KI in der Bewer­ber­auswahl: was erlaubt ist

Kurz gesagt: Vorauswahl von Bewerbungen durch KI ist erlaubt, aber Hochrisiko nach Anhang III Nr. 4 Buchst. a KI-VO, sobald das System Bewerbungen sichtet, filtert oder Bewerber bewertet. Die Entscheidung trifft ein Mensch (Art. 22 DSGVO), der Betriebsrat bestimmt bei Auswahlrichtlinien mit (§ 95 BetrVG), und vor der Inbetriebnahme sind die Arbeitnehmervertreter zu informieren (Art. 26 Abs. 7 KI-VO). Emotionserkennung im Bewerbungsgespräch ist verboten.

Rechtsstand: 28. September 2026, KI-VO in der Fassung der Verordnung (EU) 2026/1744.

Anhang III Nr. 4 Buchst. a KI-VO nennt KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten. Das ist der Hochrisiko-Fall, der im Mittelstand am häufigsten vorkommt. Wie die Einstufung allgemein funktioniert und wann Art. 6 Abs. 3 ein System wieder herausnimmt, steht unter Hochrisiko-KI: Beispiele aus Anhang III.

Was erlaubt ist und was nicht

Die KI-Verordnung verbietet die Vorauswahl nicht. Sie stellt sie unter die Anforderungen für Hochrisiko-Systeme. Verboten sind einzelne Techniken nach Art. 5, die im Bewerbungsverfahren angeboten werden.

Zu Buchst. f: Das Verbot erfasst KI-Systeme zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Die Leitlinien der Kommission zu verbotenen Praktiken vom Februar 2025 legen „Arbeitsplatz“ so aus, dass Bewerber im Auswahlverfahren erfasst sind; Gerichte binden sie nicht. Die Einzelheiten stehen unter Emotionserkennung am Arbeitsplatz.

Pflichten als Betreiber ab 2. Dezember 2027

Wer ein System zur Vorauswahl einkauft und im eigenen Haus einsetzt, ist Betreiber nach Art. 3 Nr. 4. Die Betreiberpflichten aus Art. 26 gelten für Anhang-III-Systeme ab dem 2. Dezember 2027 (Art. 113 Buchst. c Ziffer i).

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nicht an 2027 gebunden, sie gilt heute. Was hineingehört, steht unter DSFA für KI. Die Aufsicht nach Abs. 2 setzt Kompetenz voraus, siehe KI-Kompetenz nach Art. 4.

Art. 22 DSGVO und die menschliche Entscheidung

Nach Art. 22 Abs. 1 DSGVO hat eine Person das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Eine Absage auf eine Bewerbung ist eine solche Entscheidung.

Der EuGH hat mit Urteil vom 7. Dezember 2023 (C-634/21, SCHUFA) entschieden, dass schon ein automatisch ermittelter Wert eine Entscheidung im Sinne von Art. 22 sein kann, wenn der Empfänger ihm eine maßgebliche Rolle für die Entscheidung beimisst. Übertragen auf die Personalauswahl: Ein Punktwert, den die Personalabteilung ungeprüft übernimmt, entscheidet, auch wenn ein Mensch den Knopf drückt.

Daraus folgen drei Anforderungen an die Arbeitsweise:

1. Das System liefert die Grundlage, entschieden wird von einem Menschen. Eine Rangfolge oder ein Punktwert verschiebt das Gewicht zum System.
2. Die Person, die entscheidet, sieht die Bewerbung selbst und kann den Vorschlag verwerfen.
3. Die Gründe für eine Absage lassen sich ohne das System nachvollziehen.

Die Ausnahmen aus Art. 22 Abs. 2 sind eng. Wer sich auf Buchst. a (Vertrag) oder Buchst. c (ausdrückliche Einwilligung) stützt, muss nach Abs. 3 mindestens das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung ermöglichen. Für Buchst. b müssen die zulassenden Rechtsvorschriften selbst angemessene Schutzmaßnahmen enthalten.

Betriebsrat: § 95 Abs. 2a und § 94 BetrVG

Drei Beteiligungsrechte kommen in Betracht:

§ 95 Abs. 2a stellt klar, dass die Mitbestimmung bei Auswahlrichtlinien nicht entfällt, weil KI die Kriterien aufstellt oder mit aufstellt. Ob die Kriterien eines konkreten Systems eine Auswahlrichtlinie sind, hängt davon ab, ob sie bestimmen, welche Voraussetzungen bei der Auswahl den Ausschlag geben. Das klärt man vor der Einführung mit dem Gremium; eine erste Einordnung gibt der Betriebsrat-Check. Unabhängig davon verlangt Art. 26 Abs. 7 KI-VO ab Dezember 2027 die Information der Arbeitnehmervertreter vor der Inbetriebnahme.

Wie eine Rahmenvereinbarung für KI-Systeme aufgebaut wird, steht unter KI-Betriebsvereinbarung.

Diskriminierung: AGG

Bewerberinnen und Bewerber gelten nach § 6 Abs. 1 Satz 2 AGG als Beschäftigte. § 7 Abs. 1 AGG verbietet ihre Benachteiligung wegen eines Grundes aus § 1: Rasse oder ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter, sexuelle Identität. Das gilt auch, wenn der Grund nur angenommen wird.

Ein System kann solche Gründe mittelbar verwenden, etwa über Wohnort, Lücken im Lebenslauf oder den Abschlussjahrgang. Erwägungsgrund 57 der KI-Verordnung nennt dieses Risiko ausdrücklich: Systeme in der Personalauswahl können historische Diskriminierungsmuster fortschreiben.

Zwei Normen machen das für den Arbeitgeber teuer. Beweist die abgelehnte Person Indizien, die eine Benachteiligung vermuten lassen, trägt nach § 22 AGG der Arbeitgeber die Beweislast dafür, dass kein Verstoß vorlag. Nach § 15 Abs. 2 AGG kann eine Entschädigung in Geld verlangt werden, bei einer Nichteinstellung bis zu drei Monatsgehältern, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre. Ein System, das seine Gründe nicht offenlegt, erschwert diesen Nachweis.

So arbeitet Mira (AI)

Mira (AI) ist die Stelle für die Bewerbervorauswahl. Ihre Akte stuft sie als Hochrisiko nach Anhang III Nr. 4 Buchst. a ein; die Einstufung prüfen wir vor dem Einsatz mit Anwalt oder Datenschutzbeauftragtem.

Die Übersicht geht in Eingangsreihenfolge an die Personalabteilung, ohne Punktzahl. Absagen und Einladungen schreibt sie nicht. Jeder Abgleich wird mit Kriterium, Fundstelle und Uhrzeit dokumentiert; gelöscht wird nach Ihrer Frist über alle Kopien, bei Bewerbungen üblich sechs Monate nach Abschluss des Verfahrens.

Bewerbungen gelten als sensible Datenquelle. Gespeichert bei Ihnen (Hybrid), in unserer Cloud in Deutschland nur auf Ihre ausdrückliche Wahl; bearbeitet nur über einen EU-Endpunkt des KI-Anbieters ohne Speicherung. Inhalte nur im Dashboard, nur für die Personalabteilung.

Ob ein anderes System im Haus in Anhang III fällt, klären fünf Fragen unter Einstufung nach der KI-Verordnung.