Fällt jedes KI-gestützte CV-Screening unter Artikel 22 DSGVO?

Nein. Artikel 22 wird besonders relevant, wenn eine Entscheidung ausschließlich automatisiert erfolgt und rechtliche oder ähnlich erhebliche Wirkung hat. Automatisierte Unterstützung kann außerhalb dieses Tatbestands liegen, bleibt aber an die übrigen Datenschutzregeln gebunden.

Reicht ein Bestätigen-Button als menschliche Prüfung?

Nein. Die Prüfung muss tatsächlich Einfluss haben. Die zuständige Person braucht relevante Originalinformationen, Zeit, Kompetenz und die Befugnis, eine Empfehlung zu ändern, zurückzustellen oder den automatisierten Schritt zu stoppen.

Gilt in der Schweiz ebenfalls Artikel 22 DSGVO?

Nicht als pauschale Regel. Die Schweiz ist kein EU- oder EWR-Mitglied und hat ein eigenes Datenschutzgesetz. Das Schweizer DSG enthält eigene Vorgaben zu automatisierten Einzelentscheidungen, Information und Überprüfung durch eine natürliche Person.

KI im Recruiting und DSGVO: Wann Artikel 22 zum Thema wird

Ein Ranking sortiert 180 Bewerbungen. Profile unter einem Schwellenwert verschwinden aus der Arbeitsliste. Ein Recruiter bestätigt später die vorgeschlagenen Absagen. War das eine menschliche Entscheidung oder nur der letzte Klick in einem bereits festgelegten Ablauf?

Genau an dieser Grenze wird Artikel 22 DSGVO bei KI im Recruiting relevant. Die Vorschrift betrifft nicht jede automatisierte Analyse. Sie adressiert Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung für eine Person entfalten.[2] Im Recruiting sind daher drei Fragen getrennt zu prüfen: Wie automatisiert ist der Entscheidungspfad, wie schwer wiegt das Ergebnis und welchen tatsächlichen Einfluss hat ein Mensch?

Die folgende Einordnung bietet praktische Orientierung und keine Rechtsberatung. Neben der DSGVO können Arbeitsrecht, Mitbestimmung, Antidiskriminierungsrecht und nationale Vorgaben weitere Anforderungen auslösen.

Automatisierte Unterstützung ist nicht automatisch eine automatisierte Entscheidung

Ein Tool kann Lebensläufe strukturieren, Qualifikationen extrahieren oder Bewerbungen nach vorgegebenen Kriterien ordnen. Solche Funktionen können eine menschliche Entscheidung vorbereiten. Artikel 22 wird nicht allein deshalb ausgelöst, weil Software oder ein KI-Modell beteiligt ist.

Kritischer wird es, wenn das System faktisch bestimmt, wer noch sichtbar ist, wer weiterkommt oder wer eine Absage erhält. Die vom Europäischen Datenschutzausschuss übernommenen Leitlinien unterscheiden ausdrücklich zwischen einer Empfehlung, die ein Mensch unter Einbeziehung weiterer Faktoren prüft, und einem Ergebnis, das ohne vorherige sinnvolle menschliche Bewertung angewendet wird.[1][2]

Für die Praxis hilft ein dreistufiger Test:

Entscheidung: Entsteht nur ein Hinweis oder folgt daraus Einladung, Ausschluss, Rangplatz oder eine vergleichbar verbindliche Weichenstellung?
Automatisierungsgrad: Kann ein Mensch vor der Wirkung unabhängig prüfen, oder übernimmt er regelmäßig die maschinelle Vorgabe?
Auswirkung: Entzieht der Ablauf eine Beschäftigungschance oder bringt er eine Person in einen ähnlich erheblichen Nachteil?

Die Leitlinien nennen Entscheidungen, die eine Beschäftigungschance verwehren oder eine Person ernsthaft benachteiligen, ausdrücklich als mögliche erhebliche Wirkung.[2] Eine vollautomatische Absage ist deshalb ein naheliegender Risikofall. Ein internes Sortiersignal ist dagegen nicht automatisch unkritisch: Wenn niedrig gerankte Profile praktisch nie geöffnet werden, kann die Sortierung die spätere Entscheidung bereits maßgeblich prägen.

Was eine wirksame menschliche Prüfung ausmacht

Ein Mensch im Prozess genügt nicht. Nach der offiziellen europäischen Orientierung muss menschliche Beteiligung sinnvoll sein und darf keine symbolische Geste bleiben. Die prüfende Person braucht Kompetenz und die Befugnis, die Entscheidung zu ändern, und sie soll alle relevanten Daten berücksichtigen.[2]

Für Recruiting-Teams ergeben sich fünf Mindestbedingungen:

Originalinformationen bleiben erreichbar

Recruiter sehen nicht nur Score, Ampel oder Zusammenfassung. Sie können die Bewerbung, relevante Belegstellen, verwendete Kriterien und erkannte Unsicherheiten prüfen. Sonst kontrolliert der Mensch nur die Darstellung des Systems.

Die Prüfung findet vor der Wirkung statt

Eine nachträgliche Beschwerdestelle ist wichtig, ersetzt aber keine echte Prüfung vor Einladung oder Absage. Der Entscheidungspunkt muss so liegen, dass eine Korrektur noch praktisch möglich ist.

Abweichung ist technisch und organisatorisch möglich

Die prüfende Person kann hoch- oder herabstufen, einen Fall zurückstellen, zusätzliche Informationen anfordern oder den automatisierten Schritt stoppen. Abweichungen dürfen weder versteckt erschwert noch durch unrealistische Zeitvorgaben verhindert werden.

Verantwortung und Eskalation sind benannt

Für Einzelfälle braucht es eine entscheidungsbefugte Rolle. Für wiederkehrende Fehler braucht es zusätzlich einen Process Owner, der Kriterien ändern, Automatisierung aussetzen und Datenschutz oder IT einbeziehen kann.

Die Kontrolle wird nachgewiesen

Stichproben, Overrides und Eskalationen zeigen, ob die menschliche Rolle im Alltag funktioniert. Eine Abweichungsquote von null ist kein Qualitätsbeweis. Sie kann auch bedeuten, dass maschinelle Vorschläge ungeprüft übernommen werden.

Ranking, Ausschluss und Scoring: drei typische Risikozonen

Ranking mit Sichtbarkeitseffekt

Ein System erstellt eine Reihenfolge, aber das Team prüft nur die ersten zehn Plätze. Formal entscheidet ein Mensch, praktisch bestimmt das Ranking den Kandidatenkreis. Eine belastbare Kontrolle öffnet deshalb auch Stichproben außerhalb der Spitzengruppe und untersucht wiederkehrende Fehlbewertungen.

Harte Ausschlussregeln

Ein Parser erkennt ein Muss-Kriterium nicht und verschiebt die Bewerbung automatisch in „nicht geeignet“. Erfolgt die Absage ohne Sichtung, liegt ein deutlich anderer Fall vor als bei einer markierten Rückfrage. Muss-Kriterien sollten fachlich begründet, versioniert und vor jeder automatischen Wirkung überprüfbar sein.

Score als scheinbar neutrale Vorentscheidung

Das SCHUFA-Urteil des Europäischen Gerichtshofs betraf Bonität, nicht Recruiting. Es zeigt aber eine wichtige Struktur: Ein automatisch erzeugter Wert kann selbst als automatisierte Einzelentscheidung gelten, wenn ein Dritter ihm für seine Entscheidung eine maßgebliche Rolle gibt.[3] Übertragen auf Recruiting ist das kein fertiges Rechtsurteil, wohl aber ein Warnsignal gegen Prozesse, in denen ein Score fast immer das Ergebnis vorgibt.

Artikel 22 enthält Ausnahmen, unter anderem für bestimmte vertraglich notwendige, gesetzlich erlaubte oder ausdrücklich eingewilligte Entscheidungen. Sie sind kein pauschaler Freibrief. Wo eine Ausnahme greift, bleiben Schutzmaßnahmen und die Prüfung der übrigen DSGVO-Pflichten erforderlich.[2]

Informations-, Dokumentations- und Eskalationspunkte

Ein entscheidungsreifer Prozess braucht keine hundertseitige Richtlinie. Er braucht sichtbare Punkte im Arbeitsablauf:

Prozesspunkt	Operative Frage	Mindestnachweis
Kriterienfreigabe	Wer genehmigt Muss-Kriterien und Gewichtung?	Versionierter Kriterienkatalog mit Stellenbezug
Systemausgabe	Was sieht der Recruiter außer dem Score?	Originaldaten, Belegstellen und Unsicherheit
Entscheidung	Kann die Person vor der Wirkung abweichen?	Rollenrecht für Freigabe, Rückfrage, Override und Stopp
Information	Was erfahren Bewerbende über automatisierte Verarbeitung?	Verständlicher Datenschutzhinweis und Kontaktweg
Beschwerde	Wer prüft eine Anfechtung neu?	Benannte natürliche Person ohne Bindung an den Erstscore
Monitoring	Welche Fehler führen zur Eskalation?	Stichproben, Fehlerklassen und dokumentierte Maßnahmen

Die europäischen Leitlinien verknüpfen Artikel 22 mit verständlichen Informationen über die involvierte Logik sowie Bedeutung und vorgesehene Folgen. Bei einschlägigen Ausnahmen nennt die DSGVO außerdem menschliches Eingreifen, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung als Schutzrechte.[2]

Bei voraussichtlich hohem Risiko ist zusätzlich zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Sie sollte nicht nur das Tool beschreiben, sondern den realen Ablauf: Datenquellen, Schwellenwerte, menschliche Eingriffspunkte, Auswirkungen und mögliche Fehlerwege.[2]

Drei DACH-Praxisfälle

Deutschland: automatische Absage nach einem Score

Ein System sortiert Bewerbungen und versendet unter einem Schwellenwert automatisch Absagen. Das ist der deutlichste Fall für eine Prüfung nach Artikel 22: ausschließlich automatisierter Ablauf, konkrete Wirkung und keine vorherige menschliche Bewertung. Eine bloße spätere Möglichkeit zur Beschwerde macht die Erstentscheidung nicht menschlich.

Österreich: Ranking mit echter Vorprüfung

Ein Tool priorisiert Profile, aber ein Recruiter öffnet alle Bewerbungen, sieht Originalunterlagen und Begründungen und entscheidet unabhängig über Einladung, Rückfrage oder Absage. Das spricht gegen eine ausschließlich automatisierte Entscheidung. Die übrigen DSGVO-Pflichten gelten trotzdem, etwa Rechtsgrundlage, Transparenz, Datenminimierung, Sicherheit und gegebenenfalls eine Folgenabschätzung.

Schweiz: eigener Rechtsrahmen

Die Schweiz ist weder EU- noch EWR-Mitglied und arbeitet mit dem eigenen Datenschutzgesetz. Der EDÖB beschreibt für automatisierte Einzelentscheidungen eine Informationspflicht sowie die Möglichkeit, den eigenen Standpunkt darzulegen und eine Überprüfung durch eine natürliche Person zu verlangen.[4] Für KI im Anstellungsprozess betont die Behörde zudem Stellenbezug, Erkennbarkeit und Verhältnismäßigkeit der Datenbearbeitung.[5] Ein DACH-weiter Prozess braucht daher ein separates Schweizer Prüfmodul statt der pauschalen Aussage „DSGVO-konform“.

Wer die Erstsichtung technisch ergänzen will, kann HireSift als mögliche CV-Screening-Ergänzung in die Anbieterprüfung aufnehmen. Entscheidend bleiben der konkrete Datenfluss und die beschriebenen menschlichen Entscheidungsrechte.

Artikel 22 ersetzt keine Datenflussprüfung

Auch eine wirksame menschliche Entscheidung beantwortet nicht, wo Bewerberdaten verarbeitet werden. Einkauf und Datenschutz sollten primäre Speicherung, operative Verarbeitung, Backups, Telemetrie, Modell-Endpunkte, Support- und Fernzugriffe, Anbieterjurisdiktion sowie Unterauftragsverarbeiter getrennt dokumentieren.

Die redaktionelle Position von Recruiting Insights ist bewusst streng: vollständige europäische Speicherung und operative Verarbeitung, keine USA-Cloud, kein US-Supportzugriff und kein versteckter Drittlandpfad. Das ist eine Architektur- und Beschaffungspolitik, kein Beweis vollständiger DSGVO-Konformität. Umgekehrt ist nicht jede Übermittlung in die USA automatisch unzulässig. Der EDPB nennt Angemessenheitsbeschlüsse und geeignete Garantien als mögliche Transferwege; für teilnehmende US-Unternehmen verweist die Kommission auf den EU-US Data Privacy Framework.[6][7]

Fazit: Nicht der Klick, sondern der Einfluss zählt

Artikel 22 wird nicht bei jeder KI-Unterstützung im Recruiting zum Verbotsschild. Entscheidend ist, ob ein System die maßgebliche Entscheidung ausschließlich automatisiert trifft, ob die Wirkung erheblich ist und ob eine menschliche Prüfung den Namen verdient.

Ein belastbarer Prozess hält Originalinformationen offen, platziert die Prüfung vor der Wirkung, erlaubt Override und Stopp und wertet wiederkehrende Fehler aus. Wer nur einen Bestätigen-Button ergänzt, hat noch keine menschliche Kontrolle geschaffen. Wer Kriterien, Kontext, Entscheidung und Eskalation tatsächlich in menschlicher Hand hält, kann Automatisierung nutzen, ohne Verantwortung an das Ranking abzugeben.

Praxischeck: Nehmt die letzten 20 KI-gestützten Vorauswahlen und prüft, wer Originaldaten gesehen hat, welche Vorschläge geändert wurden und wer den Prozess bei einem wiederkehrenden Fehler stoppen könnte.

Sources

[1] https://www.edpb.europa.eu/documents/guideline/automated-decision-making-and-profiling_en — EDPB: Automated decision-making and profiling [2] https://ec.europa.eu/newsroom/article29/redirection/document/49826 — WP29/EDPB Guidelines on automated decisions and profiling [3] https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230186de.pdf — EuGH C-634/21 SCHUFA (Pressemitteilung) [4] https://www.edoeb.admin.ch/de/informationspflicht — EDÖB: Informationspflicht [5] https://www.edoeb.admin.ch/de/datenbearbeitung-durch-den-arbeitgeber — EDÖB: Datenbearbeitung durch den Arbeitgeber [6] https://www.edpb.europa.eu/sme/be-compliant/international-data-transfers_en — EDPB: International data transfers [7] https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en — European Commission: EU-US data transfers