KI im Recruiting ist erlaubt, solange sie zuarbeitet und ein Mensch entscheidet. Stellenanzeige entwerfen, Termine abstimmen, Gespräche vorbereiten, Bewerbungen zusammenfassen: Das geht, wenn du Datenschutz und Gleichbehandlung beachtest. Wer eingeladen, abgelehnt oder eingestellt wird, entscheidet ein Mensch, denn eine rein automatisierte Absage verbietet Art. 22 DSGVO grundsätzlich. Verboten ist seit dem 2. Februar 2025 KI, die am Arbeitsplatz Gefühle erkennen soll, nach Lesart der EU-Kommission auch im Bewerbungsgespräch. Und Systeme, die dafür gedacht sind, Bewerbungen zu sichten, zu filtern oder zu bewerten, gelten nach der KI-Verordnung als hochriskant, mit Pflichten für dich als Arbeitgeber ab dem 2. Dezember 2027.
Ich bin Entwickler und kein Anwalt, das hier ist keine Rechtsberatung, sondern die Betreiber-Perspektive. Grundlage sind die Gesetzestexte auf EUR-Lex und gesetze-im-internet.de, Stand der Quellen 31.10.2026, bei der KI-Verordnung die konsolidierte Fassung vom 27.07.2026 mit den Änderungen durch die Verordnung (EU) 2026/1744. Weitere Beiträge zu KI im Betrieb sammle ich auf der Seite KI-Grundlagen.
KI im Recruiting: was geht, was nicht
Was die KI-Verordnung zum Recruiting sagt
Hochrisiko nach Anhang III Nr. 4. Als hochriskant gelten unter anderem „KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten“. Gezielt schalten meint nach meinem Verständnis das Ausspielen einer Anzeige an bestimmte Personen, nicht das Formulieren des Textes.
„Bestimmungsgemäß“ zählt. Gemeint ist die Zweckbestimmung, also wofür der Anbieter das System laut Betriebsanleitung und Werbung gedacht hat (Art. 3 Nr. 12). Eine Bewerbermanagement-Software mit Ranking fällt darunter, ein allgemeiner Chatbot für den Anzeigentext nicht.
Aber Vorsicht beim Umbauen. Wer die Zweckbestimmung eines Systems, ausdrücklich auch eines KI-Systems mit allgemeinem Verwendungszweck, so verändert, dass es zum Hochrisiko-System wird, gilt nach Art. 25 Abs. 1 Buchst. c selbst als Anbieter, mit den Anbieterpflichten aus Art. 16. Meine Lesart: Wer ChatGPT oder Claude als festen Baustein einbaut, der Bewerbungen bewertet und eine Rangliste ausgibt, kommt dieser Regel nahe.
Ausnahmen mit Grenze. Art. 6 Abs. 3 nimmt Systeme aus, die etwa nur eine „eng gefasste Verfahrensaufgabe“ oder eine „vorbereitende Aufgabe“ erledigen. Ein System aus Anhang III gilt aber „immer dann als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt“, also persönliche Aspekte wie die Arbeitsleistung automatisiert bewertet (Art. 4 Nr. 4 DSGVO). Ein Bewerber-Ranking ist nach meinem Verständnis genau das.
Betreiberpflichten nach Art. 26 und ab wann sie gelten
Setzt du ein Hochrisiko-System als Arbeitgeber ein, bist du Betreiber. Art. 26 verlangt unter anderem:
- Einsatz nach der Betriebsanleitung des Anbieters (Abs. 1),
- menschliche Aufsicht durch Personen, „die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“ (Abs. 2),
- Eingabedaten, die zum Zweck passen und „ausreichend repräsentativ“ sind, soweit du sie kontrollierst (Abs. 4),
- Überwachung des Betriebs, bei Risiken Meldung an Anbieter und Behörde (Abs. 5),
- automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren (Abs. 6),
- Arbeitnehmervertreter und betroffene Beschäftigte vorab informieren (Abs. 7),
- Personen, über die das System mitentscheidet, informieren, also auch Bewerber (Abs. 11).
Ab wann. Ursprünglich sollten diese Pflichten ab dem 2. August 2026 gelten. Die Verordnung (EU) 2026/1744, in Kraft seit dem 27.07.2026, hat Art. 113 neu gefasst: Kapitel III Abschnitte 1 bis 3, also auch Art. 6, 16, 25 und 26, gilt für Anhang-III-Systeme ab dem 2. Dezember 2027. Art. 26 selbst hat sie nicht geändert. Den Überblick über alle Fristen findest du in KI-Gesetz der EU: Überblick und Fristen 2026.
Verboten seit Februar 2025: Emotionserkennung im Bewerbungsgespräch
Art. 5 Abs. 1 Buchst. f verbietet KI-Systeme „zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen“, außer aus medizinischen Gründen oder Sicherheitsgründen. Das gilt seit dem 2. Februar 2025.
Laut den Leitlinien der EU-Kommission zu verbotenen Praktiken (C(2025) 5052 vom 29.07.2025, Rn. 254) gilt der Arbeitsplatz auch für Bewerber im Auswahlverfahren; Emotionserkennung im Recruiting sei verboten. Die Leitlinien sind nicht verbindlich. Erfasst sind danach Systeme, die aus biometrischen Daten wie Mimik oder Stimme schließen, nicht die Tonalitätsanalyse geschriebener Texte. Ein Video-Interview-Werkzeug, das Nervosität aus Gesicht oder Stimme ablesen will, ist also tabu.
Art. 22 DSGVO: die Entscheidung bleibt beim Menschen
Art. 22 Abs. 1 DSGVO gibt jeder Person das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung […] beruhenden Entscheidung unterworfen zu werden“, die ihr gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Erwägungsgrund 71 nennt als Beispiel ausdrücklich „Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen“.
Wie weit das reicht, zeigt das SCHUFA-Urteil des EuGH vom 07.12.2023 (C-634/21): Schon ein automatisch erstellter Wahrscheinlichkeitswert kann eine solche Entscheidung sein, wenn ein anderer sich „maßgeblich“ darauf stützt. Das Urteil betraf Kreditwürdigkeit. Meine Lesart für Bewerbungen: Wer die Rangliste einer KI übernimmt und die untere Hälfte ungelesen absagt, hat die Entscheidung abgegeben, auch wenn am Ende ein Mensch auf „Senden“ klickt.
Die Grenze zwischen Feststellen und Entscheiden beschreibt Was darf eine KI-Führungsrolle entscheiden?
Bewerberdaten: § 26 BDSG und der EuGH
Bewerber gelten nach § 26 Abs. 8 Satz 2 BDSG als Beschäftigte. Nach § 26 Abs. 1 dürfen ihre Daten verarbeitet werden, wenn das „für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses […] erforderlich ist“.
Diese Vorschrift steht seit 2023 unter einem Vorbehalt. Der EuGH entschied am 30.03.2023 (C-34/21) über eine fast wortgleiche hessische Regel: Nationale Vorschriften zum Beschäftigtendatenschutz müssen „unangewendet bleiben“, wenn sie die Vorgaben von Art. 88 DSGVO nicht erfüllen. Regeln, die nur die Erforderlichkeit wiederholen, „scheinen“ nichts über Art. 6 Abs. 1 Buchst. b DSGVO hinaus hinzuzufügen (Rn. 81). Über § 26 BDSG selbst hat der EuGH nicht entschieden. Welche Rechtsgrundlage in deine Datenschutzhinweise gehört, lässt du prüfen.
Ein eigenes Beschäftigtendatenschutzgesetz gibt es Stand 31.10.2026 nicht. Im Bundestag fordert ein Antrag der Grünen-Fraktion vom 23.09.2026 (Drucksache 21/8145) die Bundesregierung auf, einen Entwurf vorzulegen.
Praktisch heißt das: Lebensläufe nur in Werkzeuge mit Auftragsverarbeitungsvertrag, und nur so viel, wie die Aufgabe braucht. Wie du Daten vor dem Eingeben aussortierst, steht in KI und Datenschutz: was die KI sehen darf.
AGG: Diskriminierung und Beweislast
Auch für das Allgemeine Gleichbehandlungsgesetz gelten Bewerber als Beschäftigte (§ 6 Abs. 1 Satz 2 AGG). Niemand darf wegen der Rasse oder ethnischen Herkunft, des Geschlechts, der Religion oder Weltanschauung, einer Behinderung, des Alters oder der sexuellen Identität benachteiligt werden (§§ 1, 7), und schon die Ausschreibung darf nicht dagegen verstoßen (§ 11).
Heikel ist die Beweislast nach § 22 AGG: Beweist eine Bewerberin Indizien, die eine Benachteiligung vermuten lassen, musst du beweisen, dass kein Verstoß vorlag. Die Entschädigung bei einer Nichteinstellung ist nach § 15 Abs. 2 auf drei Monatsgehälter begrenzt, wenn die Person auch bei fairer Auswahl nicht eingestellt worden wäre; geltend machen muss sie das binnen zwei Monaten nach Zugang der Absage.
Dass KI-Modelle Lebensläufe je nach Name unterschiedlich einordnen können, belegen Studien, die ich in KI-Bias: warum KI Vorurteile hat zusammengefasst habe. Kannst du nicht zeigen, nach welchen Kriterien ausgewählt wurde, wird der Gegenbeweis schwer. Das ist meine Einschätzung, kein Urteil.
Betriebsrat: §§ 87, 94 und 95 BetrVG
Gibt es einen Betriebsrat, brauchen Auswahlrichtlinien für Einstellungen seine Zustimmung, nach § 95 Abs. 2a BetrVG auch, wenn dabei KI zum Einsatz kommt. Ein Fragebogen, den Bewerber ausfüllen, auch als Formular oder Chat, kann ein Personalfragebogen sein und braucht dann nach § 94 Abs. 1 ebenfalls seine Zustimmung. Bei Werkzeugen, die Verhalten oder Leistung überwachen können, bestimmt er nach § 87 Abs. 1 Nr. 6 mit. Die Einzelheiten stehen in KI und Betriebsrat: wann Mitbestimmung greift.
So setzt du KI im Recruiting sauber ein
Ein Beispiel: Ein Handwerksbetrieb mit zwölf Leuten sucht eine Bürokraft und bekommt vierzig Bewerbungen. So kann der Ablauf aussehen:
- Kriterien zuerst. Leg aus der Stelle drei bis fünf sachliche Kriterien fest, bevor du eine Bewerbung öffnest.
- KI für Texte. Lass die KI die Stellenanzeige entwerfen und lies sie auf Klischees gegen. Gute Arbeitsaufträge zeigen die Prompt-Vorlagen: 12 Briefings zum Kopieren für Selbstständige.
- Daten sparsam. Wenn die KI Bewerbungen zusammenfasst: nur in einem Werkzeug mit Auftragsverarbeitungsvertrag, ohne Foto, Geburtsdatum und Angaben ohne Bezug zur Stelle.
- Jede Bewerbung liest ein Mensch. Die KI darf auf Fundstellen zu deinen Kriterien hinweisen. Wer weiterkommt, entscheidest du und schreibst einen Satz Begründung dazu.
- Getrennt prüfen. Für jedes Ergebnis gilt bei mir eine Hausregel: Wer etwas erstellt, prüft es nicht selbst. Lass eine zweite Person die Absageliste gegenlesen.
- Ehrlich informieren. Schreib in die Datenschutzhinweise für Bewerber, wofür du KI einsetzt.
Kaufst du ein Bewerbermanagement-System mit KI, frag den Anbieter schriftlich, ob es als Hochrisiko-System eingestuft ist und ob es Emotionen aus Video oder Stimme ableitet. Was gilt, wenn trotzdem etwas schiefgeht, steht in Wer haftet, wenn die KI einen Fehler macht?
Häufige Fragen
Darf ich eine Stellenanzeige mit ChatGPT oder Claude schreiben?
Ja, das Formulieren einer Anzeige ist keine Auswahl von Personen. Lies den Entwurf gegen § 11 AGG: keine Altersgrenzen, nichts, was ein Geschlecht oder eine Herkunft bevorzugt.
Darf KI Bewerbungen vorsortieren?
Vorsortieren mit Ranking oder Filter ist genau der Einsatz, den Anhang III Nr. 4 der KI-Verordnung als hochriskant nennt, dazu kommen Art. 22 DSGVO und das AGG. Eine Zusammenfassung, die ein Mensch neben der vollständigen Bewerbung liest, ist etwas anderes als eine Rangliste, nach der abgesagt wird. Das ist keine Rechtsberatung, im Einzelfall lass dich beraten.
Muss ich Bewerber informieren, dass KI im Spiel ist?
Für Hochrisiko-Systeme ja, nach Art. 26 Abs. 11 KI-Verordnung ab dem 2. Dezember 2027. Nach Art. 13 DSGVO gehören Zwecke und Rechtsgrundlage der Verarbeitung schon heute in deine Datenschutzhinweise, bei automatisierten Entscheidungen auch die Logik dahinter.
Gibt es ein neues Beschäftigtendatenschutzgesetz?
Nein, Stand 31.10.2026 nicht. Es gelten DSGVO und § 26 BDSG, dieser mit dem Vorbehalt aus dem EuGH-Urteil C-34/21.
Wie du weitermachst
Schreib diese Woche auf, wo KI im Personalwesen deines Betriebs schon mitläuft, gerade im Bewerbungsablauf, und wer dort entscheidet. Dann leg die Kriterien für die nächste Ausschreibung fest. Die Regeln fürs Team gehören in eine KI-Richtlinie für dein Team, und wer im Betrieb KI nutzt, braucht die passende KI-Kompetenz nach AI Act. Wie andere Betriebe KI einsetzen, besprechen wir in meiner deutschsprachigen Community Claude Practitioners. Eine rechtliche Prüfung ersetzt die Mitgliedschaft nicht.
