KI im Recruiting: Was AGG und EU AI Act erlauben und was nicht

Dieser Artikel informiert allgemein über den Rechtsrahmen und ersetzt keine Rechtsberatung. Für verbindliche Einschätzungen zu Ihrem konkreten Fall wenden Sie sich an einen auf Arbeitsrecht oder Datenschutz spezialisierten Anwalt.

Automatisierung im Recruiting gewinnt an Verbreitung. WhatsApp-basierte Erstansprache, dialogbasierte Vorqualifizierung, automatische Terminvereinbarung: Die technischen Möglichkeiten sind vorhanden und weit ausgereift. Gleichzeitig sind die rechtlichen Rahmenbedingungen in den letzten Jahren dichter geworden. Wer KI im Recruiting einsetzt, muss verstehen, was erlaubt ist, was nicht und warum bestimmte Architekturentscheidungen den Unterschied machen.

EU AI Act: Recruiting ist Hochrisiko

Der EU AI Act, der ab 2025 schrittweise in Kraft tritt, klassifiziert KI-Systeme im Bereich Beschäftigung und Personalmanagement als Hochrisikosysteme. Das betrifft ausdrücklich Systeme, die für die Einstellung und Auswahl natürlicher Personen genutzt werden, insbesondere für Bewerbungsscreening, -filterung und -ranking.

Was bedeutet das in der Praxis? Hochrisikoklassifizierung bedeutet nicht Verbot. Sie bedeutet Anforderungen: Technische Robustheit, Transparenz gegenüber den Betroffenen, Möglichkeit zur menschlichen Überprüfung, Dokumentation und in bestimmten Fällen Konformitätsbewertungen.

Was als Hochrisikosystem gilt und was nicht

Die entscheidende Frage ist, was das System tut. Ein System, das einen Kandidaten auf Basis von Lebenslaufinhalt, Formulierungen oder impliziten Mustern bewertet und einordnet, fällt klar in den Hochrisikobereich. Solche Systeme ziehen Schlussfolgerungen über Personen und empfehlen oder treffen Entscheidungen auf Basis dieser Schlussfolgerungen.

Ein System, das per Dialog stellenbezogene Fakten abfragt, führt etwas anderes aus: Es erhebt strukturiert Informationen, die der Bewerber direkt beantwortet. Hat er den gefragten Führerschein? Ja oder Nein. Ist er ab dem genannten Datum verfügbar? Ja oder Nein. Wohnt er im Einzugsgebiet? Ja oder Nein. Das System ordnet nicht ein und schlussfolgert nicht, es dokumentiert, was der Bewerber selbst mitgeteilt hat.

Das ist ein relevanter Architekturunterschied, auch wenn die rechtliche Einordnung im Einzelfall von der konkreten Ausgestaltung abhängt und juristisch bewertet werden muss.

Automatisiertes CV-Ranking: das eigentliche Problem

Am deutlichsten betroffen sind Systeme, die Lebensläufe analysieren, bewerten und ranken. Sie schlussfolgern aus Formulierungen, Qualifikationsbezeichnungen, Lücken, Schulen, Arbeitgebern. Diese Schlussfolgerungen sind oft nicht transparent, nicht nachvollziehbar und reproduzieren potenziell Muster, die im Trainingsdatensatz vorhanden waren.

Solche Systeme erfüllen die Anforderungen des EU AI Act nur dann, wenn sie dokumentiert, geprüft, transparent kommuniziert und mit einer echten Möglichkeit zur menschlichen Überprüfung versehen sind. Für die meisten Anbieter und Nutzer, die solche Systeme off-the-shelf einsetzen, ist das eine erhebliche Anforderung.

Der zuverlässigere Weg ist, gar keine Inferenz aus Dokumenten zu ziehen, sondern die relevanten Fakten direkt zu erheben.

AGG: Entscheidungen müssen begründbar sein

Das Allgemeine Gleichbehandlungsgesetz verbietet Benachteiligungen aus Gründen der Rasse, ethnischen Herkunft, des Geschlechts, der Religion, einer Behinderung, des Alters oder der sexuellen Identität. Das gilt auch im Recruiting, vom Auswahlprozess über die Absage bis zur Stellenausschreibung.

Für automatisierte Prozesse stellt das eine konkrete Anforderung. Wer einen Kandidaten ablehnt, muss das auf einen sachlichen, stellenbezogenen Grund zurückführen können. Wird ein Kandidat durch ein automatisches System abgelehnt, das nicht dokumentiert, warum, entsteht eine Beweislast-Situation, die die Agentur oder das Unternehmen tragen muss.

Harte Kriterien sind AGG-sicher, wenn sie stellenbezogen sind

Harte Kriterien wie Führerscheinklasse, Verfügbarkeit, Schichtbereitschaft oder Gebietsabdeckung sind sachliche Anforderungen der Stelle. Sie knüpfen an keine der im AGG geschützten Merkmale an, sofern sie tatsächlich stellenbezogen formuliert sind. Ein Vorqualifizierungssystem, das ausschließlich solche Kriterien prüft, bewegt sich auf gesichertem Boden.

Das schützt auch vor unbeabsichtigter Diskriminierung. Ein System, das Kandidaten auf Basis von Lebenslaufsprache oder Bildungsinstitutionen einordnet, kann strukturelle Benachteiligungen aus der Vergangenheit abbilden und verstärken, ohne dass jemand das beabsichtigt. Ein System, das fragt, ob jemand einen Führerschein der Klasse B hat, tut das nicht.

Absagen: die menschliche Pflicht

Sowohl aus AGG-Perspektive als auch aus grundlegenden Prinzipien der Fairness gilt: Absagen spricht ein Mensch aus. Nicht das System. Das System liefert die Entscheidungsgrundlage, der Recruiter trifft die Entscheidung und kommuniziert sie.

Das ist wichtig für die Beweislastfrage. Wenn ein abgelehnter Kandidat fragt, warum er nicht in die engere Auswahl kam, muss eine sachliche Antwort möglich sein. Mit einem vollständigen Protokoll aus dem Vorqualifizierungsdialog ist das einfach: Der Kandidat hat Kriterium X nicht erfüllt, das für die Stelle erforderlich ist. Das ist nachvollziehbar und reproduzierbar.

DSGVO: Drei Grundprinzipien für Bewerberdaten

Neben dem AGG und dem EU AI Act regelt die DSGVO, wie Bewerberdaten erhoben, gespeichert und gelöscht werden dürfen.

Datenminimierung

Es dürfen nur die Daten erhoben werden, die für den konkreten Zweck notwendig sind. Für eine Vorqualifizierung bedeutet das: keine Geburtsdaten, keine Fotos, keine Informationen über Gesundheit oder Familiensituation, sofern diese nicht ausdrücklich stellenbezogen und erforderlich sind. Die Fragen im Dialog sollten sich auf das beschränken, was die Stelle tatsächlich verlangt.

Löschfristen

Bewerberdaten dürfen nicht unbegrenzt gespeichert werden. Die gängige Praxis sieht eine Aufbewahrung von sechs Monaten nach Abschluss des Verfahrens vor, sofern keine andere Einwilligung vorliegt. Ein automatisiertes System sollte diese Fristen technisch umsetzen, nicht nur als Richtlinie festhalten.

Auftragsverarbeitung

Wenn ein externer Dienstleister die Verarbeitung von Bewerberdaten übernimmt, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Das gilt für jeden Anbieter, der Bewerberinformationen speichert, verarbeitet oder weiterleitet. Kein Vertrag, kein Betrieb. Das sollte vor dem Go-live geprüft sein.

Transparenz gegenüber Bewerbern

Bewerber müssen wissen, dass und wie ihre Daten automatisiert verarbeitet werden. Das gilt auch dann, wenn die finale Entscheidung beim Menschen liegt. Ein kurzer Hinweis im Erstkontakt, der erklärt, was im Prozess passiert und wie Daten verwendet werden, ist gute Praxis und in vielen Fällen auch Pflicht.

Die sichere Architektur im Überblick

Das Prinzip lässt sich in drei Sätzen zusammenfassen: Das System fragt stellenbezogene Fakten ab, der Mensch entscheidet auf Basis dieser Fakten, der Mensch spricht Absagen aus. Kein automatisiertes Urteil über Personen, keine unsichtbaren Scoring-Algorithmen, keine Entscheidungen ohne menschliche Prüfung.

Diese Architektur erfüllt die wesentlichen Anforderungen, die aus EU AI Act, AGG und DSGVO entstehen, vorausgesetzt, sie wird sorgfältig umgesetzt und dokumentiert. Sie ist außerdem ehrlicher gegenüber Bewerbern: Der Prozess ist transparent, die Kriterien sind nachvollziehbar, und die Entscheidung liegt bei Menschen.

Wie sich dieser Ansatz in der Praxis auf die Sichtungsarbeit auswirkt und warum er auch fachlich die besseren Ergebnisse liefert, steht im Artikel Unpassende Bewerbungen filtern, ohne gute Kandidaten zu verlieren. Den vollständigen Prozessrahmen von Eingang bis Termin zeigt der Leitfaden Bewerbermanagement automatisieren.

Verveno setzt bei jedem System, das es aufbaut und betreibt, auf diese Architektur: Vorqualifizierung über harte Kriterien per Dialog, vollständige Protokollierung, Mensch entscheidet und kommuniziert. Der Auftragsverarbeitungsvertrag ist Standard. Ob und wie das in Ihrem Kontext umgesetzt werden kann, klären wir im kostenlosen Erstgespräch. Eine erste Einschätzung des Potenzials gibt der ROI-Rechner.

Weiterführende Quellen

• EU AI Act, Anhang III (Hochrisiko-KI-Systeme, Beschäftigung): eur-lex.europa.eu
• Bundesministerium für Justiz, Allgemeines Gleichbehandlungsgesetz (AGG): gesetze-im-internet.de
• Datenschutz-Grundverordnung, Art. 5 (Grundsätze) und Art. 28 (Auftragsverarbeitung): datenschutz-grundverordnung.eu
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Hinweise zu Beschäftigtendatenschutz: bfdi.bund.de