KI-Scoring im Recruiting: Wann Sie eine DSFA prüfen müssen – und warum menschliche Kontrolle nicht genügt

Invalid Date

KI-Scoring im Recruiting: Wann Sie eine DSFA prüfen müssen – und warum menschliche Kontrolle nicht genügt

KI-gestützte Bewertungen können die Recherche in der Personalberatung strukturieren: Sie filtern Profile, heben vermeintlich passende Kandidaten hervor oder erstellen Rangfolgen für eine Longlist. Bei KI im Recruiting gelten die Vorgaben der DSGVO aber nicht erst, wenn eine Kandidatenliste an ein Kundenunternehmen weitergegeben wird. Entscheidend ist, welche Wirkung ein Score im tatsächlichen Auswahlprozess entfaltet. Ein Ranking wird nicht allein dadurch unbedenklich, dass ein Mensch es am Ende zur Kenntnis nimmt.

Die rechtliche Unsicherheit ist ein konkretes Hindernis für den KI-Einsatz. Unter Unternehmen, die noch keine KI nutzen, nennen 71 % fehlendes Wissen, 58 % unklare rechtliche Folgen und 53 % Datenschutz- und Privatsphärebedenken. Weitere Hürden sind Datenverfügbarkeit oder -qualität mit 45 %, inkompatible Systeme mit 44 % sowie zu hohe Kosten mit 28 %. Destatis Gerade deshalb sollten Personalberatungen Funktion, Datenflüsse und Entscheidungsschritte eines Systems vor der Produktivnutzung nachvollziehbar dokumentieren.

KI-Scoring ist Profiling – menschliche Kontrolle muss wirksam sein

Ein KI-Score zur Vorab-Sortierung oder zum Ranking von Bewerbern gilt als Profiling. Automatisierte Entscheidungen mit rechtlicher Wirkung ohne menschliche Prüfung sind grundsätzlich verboten. DSB NRW Das bedeutet nicht, dass jede automatisierte Sortierung im Recruiting unzulässig ist. Kritisch wird der Ablauf jedoch, wenn der Score faktisch bestimmt, welche Personen weiter berücksichtigt werden und welche ohne eigene inhaltliche Prüfung aus dem Verfahren fallen.

Ein Recruiting-CRM kann Kandidaten beispielsweise nach einer Relevanzbewertung ordnen. Prüft ein Berater anschließend nur die obersten Treffer und verwirft weitere Profile allein wegen ihrer Platzierung, bleibt seine Beteiligung formal. Die Vorauswahl folgt dann praktisch der Systemlogik, auch wenn ein Mensch organisatorisch eingebunden ist.

Wirksame menschliche Kontrolle verlangt mehr. Der zuständige Berater sollte das vollständige Profil gegen die Anforderungen des Mandats bewerten, die für das Ranking genutzten Angaben nachvollziehen und die Reihenfolge oder Entscheidung tatsächlich ändern können. Bei Executive-Search-Mandaten sollte sich zudem festhalten lassen, warum ein Kandidat trotz niedriger Bewertung relevant sein kann oder weshalb ein hoher Score fachlich nicht genügt. Der Score bleibt damit ein Recherchehinweis und ersetzt keine verantwortliche Bewertung.

Das gilt auch für etablierte Sourcing-Werkzeuge. LinkedIn Recruiter erlaubt unter anderem Filter für Titel, Standort, Unternehmen, Skills, Branchen, Seniorität, Berufserfahrung, aktuelle Positionsdauer, Sprachen und frühere Bewerbungen. Bei der KI-Relevanzanzeige bedeutet „high“ mindestens 70 % und „medium“ mindestens 30 % erfüllte Qualifikationen. Diese Werte beschreiben Produktlogiken, keine objektiven Eignungs- oder Rechtsstandards. LinkedIn Recruiter

Wann eine Datenschutz-Folgenabschätzung geprüft werden sollte

Die Frage einer Datenschutz-Folgenabschätzung, kurz DSFA, sollte bei KI im Recruiting und unter der DSGVO vor der Produktivnutzung dokumentiert geprüft werden. Besonders naheliegend ist dies, wenn ein System Bewerberdaten systematisch auswertet, Profile rankt und die Vorauswahl wiederkehrend beeinflusst.

Bei der Abgrenzung bestehen unterschiedliche Einschätzungen. Dr. Sait Yalazay bewertet eine DSFA bei systematischem Profiling oder umfangreichem KI-Einsatz in der Bewerbervorauswahl als praktisch verpflichtend. DSB NRW Das BayLDA erläutert dagegen, dass bei der Verarbeitung von Personaldaten in der Regel keine DSFA erforderlich sei; als mögliche Ausnahme nennt es umfangreiche zentrale Personalverwaltungen in internationalen Konzernstrukturen. BayLDA

Daraus folgt weder, dass KI im Recruiting stets eine DSFA erfordert, noch, dass bei Recruiting-Daten nie eine DSFA nötig ist. Maßgeblich sind Funktionsumfang und Prozessgestaltung. Eine reine Verschlagwortung von Profilen im CRM ist anders einzuordnen als ein System, das Lebensläufe semantisch analysiert, Eignung ableitet, mehrere Datenquellen zusammenführt und Kandidaten für eine Longlist priorisiert oder praktisch aus dem Verfahren drängt.

Für die dokumentierte Prüfung sollten Personalberatungen festhalten:

  • welche personenbezogenen Daten das Tool verarbeitet;
  • welche Merkmale, Bewertungen oder abgeleiteten Angaben entstehen;
  • ob das Tool Personen priorisiert oder ausschließt;
  • wer die Ergebnisse überprüft und welchen Entscheidungsspielraum diese Person hat;
  • ob der Score nur die Recherche unterstützt oder die Auswahl wiederkehrend prägt.

Unternehmen, die KI einsetzen, nutzen häufig textbezogene Verfahren: 48 % verwenden Technologien zur Analyse von Schriftsprache beziehungsweise Text Mining, 47 % Spracherkennung und 34 % Technologien zur Erzeugung natürlicher Sprache. Destatis Diese Nutzungszahlen ersetzen keine Prüfung der konkreten Recruiting-Funktion.

Rollen, Verträge und Datenflüsse vor dem Einsatz klären

Für den DSGVO-konformen Einsatz von KI im Recruiting müssen die Rollen entlang des Datenflusses geklärt werden. Ein Verantwortlicher bestimmt Zwecke und Mittel der Verarbeitung personenbezogener Daten. Ein Auftragsverarbeiter verarbeitet Daten ausschließlich auf Weisung des Verantwortlichen. Europäischer Datenschutzausschuss

In der klassischen Personalvermittlung und beim Headhunting sind Personalberatung und Kundenunternehmen in der Regel eigenständige Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Zwischen ihnen liegt damit regelmäßig keine Auftragsverarbeitung vor. DSB NRW Für einzelne KI-Funktionen lässt sich die Rolle jedoch nicht pauschal bestimmen. Sie hängt von der konkreten Mandatsgestaltung, den Datenflüssen, der Konfiguration und den tatsächlichen Entscheidungsbefugnissen ab.

Gegenüber einem CRM-, ATS- oder KI-Anbieter kann Auftragsverarbeitung vorliegen. Die vertragliche Regelung muss unter anderem Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Folgenabschätzungen, Löschung oder Rückgabe nach Vertragsende sowie Audits abdecken. Europäischer Datenschutzausschuss Für einen Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 9 DSGVO genügt die elektronische Form; die Schriftform gemäß § 126 BGB ist nicht erforderlich. BayLDA

Setzt ein Anbieter weitere Dienstleister ein, dürfen Unterauftragsverarbeiter nur nach vorheriger schriftlicher Autorisierung beauftragt werden. Ihr Vertrag muss dasselbe Datenschutzniveau wie der Hauptvertrag gewährleisten. Europäischer Datenschutzausschuss Bei US-Cloud-Diensten sind außerdem Standardvertragsklauseln, ein Auftragsverarbeitungsvertrag und der Schutz vor unzulässigen Zugriffen durch US-Nachrichtendienste zu prüfen. BayLDA

Active Sourcing, Speicherfristen und Longlists

Datenschutz beginnt nicht erst mit der ersten Nachricht. Schon das interne Anlegen eines Bewerberdatensatzes im CRM oder ATS ist eine datenschutzrechtliche Verarbeitung. DSB NRW Beim Active Sourcing muss die Information nach Art. 14 DSGVO spätestens bei der ersten Kommunikation oder innerhalb von 1 Monat erfolgen. DSB NRW

Die Recherche in öffentlich zugänglichen Berufsprofilen, etwa bei LinkedIn oder XING, ist grundsätzlich zulässig. Die Auswertung privater Social-Media-Profile auf Facebook oder Instagram ist dagegen unzulässig. DSB NRW Für die Aufnahme in einen Talent-Pool oder die Weitergabe von Bewerberdaten an mehrere namentlich nicht bekannte Kundenunternehmen ist eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich. DSB NRW

Speicherfristen benötigen eine technisch umgesetzte Löschroutine. Daten abgelehnter Bewerber dürfen nach entsprechender Information noch maximal sechs Monate gespeichert werden, um auf mögliche AGG-Klagen reagieren zu können. Eine längere Speicherung setzt eine Einwilligung voraus. DSB NRW Daten aus Initiativbewerbungen dürfen ohne passende Stelle und ohne gesonderte Einwilligung ebenfalls maximal sechs Monate aufbewahrt werden. DSB NRW

Für Talent-Pools empfiehlt Dr. Sait Yalazay eine Überprüfung alle 12 Monate sowie beispielsweise eine automatische Löschung nach 24 Monaten Inaktivität. DSB NRW Die Löschlogik sollte auch Scores, Ranglisten, abgeleitete Merkmale und exportierte Longlists erfassen.

Die Longlist ist ein sensibler Freigabepunkt. Im Executive-Search-Prozess folgen auf Briefing, Market Mapping, Sourcing und Identifikation zunächst Ansprache und Kontakt; erst danach entsteht die Longlist. AESC Ein typischer Longlist-Report kann Name, Unternehmen, aktuelle Position, Kontaktdaten, Lebenslauf und Gesprächsnotizen enthalten. AESC Lebensläufe sollten nicht unverschlüsselt per E-Mail an Kundenunternehmen versendet werden, weil dies nicht dem Stand der Technik entspricht. DSB NRW

EU-KI-Verordnung: Funktionsumfang separat prüfen

Neben den DSGVO-Pflichten muss die Einordnung nach der EU-KI-Verordnung für jede Recruiting-Funktion gesondert geprüft werden. Die aktuelle Anwendbarkeit von Pflichten für Recruiting-KI, insbesondere eine mögliche Hochrisiko-Einstufung, die Rollenverteilung und Übergangsfristen, ist anhand konsolidierter Primärquellen und des tatsächlichen Funktionsumfangs zu verifizieren. Pauschale Aussagen allein auf Grundlage einer Produktbeschreibung, Vertragsvorlage oder Sekundärquelle sind dafür nicht ausreichend.

Für die eingesetzte Funktion sollte deshalb zunächst dokumentiert werden, welchen Zweck sie erfüllt: Unterstützt sie nur die Recherche durch Filter und Sortierungen? Oder erzeugt sie Bewertungen, die Kandidaten priorisieren, herabstufen oder praktisch vom weiteren Prozess ausschließen? Neue Bewertungsmerkmale, Schnittstellen oder automatisierte Prozessschritte können die Wirkung eines Systems verändern und eine erneute Prüfung erforderlich machen.

Die praktische Konsequenz bleibt klar: Ein KI-Score darf Recherchearbeit priorisieren, aber keine ungeprüfte Ausschlusslogik schaffen. Personalberatungen sollten die DSFA-Frage vorab prüfen, Datenflüsse und Verträge klären, menschliche Entscheidungen nachvollziehbar gestalten sowie Speicher- und Löschregeln technisch umsetzen.

Quellen