Kurzantwort: KI Bewerber automatisch ablehnen darf ein Unternehmen nicht einfach, wenn die Absage ausschließlich auf automatisierter Verarbeitung beruht und die Person erheblich beeinträchtigt. Dann ist Art. 22 DSGVO berührt: Entweder entscheidet ein Mensch tatsächlich selbst, oder eine enge gesetzliche Ausnahme mit Schutzmaßnahmen muss tragen.

Das ist kein Verbot jeder Recruiting-KI. Software darf Informationen strukturieren, Unterlagen zusammenfassen oder auf fehlende Angaben hinweisen. Entscheidend ist nicht das Etikett KI, sondern ob ihr Ergebnis die individuelle Absage faktisch abschließt.

Was schützt Art. 22 DSGVO genau?

Eine ausschließlich automatisierte Entscheidung ist eine individuelle Entscheidung ohne wirksame menschliche Beteiligung. Art. 22 Abs. 1 DSGVO schützt Personen davor, einer Entscheidung unterworfen zu werden, die ausschließlich automatisiert einschließlich Profiling erfolgt und rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die DSGVO bei EUR-Lex nennt im Erwägungsgrund 71 E-Recruiting ohne menschliches Eingreifen ausdrücklich als Beispiel.

Eine automatische Absage nach einem Score erfüllt diese Voraussetzungen typischerweise: Sie betrifft eine einzelne Person, beendet ihre Chance im Verfahren und hat daher Gewicht. Profiling ist dabei die automatisierte Bewertung persönlicher Aspekte, etwa von beruflicher Leistung, Zuverlässigkeit oder Verhalten. Profiling allein löst Art. 22 nicht automatisch aus; kritisch wird es, wenn daraus die abschließende Entscheidung entsteht.

Art. 22 Abs. 2 nennt Ausnahmen, etwa Erforderlichkeit für Vertragsschluss oder Vertragserfüllung, eine gesetzliche Erlaubnis mit Schutzvorkehrungen oder ausdrückliche Einwilligung. Im Recruiting sollte keine Checkbox vorschnell als Freifahrtschein behandelt werden. Die Voraussetzungen, eine tragfähige Rechtsgrundlage und weitere Datenschutzpflichten bleiben für den konkreten Prozess zu prüfen.

Wann fällt eine Vorauswahl darunter – und wann nicht?

Eine Vorauswahl fällt nicht allein deshalb unter Art. 22, weil ein System rankt. Liest eine Recruiterin die Bewerbung, die relevanten Antworten und die KI-Zusammenfassung und entscheidet dann mit echtem Spielraum über die Einladung, ist die KI eine Entscheidungshilfe. Das ist gerade für Prozesse mit Bewerbungsflut und CV-Screening ein sinnvoller Anwendungsfall.

Anders liegt es, wenn ein roter Score die Bewerbung automatisch schließt, kein Mensch diese Kandidatur mehr sieht oder die Prüfung nur aus einem Klick auf „Bestätigen“ besteht. Eine praxistaugliche Kontrollfrage lautet: Kann eine zuständige Person eine abgelehnte Bewerbung anhand der Unterlagen und des Einzelfalls noch sinnvoll weiterführen? Wenn die Antwort faktisch nein lautet, entscheidet wahrscheinlich das System und nicht der Mensch.

Auch eine in der Software als „Vorselektion“ bezeichnete Stufe kann damit eine endgültige Entscheidung sein. Prüfen Sie Datenfluss, Statuswechsel, Benachrichtigung und Eskalationsweg – nicht nur die Bezeichnung im Beschaffungsvertrag.

Menschliche Beteiligung muss entscheidungsfähig sein

Die DSGVO verlangt menschliches Eingreifen, definiert aber keine Schaltfläche dafür. Als belastbare Praxisregel sollte die prüfende Person das Ergebnis verstehen, abändern und überstimmen können. Ein Mensch, der nur eine lange Liste automatischer Absagen abzeichnet, macht aus der Automatisierung keine menschliche Entscheidung.

• Kompetenz: Die prüfende Person versteht die Stelle, die Kriterien und die Grenzen des Tools.
• Zeit und Unterlagen: Sie erhält Bewerbung, Antworten, relevante Kontextinformationen und nicht nur einen Score.
• Befugnis: Sie darf in jede Richtung abweichen und kann eine Bewerbung fortsetzen.
• Einzelfallprüfung: Grenzfälle, widersprüchliche Daten und Korrekturhinweise werden tatsächlich geprüft.
• Nachweis: Der Grund der endgültigen Entscheidung und eine Abweichung vom Systemvorschlag werden festgehalten.

Diese Anforderungen sind zugleich Schutz gegen Automation Bias: Menschen neigen dazu, einem maschinellen Vorschlag zu viel Gewicht zu geben. Bei hochriskanten KI-Systemen verlangt der EU AI Act für die menschliche Aufsicht ausdrücklich Personen mit notwendiger Kompetenz, Schulung und Befugnis.

Welche Information und Erklärung müssen Bewerber erhalten?

Wer automatisierte Entscheidungen einsetzt, muss Bewerber nicht mit Quellcode überladen. Die Informationspflichten aus Art. 13 Abs. 2 Buchstabe f, Art. 14 Abs. 2 Buchstabe g und das Auskunftsrecht aus Art. 15 Abs. 1 Buchstabe h DSGVO verlangen aber aussagekräftige Informationen über die involvierte Logik sowie Bedeutung und voraussichtliche Folgen. Erwägungsgrund 71 ergänzt als Schutzmaßnahme eine Erläuterung der nach einer solchen Bewertung getroffenen Entscheidung.

Praktisch sollte der Datenschutzhinweis vor der Bewerbung klar machen:

• ob ein System nur unterstützt oder eine Entscheidung automatisiert vorbereitet beziehungsweise trifft,
• welche jobbezogenen Datenkategorien und Regeln relevant sind,
• welche Folge ein Ergebnis im Verfahren hat,
• wie eine Person menschliche Überprüfung, eine eigene Stellungnahme und die Anfechtung der Entscheidung verlangen kann.

Bei den Ausnahmen nach Art. 22 Abs. 2 Buchstabe a und c nennt Art. 22 Abs. 3 diese Rechte ausdrücklich. Eine brauchbare Erläuterung zeigt deshalb die entscheidungsrelevanten Faktoren und den Weg zur Neubewertung; ein pauschaler Satz wie „KI kann eingesetzt werden“ genügt dafür nicht.

EU AI Act und AGG: zwei zusätzliche Prüfspuren

Die DSGVO fragt nach der individuellen automatisierten Entscheidung. Der EU AI Act ergänzt eine andere Perspektive: KI, die für die Einstellung oder Auswahl natürlicher Personen bestimmt ist, steht in Anhang III. Die Einordnung als Hochrisiko-System hängt vom konkreten Zweck und den Ausnahmen in Art. 6 ab; Systeme, die Personen profilieren, können die Ausnahme für nicht wesentlich entscheidungsbeeinflussende Anwendungen nicht nutzen. Hochrisiko nach AI Act und eine Art.-22-Entscheidung sind daher zwei getrennte Tests.

Für den Betrieb bedeutet das: Zweck, Anbieterunterlagen, menschliche Aufsicht, Eingabedaten, Testverfahren, Logs und Vorfälle müssen als Governance-Aufgabe behandelt werden. Ein Vergleich von KI-Recruiting-Tools sollte deshalb nicht bei Funktionen und Preis enden, sondern diese Nachweise einfordern.

In Deutschland kommt das Allgemeine Gleichbehandlungsgesetz hinzu. Es schützt unter anderem vor Benachteiligungen wegen ethnischer Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexueller Identität. Auch scheinbar neutrale Merkmale können als Stellvertreter wirken, etwa Lücken im Lebenslauf, Wohnort oder Sprachmuster. Dokumentieren Sie deshalb Kriterien, Änderungen und Ergebnisse je Prozessstufe; sensible Daten sollten Sie nicht ohne passende Rechtsgrundlage allein für ein Fairness-Audit neu erheben.

Besteht ein Betriebsrat, klären Sie die Beteiligung früh. § 94 BetrVG betrifft unter anderem allgemeine Beurteilungsgrundsätze; § 95 Abs. 2a BetrVG stellt klar, dass Auswahlrichtlinien auch bei KI-Einsatz den dortigen Regeln unterliegen.

Transparente K.-o.-Kriterien sind besser prüfbar als Black-Box-Scores

Ein K.-o.-Kriterium ist eine vorab festgelegte, stellenbezogene und überprüfbare Mindestvoraussetzung. Gegenüber einem undurchsichtigen Gesamtscore lässt es sich leichter begründen, erklären und auf Fehler prüfen. Denkbar sind eine für die konkrete Tätigkeit zwingende Berufsberechtigung oder eine gesetzlich erforderliche Arbeitserlaubnis – jeweils nur, wenn die Voraussetzung wirklich für diese Stelle gilt.

Ungeeignet als automatischer Filter sind diffuse Konstrukte wie „Culture Fit“, ein Foto, der Name einer Hochschule oder eine aus Freitext abgeleitete Persönlichkeitsnote. Sie sind schwer nachvollziehbar und können Verzerrungen verdecken. Ein CV-Screening-Prozess mit zusätzlichem Kontext sollte daher nachvollziehbare Fragen und Korrekturmöglichkeiten vorsehen, statt eine Person auf einen Gesamtscore zu reduzieren.

Die wichtige Grenze: Ein transparentes K.-o.-Kriterium ist keine Ausnahme von Art. 22 DSGVO. Löst es ohne wirksame menschliche Prüfung eine endgültige Absage aus, bleibt die automatisierte Entscheidung rechtlich zu bewerten. Transparenz verbessert die Prüfbarkeit; sie ersetzt weder Rechtsgrundlage noch Schutzrechte.

So dokumentieren Sie den Prozess prüfbar

Führen Sie für jede Rolle eine kurze Entscheidungsakte. Darin stehen Zweck und Version des Tools, zulässige Eingaben, Kriterien mit fachlicher Begründung, Schwellen oder K.-o.-Regeln, getestete Fehlerfälle, Ergebnisse nach Prozessstufe und der Ablauf für Widerspruch oder Korrektur. Ergänzen Sie pro Einzelfall die Unterlagen, die ein Mensch gesehen hat, die Entscheidung, den Zeitpunkt und den sachlichen Grund.

Bei KI-Interviews gelten dieselben Grundsätze: Ein Gespräch kann Kontext liefern, darf aber nicht heimlich zur automatischen Absagemaschine werden. Welche Fragen, Hinweise und Kontrollpunkte dazugehören können, zeigt der Überblick zu KI-Interviews und Voice Recruiting; für die Gestaltung eines Gesprächsschritts gibt es auch das Beispiel eines Voice-Interview-Workflows.

Checkliste vor dem Start

• Entscheidung kartieren: Wo entsteht Empfehlung, Sperre, Absage und Versand?
• Art. 22 testen: Ist die Entscheidung ausschließlich automatisiert und erheblich?
• Rollen festlegen: Wer darf mit welchem Wissen Ergebnisse überstimmen?
• Hinweise schreiben: Logik, Folgen, Rechte und Kontaktweg verständlich erklären.
• Kriterien prüfen: Nur rollenbezogene, dokumentierte Kriterien einsetzen; Proxy-Risiken testen.
• AI-Act- und AGG-Prüfung anstoßen: Klassifizierung, Unterlagen, Governance und Beteiligung klären.
• Reklamation üben: Einen Korrektur- oder Widerspruchsfall durchspielen, bevor die erste Absage versendet wird.

Offene Grenze dieses Leitfadens

Dieser Beitrag ist Orientierung, kein Rechtsrat. Ob ein konkreter Workflow unter Art. 22 DSGVO fällt oder eine Ausnahme trägt, hängt unter anderem von Konfiguration, Daten, Rechtsgrundlage, Stellenprofil, Land und tatsächlicher Prüfpraxis ab. Lassen Sie neue oder geänderte Auswahlverfahren vor dem Einsatz datenschutz- und arbeitsrechtlich prüfen und beziehen Sie gegebenenfalls den Betriebsrat ein.

Häufige Fragen

Darf ein fehlendes K.-o.-Kriterium automatisch zur Absage führen?

Nicht automatisch deshalb, weil das Kriterium klar formuliert ist. Eine finale Absage allein durch das System kann weiterhin Art. 22 DSGVO berühren. Sichere Praxis ist, die Voraussetzung transparent zu machen, Fehlerkorrekturen zu ermöglichen und die endgültige Entscheidung wirksam menschlich zu verantworten.

Reicht ein Recruiter-Klick auf „Absage bestätigen“?

Nein, wenn der Klick nur eine technische Formalie ist. Die Person muss die Bewerbung und den Kontext prüfen, das Ergebnis verstehen und die reale Befugnis haben, den Fall anders zu entscheiden. Dokumentierte Übersteuerungen zeigen eher als ein Button, dass diese Prüfung funktioniert.

Müssen wir den Algorithmus vollständig offenlegen?

Die DSGVO verlangt aussagekräftige Informationen über involvierte Logik, Bedeutung und Folgen, nicht pauschal die Veröffentlichung von Quellcode. Bewerber sollten nachvollziehen können, welche Faktoren für ihren Prozess relevant waren und wie sie eine menschliche Neubewertung erreichen. Bei Unsicherheit gehört die genaue Reichweite in die rechtliche Prüfung.

Gilt Art. 22 auch für einen Ranking-Score ohne automatische E-Mail?

Er kann gelten, wenn der Score faktisch bestimmt, wer nie von einem Menschen geprüft wird oder aus dem Verfahren ausscheidet. Dient er dagegen nur als eine von mehreren Informationen für eine echte Einzelfallentscheidung, ist die Lage anders. Entscheidend ist die reale Wirkung des Scores im Workflow.

Macht eine Einwilligung die automatische Absage unproblematisch?

Nein. Art. 22 nennt ausdrückliche Einwilligung nur als eine mögliche Ausnahme und verlangt weiterhin angemessene Schutzmaßnahmen. Ob sie im jeweiligen Bewerbungsprozess freiwillig, informiert und wirksam eingeholt werden kann, sollte nicht ohne fachliche Prüfung angenommen werden.