie man im Zweifel manuell eingreift.
4. Kommunizieren Sie offen:
Bewerber müssen jederzeit nachvollziehen können, ob eine KI beteiligt ist und welche Rechte sie haben.

Ausblick: Behördliche Kontrolle nimmt zu

Nicht nur der Gesetzgeber, auch die Datenschutzbehörden sind aufmerksam: Erste Prüfverfahren auf Landesebene wurden bereits 2024 eingeleitet. Künftig dürfte der Einsatz von KI im Personalbereich regelmäßig Teil von Datenschutzkontrollen sein.
Haben Sie Fragen zum KI-Einsatz im Recruiting oder möchten Ihre Bewerbungsprozesse auf Datenschutz-Konformität prüfen lassen? Dann melden Sie sich gerne bei uns.

Wir unterstützen Sie gerne bei Risikoanalysen, Datenschutzerklärungen, Vertragsprüfung oder internen Schulungen.