Der Europäische Datenschutzausschuss (EDPB) nimmt den Einsatz automatisierter Auswahlverfahren im Recruiting ins Visier. Auf seiner Plenarsitzung in Brüssel wählte das Gremium am 11. November 2026 automatisierte Entscheidungsprozesse in Einstellungsverfahren, einschließlich KI-gestützter Systeme zur Kandidatenvorauswahl, zum Gegenstand der sechsten koordinierten Durchsetzungsaktion (Coordinated Enforcement Framework, CEF) für das Jahr 2027.
Fokus auf Transparenz und Auskunftsrechte
Die für 2027 angesetzte Initiative konzentriert sich maßgeblich auf Artikel 22 der Datenschutz-Grundverordnung (DSGVO), der das Recht regelt, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden.
Ein weiterer Schwerpunkt liegt auf dem Auskunftsrecht nach Artikel 15 DSGVO, das Betroffenen Einsicht in die zugrunde liegende Logik der Datenverarbeitung garantiert. Die Prüfungen sollen insbesondere erfassen, wie Arbeitgeber Stellensuchende über den Einsatz automatisierter Screening-Tools informieren.
Der Untersuchungsbereich beschränkt sich nicht auf Systeme mit künstlicher Intelligenz. Wie der EDPB am 11. November 2026 festlegte, fallen auch einfache, regelbasierte automatisierte Auswahlinstrumente ohne KI in das Prüffeld.
Der Einsatz automatisierter Systeme im Recruiting erfordert eine präzise Dokumentation aller Datenverarbeitungsschritte, um den strengen Prüfungen der Aufsichtsbehörden standzuhalten. Diese kostenlose Excel-Vorlage unterstützt Sie dabei, Ihr Verarbeitungsverzeichnis rechtssicher zu erstellen und Bußgeldrisiken zu minimieren. Kostenlose Muster-Vorlage und Anleitung jetzt herunterladen
Während die EU-KI-Verordnung Systeme zur Analyse und Filterung von Bewerbungen als Hochrisiko einstuft, greift die datenschutzrechtliche Aktion des EDPB unabhängig von dieser Klassifizierung für sämtliche automatisierten Auswahlmechanismen.
Ein zentraler Aspekt der rechtlichen Bewertung betrifft das Ausmaß der menschlichen Beteiligung. Eine rein formale Bestätigung ohne echte materielle Prüfung genügt den Anforderungen der DSGVO nicht; erforderlich ist eine Überprüfung durch Menschen mit tatsächlicher Entscheidungsbefugnis.
Der Europäische Gerichtshof hatte im Fall Dun & Bradstreet Austria bereits klargestellt, dass Erläuterungen zu automatisierten Entscheidungen verständlich sein müssen und sich Unternehmen gegenüber Aufsichtsbehörden oder Gerichten bei Transparenzauflagen nicht auf Geschäftsgeheimnisse berufen können.
Freiwillige Beteiligung und Vorbereitung
Die Teilnahme an der für das Jahr 2027 vorgesehenen Durchsetzungsaktion steht den nationalen Datenschutzbehörden der EU-Mitgliedstaaten frei. Diese können sich in den kommenden Wochen für eine Mitwirkung entscheiden.
Dänemark hat seine Teilnahme bereits bestätigt, während Rumänien eine Beteiligung bislang nicht öffentlich zugesagt hat. Eine Liste der konkret betroffenen Organisationen oder ein exakter Termin für den Beginn der Prüfungen im Jahr 2027 wurden noch nicht veröffentlicht.
Wer im Unternehmen KI-Systeme für die Kandidatenauswahl nutzt, muss neben der DSGVO auch die neuen Anforderungen des EU AI Acts im Blick behalten. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über Risikoklassen, Pflichten und die für Arbeitgeber relevanten Übergangsfristen. Kostenlosen Leitfaden zur KI-Verordnung anfordern
Für Arbeitgeber ergeben sich daraus organisatorische Vorbereitungsschritte bis zum Jahresende 2026. Zu den Aufgaben gehören die vollständige Erfassung aller im Recruiting genutzten Werkzeuge, die Kartierung der Entscheidungsprozesse und die Überprüfung der Vereinbarkeit mit Artikel 22 DSGVO.
Zudem gilt es, bestehende Verfahren für Auskunftsanfragen zu testen, Datenschutzerklärungen und Transparenzhinweise anzupassen sowie Vereinbarungen mit Drittanbietern hinsichtlich deren Datennutzung zu kontrollieren.
Weitere Beschlüsse der Plenarsitzung
Neben den Recruiting-Prüfungen fasste der EDPB am 11. November 2026 weitere Beschlüsse zu internationalen Datentransfers. Das Gremium verabschiedete eine Stellungnahme zur ersten Überprüfung der Angemessenheitsentscheidung für Südkorea und stimmte dem Kommissionsvorschlag zu, die Prüfung künftig in einem Vierjahresrhythmus durchzuführen.
Die EDPB-Vorsitzende Anu Talus beurteilte das Datenschutzniveau in Südkorea dabei als im Wesentlichen gleichwertig zu den europäischen Standards. Zudem beschloss die Versammlung finale Empfehlungen zu verbindlichen internen Datenschutzvorschriften für Auftragsverarbeiter (BCR-P). Unternehmen, die über genehmigte BCR-P verfügen, müssen diese bis zu ihrer jährlichen Aktualisierung im Jahr 2028 anpassen.