57 Prozent gegen 1 Prozent
57 Prozent der Unternehmen in Deutschland setzen KI ein (Bitkom, September 2026, 603 Unternehmen ab 20 Beschäftigten). Aber nur 1 Prozent screenen damit Bewerbungen (Bitkom, 852 Unternehmen ab 3 Beschäftigten). Über KI-Vorauswahl wird geredet, als wäre sie Standard.
Die andere Seite rüstet auf
43,2 Prozent der Bewerbenden nutzen KI beim Anschreiben — im Frühjahr 2023 waren es 12,7 Prozent. Rund ein Drittel davon bei jeder Bewerbung. Wer nach Formulierungsqualität auswählt, misst heute etwas anderes als früher.
Drei Stufen
Stufe 1: Die KI erzeugt Text (Anzeige, Absagemail, Zeugnisentwurf) — unkritisch. Stufe 2: Die KI verarbeitet Bewerberdaten, bewertet aber nicht (Parsing, Termine, Zusammenfassung) — Grauzone. Stufe 3: Die KI bewertet, sortiert oder kategorisiert Menschen — Hochrisiko.
Die unterschätzte Stufe 2
Eine Zusammenfassung rahmt die Entscheidung vor. Was die KI weglässt, sieht der Mensch nicht mehr — er entscheidet dann formal selbst, aber auf einer Grundlage, die jemand anderes zusammengestellt hat.
Verboten seit dem 2. Februar 2025
Emotionserkennung am Arbeitsplatz aus biometrischen Daten ist verboten (Art. 5 KI-Verordnung). Die Leitlinien der EU-Kommission stellen klar, dass „Arbeitsplatz" auch Bewerber im Auswahlverfahren umfasst. KI-Videointerviews mit Mimik- oder Stimmungsanalyse sind damit unzulässig.
Verboten seit 2018
Art. 22 DSGVO: keine ausschließlich automatisierte Entscheidung mit erheblicher Wirkung. Die Datenschutzkonferenz nennt genau den Fall, dass eine KI alle Bewerbungen auswertet und selbstständig Einladungen verschickt.
Der Haken genügt nicht
Eine formelle Beteiligung eines Menschen reicht nicht. Die Person muss die Grundlage sehen, Zeit haben und befugt sein, abzuweichen. Wie viel Prüfung genügt, ist gerichtlich nicht geklärt — beim EuGH liegt ein Verfahren dazu.
§ 26 BDSG trägt nicht mehr
Der EuGH hat 2023 entschieden, dass die wortgleiche hessische Norm die DSGVO-Öffnungsklausel nicht erfüllt; das Bundesarbeitsgericht bestätigte das am 08.05.2025 für § 26 Abs. 1 S. 1 BDSG. Heute trägt Art. 6 Abs. 1 lit. b DSGVO.
Anbieter oder Betreiber
Wer ein fertiges Tool einsetzt, ist Betreiber — keine Registrierung, keine Grundrechte-Folgenabschätzung, keine CE-Kennzeichnung. Aber: Wer ChatGPT zum Bewerten oder Ranken nutzt, ändert die Zweckbestimmung und rutscht in die Anbieterrolle (Art. 25).
Die Frist ist verschoben
Die Hochrisiko-Pflichten für Personalauswahl galten ursprünglich ab 2. August 2026. Die Verordnung (EU) 2026/1744 trat am 27.07.2026 in Kraft und verschiebt sie auf den 2. Dezember 2027 — bedingungslos, ohne Auslöseklausel.
Stellvertreter-Merkmale
Ein System fragt Alter oder Geschlecht nicht ab. Es nutzt Abschlussjahr (Alter), Vornamen und Wortwahl (Geschlecht, Herkunft), Lücken im Lebenslauf (Elternzeit, Krankheit), Postleitzahl (Herkunft). Das ist mittelbare Benachteiligung nach § 3 Abs. 2 AGG.
Was eine Behörde fand
Die britische Datenschutzbehörde prüfte KI-Recruiting-Werkzeuge und veröffentlichte im November 2024 fast 300 Empfehlungen. Befunde: Einige Werkzeuge leiteten Geschlecht und Herkunft aus dem Namen ab, einige erlaubten das Filtern nach geschützten Merkmalen.
Betriebsrat erst prüfen
In Betrieben mit 5 bis 9 Beschäftigten haben 2 Prozent einen Betriebsrat, bei 21 bis 50 sind es 14 Prozent, bei 101 bis 200 Beschäftigten 47 Prozent (IAB-Betriebspanel 2025). In der typischen KMU-Größe hat die Mehrheit keinen.
Was sicher ist
Alles vor dem Bewerberkontakt und alles nach der Entscheidung: Stellenanzeige, Anforderungsprofil, Absagetexte, Terminvorschläge, Interviewleitfaden, Onboarding-Material, Übersetzung. Nur für die Sprache der Anzeige gibt es belastbare Feldevidenz — 391 Anzeigen, 17.686 Bewerbungen, Universität Innsbruck.