Ein Arbeitgeber erhält 1.000 Bewerbungen. Eine Software bewertet jeden Lebenslauf und lehnt automatisch alle unterhalb einer bestimmten Schwelle ab. Effizient? Sicher. Rechtmäßig? Fast nie, ohne vorherige Arbeit.
Artikel 22 ist ein Verbot, kein Beschwerdeverfahren
Das ist der Punkt, bei dem Arbeitgeber am häufigsten danebenliegen.
Artikel 22 Absatz 1 DSGVO wird oft als Recht gelesen: Der Bewerber kann einer vollautomatisierten Entscheidung widersprechen, und solange er das nicht tut, kann der Arbeitgeber weitermachen. Diese Lesart ist falsch.
Im Urteil SCHUFA (C-634/21, 7. Dezember 2023) hat der Gerichtshof entschieden, dass Artikel 22 Absatz 1 ein grundsätzliches Verbot von Entscheidungen enthält, die ausschließlich auf einer automatisierten Verarbeitung beruhen und rechtliche Wirkung entfalten oder die Person in ähnlicher Weise erheblich beeinträchtigen. Die betroffene Person muss nichts geltend machen, damit dieses Verbot greift.
Für einen Arbeitgeber ist die Folge konkret: Sie können automatische Ablehnung nicht einschalten und abwarten, ob ein Bewerber widerspricht. Sie müssen vor dem Einsatz feststellen, dass eine der Ausnahmen des Artikels 22 Absatz 2 greift und die Garantien vorliegen.
Eine Absage für eine Stelle beeinträchtigt eine Person eindeutig erheblich, über diese Schwelle lässt sich also kaum sinnvoll streiten. Die Rechte von Bewerbern bei automatisierten Entscheidungen treten zu diesem Verbot hinzu; sie ersetzen es nicht.
Was bedeutet „ausschließlich automatisiert“?
Die Frage ist, ob eine wirksame menschliche Beteiligung besteht.
Vergibt eine Software an jeden Bewerber einen Score und lehnt alle unter 70 % ab, ohne dass jemand diese Unterlagen ansieht, ist die Entscheidung automatisiert. Dieser Fall ist einfach.
Schwieriger ist der Fall, den die meisten Recruiting-Tools tatsächlich erzeugen: Das System erstellt ein Ranking oder einen Score, und eine Person aus der Personalabteilung trifft die formale Entscheidung.
Auch hier ist SCHUFA einschlägig. Der Gerichtshof hat entschieden, dass die Erstellung des Scores selbst die Entscheidung im Sinne des Artikels 22 sein kann, wenn die Stelle, die ihn verwendet, sich maßgeblich darauf stützt. Auf das Recruiting übertragen: Bestimmt das KI-Ranking faktisch, wer eingeladen wird, und steuert der Mensch keine echte Beurteilung bei, holt dessen Beteiligung die Verarbeitung nicht aus Artikel 22 heraus.
Stellen Sie drei Fragen zu Ihrer prüfenden Person:
- Sieht sie die zugrunde liegende Bewerbung oder nur den Score?
- Hat sie die Befugnis, zu einem anderen Ergebnis zu kommen?
- Hat sie dafür angesichts der Menge übermittelter Unterlagen die Zeit?
Lautet die ehrliche Antwort auf eine dieser Fragen nein, behandeln Sie den Prozess als ausschließlich automatisiert.
Wann ist es zulässig?
Artikel 22 Absatz 2 sieht drei Ausnahmen vor, und nur drei:
- Erforderlich für den Abschluss oder die Erfüllung eines Vertrags zwischen Bewerber und Arbeitgeber. Erforderlichkeit ist ein strenger Maßstab; dass Sie viele Bewerbungen erhalten und sie günstig filtern möchten, ist betriebliche Bequemlichkeit, keine Erforderlichkeit.
- Zulässig nach Unions- oder mitgliedstaatlichem Recht, das angemessene Garantien vorsehen muss. Das variiert je nach Land und ist im Recruiting selten.
- Ausdrückliche Einwilligung des Bewerbers. Einwilligung im Beschäftigungs- oder Bewerbungsverhältnis ist schwer freiwillig zu gestalten, weil der Bewerber nicht in der Lage ist, ohne Nachteil abzulehnen.
Stützen Sie sich auf die erste oder dritte Ausnahme, verlangt Artikel 22 Absatz 3 Garantien: mindestens das Recht auf Erwirkung des Eingreifens einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. Betrifft die Verarbeitung besondere Kategorien personenbezogener Daten, schränkt Artikel 22 Absatz 4 sie weiter ein.
Unsere praktische Position für Arbeitgeber: Bauen Sie keinen Recruiting-Prozess, der davon abhängt, eine Ausnahme zu Artikel 22 zu begründen. Bauen Sie einen, in dem ein Mensch die Entscheidung wirklich trifft, und nutzen Sie die Werkzeuge, um diese Entscheidung vorzubereiten statt sie zu treffen.
Bewerber müssen informiert werden
Wo Artikel 22 greift, ist Transparenz weder optional noch allgemein.
Artikel 13 Absatz 2 Buchstabe f und Artikel 14 Absatz 2 Buchstabe g verlangen, dass Sie auf die automatisierte Entscheidungsfindung hinweisen und aussagekräftige Informationen über die involvierte Logik sowie Tragweite und angestrebte Auswirkungen der Verarbeitung geben. Artikel 15 Absatz 1 Buchstabe h fordert dieselben Informationen erneut, wenn der Bewerber Auskunft verlangt.
„In unserem Auswahlverfahren kann Technologie eingesetzt werden“ erreicht dieses Niveau nicht. Erklären Sie, was das System bewertet, welche Rolle sein Ergebnis spielt und wie ein Bewerber eine erneute menschliche Prüfung verlangen kann. Wo das hingehört, steht in was ein Datenschutzhinweis für Bewerber enthalten muss.
Was fügt der AI Act hinzu?
Der europäische AI Act stuft KI-Systeme, die Bewerbungen filtern oder Bewerber bewerten, nach Anhang III als hochriskant ein.
Hochrisikosysteme bringen einen umfangreichen Rahmen mit: Risikomanagement, Daten-Governance, Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit, mit Pflichten je nachdem, ob Sie Anbieter oder Betreiber sind.
Die Verordnung (EU) 2026/1744 hat den Geltungsbeginn für diese eigenständigen Hochrisikosysteme vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Das verschiebt Ihre Frist unter dem AI Act. An Ihrer DSGVO-Position ändert es nichts: Artikel 22 gilt heute. Wie beide Rahmen zusammenwirken, behandelt DSGVO und AI Act im Recruiting.
Achten Sie auf diskriminierende Ergebnisse
Ein System kann neutral wirken und bestimmte Gruppen dennoch benachteiligen.
Historische Recruiting-Daten spiegeln historische Verzerrungen, und ein darauf trainiertes Modell reproduziert diese Muster. Prüfen Sie, ob Ihre Kriterien wirklich stellenrelevant sind und ob das System unfaire Ergebnisse liefert.
DSGVO-Konformität ersetzt das Antidiskriminierungsrecht nicht. Ein Werkzeug kann dokumentiert, transparent und nach Artikel 22 rechtmäßig sein und Sie dennoch einer Diskriminierungsklage aussetzen.
Menschliche Aufsicht muss echt sein
Eine prüfende Person, die dem Prozess etwas hinzufügt:
- Versteht, was das System tut und was es nicht misst
- Hat Zugriff auf die zugrunde liegende Bewerbung, nicht nur auf das Ergebnis
- Kann das Ergebnis hinterfragen und übergehen
- Hat Zeit und Befugnis für eine eigenständige Beurteilung
- Wird nicht daran gemessen, wie schnell die Warteschlange leer ist
„Der Computer sagt nein“ ist keine Aufsicht.
Behandeln Sie automatische Ablehnung als Hochrisiko-Governance
Die automatisierte Bewertung von Bewerbern fällt unmittelbar unter Artikel 35 Absatz 3 Buchstabe a, sodass eine Datenschutz-Folgenabschätzung am Anfang steht und nicht am Rand. Binden Sie Datenschutz, Personal, Recht, Sicherheit und KI-Governance vor dem Einsatz ein, nicht nach der ersten Beschwerde.
GDPRWise hilft Organisationen, ihre Verarbeitungstätigkeiten zu dokumentieren und Datenschutzrisiken zu bewerten, damit die DSGVO-Grundlage steht, bevor Recruiting-Technologie mit höherem Risiko eingeführt wird.
GDPRWise dokumentiert Ihre Recruiting-Verarbeitungen und die damit verbundenen Datenschutzrisiken, damit Sie ein Auswahlwerkzeug beurteilen können, bevor es live geht.