KI im Recruiting: Bewerberdaten und Datenschutz

Darf die Personalabteilung KI-Tools für Bewerbungen nutzen?

Ja, aber nicht jeder Einsatz ist gleich riskant. Entscheidend ist, ob Daten von Bewerbenden in das Tool gelangen und ob die KI über Menschen mitentscheidet. Ein Prompt für eine Stellenanzeige enthält keine personenbezogenen Daten. Ein hochgeladener Lebenslauf enthält sie, und die Rechtsfolgen sind andere. Dieser Ratgeber sortiert die typischen Einsätze, erklärt die beiden Rechtsrahmen, die im Recruiting besonders greifen (Art. 22 DSGVO und die KI-Verordnung), und gibt Prompt-Beispiele, in denen kein Bewerber vorkommt.

Stand: 13. November 2026. Das ist allgemeine Information und keine Rechtsberatung; klären Sie Ihren Fall mit Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Welche KI-Einsätze im Recruiting sind unkritisch, welche heikel?

Die Tabelle ist eine Orientierung, kein Urteil über Ihren Einzelfall. Sie ordnet die Einsätze nach dem, was in den Prompt gelangt, und danach, wer die Entscheidung trifft.

Was gilt, wenn Bewerberdaten in ein KI-Tool gehen?

Für jeden Verarbeitungsschritt mit personenbezogenen Daten in einer KI-Anwendung brauchen Sie eine Rechtsgrundlage; das halten die deutschen Aufsichtsbehörden in ihrer Orientierungshilfe fest.^[2] Im Bewerbungsverfahren kommen mehrere Punkte zusammen.

Rechtsgrundlage

Im deutschen Recht gelten Bewerberinnen und Bewerber als Beschäftigte, und § 26 BDSG regelt die Verarbeitung für Zwecke des Beschäftigungsverhältnisses.^[7] Ob die Generalklausel in § 26 Abs. 1 Satz 1 BDSG allein als Rechtsgrundlage trägt, ist nach dem EuGH-Urteil C-34/21 vom 30. März 2023 zweifelhaft. Der Hessische Datenschutzbeauftragte hält es für möglich, dass die entsprechende hessische Klausel nicht angewendet werden kann, und nennt als Alternativen Art. 6 Abs. 1 Buchst. b, c und f DSGVO.^[8] Die Literatur ist hier nicht einheitlich. Verlassen Sie sich nicht allein auf § 26 BDSG, sondern prüfen und dokumentieren Sie, auf welche Grundlage Sie den Schritt „Bewerberdaten an ein KI-Tool übermitteln“ stützen.

Information der Bewerbenden

Wenn Sie Daten direkt bei Bewerbenden erheben, müssen Sie ihnen unter anderem Zwecke, Rechtsgrundlage und Empfänger oder Kategorien von Empfängern nennen (Art. 13 Abs. 1 Buchst. c und e DSGVO) sowie die Speicherdauer (Art. 13 Abs. 2 Buchst. a).^[11] Ein KI-Anbieter, an den Sie Bewerbungen übermitteln, ist ein solcher Empfänger. Ihre Datenschutzinformation im Bewerbungsprozess sollte das widerspiegeln.

Tarif und Vertrag

Verbrauchertarife sind für Bewerberdaten ungeeignet: Für sie nennt OpenAI keinen Auftragsverarbeitungsvertrag.^[15] Für ChatGPT Business, Enterprise und die API nennt OpenAI, dass Eingaben und Ausgaben standardmäßig nicht zum Training verwendet werden.^[13] Die Datenschutzkonferenz bewertet Anwendungen, die Eingaben nicht für Training nutzen, als vorzugswürdig; ohne Opt-out und bei personenbezogenen Daten braucht auch die Nutzung zum Training eine Rechtsgrundlage.^[2] Wie Tarife und Auftragsverarbeitung zusammenhängen, steht im Ratgeber AVV für ChatGPT und andere KI-Tools und im Ratgeber ChatGPT im Unternehmen datenschutzgerecht nutzen.

Besondere Kategorien von Daten

Lebensläufe enthalten häufig mehr, als Sie brauchen: Fotos, Familienstand, Angaben zu Gesundheit, Behinderung oder Gewerkschaftszugehörigkeit. Angaben zu Gesundheit oder Gewerkschaftsmitgliedschaft gehören zu den besonderen Kategorien nach Art. 9 Abs. 1 DSGVO, deren Verarbeitung grundsätzlich verboten ist, wenn keine Ausnahme nach Art. 9 Abs. 2 greift.^[12] Geben Sie solche Angaben nicht an ein KI-Tool weiter, wenn Sie sie für die Aufgabe nicht brauchen.

Pseudonymisieren, bevor der Lebenslauf das Haus verlässt

Ersetzen Sie Namen, Anschrift, Telefonnummer, E-Mail, Geburtsdatum und das Foto, bevor Sie einen Lebenslauf an ein Tool senden. Das senkt das Risiko, macht den Text aber nicht anonym: Arbeitgeber, Studiengang und Zeiträume können eine Person weiterhin erkennbar machen. Die Datenschutzkonferenz schreibt, dass das Entfernen von Namen und Adressen regelmäßig nicht ausreicht.^[2] Die Methode beschreibt der Ratgeber Daten für ChatGPT pseudonymisieren. Wer den Lebenslauf als PDF hat, sollte außerdem den Ratgeber PDF anonymisieren lesen. Ein Werkzeug wie die Browser-Erweiterung Ainym kann Treffer lokal vorschlagen; Sie bestätigen jeden Treffer selbst, und eine eigene Sichtprüfung bleibt nötig.

Wann ist eine automatische Entscheidung über Bewerbende unzulässig?

Art. 22 Abs. 1 DSGVO gibt Betroffenen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruht und ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.^[1] Eine automatische Absage auf eine Bewerbung ist ein naheliegender Fall; ob ein konkretes Verfahren darunterfällt, ist eine Frage der Auslegung im Einzelfall.

Ausnahmen nennt Art. 22 Abs. 2: Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags erforderlich, sie ist durch Unions- oder Mitgliedstaatenrecht mit Schutzmaßnahmen erlaubt, oder sie beruht auf ausdrücklicher Einwilligung. In den Fällen Vertrag und Einwilligung muss der Verantwortliche mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung sichern (Art. 22 Abs. 3).^[1] Besondere Kategorien nach Art. 9 dürfen nur in engen Fällen Grundlage solcher Entscheidungen sein (Art. 22 Abs. 4).

Praktisch heißt das: Lassen Sie ein KI-Ergebnis höchstens als Hinweis in ein Verfahren einfließen, in dem Recruiterinnen und Recruiter die Unterlagen tatsächlich lesen und eine eigene Begründung dokumentieren. Prüfen Sie vor jedem Ranking-Einsatz zusätzlich die Regeln der KI-Verordnung.

Wie stuft die KI-Verordnung Recruiting-Systeme ein, und ab wann gilt das?

Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689, im Folgenden KI-VO) führt in Anhang III Nr. 4 den Bereich Beschäftigung auf. Dazu gehören KI-Systeme für Einstellung und Auswahl, etwa zum Schalten gezielter Stellenanzeigen, zum Analysieren und Filtern von Bewerbungen und zum Bewerten von Kandidatinnen und Kandidaten, sowie Systeme für Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung, zur Aufgabenverteilung nach individuellem Verhalten und zur Leistungs- und Verhaltensüberwachung.^[5] Ein allgemeines Chat-Tool, das Sie zum Ranking von Bewerbenden oder zur Bewertung von Beschäftigten einsetzen, kann dadurch in diesen Hochrisiko-Bereich geraten. Ob das für Ihren konkreten Einsatz zutrifft, ist eine Einzelfallprüfung.

Die Termine stammen aus der Zeitleiste der Europäischen Kommission nach der Digital-Omnibus-Änderung.^[3] Ältere Artikel nennen für Anhang III noch den 2. August 2026; das ist überholt. Die Änderung ist die Verordnung (EU) 2026/1744 vom 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli 2026.^[4]

Wer ein Hochrisiko-System betreibt, muss unter anderem die Anweisungen des Anbieters befolgen, eine menschliche Aufsicht mit der nötigen Kompetenz sicherstellen, Risiken überwachen und melden und Protokolle mindestens sechs Monate aufbewahren. Vor dem Einsatz am Arbeitsplatz müssen Betreiber Arbeitnehmervertretungen und betroffene Beschäftigte informieren (Art. 26 Abs. 7), und Personen, über die Entscheidungen nach Anhang III getroffen werden, sind zu informieren (Art. 26 Abs. 11).^[6] Einen Überblick über die Pflichten für Unternehmen, die KI nur einsetzen, gibt der Ratgeber KI-Verordnung: Pflichten für Unternehmen. Zur KI-Kompetenz siehe KI-Kompetenz nach Art. 4 KI-VO.

Was gilt für Betriebsrat und Beschäftigtendatenschutz?

Der Arbeitgeber muss den Betriebsrat über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG).^[10] Außerdem hat der Betriebsrat mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG).^[9] Ob ein KI-Tool im Recruiting darunterfällt, hängt vom Einsatz ab; ein Tool, das Bewerbende bewertet, ist eher betroffen als eines, das Texte für Anzeigen entwirft. Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe, den KI-Einsatz klar zu regeln und eine Dienst- oder Betriebsvereinbarung in Betracht zu ziehen.^[2]

Zur Abstimmung im Haus gehören drei Dinge: eine interne Regel, welche KI-Tools wofür erlaubt sind (siehe KI-Richtlinie: Muster zum Kopieren), eine Beteiligung der Datenschutzbeauftragten und die frühe Information des Betriebsrats. Die Hamburger Aufsichtsbehörde nennt in ihrer Checkliste ebenfalls die Beteiligung von Datenschutzbeauftragten, Datenschutz-Folgenabschätzung und Betriebsrat.^[14]

Wie formuliere ich Prompts für das Recruiting ohne Bewerberdaten?

Viele Aufgaben lassen sich so stellen, dass kein Mensch im Prompt vorkommt. Drei Muster zum Kopieren:

Setzen Sie Namen und Anrede erst im eigenen System ein, nicht im KI-Tool. Prüfen Sie die Ausgabe vor dem Versand: Die KI kann Fehler machen, und für Absagen sind Sie verantwortlich. Fragen im Interviewleitfaden können Beziehungen zu Merkmalen wie Alter, Herkunft oder Gesundheit berühren; lassen Sie den Entwurf von Personalverantwortlichen und gegebenenfalls Rechtsberatung prüfen.

Wo landen Bewerberdaten, und was davon können Sie kontrollieren?

Nach dem Absenden sehen Sie nicht, wo ein Anbieter einen Lebenslauf verarbeitet, kopiert oder speichert. Sie haben die Dokumentation und den Vertrag des Anbieters, und deren Zusagen haben dokumentierte Ausnahmen. Anthropic beschreibt auf seiner Seite zur regionalen Compliance eine Nutzung in Europa über die Plattformen AWS Bedrock und Google Vertex.^[16] Bei Anbietern in den USA hängt die Übermittlung am EU-US Data Privacy Framework: Das Gericht der EU hat die Klage gegen den Angemessenheitsbeschluss im September 2025 abgewiesen,^[17] ein Rechtsmittel ist anhängig.^[18] Ein Auftragsverarbeiter darf zudem nach Art. 28 Abs. 2 und 4 DSGVO weitere einsetzen; Sie haben es mit einer Kette zu tun.^[19] Was einmal gesendet wurde, lässt sich nicht zurückholen, und Bewerbende haben darauf keinen Einfluss.

Mit eigenen Mitteln steuern Sie nur, was Ihr Rechner verlässt: weniger senden und identifizierende Angaben weglassen, wie es der Grundsatz der Datenminimierung beschreibt.^[20] Das ersetzt weder Rechtsgrundlage noch Vertrag noch die menschliche Prüfung, und automatische Erkennung findet nicht alles. Mehr zu Zusagen und Ausnahmen der Anbieter im Beitrag Wo landen Ihre Daten bei KI-Anbietern?

Wie gehen Sie in sechs Schritten vor?

1. Einsätze sortieren (Personalleitung). Legen Sie mit der obigen Tabelle fest, welche Einsätze ohne Personenbezug laufen, welche mit Schutzmaßnahmen und welche vorerst nicht.
2. Tarif und Vertrag prüfen (IT und Datenschutz). Nur Geschäftstarife mit Auftragsverarbeitungsvertrag und ohne Training mit Eingaben für Bewerberdaten zulassen. Tarife ändern sich, prüfen Sie die Seite des Anbieters.
3. Rechtsgrundlage dokumentieren (Datenschutzbeauftragte). Schreiben Sie auf, worauf Sie den Schritt stützen, und halten Sie es im Verzeichnis der Verarbeitungstätigkeiten fest.
4. Bewerbende informieren (Personalabteilung). Ergänzen Sie die Datenschutzinformation um das KI-Tool als Empfänger.
5. Betriebsrat einbeziehen (Geschäftsführung, Personalleitung). Frühzeitig unterrichten und eine Vereinbarung prüfen.
6. Pseudonymisieren und prüfen (alle Nutzenden). Bewerberdaten ersetzen, die Eingabe selbst lesen, Ausgabe prüfen, keine Entscheidung allein der KI überlassen.

Beginnen Sie mit Schritt 1 und den drei Prompt-Mustern. Sie bringen Nutzen, ohne dass Bewerberdaten das Haus verlassen.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.