DSGVO im Recruiting - was du wirklich tun musst (und was nicht)

Bevor wir ins Detail gehen, die fünf Sätze, die in 90% der Fälle reichen. Das ist Praxis-Information, keine Rechtsberatung - aber es ist die Linie, an der sich ein Datenschutzbeauftragter im Audit orientiert.

Was die DSGVO im Recruiting praktisch von dir verlangt, lässt sich auf sechs Punkte reduzieren. Ich liste sie hier so, wie ein Datenschutzbeauftragter sie in einem Audit prüfen würde. Wer eine fertige Checkliste zum Abhaken sucht, findet sie in der DSGVO-Checkliste für Recruiting 2026.

Die '6 Monate' sind keine gesetzliche Zahl, sondern eine saubere Rechnung. Sie ergibt sich aus zwei Fristen plus einem Puffer: Ein abgelehnter Bewerbender muss einen AGG-Entschädigungsanspruch (Diskriminierung nach § 1 AGG) innerhalb von 2 Monaten schriftlich geltend machen (§ 15 Abs. 4 AGG). Tut er das, muss die Klage innerhalb weiterer 3 Monate beim Arbeitsgericht eingereicht werden (§ 61b Abs. 1 ArbGG). Plus ein Monat Bearbeitungs-Puffer ergibt 2 + 3 + 1 = 6 Monate.

Die Rechtsgrundlage fürs Aufbewahren (statt sofort zu löschen) ist das berechtigte Interesse an der Verteidigung von Rechtsansprüchen, Art. 6 Abs. 1 lit. f und Art. 17 Abs. 3 lit. e DSGVO, im Rahmen der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e. Drei Nuancen, die in der Praxis auftauchen:

Sobald Bewerberdaten in einer Cloud-Software liegen - jedes ATS, jedes Bewerbermanagement-Tool, auch eine simple Formular-Software - verarbeitet der Anbieter personenbezogene Daten in deinem Auftrag. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend, bevor die ersten Daten fließen. Fehlt er, ist die Verarbeitung formal unzulässig, und das ist bußgeldbewehrt (bis 10 Mio € oder 2% des Jahresumsatzes).

In der Praxis heißt das nur: prüfen, ob dein Anbieter einen fertigen AVV bereitstellt (seriöse tun das ohne Nachfragen), ihn unterschreiben, ablegen. Bei einem in Deutschland gehosteten ATS wie KI BMS ist das ein Zweiminuten-Schritt. Bei einem Anbieter außerhalb der EU kommen Standardvertragsklauseln und eine Transfer-Folgenabschätzung dazu - mehr Aufwand, gleicher Zweck. Worauf du bei der Tool-Auswahl sonst noch achten solltest, steht in Bewerbermanagement-Software erklärt.

Wenn euer Tool Bewerbungen mit einem KI-Fit-Score bewertet, berührt das zwei Regelwerke. Erstens Art. 22 DSGVO: eine ausschließlich automatisierte Ablehnung mit rechtlicher Wirkung ist unzulässig - ein Mensch muss inhaltlich entscheiden. Der EuGH hat in der SCHUFA-Entscheidung (C-634/21) klargestellt, dass schon das bloße 'Absegnen' eines maßgeblichen Scores als automatisierte Entscheidung zählt. Vorsortieren ja, entscheiden lassen nein.

Zweitens der EU AI Act: Recruiting-KI ist als Hochrisiko-Anwendung eingestuft (Annex III Nr. 4), die vollen Pflichten greifen ab dem 2. August 2026 - menschliche Aufsicht, Aufzeichnung der KI-Vorgänge (Log-Aufbewahrung mindestens 6 Monate), und die Pflicht, Bewerbende über den KI-Einsatz zu informieren. Praktisch bedeutet das: der KI-Einsatz gehört in die Datenschutzerklärung, und ein Bewerbender kann über Art. 15 DSGVO aussagekräftige Informationen über die Logik der Vorsortierung verlangen - einschließlich seines Fit-Scores samt Begründung.

Mythos 1: 'Wir brauchen für jede Bewerbung eine separate, händische Einwilligung im Word-Dokument.' Falsch - die Einwilligung in der Datenschutzerklärung der Karriereseite reicht, sofern sie spezifisch ist.

Mythos 2: 'Wir müssen alles 10 Jahre aufbewahren wegen AGG.' Falsch - 6 Monate nach Absage reichen für AGG-Klagefristen. Längere Aufbewahrung braucht eine andere Rechtsgrundlage.

Mythos 3: 'KI im Recruiting ist verboten.' Falsch - Vorsortierung mit menschlicher Entscheidung ist zulässig. Verboten ist Auto-Entscheidung mit rechtlicher Wirkung ohne Mensch.

Drei der sechs Pflichten kann ein ATS automatisieren. Information durch eingebaute DSGVO-Klausel auf der Karriereseite. Aufbewahrung durch eine Aufbewahrungsfrist pro Talent mit Auto-Anonymisierung nach Ablauf (vertiefend dazu: Bewerberdaten löschen - das Löschkonzept jenseits der DSGVO-Basics). Auskunftsrecht durch Self-Service-Export. Die anderen drei (Rechtmäßigkeit, Datenminimierung, Löschung) bleiben menschliche Entscheidungen, aber das ATS hilft, sie konsistent zu halten.