DSGVO und KI im Recruiting: So gehen Sie mit Bewerberdaten und Aufbewahrungsfristen um

Wie DSGVO und KI im Recruiting bei Sourcing und Auswahl zusammenkommen

KI spielt eine immer größere Rolle im Recruiting. Das zeigt sich beim Suchen, Ansprechen, Zusammenfassen und manchmal sogar bei einer ersten Vorauswahl. Weil Sie dabei mit Namen, Lebensläufen, Berufserfahrung, Kontaktdaten und persönlichen Notizen arbeiten, gerät der Datenschutz schnell ins Spiel. Beim Einsatz von DSGVO und KI im Recruiting geht es deshalb immer um dieselben Grundfragen: Was ist der Zweck, welche Daten sind wirklich nötig und wie lange dürfen Sie diese aufbewahren?

Für Recruiting unter der DSGVO bedeutet das, dass Sie zuerst den Prozess betrachten und erst danach das Tool. Die Technologie verändert die Datenschutzregeln nämlich nicht. Die Kernfrage bleibt immer, warum Sie bestimmte Daten nutzen, ob dies wirklich für Ihre Rechtsgrundlage bei der Personalgewinnung notwendig ist und ob Sie erklären können, dass der Kandidat dies vernünftigerweise erwarten darf. Dieser Ansatz macht Personalgewinnung und Auswahl nach der DSGVO deutlich praktikabler.

Warum DSGVO und KI im Recruiting bei Bewerbern, Sourcing und Talentpools unterschiedlich wirken

Aktiver Bewerber

Ein aktiver Bewerber hat sich selbst auf eine Stelle beworben oder befindet sich bereits in einem laufenden Verfahren. In diesem Fall dürfen Sie die Daten verarbeiten, die nötig sind, um die Bewerbung beurteilen zu können. Denken Sie an Name, Kontaktdaten, Lebenslauf, Motivation, Berufserfahrung und gezielte Notizen zur Eignung. Trotzdem müssen Sie auch dann nicht alles speichern. Innerhalb der DSGVO rund um Bewerberdaten gilt, dass jede Notiz einen klaren Zweck haben und für die Position relevant sein muss.

Ein einfaches Beispiel macht das deutlich: Bewirbt sich jemand auf eine Vertriebsposition, sind Erfahrung, Region und Verfügbarkeit oft relevant. Eine persönliche Bemerkung über die familiäre Situation oder Gesundheit einer Person gehört in der Regel absolut nicht dazu. Deshalb ist es ratsam, Interviewnotizen sachlich zu halten und unbegründete Meinungen zu vermeiden.

Passiv gefundene Fachkraft

Eine passiv gefundene Fachkraft hat sich nicht selbst beworben. Sie haben diese Person proaktiv angesprochen, zum Beispiel über LinkedIn. Bei der DSGVO rund um Sourcing über LinkedIn entsteht oft Verwirrung, weil öffentliche Informationen sich manchmal anfühlen wie Daten, die man einfach frei nutzen darf. Das ist ein Irrtum. Öffentliche Informationen auf LinkedIn bleiben ein personenbezogenes Datum. Die Sichtbarkeit eines Profils ist also kein Freibrief für eine beliebige Nutzung.

In dieser Situation berufen Sie sich häufig auf ein berechtigtes Interesse beim Sourcing. Das erfordert eine klare Interessenabwägung. Gibt es eine tatsächliche offene Stelle oder einen konkreten Auftrag? Sind die erhobenen Daten wirklich nötig, um jemanden passend anzusprechen? Und wiegen die Datenschutzrechte des Kandidaten nicht schwerer als Ihr geschäftliches Interesse? Dokumentieren Sie außerdem, warum die Ansprache logisch ist, welche minimalen Informationen Sie nutzen und wie der Kandidat einfach widersprechen kann.

Kandidat im Talentpool

Ein Talentpool unterscheidet sich grundlegend von einer laufenden Bewerbung oder einer ersten Ansprache. Dabei speichern Sie nämlich Daten für zukünftigen Kontakt. Dazu gehören ein klarer Zweck, ein festgelegter Endzeitpunkt und so gut wie immer eine ausdrückliche Einwilligung. Das ist der absolute Kern eines Talentpools nach der DSGVO. Sie speichern Kandidatendaten also nicht einfach, weil es in Zukunft vielleicht nützlich sein könnte. Sie dürfen sie nur speichern, wenn der Kandidat genau weiß, wofür, wie lange und für welche Art von Stellen die Daten aufbewahrt werden.

Auch hier hilft ein Beispiel weiter. Angenommen, jemand wurde für eine bestimmte Rolle abgelehnt, möchte aber gerne für vergleichbare Positionen in derselben Region im Blick bleiben. In diesem Fall können Sie um Einwilligung zur Aufnahme in einen Talentpool bitten, versehen mit einem festen Enddatum. Widerruft die Person diese Einwilligung später? Dann müssen Sie die Daten sofort löschen.

Der praktische Ansatz für DSGVO und KI im Recruiting pro Recruiting-Schritt

Den folgenden Ansatz können Sie direkt in Ihren eigenen Prozess integrieren. Das Prinzip ist einfach: Verknüpfen Sie jeden Schritt mit einem klaren Zweck, einer möglichen Rechtsgrundlage, den minimal nötigen Daten und einem festen Löschzeitpunkt. Dadurch werden DSGVO und KI im Recruiting äußerst konkret statt vage und abstrakt.

Sourcing

• Ziel: einen passenden Kandidaten für eine konkrete offene Stelle oder einen konkreten Auftrag finden.
• Mögliche Rechtsgrundlage: häufig ein berechtigtes Interesse, sofern ein echtes Recruiting-Ziel vorliegt.
• Minimale Daten: Name, Jobtitel, relevante Erfahrung, Tätigkeitsbereich und das für die Rolle nötige Fachwissen.
• Aufbewahrungsfrist: kurz und immer direkt an die offene Stelle oder den Auftrag gekoppelt.
• Wann löschen oder stoppen: sobald die Stelle geschlossen wird, das Match keinen Sinn mehr ergibt oder die Daten schlicht nicht mehr benötigt werden.

Ansprechen

• Ziel: den ersten Kontakt zu einer konkreten Chance auf dem Arbeitsmarkt herstellen.
• Mögliche Rechtsgrundlage: in der Regel ein berechtigtes Interesse.
• Minimale Daten: Name, Kontaktkanal, Grund der Ansprache, Quelle und Datum des Kontakts.
• Aufbewahrungsfrist: nur so lange wie nötig für diese konkrete Ansprache und eine eventuelle kurze Nachfassaktion.
• Wann löschen oder stoppen: sofort bei Widerspruch, Abmeldung oder sobald keine passende Folgeaktion mehr zu erwarten ist.

Nachfassen

• Ziel: konstruktiv auf einem früheren Kontakt oder einer ersten Reaktion aufbauen.
• Mögliche Rechtsgrundlage: ein berechtigtes Interesse oder die Vorbereitung einer tatsächlichen Bewerbung, je nach Situation.
• Minimale Daten: die Reaktion, das Datum, relevanter Kontext und nur kurze Notizen mit klarem Zweck.
• Aufbewahrungsfrist: arbeiten Sie intern mit einem festen Bereinigungszeitpunkt speziell für inaktive Leads.
• Wann löschen oder stoppen: wenn jemand nicht weitermachen möchte, nach Ihrer festen Frist nicht mehr reagiert oder der Kontext vollständig entfällt.

Bewerbungsverfahren

• Ziel: fachkundig beurteilen, ob ein Kandidat wirklich für die Position geeignet ist.
• Mögliche Rechtsgrundlage: die Verarbeitung, die auf Wunsch des Kandidaten im Rahmen des Bewerbungsverfahrens erforderlich ist, in manchen Fällen ergänzt durch ein berechtigtes Interesse, das zum umfassenderen Auswahlprozess passt.
• Minimale Daten: Name, Kontaktdaten, Lebenslauf, Motivation und sehr gezielte Notizen zur Eignung.
• Aufbewahrungsfrist: In den Niederlanden gilt als Grundregel eine Aufbewahrung von Bewerbungsdaten von vier Wochen ohne Einwilligung oder maximal einem Jahr mit ausdrücklicher Einwilligung (gemäß der Praxislinie der niederländischen Datenschutzbehörde, Autoriteit Persoonsgegevens).
• Wann löschen oder stoppen: direkt nach Ablauf der vereinbarten Frist oder schon früher, wenn die Daten schlicht nicht mehr benötigt werden.

Talentpool

• Ziel: später Kontakt zu vielversprechenden Kandidaten über passende zukünftige Positionen aufnehmen.
• Mögliche Rechtsgrundlage: so gut wie immer eine ausdrückliche Einwilligung.
• Minimale Daten: Name, Kontaktdaten, relevante Berufserfahrung, klare Präferenzen für zukünftigen Kontakt und das genaue Datum der erteilten Einwilligung.
• Aufbewahrungsfrist: bis zum vorab vereinbarten Enddatum oder kürzer, wenn der Kandidat die Einwilligung zwischenzeitlich widerruft.
• Wann löschen oder stoppen: sofort bei Widerruf der Einwilligung, nach Ablauf der formellen Frist oder wenn der zugrunde liegende Zweck entfällt.

Wer dies praktisch und sicher einrichten möchte, kann unsere ausführliche Erklärung zu DSGVO-bewusstem KI-Sourcing durchlesen. Darin zeigen wir, wie minimale, relevante Daten und der Einsatz einer Scorecard (die der Recruiter anschließend selbst bewertet) bei einer transparenten und sorgfältigen Arbeitsweise helfen können. Das ersetzt natürlich nie Ihre eigene Abwägung pro Stelle, macht aber alle Schritte im Prozess deutlich besser nachvollziehbar.

So wenden Sie DSGVO und KI im Recruiting mit der richtigen Rechtsgrundlage und Datenminimierung an

Der Dreistufentest für das berechtigte Interesse

Der Begriff „berechtigtes Interesse" klingt ziemlich juristisch, lässt sich aber zum Glück sehr praktisch anwenden. Schritt eins ist die Frage, ob ein wesentliches Interesse vorliegt, etwa eine offene Stelle oder ein sehr gezielter Auftrag. Schritt zwei dreht sich um die Notwendigkeit: Brauchen Sie diese konkreten Daten wirklich, um das Ziel zu erreichen? Schritt drei ist die abschließende Abwägung: Wiegen die Rechte und Datenschutzerwartungen des Kandidaten schwerer als Ihr geschäftliches Interesse? Die Arbeit mit ausschließlich begrenzten und sehr relevanten Daten macht diese Abwägung deutlich stärker und besser begründbar.

Ein Recruiter, der über LinkedIn gezielt jemanden für eine aktuelle Stelle anspricht, hat in der Regel eine deutlich stärkere Begründung als ein Sourcer, der breite Listen ohne konkretes Ziel aufbaut. Deshalb ist es essenziell, pro Kandidat festzuhalten, was der genaue Grund der Ansprache ist. Dadurch wird die rechtliche Grundlage für die Personalgewinnung sofort klar.

Was Sie festhalten und was nicht

Datenminimierung bedeutet schlicht, dass Sie nur notieren, was absolut notwendig ist. Passende Daten sind zum Beispiel der Jobtitel, die Berufserfahrung, der (relevante) Standort, spezifisches Fachwissen und eine knappe Erläuterung, warum jemand gut zur Rolle passt. Besondere oder irrelevante Daten zu Gesundheit, Herkunft, Glauben, politischer Überzeugung oder anderen privaten Details aus der Online-Präsenz einer Person gehören hier nicht hinein. Auch persönliche Notizen ohne klaren Zweck passen schlicht nicht in ein KI-Tool für Bewerberdaten oder in manuelle Recruiting-Notizen.

Es gibt eine praktische Faustregel, die gut hilft: Brauchen Sie eine bestimmte Angabe nicht, um den Kandidaten passend anzusprechen oder zu beurteilen? Dann speichern Sie sie einfach nicht. Das hält Ihre Systeme schön sauber und verhindert lästige Diskussionen über den Speichergrund.

Öffentliche LinkedIn-Daten sind und bleiben ein personenbezogenes Datum

Öffentliche Daten auf LinkedIn fallen keineswegs aus dem Rahmen der Datenschutzgesetzgebung heraus. Diese Art von Daten bleibt also vollständig Teil von DSGVO und KI im Recruiting. Sie müssen immer erklären können, warum Sie diese Quelle nutzen, welche konkreten Informationen Sie notieren und wie die betroffene Person einfach widersprechen kann. Kommunizieren Sie beim ersten Kontakt auch direkt und transparent, woher genau die Daten stammen. Das ist fair gegenüber dem Kandidaten und unterstreicht eine professionelle, sorgfältige Arbeitsweise.

DSGVO und KI im Recruiting bei KI-Tools und Anbietern

Wann ein KI-Tool als Auftragsverarbeiter auftritt

Ein KI-Tool fungiert in der Regel als Auftragsverarbeiter, wenn die Software ausschließlich in Ihrem Auftrag personenbezogene Daten verarbeitet und nicht selbst den eigentlichen Zweck bestimmt. Denken Sie zum Beispiel an Technologie, die Kandidaten ordnet, Profile zusammenfasst oder den Matching-Prozess innerhalb Ihrer Systeme unterstützt. Der Recruiter oder Arbeitgeber bleibt in solchen Situationen so gut wie immer der Verantwortliche im Sinne der DSGVO. Die Endverantwortung für die Daten liegt dadurch vollständig bei Ihnen, unabhängig davon, ob ein externer Anbieter die zugrunde liegende Technik bereitstellt.

Welche Fragen Sie einem Anbieter stellen

Bevor Sie ein neues Tool anschaffen oder aktivieren, ist es klug, dem Anbieter kritische Fragen zu stellen. Prüfen Sie zunächst, ob ein solider Auftragsverarbeitungsvertrag für Recruiting-KI verfügbar ist. Fragen Sie außerdem genau nach: Wie ist die Informationssicherheit geregelt? Welche Subunternehmer werden eingesetzt und wo befinden sich die physischen Daten? Klären Sie auch, wie der Löschprozess funktioniert und ob der Anbieter bei Datenschutzanfragen von Kandidaten mitwirkt. Fragen Sie zum Schluss immer, welche Dateneingaben wirklich notwendig sind, damit die Anwendung gut funktioniert, um unnötige Datenspeicherung zu vermeiden.

Wer besser verstehen möchte, wie smarte Tools genau in den täglichen Arbeitsablauf passen, kann einen Blick auf unsere Seite zur LinkedIn-Integration werfen. Dort zeigen wir, wie das Verhältnis zwischen externer Quelle, Ihrem internen Workflow und den zugrunde liegenden Datenflüssen Teil einer soliden praktischen Beurteilung ist. Für mehr Kontext und Einblicke aus dem Markt können Sie auch unsere ausgearbeiteten Praxisbeispiele zu KI im Recruiting durchlesen.

Verantwortung bleibt beim Recruiter oder Arbeitgeber

Die Partei, die letztlich bestimmt, warum Daten genutzt werden, trägt jederzeit die Verantwortung für den Zweck, die Rechtsgrundlage und den tatsächlichen Inhalt der Verarbeitung. Auch wenn ein Anbieter die Technik liefert, kann und darf diese Partei niemals Ihre strategischen und rechtlichen Entscheidungen übernehmen. Deshalb ist es entscheidend, stets selbst kritisch zu beurteilen, welche Daten Sie in die Systeme eingeben, wie lange Sie diese behalten und ob der gesamte Prozess noch immer einwandfrei zur internen Datenschutzrichtlinie passt.

Faktischer Produktkontext

Wir konzentrieren uns in der täglichen Praxis stets auf die Verarbeitung minimaler Daten, klare Prozessgrenzen und die richtige Positionierung von KI im Workflow. Betrachten wir zum Beispiel den Kontext unseres eigenen Sourcing-Moduls, dreht es sich vor allem um relevante Profilinformationen und eine übersichtliche Scorecard, die der Recruiter anschließend selbst gewichtet und beurteilt. Ein wichtiger Aspekt dieses Produktaufbaus ist, dass die Kandidatendaten nicht strukturell über die aktive Sitzung hinaus gespeichert werden. Obwohl dies an sich kein formelles rechtliches Gütesiegel darstellt, ist es definitiv ein faktischer Pluspunkt, der bei der Beurteilung Ihrer Datenflüsse und der sichereren Implementierung der Software stark hilft.

Rechte von Kandidaten und automatisierte Entscheidungsfindung bei einer Bewerbung

Welche Rechte Kandidaten haben

Jeder Kandidat hat das gesetzliche Recht auf Auskunft, Berichtigung und (in bestimmten Fällen) die vollständige Löschung seiner persönlichen Daten. Außerdem können sie formell Widerspruch gegen bestimmte Verarbeitungen einlegen, die ausschließlich auf einem berechtigten Interesse beruhen. Gerade deshalb ist eine glasklare Datenschutzerklärung für das Recruiting von großer Bedeutung. Darin erklären Sie transparent, welche Daten Sie genau erheben, mit welchem Zweck, aus welchen Quellen diese stammen, mit wem Sie die Daten teilen und wie der Kandidat seine Rechte mühelos ausüben kann.

Wann menschliches Eingreifen nötig ist

Bei automatisierter Entscheidungsfindung im Rahmen einer Bewerbung ist besondere Aufmerksamkeit geboten. Es geht dabei nämlich um automatische Entscheidungen, die spürbare (und oft rechtliche) Folgen für einen Kandidaten haben, rein und ausschließlich weil ein System das Endergebnis vorgibt. Eine vollautomatische, endgültige Ablehnung ohne jeden unabhängigen menschlichen Blick ist hierfür das bekannteste Beispiel. In solch folgenreichen Situationen hat ein Kandidat in der Regel das volle Recht, dennoch menschliches Eingreifen zu verlangen.

Warum ein menschliches Häkchen nicht ausreicht

Achten Sie aber darauf: Ein pflichtschuldiges Häkchen oder eine flüchtige Kontrolle durch einen Recruiter gilt rechtlich gesehen nicht einfach als ernsthafte, eigenständige Beurteilung. Bleibt das ursprüngliche Ergebnis der KI faktisch ausschlaggebend und trifft der Recruiter kaum noch eine eigene Abwägung, laufen Sie dennoch Gefahr einer unerwünschten Entscheidungsautomatisierung. Nutzen Sie künstliche Intelligenz deshalb zunächst nur als praktisches Hilfsmittel beim gezielten Suchen, Strukturieren und Zusammenfassen. Überlassen Sie es immer der Fachkraft, selbst mit Argumenten zu begründen, warum ein Kandidat in die nächste Runde kommt oder eben ausscheidet.

Checkliste für DSGVO und KI im Recruiting in Ihrer Datenschutzerklärung und Ihrem Aufbewahrungsplan

Checkliste für Ihre Datenschutzerklärung

• Erklären Sie pro Situation den Zweck der Verarbeitung, etwa Sourcing, Bewerbung oder Talentpool-Verwaltung.
• Nennen Sie pro Situation die passende Rechtsgrundlage.
• Beschreiben Sie, welche Datenkategorien Sie nutzen und warum genau diese Daten nötig sind.
• Nennen Sie die Quelle der Daten, zum Beispiel ein Bewerbungsformular oder LinkedIn.
• Erklären Sie, mit welchen Empfängern oder Systemen Daten geteilt werden.
• Nennen Sie die Aufbewahrungsfrist pro Prozess, einschließlich der Praxisregel für Bewerbungen.
• Beschreiben Sie die Rolle der KI in einfacher Sprache, etwa beim Suchen, Zusammenfassen oder Unterstützen der Auswahl.
• Erklären Sie, wie Kandidaten genau Auskunft, Berichtigung, Löschung oder Widerspruch beantragen können.

Checkliste für Ihren internen Aufbewahrungsplan

• Legen Sie pro Prozessschritt eine feste Löschfrist fest, also für Sourcing, Ansprache, Nachfassen, Bewerbungen und den Talentpool.
• Bestimmen Sie pro Schritt einen Verantwortlichen im eigenen Team.
• Legen Sie fest, wann und wie Sie inaktive Leads wirksam bereinigen.
• Prüfen Sie, ob lose Notizen außerhalb des ATS oder CRM ebenfalls fristgerecht sauber gelöscht werden.
• Berücksichtigen Sie konkret, wie Sie mit erteilter Einwilligung, deren Widerruf und einem eventuellen Widerspruch umgehen.

Unterschied zwischen der DSGVO und dem AI Act

Der Fokus der DSGVO liegt vor allem auf personenbezogenen Daten, den richtigen Rechtsgrundlagen, den Rechten der Betroffenen und einer übergreifend sorgfältigen Verarbeitung. Der kommende AI Act stellt dagegen zusätzliche Anforderungen an die Nutzung bestimmter KI-Systeme, unter anderem abhängig vom jeweiligen Risikoniveau und dem beabsichtigten Einsatzzweck. Für Sie als Recruiter ist vor allem eines entscheidend: Die DSGVO gilt schon jetzt uneingeschränkt. Warten Sie deshalb nicht passiv auf künftige Regelungen, wenn Sie heute schon aktiv mit Bewerberdaten arbeiten.

Haben Sie konkrete Produktfragen oder möchten Sie gezielt faktische Informationen zu unserer Datenverarbeitung anfragen? Dann können Sie über diese Seite eine Anfrage zur Datenverarbeitung bei Elvatix einreichen und schnell Kontakt aufnehmen. Dadurch können Sie noch besser beurteilen, ob und wie ein bestimmtes Tool nahtlos in Ihre eigene Arbeitsweise passt.

Praktische Hinweise für Agenturen, die mit LinkedIn und KI arbeiten

Personalvermittlungen zeichnen sich oft durch ein hohes Arbeitstempo und kleinere, flexible Teams aus. Gerade deshalb ist ein übersichtlicher, eindeutiger Prozess mit festen Absprachen der Schlüssel zum Erfolg. Legen Sie intern klar fest, wer über neue Tools entscheidet, wer für eingehende Rechteanfragen verantwortlich ist und wer die vereinbarten Aufbewahrungsfristen proaktiv überwacht. Speziell für Agenturumgebungen, in denen diese Dynamik besonders stark spielt, passt unsere Seite über DSGVO für Personalvermittlungen hervorragend zur komplexen täglichen Praxis.

Achten Sie außerdem sehr genau auf die Trennlinie zwischen den Wünschen eines externen Auftraggebers und Ihrer eigenen rechtlichen Verantwortung. Fordert ein anspruchsvoller Kunde breite, ungezielte Suchlisten oder eine langfristige Datenspeicherung? Das bedeutet noch lange nicht, dass dies automatisch innerhalb der Grenzen Ihrer Rolle und Befugnisse liegt. Sie bleiben schließlich primär selbst verantwortlich für die eigene Datenverarbeitung. Das unterstreicht, warum es immer klug ist, getroffene Entscheidungen rund um Sourcing, die tatsächliche Ansprache, das Nachfassen und die Talentpool-Verwaltung strukturell zu dokumentieren. Das gilt auch dann (und gerade dann), wenn ein Auftraggeber erheblichen Druck auf die Geschwindigkeit des Verfahrens ausübt.

Häufig gestellte Fragen

Darf ich jemanden auf LinkedIn proaktiv ansprechen, ohne dessen vorherige Einwilligung? Ja, das ist in manchen Fällen erlaubt, sofern Sie sich auf ein nachweisbares berechtigtes Interesse berufen können und die Ansprache direkt mit einer aktuellen, konkreten Stelle oder einem spezifischen Auftrag verknüpft ist. Wenden Sie in diesem Fall immer Datenminimierung an, seien Sie ab dem ersten Kontakt transparent über die Quelle der Daten und stoppen Sie die Verarbeitung sofort, wenn die Person widerspricht.

Wie lange darf ich Lebensläufe und zugehörige Bewerbungsdaten aufbewahren? Die Aufbewahrungsfrist für Bewerbungsdaten beträgt in den Niederlanden als Ausgangspunkt meist vier Wochen ohne aktive Einwilligung und höchstens ein Jahr mit Einwilligung des Kandidaten. Außerhalb eines laufenden oder abgeschlossenen Bewerbungsverfahrens können andere Aufbewahrungsfristen passend sein, sofern der zugrunde liegende Zweck, die Rechtsgrundlage und der genaue Löschzeitpunkt immer glasklar festgelegt sind.

Darf ich einen gerade abgelehnten Kandidaten direkt zu einem Talentpool hinzufügen? Das dürfen Sie, aber in der Praxis so gut wie ausschließlich, wenn Sie dafür vorab eine ausdrückliche und eindeutige Einwilligung erhalten haben. Erklären Sie dem Kandidaten immer ausführlich, warum Sie genau diese Daten speichern möchten, für welchen konkreten Zeitraum dies gilt und für welche Art zukünftiger Stellen die Person angesprochen werden kann.

Kann ich öffentliche Informationen auf einem LinkedIn-Profil einfach beliebig nutzen? Absolut nicht. Öffentliche Daten sind und bleiben schlicht eine Sammlung personenbezogener Daten. Auch für diese Informationen müssen Sie wasserdicht erklären können, warum Sie die Daten genau nutzen und warum diese konkrete Verarbeitung sauber innerhalb der gesetzlichen Rahmen der DSGVO liegt.

Was sollte ich vor dem Kauf mindestens von einem neuen KI-Anbieter verlangen? Verlangen Sie immer die Unterzeichnung eines wasserdichten Auftragsverarbeitungsvertrags und stellen Sie eindringliche Fragen zu deren Informationssicherheit. Erkundigen Sie sich nach eingesetzten Subunternehmern, dem genauen physischen Datenstandort, dem Ablauf der endgültigen Datenlöschung und der Unterstützung bei Datenschutz- oder Betroffenenanfragen. Fragen Sie zudem genau nach, welche Dateneingaben wirklich strikt notwendig sind für eine zuverlässige und gut funktionierende Nutzung des Tools.

Darf KI vollständig autonom entscheiden, wer abgelehnt wird und wer nicht? Damit sollten Sie außerordentlich vorsichtig umgehen. Sobald ein System in der Praxis völlig eigenständig über die Ablehnung oder das Weiterkommen einer Person entscheidet, besteht eine hohe Wahrscheinlichkeit für automatisierte Entscheidungsfindung im Rahmen einer Bewerbung. Um rechtliche Fallstricke zu vermeiden, ist es wichtig, immer für eine fundierte, aufrichtige menschliche Beurteilung mit einer gut begründeten und transparenten Motivation zu sorgen.