Was KMU bei Bewerbungssoftware, menschlicher Kontrolle und Auskunftsrechten prüfen sollten.Automatisierte Bewerberauswahl: Was KMU vor den Datenschutzprüfungen 2027 klären sollten

Das Wichtigste in Kürze

• Der Europäische Datenschutzausschuss hat automatisierte Bewerberauswahl als Schwerpunkt seiner koordinierten Prüfaktion 2027 angekündigt.
• Entscheidend ist, ob Menschen Bewerbungen tatsächlich beurteilen oder eine Software das Ergebnis vorgibt.
• Unternehmen sollten Auswahlabläufe und die Bearbeitung von Auskunftsanfragen gemeinsam prüfen.

Eine Bewerbungssoftware kann Unterlagen ordnen und Personalabteilungen entlasten. Kritisch wird es, wenn Bewerber wegen eines automatisch berechneten Werts ausscheiden, ohne dass ihre Unterlagen ernsthaft geprüft werden. Für KMU lohnt sich deshalb ein Blick auf den gesamten Weg vom Bewerbungseingang bis zur Absage.

Automatisierte Bewerberauswahl: Was ist neu?

Der Europäische Datenschutzausschuss hat am 11. November 2026 seine sechste koordinierte Durchsetzungsaktion angekündigt. Sie betrifft automatisierte Entscheidungen im Recruiting, einschließlich KI, sowie die damit verbundenen Auskunftsrechte. Die Aktion soll im Laufe des Jahres 2027 starten. Die Teilnahme der Aufsichtsbehörden erfolgt freiwillig; ein genauer Starttermin und eine vollständige Teilnehmerliste stehen in der Mitteilung noch nicht fest.

Die Ankündigung schafft keine neue gesetzliche Pflicht und keine allgemeine Umstellungsfrist. Sie gibt Unternehmen aber einen konkreten Anlass, bestehende Verfahren zu überprüfen.

Wann wird aus Unterstützung eine automatisierte Entscheidung?

Artikel 22 DSGVO erfasst ausschließlich automatisierte Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen haben. Eine automatische Ablehnung im Bewerbungsverfahren kann darunter fallen. Ausnahmen kommen insbesondere bei Erforderlichkeit für einen Vertragsabschluss, einer entsprechenden gesetzlichen Erlaubnis oder ausdrücklicher Einwilligung in Betracht. Ihre Voraussetzungen und die erforderlichen Schutzmaßnahmen müssen tatsächlich erfüllt sein. Eine Einwilligungsbox allein beantwortet diese Fragen nicht.

Nach den vom EDSA bestätigten Leitlinien genügt eine menschliche Beteiligung nur zum Schein nicht. Die prüfende Person muss die Kompetenz und Befugnis haben, das Ergebnis zu ändern, und die relevanten Informationen berücksichtigen. Eine reine Bestätigung des Softwarevorschlags reicht dafür nicht.

Beispiel: Die unsichtbar aussortierte Bewerbung

Ein Handelsunternehmen erhält 80 Bewerbungen. Die Software zeigt der Personalverantwortlichen nur die zehn bestbewerteten Profile an. Die übrigen Bewerber erhalten automatisch eine Absage.

Das Unternehmen sollte hier nicht nur die zehn sichtbaren Bewerbungen betrachten. Für die übrigen Personen entscheidet möglicherweise bereits die technische Vorauswahl über das Ende des Verfahrens. Eine sorgfältige Prüfung der angezeigten Profile ersetzt keine Prüfung dieser Aussortierung.

Als praktische Verbesserung bietet sich an, automatische Ausschlüsse zunächst zu unterbrechen und den Ablauf fachlich sowie datenschutzrechtlich zu bewerten. Das Beispiel ist fiktiv; ob Artikel 22 im konkreten Verfahren eingreift, hängt von dessen tatsächlicher Gestaltung ab.

Drei Prüfungen für die Personalabteilung

  1. Den Entscheidungsweg sichtbar machen

Notieren Sie für jede Stufe: Welche Informationen werden eingelesen? Entsteht eine Zusammenfassung, eine Rangliste oder bereits eine Ablehnung? Welche Unterlagen sieht die zuständige Person? Kann sie aussortierte Bewerbungen öffnen und Entscheidungen ändern?

  1. Den Anbieter gezielt befragen

Bitten Sie um eine Vorführung mit erfundenen Bewerbungen. Lassen Sie sich zeigen, wie fehlende Angaben, ungewöhnliche Lebensläufe und fehlerhaft erkannte Qualifikationen behandelt werden. Halten Sie offene Fragen und zugesagte Funktionen schriftlich fest. Eine allgemeine Produktbeschreibung hilft wenig, wenn die tatsächlich verwendete Einstellung unbekannt bleibt.

  1. Eine Auskunftsanfrage durchspielen

Artikel 15 DSGVO betrifft die verarbeiteten personenbezogenen Daten. Bei den dort erfassten automatisierten Entscheidungen gehören auch aussagekräftige Informationen über die Logik sowie Tragweite und angestrebte Auswirkungen dazu.

Prüfen Sie deshalb praktisch, ob sich Angaben, Bewertungen und verwendete Datenquellen einer Bewerbung zuordnen lassen. Klären Sie vorab, welche Informationen Ihr Anbieter liefern kann und wer intern die Antwort zusammenstellt. Die Erläuterung muss verständlich sein; ein bloßer Zahlenwert erklärt den Ablauf nicht.

Typischer Irrtum

„Unsere Personalabteilung klickt auf Absenden, also entscheiden immer Menschen.“

Der letzte Klick sagt wenig darüber aus, wer die Auswahl tatsächlich getroffen hat. Prüfen Sie insbesondere automatische Ausschlüsse, verborgene Filter und ungeprüft übernommene Bewertungen.

Checkliste für automatisierte Bewerberauswahl

• Alle eingesetzten Auswahlfunktionen einschließlich automatischer Absagen erfassen.
• Zuständige Prüfer und deren tatsächliche Änderungsmöglichkeiten festlegen.
• Auffällige Ergebnisse anhand erfundener Testbewerbungen untersuchen.
• Anbieterinformationen und betriebliche Einstellungen zusammenführen.
• Eine Auskunftsanfrage mit einem Testdatensatz vollständig durchspielen.
• Offene Fragen vor dem weiteren Einsatz klären und Änderungen nachvollziehbar festhalten.

Gut zu wissen

Auch ohne ausschließlich automatisierte Entscheidung bleiben Datenschutzanforderungen relevant. Die angekündigte Aktion ist daher kein Grund, andere Prüfungen aufzuschieben. Einen allgemeinen Einstieg bietet unsere Seite „KI am Arbeitsplatz: ChatGPT und Copilot“: /ki-am-arbeitsplatz/

Unser Datenschutzbüro begleitet KMU bei der Prüfung ihrer Abläufe und der praktischen Umsetzung. Ein auf die Personalverwaltung begrenztes Datenschutzaudit kann dafür ein geeigneter Ausgangspunkt sein: /datenschutzaudit/

Stand und Quellen

Stand: 13. November 2026. Die Prüfaktion ist angekündigt; dieser Beitrag beschreibt keine bereits abgeschlossene Kontrolle.

EDSA-Mitteilung vom 11. November 2026:
https://www.edpb.europa.eu/news/edpb-adopts-statement-on-review-of-the-republic-of-korea-adequacy-processor-bcr_en

DSGVO, insbesondere Artikel 15 und 22, amtliche Textwiedergabe in der BfDI-Broschüre „Info 1“:
https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=23

Leitlinien WP251rev.01, Fassung vom 6. Februar 2018, insbesondere Seiten 20–26, amtlich bereitgestellt durch die AEPD:
https://www.aepd.es/sites/default/files/2019-12/wp251rev01-en.pdf

Bestätigung der Leitlinien durch den EDSA:
https://www.edpb.europa.eu/endorsed-wp29-guidelines_en