KI im Recruiting: Datenschutz und EU KI Verordnung 2026

Künstliche Intelligenz wird im Recruiting längst nicht mehr nur experimentell eingesetzt. Viele HR-Teams nutzen KI-Tools bereits zur Textanalyse, zur Vorqualifizierung von Bewerbungen, zur Erstellung von Stellenanzeigen oder zur Unterstützung bei administrativen Aufgaben. Besonders bei hohem Bewerbungsvolumen kann KI dabei helfen, Prozesse zu beschleunigen und Recruiter:innen zu entlasten.

Gleichzeitig verarbeitet Recruiting besonders sensible personenbezogene Daten. Lebensläufe, Zeugnisse, Anschreiben, Gehaltsvorstellungen oder Interviewnotizen enthalten Informationen, die für Bewerber:innen sehr persönlich und karriererelevant sind. Genau hier setzt die neue EU-KI-Verordnung an: Sie schafft verbindliche Regeln für KI-Systeme, die in sensiblen Bereichen wie Beschäftigung, Personalauswahl und Personalmanagement eingesetzt werden.

Für Unternehmen bedeutet das: KI im Recruiting kann weiterhin sinnvoll und effizient eingesetzt werden aber nur mit klaren Prozessen, dokumentierten Verantwortlichkeiten, Datenschutzkonzepten und menschlicher Kontrolle.

Was ändert sich 2026 durch die EU KI-Verordnung?

Die EU-KI-Verordnung schafft erstmals einen einheitlichen Rechtsrahmen für den Einsatz künstlicher Intelligenz in der Europäischen Union. Ziel ist es, Risiken für Grundrechte, Datenschutz, Sicherheit und Diskriminierungsfreiheit zu minimieren und gleichzeitig Innovation kontrolliert zu ermöglichen.

Für das Recruiting ist besonders relevant, dass bestimmte KI-Systeme im Bereich Beschäftigung und Personalauswahl als Hochrisiko-KI-Systeme eingestuft werden können. Dazu zählen insbesondere Anwendungen, die Bewerbungen analysieren, Kandidat:innen bewerten, Lebensläufe vorfiltern oder Entscheidungen vorbereiten, die Einfluss auf Einstellung, Auswahl oder berufliche Entwicklung haben. Die offizielle Systematik der EU-KI-Verordnung ordnet Hochrisiko-Systeme unter anderem über Artikel 6 und Anhang III ein; dort werden sensible Einsatzbereiche wie Beschäftigung und Personalmanagement ausdrücklich berücksichtigt.

Ab dem 2. August 2026 greifen zentrale Pflichten für viele Hochrisiko-KI-Systeme. Die EU-Kommission beschreibt die Anwendung der Verordnung als schrittweisen Rollout, wobei die vollständige Umsetzung bis 2027 vorgesehen ist. Für HR-Teams ist 2026 deshalb ein besonders wichtiger Zeitpunkt, um bestehende KI-Prozesse zu prüfen und anzupassen.

Dazu gehören unter anderem:

• klare Zweckbindung und Dokumentation des KI-Einsatzes
• Transparenz gegenüber Bewerber:innen
• menschliche Kontrolle über KI-gestützte Bewertungen und Entscheidungen
• erhöhte Anforderungen an Datenschutz, Datensicherheit und Nachvollziehbarkeit
• Prüfung, ob eingesetzte Systeme als Hochrisiko-KI einzustufen sind
• klare Zuständigkeiten zwischen HR, IT, Datenschutz und Geschäftsführung

Für HR-Teams bedeutet das, dass der Einsatz von KI nicht mehr informell oder nebenbei erfolgen kann. Prozesse, Tools und Verantwortlichkeiten müssen nachvollziehbar geregelt und dokumentiert sein.

Wie OnApply technischen Datenschutz umsetzt: Datensicherheit bei OnApply.

Wie die KI-Bewerberanalyse konkret DSGVO-konform funktioniert: KI-Bewerberanalyse von OnApply.

Bewerberdaten und KI: Wo die grössten Risiken im Recruiting-Alltag liegen

Bewerberdaten gehören zu den sensibelsten personenbezogenen Informationen, die Unternehmen verarbeiten. Lebensläufe, Zeugnisse, Anschreiben oder Interviewnotizen enthalten häufig Daten zu Werdegang, Qualifikationen und teilweise auch zu Gesundheit oder familiären Umständen.

Genau hier entstehen im Zusammenspiel mit KI-Tools erhebliche Risiken. Besonders problematisch wird es, wenn HR-Teams Bewerberunterlagen in externe KI-Anwendungen hochladen, ohne zu prüfen, was mit diesen Daten im Hintergrund passiert.

Ein typisches Beispiel aus der Praxis ist die Nutzung von ChatGPT zur Zusammenfassung oder Bewertung von Lebensläufen. Auch wenn der Zweck nachvollziehbar erscheint, ist der datenschutzrechtliche Rahmen in vielen Fällen nicht erfüllt. Bewerberdaten dürfen nicht ohne Rechtsgrundlage an Dritte weitergegeben oder für unklare Zwecke verarbeitet werden.

Zu den häufigsten Risiken zählen:

• Fehlende Kontrolle darüber, wo und wie die Daten verarbeitet werden
• Mögliche Nutzung der Inhalte zu Trainingszwecken
• Fehlende oder unzureichende Einwilligung der betroffenen Personen
• Übermittlung sensibler Daten ausserhalb der EU

Gerade im Recruiting-Alltag entstehen diese Risiken oft nicht aus Absicht, sondern aus Unwissen oder Zeitdruck. Die EU KI-Verordnung und die DSGVO machen jedoch keinen Unterschied zwischen bewussten und unbewussten Verstössen. Wie vollständige Anonymisierung vor der KI-Analyse einen datenschutzkonformen Prozess sicherstellt: KI-Bewerbungsscreening von OnApply.

Pflichten für Unternehmen und HR-Teams: Was jetzt zu tun ist

Mit der EU KI-Verordnung und der weiterhin geltenden DSGVO wächst die Verantwortung für Unternehmen deutlich. Der Einsatz von KI im Recruiting erfordert klare Regeln, definierte Zuständigkeiten und dokumentierte Prozesse.

Bewerberdaten gehören zu den sensibelsten personenbezogenen Informationen, die Unternehmen verarbeiten. Lebensläufe, Zeugnisse, Anschreiben oder Interviewnotizen enthalten häufig Daten zu Werdegang, Qualifikationen, Gehalt, Wohnort und manchmal auch indirekte Hinweise auf Gesundheit, Alter, familiäre Situation, Herkunft oder andere geschützte Merkmale.

Genau hier entstehen im Zusammenspiel mit KI-Tools erhebliche Risiken. Besonders problematisch wird es, wenn HR-Teams Bewerberunterlagen in externe KI-Anwendungen hochladen, ohne vorab zu prüfen, wo die Daten verarbeitet werden, ob ein Auftragsverarbeitungsvertrag besteht und ob die Nutzung mit der DSGVO vereinbar ist.

Ein typisches Beispiel aus der Praxis ist die Nutzung generischer KI-Tools zur Zusammenfassung oder Bewertung von Lebensläufen. Auch wenn der Zweck nachvollziehbar erscheint, ist der datenschutzrechtliche Rahmen in vielen Fällen nicht erfüllt. Bewerberdaten dürfen nicht ohne Rechtsgrundlage an Dritte weitergegeben, für unklare Zwecke verarbeitet oder ausserhalb kontrollierter Systeme analysiert werden.

Zu den häufigsten Risiken zählen:

• fehlende Kontrolle darüber, wo und wie Bewerberdaten verarbeitet werden
• mögliche Nutzung der Inhalte zu Trainings- oder Optimierungszwecken
• fehlende oder unzureichende Information der betroffenen Personen
• unklare Rechtsgrundlage für die Verarbeitung
• Übermittlung sensibler Daten ausserhalb der EU
• fehlende Löschkonzepte und Aufbewahrungsfristen
• nicht dokumentierte KI-Bewertungen oder Score-Werte

Gerade im Recruiting-Alltag entstehen diese Risiken oft nicht aus Absicht, sondern aus Unwissen, Zeitdruck oder fehlenden internen Vorgaben. Die DSGVO und die EU-KI-Verordnung machen jedoch keinen Unterschied zwischen bewussten und unbewussten Verstössen.

Typische Fehler und Compliance-Fallen im Recruiting-Alltag

IIn der Praxis entstehen Datenschutzverstösse im Recruiting selten durch bewusstes Fehlverhalten. Häufig sind es gut gemeinte Abkürzungen oder fehlende klare Regeln, die zu Problemen führen.

Ein häufiger Fehler ist die Annahme, dass frei verfügbare KI-Tools automatisch datenschutzkonform genutzt werden dürfen. Tatsächlich kann bereits das Hochladen eines Lebenslaufs in einen externen KI-Dienst eine Weitergabe personenbezogener Daten an einen externen Anbieter darstellen – oft ohne ausreichende Rechtsgrundlage oder ohne geprüften Vertrag zur Auftragsverarbeitung.

Weitere typische Compliance-Fallen sind:

• fehlende interne Richtlinien zum Einsatz von KI im Recruiting
• keine Abstimmung zwischen HR, IT und Datenschutz
• unklare Verantwortlichkeiten für KI-gestützte Prozesse
• mangelnde Transparenz gegenüber Bewerber:innen
• fehlende Prüfung von Auftragsverarbeitungsverträgen
• Nutzung privater Accounts oder frei zugänglicher KI-Tools
• fehlende Dokumentation von KI-gestützten Bewertungen
• unklare Kriterien bei automatisierten Match-Scores

Die Folgen können erheblich sein: Neben möglichen Bussgeldern drohen Vertrauensverlust bei Bewerber:innen, interne Unsicherheit und Reputationsschäden. Gerade im Wettbewerb um Fachkräfte kann ein intransparenter oder unsicherer Umgang mit Bewerberdaten langfristige Auswirkungen auf das Employer Branding haben.

Deshalb sollten Unternehmen klare Leitlinien formulieren: Welche KI-Tools dürfen genutzt werden? Welche Daten dürfen eingegeben werden? Wer prüft neue Tools? Und wann muss der Datenschutz eingebunden werden?

Welche KI-Tools DSGVO-konform eingesetzt werden können

Nicht alle KI-Tools sind gleich. Der entscheidende Unterschied liegt in der kontrollierten Datenverarbeitung. Seriöse Anbieter setzen auf klar definierte Zwecke, transparente Prozesse und technische Schutzmassnahmen, die den rechtlichen Anforderungen gerecht werden.

Für HR-Teams ist besonders wichtig, dass ein KI-Tool nicht isoliert betrachtet wird. Entscheidend ist der gesamte Prozess: vom Bewerbungseingang über die Analyse bis zur Speicherung, Löschung und Dokumentation. Ein Tool kann nur dann sinnvoll eingesetzt werden, wenn Datenflüsse, Verantwortlichkeiten und Sicherheitsmassnahmen nachvollziehbar geregelt sind.

Bei der Auswahl geeigneter KI-Tools sollten Unternehmen unter anderem auf folgende Kriterien achten:

• DSGVO-konforme Datenverarbeitung
• Serverstandort und Datenverarbeitung innerhalb der EU oder Deutschlands
• klare Informationen zur Nutzung und Speicherung von Daten
• keine unkontrollierte Nutzung von Bewerberdaten zu Trainingszwecken
• Anonymisierung oder Pseudonymisierung sensibler Informationen
• transparente Bewertungskriterien
• menschliche Kontrollmöglichkeiten
• nachvollziehbare Dokumentation der Ergebnisse
• geprüfte technische und organisatorische Massnahmen

Welche KI-Tools im HR-Bereich aktuell empfehlenswert sind und nach welchen Kriterien HR-Teams auswählen sollten: Die besten KI-Tools für Recruiting 2026.

Für Unternehmen verschiebt sich der Fokus: weg von punktuellen KI-Experimenten hin zu integrierten, geprüften Lösungen, die Datenschutz und Compliance von Anfang an berücksichtigen.

Das vollständig integrierte Screening-System mit DSGVO-konformer Anonymisierung: KI-Bewerbungsscreening von OnApply.

Key Takeaways

• KI im Recruiting unterliegt ab August 2026 klaren regulatorischen Vorgaben durch die EU KI-Verordnung
• Bewerberdaten zählen zu besonders schützenswerten personenbezogenen Daten und dürfen nicht unkontrolliert in KI-Tools verarbeitet werden
• Das Hochladen von Bewerberunterlagen in generische KI-Anwendungen wie ChatGPT ist in der Regel datenschutzrechtlich unzulässig
• Unternehmen sind verpflichtet, den Einsatz von KI im Recruiting transparent zu machen und zu dokumentieren
• Menschliche Kontrolle bleibt bei allen KI-gestützten Entscheidungen im Recruiting zwingend erforderlich
• Fehlende interne Regeln und unklare Verantwortlichkeiten sind eines der grössten Compliance-Risiken
• Wer jetzt Strukturen schafft, reduziert rechtliche Risiken und stärkt Vertrauen bei Bewerber:innen

Fazit und Handlungsempfehlungen

Der Einsatz von KI im Recruiting bietet grosse Chancen, bringt aber ebenso klare rechtliche Verpflichtungen mit sich. Spätestens mit der EU KI-Verordnung wird deutlich, dass der Umgang mit Bewerberdaten nicht nebenbei geregelt werden kann. Datenschutz, Transparenz und Kontrolle werden zu festen Bestandteilen moderner Recruiting-Prozesse.

Unternehmen sollten jetzt prüfen, wo KI bereits eingesetzt wird und ob dieser Einsatz den rechtlichen Anforderungen entspricht. Dazu gehört auch, interne Regeln zu definieren, Mitarbeitende zu sensibilisieren und technische Lösungen kritisch zu hinterfragen.

OnApply bietet eine Recruiting-Lösung, die KI-Funktionen datenschutzkonform und rechtssicher integriert – mit vollständiger Anonymisierung vor der Analyse, DSGVO-geprüften Prozessen und Server-Infrastruktur in Deutschland. Details zur KI-Bewerberanalyse: KI-Bewerberanalyse – so funktioniert der Match-Score.

Sie möchten über neue Features informiert werden? Newsletter abonnieren.