DSGVO und KI in der Zeitarbeit: Was bei Bewerberdaten und Mitarbeiterdaten erlaubt ist

Ein Disponent öffnet morgens das ATS und sieht 47 neue Bewerbungen. Das System hat bereits gescort, sortiert, drei davon rot markiert. Bevor er den ersten Lebenslauf liest, hat eine KI schon entschieden, wer oben steht und wer unten. Das ist Alltag in der Branche. Aber: Bewerberdaten gehören zu den sensibelsten Kategorien im Datenschutzrecht. Wer sie durch ein KI-System laufen lässt, braucht eine belastbare Rechtsgrundlage, transparente Prozesse und die Gewissheit, dass kein Algorithmus allein über Menschen entscheidet.

Welche Rechtsgrundlage trägt das KI-Matching?

In Deutschland gilt für Bewerberdaten eine eigene Norm: § 26 Abs. 1 Satz 1 BDSG. Personenbezogene Daten von Beschäftigten dürfen verarbeitet werden, „soweit dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist." Bewerber gelten nach § 26 Abs. 8 Nr. 2 BDSG als Beschäftigte im Sinne des Gesetzes.

Für KI-gestütztes Kandidaten-Matching heißt das: Solange das Tool der Vorauswahl dient und am Ende ein Mensch die Entscheidung trifft, ist § 26 Abs. 1 BDSG die Rechtsgrundlage. Das Wort „erforderlich" ist dabei der Prüfstein. Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe zu KI-Systemen klargestellt, dass ein Tool erforderlich sein kann, wenn es die gleiche Aufgabe schneller erledigt, ohne zusätzliche Daten zu erheben. CV-Parsing, Skill-Extraktion, Verfügbarkeitsabgleich: All das verarbeitet nur Daten, die der Bewerber selbst eingereicht hat. Voraussetzung ist allerdings, dass die Kandidatenprofile sauber strukturiert vorliegen; wer Freitext-Lebensläufe in ein KI-Tool kippt, verarbeitet oft mehr Daten als nötig.

Anders sieht es aus, wenn die KI zusätzliche Daten beschafft. Web-Scraping von Social-Media-Profilen, Stimmungsanalyse aus Telefoninterviews oder Persönlichkeitsbewertungen aus Schriftproben: Dafür reicht § 26 BDSG nicht. Hier bräuchten Sie eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die im Beschäftigungskontext an hohe Hürden gebunden ist (§ 26 Abs. 2 BDSG: Freiwilligkeit muss glaubhaft sein).

Wann greift das Verbot automatisierter Entscheidungen?

Art. 22 Abs. 1 DSGVO ist der Paragraph, den viele Anbieter lieber nicht zitieren: „Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt."

Für die Zeitarbeit ist die Frage: Ab wann „entscheidet" die KI? Die DSK-Orientierungshilfe unterscheidet klar zwischen Unterstützung und Entscheidung. Wenn Ihr System Kandidaten nach Passgenauigkeit sortiert und der Disponent die Rangliste als Vorschlag behandelt, greift Art. 22 nicht. Wenn das System aber automatisch Ablehnungsmails verschickt oder Kandidaten ohne menschliche Prüfung aus dem Pool entfernt, ist die Grenze überschritten.

In der Praxis liegt das Problem oft im Graubereich: Der Disponent „entscheidet" formal, schaut sich aber nur die Top 5 an, die die KI ausgewählt hat. Alle anderen bekommen faktisch keine Chance. Die Hamburger Datenschutzaufsicht hat in mehreren Beratungsverfahren darauf hingewiesen, dass eine pro-forma-Beteiligung eines Menschen Art. 22 nicht aushebelt. Der Mensch muss die Möglichkeit und die Bereitschaft haben, die KI-Empfehlung zu überstimmen.

Was Sie dokumentieren sollten: Wer hat die finale Entscheidung getroffen? Hat die Person Zugang zu allen Bewerbungsunterlagen gehabt, nicht nur zum KI-Score? Gibt es dokumentierte Fälle, in denen ein Disponent der KI-Empfehlung widersprochen hat? Ohne solche Nachweise wird eine Aufsichtsbehörde die „menschliche Beteiligung" anzweifeln.

Doppelte Verantwortlichkeit: Verleiher und Entleiher

In der Zeitarbeit gibt es eine Besonderheit, die andere Branchen nicht kennen: Zwei Unternehmen verarbeiten Daten derselben Person in unterschiedlichen Rollen. Der Verleiher ist datenschutzrechtlich Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die Bewerberdaten, den Arbeitsvertrag, die Entgeltabrechnung und die Sozialversicherungsmeldungen. Der Entleiher ist eigenständiger Verantwortlicher für alles, was er im Rahmen der Arbeitsorganisation verarbeitet: Arbeitszeiterfassung, Unterweisungsdokumentation, Zugangsberechtigungen, Schichtpläne.

Wenn Sie als Verleiher dem Entleiher ein Kandidatenprofil schicken (Name, Qualifikationen, Verfügbarkeit, Einsatzhistorie), ist das keine Auftragsverarbeitung. Der Entleiher verarbeitet die Daten für eigene Zwecke (Besetzungsentscheidung, Arbeitsorganisation). Es handelt sich um eine Übermittlung zwischen zwei Verantwortlichen. Die Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des AÜV) in Verbindung mit §§ 11, 12 AÜG.

Das hat Konsequenzen für KI-Tools. Wenn Ihr ATS die Profile automatisch an die Entleiher-Plattform überträgt, brauchen Sie keine AVV (Auftragsverarbeitungsvertrag) mit dem Entleiher, aber Sie brauchen eine transparente Informationspflicht gegenüber dem Bewerber (Art. 13 Abs. 1 lit. e DSGVO: Empfänger oder Kategorien von Empfängern). Der Bewerber muss wissen, dass sein Profil an potenzielle Einsatzbetriebe weitergegeben wird.

KI-Tools und Drittlandstransfer: was bei US-Anbietern gilt

Die meisten KI-Tools im Recruiting basieren auf Sprachmodellen von US-Anbietern. OpenAI, Microsoft, Google. Seit Juli 2023 gibt es das EU-US Data Privacy Framework (DPF), das den Datentransfer an zertifizierte US-Unternehmen grundsätzlich ermöglicht. OpenAI ist seit März 2024 DPF-zertifiziert, Microsoft seit Langem.

Aber: Das DPF allein reicht nicht. Sie brauchen zusätzlich einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Anbieter. Und hier wird es praktisch relevant:

• ChatGPT Free/Plus: Kein AVV möglich. Eingaben werden für Modelltraining verwendet (sofern nicht opt-out). Für Bewerberdaten ausgeschlossen.
• ChatGPT Team/Enterprise: AVV (Data Processing Addendum) verfügbar. Eingaben werden nicht für Training verwendet. Geeignet, wenn Sie Bewerberdaten verarbeiten.
• Microsoft Azure OpenAI: AVV über den Microsoft-Rahmenvertrag. Daten bleiben in der gewählten Region (EU-Rechenzentren verfügbar). Aus DSGVO-Sicht die sicherste Option für produktive KI-Nutzung mit Bewerberdaten.
• Spezialisierte ATS-Anbieter (zvoove, Bullhorn, L1): Haben eigene KI-Funktionen integriert. AVV ist Teil des Hauptvertrags. Prüfen Sie, welches Basismodell dahinterliegt und ob Daten die EU verlassen.

Die Frage „dürfen wir ChatGPT nutzen?" hat also keine Ja/Nein-Antwort. Sie hängt vom Tarif, vom AVV-Status und davon ab, welche Daten konkret eingegeben werden. Anonymisierte Stellenausschreibungen in ChatGPT Free formulieren? Kein Problem. Einen Lebenslauf mit Name, Adresse und Geburtsdatum einfügen? Nur mit Business-Tarif und AVV. (Wie Sie solche Regeln intern festhalten, zeigt der Ratgeber zur Scheinselbständigkeit und Werkvertragsabgrenzung, der die Dokumentationspflichten im AÜG-Kontext beleuchtet.)

Datenschutz-Folgenabschätzung: wann sie Pflicht ist

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA) vor der Einführung von Verarbeitungstätigkeiten mit „voraussichtlich hohem Risiko". Die DSK-Positivliste (Muss-Liste) benennt explizit: „Einsatz von KI zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der Betroffenen."

Für Personaldienstleister heißt das: Sobald Sie ein KI-System einsetzen, das Bewerberprofile bewertet, matcht oder rankt, ist eine DSFA Pflicht. Nicht optional, nicht „nice to have". Die DSFA dokumentiert Risiken und Gegenmaßnahmen und muss vor dem Go-live abgeschlossen sein. Viele ATS-Anbieter liefern eine vorausgefüllte DSFA als Teil ihrer Dokumentation mit. Fragen Sie danach.

Was in die DSFA gehört: Beschreibung der Verarbeitung (welche Daten, welcher Algorithmus, welche Entscheidungen), Bewertung der Notwendigkeit und Verhältnismäßigkeit, Risiken für die Betroffenen (Diskriminierung, Intransparenz, Profilbildung) und die konkreten Abhilfemaßnahmen (menschliche Prüfung, Transparenz, Widerspruchsmöglichkeit).

Was Sie vor dem Einsatz regeln sollten

Die Rechtslage ist komplex, aber nicht unüberwindbar. Fünf Schritte, bevor Sie ein KI-Tool mit Bewerberdaten produktiv schalten:

1. Rechtsgrundlage dokumentieren. § 26 Abs. 1 BDSG für die Vorauswahl. Keine Einwilligung einholen (wirkt freiwillig, ist es im Bewerbungskontext selten).
2. Art. 22 absichern. Sicherstellen, dass ein Mensch jede Ablehnung prüft. Dokumentieren, dass die Person auch tatsächlich überstimmen kann und dies gelegentlich tut.
3. DSFA durchführen. Vor dem Go-live. Nicht nachträglich. Fragen Sie Ihren ATS-Anbieter nach einer Vorlage.
4. Informationspflichten erfüllen. Art. 13/14 DSGVO: Bewerber müssen wissen, dass KI eingesetzt wird, welche Logik dahintersteht und wer Empfänger ihrer Daten ist. Ergänzen Sie Ihre Datenschutzerklärung und den Bewerbungsprozess.
5. AVV prüfen. Für jeden KI-Anbieter: Gibt es einen Art.-28-konformen Vertrag? Verlassen Daten die EU? Ist das DPF-Zertifikat aktuell?

Einen breiteren Überblick darüber, wo KI in Ihrem Betrieb den größten Hebel hat und welche Compliance-Anforderungen jeweils gelten, liefert unsere KI-Potenzialanalyse für Personaldienstleister. Wer den Onboarding-Prozess digitalisieren will, stößt auf dieselben Fragen. Und wer wissen will, ob sich der Aufwand für ein kleines Unternehmen überhaupt rechnet, findet die Antwort im KI-ROI-Ratgeber.