KI im Recruiting in Deutschland: DSGVO, AI Act und Betriebsrat 2026

Kurzantwort

Unternehmen in Deutschland dürfen KI im Recruiting einsetzen, aber rein automatisierte Einstellungsentscheidungen sind nach DSGVO Art. 22 grundsätzlich verboten. Ein Mensch muss entscheiden, Bewerber müssen informiert werden, und ab August 2026 gelten zusätzliche EU-AI-Act-Pflichten.

• DSGVO Artikel 22 verbietet rein automatisierte Einstellungsentscheidungen mit erheblichen Auswirkungen, daher braucht es einen echten menschlichen Prüfschritt.
• BDSG § 26 ist meist die tragende Rechtsgrundlage für Bewerberdaten; eine Einwilligung ist im Arbeitskontext oft nicht belastbar.
• KI-Systeme für Recruiting fallen unter den Hochrisiko-Rahmen des EU AI Act, dessen Pflichten ab 2. August 2026 greifen.
• Der Betriebsrat kann die Einführung von HR-Technologie nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmen und Verhandlungen erzwingen.

KI im Recruiting ist in Deutschland nur dann rechtssicher einsetzbar, wenn ein Mensch die eigentliche Einstellungsentscheidung trifft, Bewerber DSGVO-konform informiert werden und Unternehmen sich vor dem 2. August 2026 auf die Hochrisiko-Pflichten des EU AI Act vorbereiten. Für HR-Teams bedeutet das vor allem: menschliche Prüfung dokumentieren, Anbieter kritisch prüfen und den Betriebsrat frühzeitig einbinden.

Die Kurzfassung:

• Bewerber dürfen nicht allein durch Software aussortiert oder priorisiert werden.
• BDSG § 26 und transparente Datenschutzinformationen sind die Basis für Bewerberdaten.
• Der EU AI Act ist kein fernes Thema mehr, sondern ein konkretes 2026-Projekt.
• Ohne saubere Betriebsratsstrategie scheitert die Einführung oft schon vor dem Go-live.

KI im Recruiting in Deutschland: Die direkte Antwort für 2026

Ja, aber nur mit klaren Grenzen. Unternehmen in Deutschland dürfen KI für Sichtung, Strukturierung und Unterstützung von Auswahlprozessen einsetzen, aber nicht die eigentliche Personalentscheidung automatisieren. Die zentrale Grenze zieht DSGVO Artikel 22, der Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung grundsätzlich verbietet, wenn sie ausschließlich automatisiert getroffen werden.

In der Praxis bedeutet das:

• KI darf Lebensläufe priorisieren, fehlende Qualifikationen markieren oder Bewerbungen strukturieren.
• Sie darf Bewerber nicht allein auf Basis eines Scores ablehnen, einladen oder benachteiligen.
• Ein Mensch muss die Ausgabe eigenständig bewerten; bloßes Abnicken reicht nicht.

Für den Gesamtüberblick helfen unser EU AI Act Compliance-Leitfaden für deutsche Unternehmen und unser Leitfaden zur KI-Recruiting-Compliance.

DSGVO Artikel 22 und automatisierte Einstellungsentscheidungen

DSGVO Artikel 22 verbietet grundsätzlich Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Auswirkungen haben. Im Recruiting erfüllt die Ablehnung, Aufnahme in die engere Auswahl oder Einladung zum Vorstellungsgespräch dieses Kriterium eindeutig.

Drei Ausnahmen nach Artikel 22 Abs. 2:

1. Die Entscheidung ist für den Abschluss eines Vertrags mit der betroffenen Person erforderlich.
2. Die Entscheidung ist durch Unionsrecht oder nationales Recht zugelassen.
3. Die betroffene Person hat ausdrücklich eingewilligt.

In der deutschen Recruitingpraxis wird häufig geprüft, ob Ausnahme (1) in engen Grenzen hilft, weil Bewerberdaten zur Vorbereitung eines Arbeitsvertrags verarbeitet werden. Aber selbst dann gilt: Artikel 22 Abs. 3 verlangt Schutzmaßnahmen wie das Recht auf menschliche Überprüfung, auf Darstellung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Was gilt als „ausschließlich automatisiert”? Nach der Leitlinie der EDPB muss der Mensch eine echte Entscheidung treffen. Wer lediglich das algorithmische Ergebnis bestätigt, ohne eigenständige Beurteilung, handelt im Zweifel noch immer „rein automatisiert”.

Genau deshalb ist die Prozessgestaltung so wichtig. Ein belastbarer Recruiting-Prozess beschreibt, wer den KI-Output prüft, wann eine Eskalation erfolgt und wie Abweichungen vom Vorschlag des Systems dokumentiert werden.

BDSG § 26 — Schutz von Bewerberdaten in Deutschland

§ 26 des Bundesdatenschutzgesetzes (BDSG) liefert die spezifische Rechtsgrundlage für die Verarbeitung von Bewerberdaten. Er erlaubt die Verarbeitung, soweit sie für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist.

Was HR-Teams wissen müssen:

• Einwilligung ist selten die richtige Rechtsgrundlage für Bewerberdaten. Das Machtgefälle zwischen Arbeitgeber und Bewerbern macht eine freiwillige Einwilligung im DSGVO-Sinne kaum darstellbar. Stützen Sie sich auf § 26 BDSG.
• Besondere Kategorien (Gesundheit, Behinderung, ethnische Herkunft) erfordern eine höhere Rechtfertigungsschwelle — in der Regel ausdrückliche Einwilligung oder Notwendigkeit zur Ausübung von Rechten aus dem Arbeitsrecht.
• Löschpflichten: Bewerberdaten müssen nach Abschluss des Recruitingprozesses in angemessener Frist gelöscht werden. Die deutsche Praxis hält 4–6 Monate für vertretbar; längere Aufbewahrung bedarf einer Begründung.
• Datensparsamkeit: Erheben Sie nur die für die Stelle relevanten Daten. KI-Tools, die aus Lebenslauftexten oder Video-Interviews Persönlichkeitsprofile, Kulturfit-Scores oder psychometrische Merkmale ableiten, tragen ein erhöhtes Risiko.

Wenn Ihr Anbieter große Mengen an Bewerberdaten verarbeitet oder Infrastruktur außerhalb der EU nutzt, sollten Sie die Beschaffung zusätzlich mit unserer DSGVO-Checkliste für AI-Anbieter absichern.

Was Arbeitgeber vor dem 2. August 2026 tun sollten

Der EU AI Act ist seit August 2024 in Kraft. Für die meisten Recruiting-Systeme greifen die Hochrisiko-Pflichten aber erst ab 2. August 2026. In Anhang III erfasst sind insbesondere Systeme, die:

• KI zur Vorauswahl oder Filterung von Bewerbungen.
• KI zur Bewertung von Kandidaten in Tests im Rahmen oder zur Vorbereitung von Auswahlverfahren.
• KI, die Entscheidungen über Beförderung, Kündigung oder Aufgabenzuteilung trifft oder maßgeblich beeinflusst.

Für Unternehmen in Deutschland heißt das praktisch: 2025 und 2026 sind die Umsetzungsphase, nicht die Wartephase. Ab dem 2. August 2026 sollten Unternehmen, die Hochrisiko-KI im Recruiting einsetzen, vorbereitet sein auf:

• Sicherstellen, dass das System beim EU-Anbieterregister für Hochrisiko-KI eingetragen ist (Pflicht der Anbieter).
• Eine Konformitätsbewertung durchführen oder die CE-Kennzeichnung des Anbieters prüfen.
• Protokolle über die Systemnutzung führen und ein Monitoring betreiben.
• Menschliche Aufsichtsmaßnahmen implementieren.
• Transparenz gegenüber betroffenen Personen sicherstellen.

Wenn Sie heute einen Anbieter auswählen oder verlängern, fragen Sie jetzt nach dem AI-Act-Compliance-Fahrplan. Wer im Mai 2026 keine belastbare Antwort zu Dokumentation, Logging, Human Oversight und Überwachung liefern kann, verschiebt das Risiko direkt auf Ihr HR-Team.

Einen umfassenden Überblick finden Sie in unserem Branchenüberblick KI Act im HR- und Recruitingbereich und in unserer Checkliste zur August-2026-Frist.

Welche KI-Recruiting-Tools sind in der Praxis am beherrschbarsten?

Es gibt keine offizielle Positivliste. Die entscheidenden Fragen bei der Bewertung eines KI-Recruiting-Tools:

1. Hat der Anbieter einen Auftragsverarbeitungsvertrag (AVV)? Nach DSGVO Artikel 28 zwingend erforderlich, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Prüfen Sie den AVV sorgfältig — insbesondere Unterauftragsverarbeiter, Datenspeicherort und Meldefristen bei Datenpannen.

2. Wo werden die Daten verarbeitet? Datenübermittlungen außerhalb der EU/des EWR erfordern zusätzliche Schutzmaßnahmen (Standardvertragsklauseln, Angemessenheitsbeschluss). US-amerikanische Anbieter müssen durch den EU-US-Datenschutzrahmen oder SCCs abgesichert sein.

3. Unterstützt das Tool eine menschliche Prüfung? Jedes Tool, das vorgibt, autonome Einstellungsentscheidungen ohne Mensch zu treffen, begründet Haftungsrisiken nach DSGVO Artikel 22. Das Tool soll menschliche Entscheidungen unterstützen, nicht ersetzen.

4. Stellt der Anbieter Dokumentation zur AI-Act-Compliance bereit? Ab August 2026 müssen Sie nachweisen können, dass das eingesetzte System die Hochrisiko-Anforderungen des EU AI Act erfüllt. Fordern Sie jetzt die technische Dokumentation und Konformitätsbewertungsunterlagen an.

Typische Toolkategorien in der Praxis:

• ATS mit KI-Ranking: Meist am ehesten beherrschbar, wenn das System nur unterstützt und nicht autonom entscheidet.
• Eigenständige CV-Screening-KI: Deutlich riskanter, weil der Score schnell zum faktischen Gatekeeper wird.
• Video-Interview-KI: Besonders sensibel in Deutschland, vor allem bei Mimik-, Stimm- oder biometrischen Rückschlüssen.

Betriebsrat und KI-Recruiting

Unternehmen ab fünf Beschäftigten können einen Betriebsrat haben. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) hat der Betriebsrat zwingend mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen.

Auch wenn Bewerber keine Arbeitnehmer sind, haben Arbeitsgerichte und die arbeitsrechtliche Literatur Bewerber-Tracking-Systeme in der Regel als mitbestimmungspflichtig eingestuft, wenn HR-Mitarbeiter mit dem System interagieren oder wenn die Entscheidungen die Zusammensetzung der Belegschaft beeinflussen.

In der Praxis:

• Informieren Sie den Betriebsrat, bevor Sie ein KI-Recruiting-Tool einführen.
• Schließen Sie eine Betriebsvereinbarung ab, die Nutzung, Datenzugriff, Aufbewahrungsfristen und den menschlichen Prüfschritt regelt.
• Der Betriebsrat kann die Einstellungsentscheidung nicht verhindern, aber die Nutzung des Tools rechtlich unmöglich machen, wenn keine Einigung erzielt wird.
• Verstöße gegen das Mitbestimmungsrecht können zu einstweiligen Verfügungen gegen den Systemeinsatz führen.

In vielen Projekten ist das der eigentliche Engpass. Nicht die Frage, ob KI abstrakt erlaubt ist, sondern ob Datenschutz, HR und Betriebsrat gleichzeitig einen tragfähigen Rollout sehen.

Praktische Compliance-Checkliste für KI im Recruiting in Deutschland

Diese Checkliste sollte vor dem Einsatz eines KI-Recruiting-Tools abgearbeitet werden:

1. DSFA durchführen: Datenschutz-Folgenabschätzung nach DSGVO Artikel 35. Erforderlich bei systematischer, umfangreicher automatisierter Bewerberdatenverarbeitung mit Profiling.
2. Rechtsgrundlage prüfen: Sicherstellen, dass § 26 BDSG die Verarbeitung abdeckt. Rechtsgrundlagenprüfung dokumentieren.
3. AVV mit Anbieter abschließen: Auftragsverarbeitungsvertrag nach DSGVO Artikel 28.
4. Drittlandübermittlungen absichern: Wenn Daten die EU/den EWR verlassen, geeignete Schutzmaßnahmen einrichten.
5. Datenschutzinformation für Bewerber aktualisieren: Automatisierte Verarbeitung, verwendete Logik und Rechte nach Artikel 22 Abs. 3 aufnehmen.
6. Menschlichen Prüfschritt gestalten: Dokumentieren, was der Prüfschritt bedeutet. HR-Mitarbeiter schulen, was eine echte Prüfung erfordert.
7. Betriebsrat einbinden: Betriebsrat vor Go-live informieren und Betriebsvereinbarung aushandeln.
8. Löschfristen implementieren: Automatische Löschung von Bewerberdaten nach Abschluss des Prozesses (in der Regel 4–6 Monate).
9. AI-Act-Readiness: Für Tools, die als Hochrisiko-KI nach Anhang III AI Act einzustufen sind, Compliance-Dokumentation des Anbieters jetzt anfordern und für August 2026 planen.

FAQ: KI im Recruiting in Deutschland

Dürfen Bewerber in Deutschland automatisiert abgelehnt werden?

In der Regel nein. Wenn die Ablehnung erhebliche Auswirkungen hat und keine sinnvolle menschliche Prüfung stattfindet, ist der Prozess regelmäßig mit DSGVO Artikel 22 unvereinbar.

Was ist 2026 das größte AI-Act-Risiko für HR-Teams?

Das größte Risiko ist, sich allein auf den Anbieter zu verlassen. Unternehmen brauchen bis zum 2. August 2026 eigene Governance, dokumentierte Kontrollschritte und belastbare Einkaufs- und Freigabeprozesse.

Brauchen Unternehmen vor dem Einsatz von KI-Hiring-Software den Betriebsrat?

Häufig ja. Wenn das System Verhalten oder Leistung überwachen kann oder die HR-Prozesse maßgeblich prägt, sollte die Mitbestimmung nach § 87 BetrVG vor dem Start geprüft und verhandelt werden.

Nächste Schritte für Arbeitgeber

Wenn Ihr Unternehmen KI zur Sichtung, Priorisierung oder Bewertung von Bewerbern einsetzt, sollten Sie jetzt Workflow, Anbieterunterlagen und Betriebsratsprozess überprüfen. Unser Leitfaden zur KI-Recruiting-Compliance, der HR-Branchenüberblick zum AI Act und die Checkliste zur August-2026-Frist sind ein guter Startpunkt. Für die rechtliche Einordnung Ihres konkreten Setups sprechen Sie mit unserem Team.

---

Dieser Leitfaden stellt allgemeine rechtliche Informationen für HR-Teams und Unternehmer bereit. Er stellt keine Rechtsberatung dar. Konkrete Situationen — insbesondere Betriebsratsverhandlungen oder die Abgrenzung der DSFA — erfordern individuelle rechtliche Beratung.