KI im Recruiting: Datenschutz vor dem Einsatz klären

Das Problem

Ihr Personalbüro möchte ein KI-Werkzeug einführen: Es soll Stelleninserate formulieren, Bewerbungen sortieren, Antworten vorbereiten und Gespräche planen. Der Anbieter verspricht Zeitersparnis. Die Geschäftsleitung ist interessiert, und die Datenschutzverantwortliche fragt: «Haben wir das geklärt?» Hat jemand die Bedingungen gelesen? Wissen die Bewerbenden Bescheid?

Bewerbungsunterlagen sind besonders sensibel. Sie enthalten Lebensläufe, Zeugnisse, oft Fotos und manchmal Angaben zu Gesundheit, Familie oder Herkunft. Bewerbende haben keine Wahl, ob sie ihre Daten abgeben, wenn sie die Stelle wollen. Das verpflichtet Sie zu besonderer Sorgfalt.

Mit einer Checkliste klären Sie die wichtigsten Punkte, bevor ein Werkzeug zum Einsatz kommt. Sie ersetzt keine Rechtsberatung, aber sie verhindert die häufigsten Fehler, und sie zeigt, wo Sie Hilfe brauchen.

So lösen Sie es mit KI – Schritt für Schritt

1. Zweck und Umfang festlegen: Wofür genau soll KI eingesetzt werden? Inserat formulieren, Eingänge bestätigen, Unterlagen zusammenfassen, Termine koordinieren? Je enger der Zweck, desto einfacher die Prüfung.
2. Funktionen einordnen: Unterscheiden Sie unbedenkliche Aufgaben (Texte für Inserate, Bestätigungen) von heiklen (Bewertung, Rangfolge, Analyse von Gesichtern, Stimmen oder Persönlichkeit). Letztere gelten als besonders kritisch. Siehe Bewerbungsvideo mit KI bewerten und Bewerbungen mit KI sortieren.
3. Daten auflisten: Welche Angaben aus Bewerbungen fliessen in das Werkzeug? Reduzieren Sie auf das, was für die Eignung nötig ist (Art. 328b OR). Fotos, Geburtsdatum, Zivilstand und Nationalität sind in der Regel nicht nötig.
4. Rechtsgrundlage und Transparenz: Informieren Sie Bewerbende im Inserat oder in der Eingangsbestätigung, dass KI zum Einsatz kommt, wofür und mit welchen Daten. Siehe Bewerbende informieren.
5. Anbieter prüfen: Vertrag und Tarif: Wo werden Daten verarbeitet? Werden sie fürs Training verwendet? Wie lange gespeichert? Gibt es eine Vereinbarung zur Auftragsbearbeitung? Siehe KI-Tool prüfen: Datenschutzfragen.
6. Entscheidungen beim Menschen lassen: Legen Sie fest, dass keine Einladung und keine Absage allein durch die KI erfolgt. Bei ausschliesslich automatisierten Entscheiden mit erheblicher Wirkung bestehen besondere Pflichten. Siehe automatisierte Einzelentscheidung.
7. Verzerrungen prüfen: Testen Sie das Werkzeug mit erfundenen Bewerbungen auf unterschiedliche Behandlung. Siehe Verzerrungen bei der Bewerberauswahl.
8. Aufbewahrung regeln: Legen Sie Fristen für abgelehnte Bewerbungen und Talentpools fest und stellen Sie sicher, dass das Werkzeug löscht. Siehe Bewerberdaten speichern.
9. Zugriffe beschränken: Nur die am Verfahren Beteiligten dürfen die Daten sehen. Führen Sie eine Liste.
10. Dokumentieren und überprüfen: Halten Sie Ergebnisse der Prüfung fest. Wiederholen Sie sie bei neuen Funktionen oder Anbieterwechsel.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie eine interne Prüfliste vor. Geben Sie keine Bewerberdaten ein:

Ich bin Personalverantwortliche in einem Schweizer KMU ([Branche], [Anzahl] Mitarbeitende). Wir erwägen, in unserem Bewerbungsverfahren KI für folgende Aufgaben einzusetzen: [Aufgaben, z. B. Inserat formulieren, Eingänge bestätigen, Lebensläufe zusammenfassen]. Das Werkzeug stammt von [Anbieter/Art] und verarbeitet laut Beschreibung [Datenarten].
Erstelle eine Prüfliste mit Fragen in den Bereichen: Zweck und Datenumfang, Eignungsbezug der Daten, Information der Bewerbenden, Anbieter und Vertrag (Standort, Training, Speicherdauer, Unterauftragnehmer), Rolle des Menschen bei Entscheiden, Test auf Verzerrung, Aufbewahrung und Löschung, Zugriffe, Dokumentation.
Markiere für jede Aufgabe, ob sie unkritisch, heikel oder zu vermeiden ist, und nenne Fragen, die ich einer Datenschutzfachperson stellen sollte. Erfinde keine Gesetzesartikel und gib keine Rechtsberatung.

Ergänzen Sie Aufgaben und Werkzeug. Besprechen Sie die Liste mit der Datenschutzverantwortlichen.

Worauf Sie achten müssen

• Datenschutzgrundsätze: Daten dürfen nur für den vorgesehenen Zweck, verhältnismässig und sicher bearbeitet werden. Das gilt für KI-Werkzeuge wie für jede andere Datenbearbeitung.
• Auftragsbearbeitung: Verarbeitet ein Anbieter Daten in Ihrem Auftrag, braucht es eine klare vertragliche Grundlage, und Sie bleiben verantwortlich. Siehe Auftragsverarbeitung erkennen.
• Ausland: Werden Bewerberdaten im Ausland verarbeitet, sind zusätzliche Anforderungen zu beachten.
• EU-Bezug: Rekrutieren Sie in der EU oder werden KI-Ergebnisse dort genutzt, können DSGVO und EU AI Act gelten. Der AI Act stuft KI in der Personalauswahl als Hochrisiko ein; Fristen und Einzelheiten ändern sich, prüfen Sie den Stand.
• Auskunftsrecht: Bewerbende können Auskunft über ihre Daten verlangen. Das Werkzeug sollte solche Auskünfte ermöglichen.
• Mitwirkung: Je nach Betrieb haben Arbeitnehmende Informations- und Anhörungsrechte. Siehe Mitwirkung in der Schweiz.
• Rechtliche Prüfung: Bei Hochrisiko, EU-Bezug oder Zweifeln holen Sie Fachrat ein.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Pflegeunternehmen in Zofingen mit 120 Mitarbeitenden plant ein neues Bewerbungsportal mit KI-Funktionen.

Vorher: Das Portal verspricht, Bewerbende automatisch zu bewerten und zu rangieren. Niemand hat geprüft, was mit den Daten geschieht, und die Bewerbenden wissen nichts davon.

Nachher: Die Personalleiterin arbeitet die Liste mit der Datenschutzverantwortlichen durch. Die Bewertungsfunktion wird abgeschaltet, nur das Auslesen von Lebensläufen in eine Tabelle bleibt aktiv. Der Anbieter bestätigt schriftlich, dass keine Daten zum Training dienen, und löscht abgelehnte Bewerbungen nach vier Monaten. Im Inserat steht ein Hinweis, und die Einladung entscheidet die Personalleiterin.

So hilft Ihnen Alpasana

Damit Ihr Team weiss, welche Daten bei Bewerbungen in welche KI gehören, bietet absofort KI-Weiterbildung für Unternehmen an. Laut Beschreibung sind Datenschutz und der verantwortungsbewusste Umgang mit Unternehmensdaten Lerninhalte; die Abschlüsse sind verifizierbar, und für Firmenlösungen und Teambuchungen besteht eine Kontaktmöglichkeit. Eine Rechtsberatung zu Ihrem Verfahren leistet das Angebot nicht.

Häufige Fragen

Reicht es, im Inserat «KI» zu erwähnen?

Ein klarer Hinweis ist gut, genügt aber nicht allein. Bewerbende sollten wissen, wofür, mit welchen Daten, wer entscheidet und wen sie fragen können.

Brauche ich eine Datenschutz-Folgenabschätzung?

Bei hohem Risiko für die betroffenen Personen kann sie nötig sein. Ob das bei Ihrem Einsatz zutrifft, beurteilt eine Fachperson. Siehe Datenschutz-Folgenabschätzung.

Darf ich Bewerbungen ohne Einwilligung mit KI bearbeiten?

Für die Durchführung des Verfahrens kann eine Bearbeitung zulässig sein, wenn sie verhältnismässig ist und Sie informieren. Zusatzzwecke wie ein Talentpool brauchen in der Regel Einwilligung.

Was, wenn der Anbieter nicht Auskunft gibt?

Verwenden Sie das Werkzeug nicht für Bewerbungsdaten. Fehlt Transparenz, fehlt die Grundlage für eine verantwortliche Nutzung.