Künstliche Intelligenz (KI) eröffnet auch beim Active Sourcing als proaktive Kandidatenansprache neue Möglichkeiten. Doch durch den Einsatz von KI im HR-Bereich steigen auch die Anforderungen an Datenschutz und Compliance. Wir zeigen, worauf es in der Praxis ankommt.
Datenschutz beim Active Sourcing
Active Sourcing beschreibt den gezielten, proaktiven Ansatz in der Rekrutierung, bei dem potenzielle Kandidaten über berufliche Netzwerke, Datenbanken, interne Talentpools und soziale Medien identifiziert und direkt angesprochen werden, statt passiv auf Bewerbungen zu warten. Da diese Strategie weit über den üblichen Empfang von Bewerbungsunterlagen hinausgeht, stellt sich die Frage, wie die datenschutzrechtlichen Vorgaben eingehalten werden können.
Nach den Empfehlungen der Hamburger Datenschutzbehörde ist der Schutz personenbezogener Daten im Bewerbungsprozess besonders wichtig, insbesondere vor dem Hintergrund der Digitalisierung und des Einsatzes von KI. Verantwortliche müssen jedes Stadium des Recruiting-Prozesses rechtlich bewerten und teils sensible personenbezogene Daten der Bewerber mit größter Sorgfalt behandeln.
Bevor im Rahmen des Active Sourcing potenzielle Kandidaten ausfindig gemacht werden können, muss, wie bei jeder anderen Datenverarbeitung auch, eine geeignete Rechtsgrundlage vorliegen.
Während herkömmliche Bewerbungsverfahren in der Regel als vorvertragliche Maßnahmen auf Anfrage des Betroffenen gelten und daher auf Art. 6 Abs. 1 lit. b) DSGVO gestützt werden können, erfordert das Active Sourcing in den meisten Fällen eine ausdrückliche Einwilligung der betroffenen Person nach Art. 6 Abs. 1 lit. a) DSGVO oder ein berechtigtes Interesse des Recruiters nach Art. 6 Abs. 1 lit. f) DSGVO.
Wenn die Datenverarbeitung auf einem berechtigten Interesse im Sinne von Art. 6 Abs. 1 lit. f) DSGVO beruht, dürfen dabei nur solche Informationen genutzt werden, die der Kandidat selbst öffentlich zugänglich gemacht hat – also Daten, die für eine unbestimmte Vielzahl von Personen einsehbar sind. Wichtig dabei ist, dass ausdrückliche Hinweise des Kandidaten oder Verbote in den Nutzungsbedingungen einer Plattform die Datenerhebung einschränken können.
Weiterhin ist zu beachten, dass das berechtigte Interesse des Recruiters an der Datenverarbeitung das schutzwürdige Interesse des Kandidaten überwiegen muss. Verwertet dürfen daher nur solche Angaben, die einen unmittelbaren Bezug zur ausgeschriebenen Stelle haben. Alle darüberhinausgehenden Informationen, wie persönliche Angaben, zu denen der Betroffene auch im Bewerbungsverfahren nicht befragt werden darf, dürfen nicht verarbeitet werden.
Zulässigkeit von KI im Recruiting-Prozess
Mittlerweile werden am Markt zahlreiche KI-gestützte Recruitingsysteme angeboten. KI soll dabei etwa bei der Vorauswahl helfen und Recruiter unterstützen, indem automatisierte Systeme zum Auslesen von Lebensläufen, zur Vorauswahl potenzieller Kandidaten und zur Durchführung von Erstgesprächen herangezogen werden. Moderne Technologien wie Lebenslaufparser und Chatbots können große Datenmengen in Echtzeit analysieren und helfen, vielversprechende Profile schneller zu identifizieren.
Allerdings dürfen automatisierte Entscheidungen nicht die ausschließliche Grundlage für Bewerbungsentscheidungen bilden, denn Art. 22 DSGVO stellt unmissverständlich klar, dass grundlegende Entscheidungen mit rechtlichen Folgen für Betroffene bis auf einige wenige Ausnahmen stets unter menschlicher Kontrolle stehen müssen.
Daher muss stets im Hinblick auf das konkrete System beurteilt werden, ob dieses datenschutzrechtlich zulässig ist.
Lebenslaufparser
Solche Systeme extrahieren und strukturieren Bewerberdaten automatisch ins Bewerbungsmanagementsystem. Dabei ist die Datenrichtigkeit nach Art. 5 Abs. 1 lit. d) DSGVO sicherzustellen. Führt das Tool eigenständige Auswertungen durch, greift zusätzlich Art. 22 DSGVO und die Ergebnisse müssen zusätzlich mithilfe von menschlicher Intelligenz beurteilt werden.
Emotionsanalysen
Verfahren zur Erfassung von Mimik, Gestik oder Stimmungsbildern sind im Bewerbungsverfahren selten datenschutzrechtlich zulässig. Sie beruhen oft auf sensiblen biometrischen Daten und erfordern eine freiwillige, informierte Einwilligung.
Somit ist die Zulässigkeit solcher Emotionsanalysen, die beispielsweise mittels Bewerbungsvideos erhoben werden, als kritisch zu betrachten. Zusätzlich ist zu beachten, dass die Verwendung von KI‑Systemen zur Ableitung von Emotionen natürlicher Personen am Arbeitsplatz, worunter auch Bewerbungsverfahren zu verstehen sind, eine verbotene KI-Praktik nach Art. 5 Abs. 1 lit. f) AI Act darstellt.
LLM-Chatbots
Sprachmodelle helfen, Stellenausschreibungen zu verfassen, die Fragen von Kandidaten zu beantworten oder erste Auswahlgespräche durchzuführen. Aber auch hier dürfen sie für finale Einstellungsentscheidungen gem. Art. 22 DSGVO nicht als alleinige Grundlage herangezogen werden.
Datenschutzrechtliche Herausforderungen bei KI im Active Sourcing
Der Einsatz von KI im Rahmen von Active Sourcing hat das Potential, Anwerbungsprozesse zu beschleunigen und effektiver zu gestalten. Doch mit diesen Möglichkeiten steigen auch die Anforderungen an einen verantwortungsvollen Umgang mit personenbezogenen Daten.
In der Praxis zeigt sich, dass die Umsetzung der datenschutzrechtlichen Vorgaben häufig mit Herausforderungen verbunden ist. Es besteht die Gefahr, dass Prozesse rein automatisiert ablaufen, während der notwendige menschliche Eingriff und die kritische Überprüfung vernachlässigt werden. Dabei soll die Technik lediglich unterstützend wirken, nicht aber über die Eignung oder Ablehnung von Bewerben entscheiden.
Zusätzlich müssen Bewerber und potenzielle Kandidaten umfassend über die Verarbeitung ihrer Daten informiert werden, um den Informationspflichten gem. Art. 13 und 14 DSGVO gerecht zu werden. Betroffene haben Anspruch auf Informationen darüber, welche Daten erhoben, zu welchen Zwecken sie verarbeitet und wie lange sie gespeichert werden.
Besonderheiten im Zusammenhang mit dem AI Act
Ergänzend regelt der AI Act, dass KI-Systeme, die für Personalentscheidungen eingesetzt werden, als Hochrisiko-KI-Systeme im Sinne von Art. 6 Abs. 2 AI Act in Verbindung mit Anhang III AI Act einzustufen sind. Darunter fallen alle KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten.
Ein KI-System gilt ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen birgt, indem es unter anderem nicht das Ergebnis der Entscheidungsfindung wesentlich beeinflusst. Dies ist gem. Art. 6 Abs. 3 AI Act etwa der Fall, wenn das KI-System dazu bestimmt ist, eine eng gefasste Verfahrensaufgabe durchzuführen.
Unternehmen, die ein Hochrisiko-KI-System einsetzen, gelten als Betreiber solcher Systeme und sind gem. Art. 26 AI Act unter anderem verpflichtet, den Betrieb des Hochrisiko-KI-Systems anhand der Betriebsanleitung zu überwachen, für die Angemessenheit der Eingabedaten zu sorgen und die Arbeitnehmervertreter zu involvieren.
Abweichend hiervon sind Verfahren zur Emotionserkennung am Arbeitsplatz gem. Art. 5 Abs. 1 lit. f) AI Act grundsätzlich untersagt.
Fazit
Der derzeitige Entwicklungsprozess, der Active Sourcing und KI-Anwendungen miteinander verknüpft, erweist sich als zweischneidiges Schwert. Einerseits beschleunigen und verbessern intelligente Systeme die Effizienz der Personalgewinnung. Andererseits zwingt der Einsatz neuartigen Techniken zu einem noch größeren Kontrollaufwand. Die Empfehlungen der Hamburger Datenschutzbehörde mahnen hier zu einer besonders rigorosen Umsetzung technischer und organisatorischer Maßnahmen, um den Schutz der Daten trotz des innovativen Potenzials nicht zu gefährden.
Insgesamt zeigt sich, dass Active Sourcing und KI im Recruiting ein enormes Potenzial bieten – vorausgesetzt, dass Unternehmen bereit sind, in umfassende Sicherheitsstrukturen und transparente Rekrutierungsprozesse zu investieren.
