KI-gestützte Bewerbervorauswahl: was DSGVO-konform ist und was nicht

Der Moment, in dem niemand mehr hinschaut

300 Bewerbungen auf** **eine Stelle. Ein Tool sortiert sie in wenigen Minuten vor. Nach Schlagworten, nach Punkten, nach einem Ranking. Oben stehen die Kandidatinnen und Kandidaten mit dem höchsten Score. Unten die, die aussortiert werden, ohne dass ein Mensch die Unterlagen je gesehen hat.

Für die Personalabteilung fühlt sich das nach Erleichterung an. Endlich Zeit gespart. Endlich Ordnung in einem Stapel, der sonst tagelang liegen geblieben wäre.

Und genau an dieser Stelle sehe ich den häufigsten Fehler bei wachsenden Unternehmen in Österreich. Das Tool wird eingeführt, weil es Arbeit abnimmt. Die Frage, wie das mit der DSGVO und dem österreichischen Datenschutzgesetz zusammenpasst, kommt erst danach. Wenn überhaupt.

Fehler eins: Die Rechtsgrundlage fehlt

Jede Verarbeitung von Bewerberdaten braucht eine Rechtsgrundlage. Für die Bewerbung per E-Mail genauso wie für ein KI-gestütztes Auswahlsystem. In der Praxis berufen sich viele Unternehmen einfach auf das Bewerbungsverfahren selbst, ohne zu fragen, ob die automatisierte Auswertung davon überhaupt gedeckt ist.

Das Bewerbungsverfahren erlaubt, Unterlagen zu sichten und eine Entscheidung zu treffen. Es erlaubt nicht automatisch, dass ein Algorithmus Lebensläufe scannt, Merkmale daraus ableitet und Bewerbende in Kategorien einteilt, die über die Stellenanforderung hinausgehen.

Wer ein Tool einführt, sollte vorher festhalten: welche Daten verarbeitet werden, wozu genau, und auf welcher Grundlage. Das klingt nach Papierkram. In Wahrheit ist es die Leitplanke, die später jede Rückfrage beantwortbar macht. Egal ob sie von einer Bewerberin kommt oder von der österreichischen Datenschutzbehörde.

Fehler zwei: Bewerber erfahren nichts von der KI

Der zweite Fehler, den ich immer wieder sehe: Bewerber erfahren nirgends, dass ihre Unterlagen durch ein automatisiertes System laufen.

Die Ausschreibung klingt wie immer. Die Bestätigungsmail klingt wie immer. Nur die Absage kommt auffällig schnell. Manchmal innerhalb von Minuten.

Was hier fehlt, ist nicht nur eine Information, die die DSGVO verlangt. Es ist auch das Gefühl auf der anderen Seite, ernst genommen worden zu sein.

Eine Bewerberin, die weiß, dass die erste Vorauswahl automatisiert läuft, und die weiß, wer im Unternehmen dafür verantwortlich ist, reagiert anders als jemand, der sich nur wundert, warum die Rückmeldung so unpersönlich kam. Transparenz kostet hier ein paar Sätze in der Datenschutzinformation zur Bewerbung. Ihr Fehlen kostet Vertrauen, noch bevor das Arbeitsverhältnis überhaupt begonnen hat.

Fehler drei: Es werden mehr Daten gesammelt als nötig

Der dritte Fehler liegt in der Menge der Daten, nicht in der Technik dahinter.

Manche Tools ziehen aus einem Lebenslauf mehr heraus, als für die Stelle gebraucht wird. Alter, Wohnort, Ausbildungsdauer. Manchmal Rückschlüsse aus Formulierungen oder aus Lücken im Lebenslauf. Je mehr ein System herausliest, desto mehr Daten werden gespeichert und verglichen. Ganz gleich, ob sie für die konkrete Position relevant sind.

Das Prinzip dahinter ist einfach. Verarbeitet werden dürfen nur die Daten, die für die Entscheidung tatsächlich gebraucht werden. In der Praxis heißt das: vor der Einführung prüfen, welche Felder und Auswertungen wirklich nötig sind, und alles andere abschalten, wenn es technisch geht. Und wenn es nicht geht, ist genau das eine wichtige Information für die Frage, ob dieses Tool überhaupt infrage kommt.

Fehler vier: Der Anbieter wird nicht geprüft

Der vierte Fehler passiert außerhalb des eigenen Hauses, und deshalb wird er so leicht übersehen. Das Tool läuft auf den Servern eines Anbieters. Damit landen die Bewerberdaten bei einem Dritten, und dafür trägt trotzdem das Unternehmen die Verantwortung, nicht der Anbieter.

Was in der Praxis oft fehlt: ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Eine klare Antwort, wo die Daten gespeichert werden und ob sie das EU-Gebiet verlassen. Und die Auskunft, nach welchen Kriterien das System eigentlich sortiert.

Der letzte Punkt ist der unbequemste. Wenn ein Anbieter nicht erklären kann oder will, wie sein Ranking zustande kommt, dann führt man ein System ein, dessen Entscheidungen man selbst nicht begründen kann. Spätestens wenn eine Bewerberin fragt, warum sie aussortiert wurde, steht man ohne Antwort da. Das ist kein technisches Detail. Das ist die Frage, ob man dem Werkzeug überhaupt vertrauen darf.

Erst der Prozess, dann das Werkzeug

Alle vier Fehler haben denselben Ursprung. Das Tool kommt zuerst, die Ordnung dahinter soll sich schon irgendwie ergeben.

Meine Erfahrung ist das Gegenteil. Ein Auswahlprozess, der vorher unklar war, wird durch KI nicht sauberer. Er wird nur schneller unklar, und das an 300 Bewerbungen gleichzeitig.

Wer weiß, welche Daten er wozu braucht, wer den Bewerbenden sagt, was passiert, und wer den Anbieter geprüft hat, für den ist so ein Tool eine echte Erleichterung. Für alle anderen ist es der Moment, in dem niemand mehr hinschaut.

**Die ehrliche Frage, bevor die nächste Software kommt: **Wie sauber ist euer Auswahlprozess, wenn man den Algorithmus mal wegdenkt?

Wenn ihr da unsicher seid, redet mit uns, bevor das Tool läuft. In einem unverbindlichen Call schauen wir uns euren Bewerbungsprozess an und sagen euch offen, wo die Rechtsgrundlage, die Transparenz und der Anbieter stehen. Kein Verkaufsgespräch, sondern eine ehrliche Einschätzung, ob ihr bereit seid, KI ins Recruiting zu lassen.