DSGVO im Recruiting: Mehr als eine Checkbox
Die Datenschutz-Grundverordnung ist fur die meisten deutschen HR-Teams kein unbekanntes Terrain mehr. Seit 2018 gibt es die Grundregeln, die Aufsichtsbehorden haben Klarstellungen veroffentlicht, und die meisten Unternehmen haben irgendeine Form von internem Prozess aufgebaut. Trotzdem bleibt ein Bereich strukturell schwierig: die Verarbeitung von Kandidatendaten im Bewerbungsprozess, besonders dann, wenn neue Tools wie KI-gestutztes Screening eingesetzt werden.
Das Problem ist nicht fehlendes Grundwissen uber die DSGVO. Das Problem ist, dass der Recruiting-Prozess selbst eine Reihe von Fragen aufwirft, die sich nicht mit einer einmaligen Datenschutzerklarung auf der Karriereseite beantworten lassen. Welche Daten werden von wem erhoben? Auf welcher Rechtsgrundlage? Wie lange werden sie gespeichert? Wer hat Zugriff? Und was passiert mit den Daten von Kandidaten, die nicht eingestellt werden?
Diese Fragen sind im Recruiting-Kontext besonders komplex, weil Bewerberdaten zu einer der schutzwurdigsten Datenkategorien gehoren. Informationen uber Qualifikationen, Arbeitgeber, Gehaltsvorstellungen und personliche Umstande sind sensibel. Und sie werden in der Regel von Personen ubermittelt, die in einem strukturellen Abhangigkeitsverhaltnis zu dem Unternehmen stehen, das sie erhebt: Sie wollen einen Job.
Die Rechtsgrundlage im Bewerbungsverfahren
Nach Art. 6 DSGVO braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Im Bewerbungsverfahren kommen hauptsachlich zwei in Betracht: Art. 6 Abs. 1 lit. b (Verarbeitung zur Durchfuhrung vorvertraglicher Massnahmen) und Art. 6 Abs. 1 lit. a (Einwilligung).
Die Praxis zeigt, dass viele Unternehmen auf Einwilligung setzen, weil sie das einfachste Instrument zu sein scheint: Checkbox im Bewerbungsformular, Hinweis auf die Datenschutzerklarung, fertig. Das Bundesarbeitsgericht und die deutschen Datenschutzaufsichtsbehorden haben jedoch klargemacht, dass die Einwilligung im Beschaftigungskontext besondere Anforderungen hat. Wegen der strukturellen Machtasymmetrie zwischen Arbeitgeber und Bewerber muss die Freiwilligkeit der Einwilligung nachweisbar sein. Eine Einwilligung, die Voraussetzung fur die Teilnahme am Bewerbungsverfahren ist, kann unter Umstanden nicht als freiwillig gelten.
Fur den Einsatz von KI-Tools im Screening bedeutet das: Wenn die Nutzung eines strukturierten Gesprachstools eine separate Einwilligung erfordert, muss diese Einwilligung wirklich optional sein, also ohne Nachteil fur den Kandidaten verweigert werden konnen. Ist sie das nicht, ist sie keine valide Rechtsgrundlage. Die Alternative ist, den Einsatz des Tools als Teil der regularen vorvertraglichen Massnahmen zu begrunden, was dann aber entsprechend dokumentiert werden muss.
Speicherdauer: Die unterschatzte Frage
Art. 5 Abs. 1 lit. e DSGVO fordert das Prinzip der Speicherbegrenzung: Daten durfen nicht langer gespeichert werden, als es fur den Zweck notwendig ist. Im Recruiting ist der Zweck der Datenerhebung die Besetzung einer konkreten Stelle. Sobald die Stelle besetzt ist und der Einstellungsprozess abgeschlossen ist, entfallt grundsatzlich der Zweck fur die Speicherung der Daten abgelehnter Kandidaten.
Die in Deutschland ubliche Praxis ist, Bewerbungsunterlagen abgelehnter Kandidaten fur sechs Monate nach dem Ende des Bewerbungsverfahrens aufzubewahren. Der Grund: potenzielle Diskriminierungsklagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) konnen innerhalb von zwei Monaten nach Zugang der Ablehnung eingereicht werden, und Unternehmen mochten in der Lage sein, sich zu verteidigen. Die sechs Monate geben einen Puffer daruber hinaus.
Fur KI-gestutzte Screening-Ergebnisse, also strukturierte Gesprachsmitschriften und Auswertungen, gilt dieselbe Logik: Sie sind Teil der Bewerbungsunterlagen und unterliegen denselben Speicherfristen. Unternehmen, die Screening-Ergebnisse uber diese Fristen hinaus aufbewahren wollen, etwa um Benchmarks zu bilden oder ihren Prozess zu verbessern, mussen dafur eine separate Rechtsgrundlage schaffen und die Daten entsprechend anonymisieren oder pseudonymisieren.
Informationspflichten und Transparenz
Art. 13 DSGVO schreibt vor, dass betroffene Personen zum Zeitpunkt der Erhebung ihrer Daten informiert werden mussen: daruber, wer die Daten erhebt, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und welche Rechte sie haben. Im Recruiting-Kontext bedeutet das, dass Kandidaten vor oder spatestens bei Beginn des Screening-Prozesses vollstandige Informationen erhalten mussen.
Wenn ein KI-Tool eingesetzt wird, das strukturierte Gesprache fuhrt, muss der Kandidat wissen, dass dieses Tool eingesetzt wird, wie es funktioniert, wer die Ergebnisse sieht und wie lange sie gespeichert werden. Ein allgemeiner Hinweis auf eine Datenschutzerklarung reicht nicht aus, wenn der Einsatz des Tools nicht explizit dort beschrieben ist. Das klingt nach viel Verwaltungsaufwand, ist aber in der Praxis gut losbar: Eine klare, verstandliche Vorabinformation vor dem Screening-Gesprach erfullt die Anforderungen, wenn sie die relevanten Punkte abdeckt.
Wir haben bei WhyBrilliant diese Informationspflichten direkt in den Prozess integriert. Kandidaten erhalten vor dem Gesprach eine Ubersicht daruber, was aufgezeichnet wird, wer Zugriff hat und wie lange die Daten vorgehalten werden. Das ist kein rechtliches Beiwerk. Es ist Teil des Vertrauensaufbaus mit dem Kandidaten, der zu den Grundprinzipien unseres Ansatzes gehort.
Automatisierte Entscheidungsfindung und Art. 22 DSGVO
Ein Punkt, den viele HR-Teams unterschatzen: Art. 22 DSGVO reguliert automatisierte Einzelentscheidungen. Wenn eine Entscheidung ausschliesslich auf automatisierter Verarbeitung beruht und fur die betroffene Person eine erhebliche Auswirkung hat, besteht ein grundsatzliches Verbot, sofern keine der im Artikel genannten Ausnahmen greift.
Im Recruiting-Kontext bedeutet "erhebliche Auswirkung" die Ablehnung einer Bewerbung. Wenn ein KI-Tool automatisch entscheidet, dass ein Kandidat nicht auf die Shortlist kommt, und kein Mensch diese Entscheidung gepruft hat, konnte das unter Art. 22 fallen. Die deutsche Aufsichtsbehorde Bayerisches Landesamt fur Datenschutzaufsicht (BayLDA) hat sich hierzu positioniert und klargestellt, dass der Einsatz von KI im Recruiting menschliche Uberprufung erfordert, um den Anforderungen gerecht zu werden.
Wir sagen nicht, dass KI-gestutztes Screening deshalb unzulassig ist. Wir sagen, dass der Prozess so gestaltet sein muss, dass ein qualifizierter Mensch die KI-Ausgabe bewertet und die Entscheidung trifft. Das Screening-Ergebnis ist eine Grundlage fur menschliche Entscheidungen, nicht ein Ersatz dafur. Diese Anforderung ist nicht nur ein Compliance-Punkt. Sie ist auch inhaltlich richtig: KI-Screening liefert strukturierte Information, und ein erfahrener Recruiter ist besser in der Lage, diese Information im Gesamtbild zu bewerten.
Auftragsverarbeitung und internationale Datentransfers
Wenn ein externes Tool fur das Candidate Screening eingesetzt wird, ist der Anbieter in der Regel ein Auftragsverarbeiter nach Art. 28 DSGVO. Das bedeutet, dass ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden muss, der die Anforderungen des Art. 28 erfullt: Weisungsgebundenheit des Auftragsverarbeiters, technische und organisatorische Massnahmen, Unterauftragsverhalt-nisse, Loschpflichten und Nachweismoglichkeiten.
Ein zusatzlicher Punkt, der in der Praxis oft uberraschend auftaucht: Wenn der Anbieter Server ausserhalb des Europaischen Wirtschaftsraums nutzt oder selbst dort ansassig ist, sind die Anforderungen an internationale Datentransfers nach Art. 44 ff. DSGVO zu beachten. Standard-Vertragsklauseln der EU-Kommission sind das gangige Instrument, aber sie allein reichen nicht immer aus. Das Transfer Impact Assessment, die Prufung der Rechtslage im Empfangerland, ist seit dem Schrems II-Urteil des EuGH und der EDSA-Empfehlung 01/2020 ein notwendiger Schritt, nicht optional.
Praktische Checkliste fur HR-Teams
Fur HR-Teams in deutschen Unternehmen, die strukturiertes KI-Screening einfuhren oder evaluieren, sind die folgenden Fragen relevant. Auf welcher Rechtsgrundlage basiert die Datenverarbeitung im Screening? Ist ein AVV mit dem Tool-Anbieter vorhanden? Sind die Informationspflichten gegenuber Kandidaten erfullt, explizit fur dieses Tool? Wie lange werden Screening-Ergebnisse gespeichert, und entspricht das dem Grundsatz der Speicherbegrenzung? Wird sichergestellt, dass Shortlist-Entscheidungen immer durch einen Menschen getroffen werden? Und wenn der Anbieter ausserhalb des EWR operiert: Liegt ein Transfer Impact Assessment vor?
Das sind nicht buroktratische Fragen. Es sind Fragen, auf die Datenschutzbeauftragte und Aufsichtsbehorden in Deutschland Antworten erwarten. Wer ein KI-Screening-Tool einfuhren will und diese Fragen vorher klart, hat spater weniger Probleme. Wer sie erst klart, wenn eine Aufsichtsbehorde nachfragt, hat mehr.