Die europäischen Datenschutzbehörden wollen 2027 gemeinsam prüfen, wie Arbeitgeber automatisierte und KI-gestützte Werkzeuge bei der Vorauswahl von Bewerbern einsetzen. Das hat der Europäische Datenschutzausschuss (EDPB) bei seiner Plenarsitzung im November beschlossen und am 11. November 2026 bekannt gegeben. Im Mittelpunkt steht das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, sowie das damit verbundene Auskunftsrecht der Betroffenen.

Was ist eine koordinierte Prüfaktion?

Im sogenannten Coordinated Enforcement Framework (CEF) wählen die Mitglieder des EDPB jedes Jahr ein Schwerpunktthema. Nationale Aufsichtsbehörden schließen sich freiwillig an – entweder mit einer Bestandsaufnahme, etwa per Fragebogen an Unternehmen, oder mit förmlichen Untersuchungen, die in Bußgeldverfahren münden können. Jede Behörde erstellt einen nationalen Bericht, aus dem der EDPB einen gemeinsamen Bericht zusammenführt.

Lesen Sie auch Absage an Bewerber: Was hineingehört, was nicht – und welche Fristen sie startet

Die Aktion 2027 ist die sechste dieser Art. Die bisherigen Themen zeigen, dass die Behörden zunehmend Betroffenenrechte in den Blick nehmen: 2022 ging es um Cloud-Dienste im öffentlichen Sektor, 2023 um die Stellung der Datenschutzbeauftragten, 2024 um das Auskunftsrecht, 2025 um das Recht auf Löschung und 2026 um Transparenz- und Informationspflichten. Wie die CEF-Übersicht des EDPB zeigt, beteiligten sich 2026 25 Aufsichtsbehörden. Welche Behörden 2027 teilnehmen, steht noch nicht fest; sie sollen sich in den kommenden Wochen melden.

Jeden Morgen um 6 Uhr das Wichtigste für Personaler: kostenloser Newsletter →

Welche Regeln werden geprüft?

Der EDPB nennt in seiner Mitteilung keine Artikelnummern. Rechtlich geht es um Art. 22 der Datenschutz-Grundverordnung (DSGVO): Niemand muss sich einer Entscheidung unterwerfen, die ausschließlich auf automatisierter Verarbeitung beruht und ihm gegenüber rechtliche Wirkung entfaltet oder ihn erheblich beeinträchtigt. Eine Absage im Bewerbungsverfahren kann eine solche Entscheidung sein. Hinzu kommt Art. 15 DSGVO, nach dem Betroffene bei automatisierten Entscheidungen aussagekräftige Informationen über die involvierte Logik verlangen können.

Brisant ist das, weil der Europäische Gerichtshof den Begriff der Entscheidung in der SCHUFA-Rechtsprechung weit ausgelegt hat: Schon ein automatisch berechneter Wert kann darunterfallen, wenn ein Dritter sich maßgeblich danach richtet. Übertragen auf das Recruiting heißt das: Ein Matching-Score, nach dem Recruiter Bewerbungen ohne eigene inhaltliche Prüfung aussortieren, kann eine automatisierte Entscheidung sein – auch wenn formal ein Mensch auf „Absagen“ klickt.

Wie hängt das mit der KI-Verordnung zusammen?

Die Prüfaktion setzt früher an als die europäische KI-Verordnung. KI-Systeme zur Auswahl und Bewertung von Bewerbern gelten nach Anhang III Nr. 4 als Hochrisiko-Systeme. Deren Pflichten greifen nach der im Juli 2026 beschlossenen Änderungsverordnung (EU) 2026/1744 aber erst ab dem 2. Dezember 2027. Die DSGVO gilt dagegen schon heute. Wir haben in unserem Beitrag zu den Hochrisiko-Pflichten der KI-Verordnung beschrieben, welche Regeln bereits gelten.

Wie ernst Aufsichtsbehörden automatisierte Entscheidungen nehmen, zeigt ein Verfahren aus den Niederlanden: Die dortige Behörde verhängte nach Angaben des EDPB im Oktober ein Bußgeld von knapp 825 Millionen Euro gegen Uber, unter anderem wegen unrechtmäßiger automatisierter Entscheidungen.

Wo stehen typische Bewerbungsprozesse?

Viele Unternehmen setzen Bewerbermanagementsysteme mit Ranking-, Knock-out- oder Matching-Funktionen ein, oft ohne dass Bewerber davon erfahren. Wie eine Auswertung zeigte, verstecken große Arbeitgeber den KI-Einsatz häufig im Kleingedruckten. Gerade automatische Knock-out-Fragen – etwa zu Mindestqualifikationen oder Gehaltsvorstellungen –, die ohne menschliche Prüfung zur Absage führen, sind unter Art. 22 DSGVO angreifbar.

Was Arbeitgeber jetzt wissen sollten

  • Bestandsaufnahme: Welche Funktionen im Bewerbermanagementsystem filtern, sortieren oder bewerten automatisch? Welche Absagen entstehen ohne menschliche Prüfung?
  • Menschliche Entscheidung absichern: Recruiter sollten Bewerbungen tatsächlich inhaltlich prüfen können und dürfen; reine Bestätigung eines Scores dürfte nicht genügen.
  • Auskunft vorbereiten: Für Anfragen nach Art. 15 DSGVO verständlich beschreiben können, nach welchen Kriterien ein Tool sortiert.
  • Datenschutzerklärung für Bewerber prüfen: Automatisierte Verfahren dort offen benennen.
  • Anbieter einbeziehen: Vom Softwareanbieter Dokumentation zur Funktionsweise anfordern und den Auftragsverarbeitungsvertrag prüfen.
  • Betriebsrat beteiligen: Technische Einrichtungen, die Verhalten oder Leistung auswerten können, und Auswahlrichtlinien unterliegen der Mitbestimmung nach § 87 Abs. 1 Nr. 6 und § 95 BetrVG.