KI-Bewerberauswahl rückt in den Fokus der europäischen Datenschutzaufsicht: Der Europäische Datenschutzausschuss (EDSA) hat am 11. November 2026 angekündigt, automatisierte Entscheidungen im Recruiting 2027 europaweit koordiniert untersuchen zu lassen. Im Mittelpunkt stehen KI-gestützte Vorauswahlverfahren, das Recht aus Artikel 22 DSGVO und die Auskunftsrechte von Bewerberinnen und Bewerbern.
KI-Bewerberauswahl: Was der EDSA für 2027 beschlossen hat
Nach der englischsprachigen Originalmitteilung des EDSA vom 11. November 2026 ist die automatisierte Entscheidungsfindung (Automated Decision-Making, ADM), einschließlich KI-basierter Systeme im Einstellungsverfahren, Thema der sechsten koordinierten Durchsetzungsmaßnahme (Coordinated Enforcement Framework, CEF). Im Zentrum stehen Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen, und das damit verknüpfte Auskunftsrecht. Die nationalen Aufsichtsbehörden entscheiden freiwillig über ihre Teilnahme; der Start ist im Laufe des Jahres 2027 vorgesehen. Das ist die Ankündigung einer Prüfung, keine Feststellung, dass sämtliche KI-Recruiting-Systeme rechtswidrig wären.
Wann greift Artikel 22 DSGVO?
Artikel 22 Absatz 1 DSGVO schützt Betroffene grundsätzlich davor, einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die Ablehnung einer Bewerbung ohne wirksame menschliche Entscheidung kann unter diese Vorschrift fallen. Entscheidend sind die tatsächliche Funktionsweise und die Bedeutung der menschlichen Beteiligung – nicht allein die Bezeichnung einer Software als „Assistenzsystem“.
Artikel 22 Absatz 2 DSGVO enthält eng begrenzte Ausnahmen, etwa bei Erforderlichkeit für einen Vertrag, gesetzlicher Ermächtigung oder ausdrücklicher Einwilligung. Auch dann sind Schutzmaßnahmen erforderlich. Eine pauschale Einwilligung im Bewerbungsportal ersetzt keine Prüfung der Freiwilligkeit und Wirksamkeit. Unabhängig von Artikel 22 müssen insbesondere die Grundsätze aus Artikel 5 DSGVO, eine tragfähige Rechtsgrundlage nach Artikel 6 und die Informationspflichten nach Artikeln 13 und 14 eingehalten werden.
Auskunft, Transparenz und technische Nachvollziehbarkeit
Die angekündigte Prüfung betrifft ausdrücklich auch das Auskunftsrecht. Für Verantwortliche ist deshalb wichtig, dokumentieren zu können, welche Daten und Merkmale ein System verarbeitet, wie Ergebnisse in die Personalentscheidung einfließen, ob Menschen tatsächlich eingreifen können und welche Informationen Betroffene erhalten. Nach Artikel 15 Absatz 1 Buchstabe h DSGVO bestehen bei einschlägiger automatisierter Entscheidungsfindung besondere Informationsansprüche über die involvierte Logik sowie Tragweite und angestrebte Auswirkungen. Daraus folgt nicht pauschal ein Anspruch auf Herausgabe jedes Quellcodes.
Technisch sind insbesondere belastbare Rollen- und Zugriffskonzepte, Protokollierung, Prüfung von Verzerrungen, Datenminimierung, Löschfristen und nachvollziehbare Entscheidungen wichtig. Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein. Die datenschutzrechtliche Prüfung ist von zusätzlichen Anforderungen der europäischen KI-Verordnung zu unterscheiden; beide Regelwerke können nebeneinander gelten.
Was Arbeitgeber und Softwareanbieter jetzt prüfen sollten
- Inventarisieren, wo KI oder regelbasierte Scores Bewerbungen sortieren, bewerten oder ausschließen.
- Prüfen, ob die menschliche Kontrolle real und entscheidungsoffen ist oder nur automatisierte Empfehlungen abnickt.
- Rechtsgrundlage, Informationspflichten, Auftragsverarbeitung und gegebenenfalls Drittlandtransfers dokumentieren.
- Auskunftsprozesse auf verständliche Informationen über automatisierte Entscheidungslogik und Auswirkungen vorbereiten.
- Testen, ob Ergebnisse diskriminierende Verzerrungen aufweisen und ob Entscheidungen reproduzierbar dokumentiert werden.
Folgen für Unternehmen, öffentliche Arbeitgeber und Bewerbende
Die europäische Schwerpunktsetzung ist für Personalabteilungen aller Sektoren relevant. Auch eine kommunale Verwaltung kann KI-Bewerberauswahl einsetzen oder entsprechende Funktionen über einen Dienstleister beziehen. Verantwortlichkeit für die datenschutzkonforme Verarbeitung lässt sich dabei nicht allein durch einen Softwarevertrag abgeben. Bewerbende sollten erkennen können, ob und wie automatisierte Verfahren ihre Chancen beeinflussen, und ihre Rechte wirksam wahrnehmen können.
NoDSB-Kommentar: Effizienz ersetzt keine faire Entscheidung
Die automatisierte Sichtung großer Bewerbungsbestände verspricht Zeitersparnis. Gerade die scheinbar objektive Punktzahl birgt aber das Risiko, Vorannahmen und strukturelle Benachteiligungen unsichtbar zu verstetigen. Eine verantwortliche Personalentscheidung braucht nachvollziehbare Kriterien, überprüfbare Daten und eine tatsächlich befugte menschliche Instanz. Dass die europäischen Aufsichtsbehörden diesen Bereich 2027 gemeinsam betrachten wollen, ist daher ein wichtiges Signal – nicht gegen Digitalisierung, sondern für ihre rechtsstaatliche Gestaltung.
Quellen und weiterführende Informationen
EDSA, Pressemitteilung vom 11. November 2026 (englische amtliche Originalfassung). Die deutsche EDSA-Webfassung ist als automatische Übersetzung gekennzeichnet und wurde nicht als maßgebliche Originalquelle verwendet.
Weiterführend: NoDSB-Fachbibliothek zu Datenschutzrecht, automatisierten Entscheidungen und Betroffenenrechten.