DSFA für HR-Recruiting mit KI: 7-Schritt-Vorlage

Hauptartikel: DSFA Art. 35 DSGVO (Glossar) — die Begriffserklärung zur Datenschutz-Folgenabschätzung.

Wann KI-Recruiting eine DSFA auslöst

Die DSFA ist vorab durchzuführen, wenn eine Verarbeitung — insbesondere bei Verwendung neuer Technologien — aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 DSGVO nennt als Regelfälle ausdrücklich die systematische und umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung sowie die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO. Genau darum geht es beim Scoring und Ranking von Bewerbungen.

Parallel greift die KI-VO. Ein KI-System ist dort ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Empfehlungen oder Entscheidungen erzeugt (Art. 3 Nr. 1 KI-VO). Die in Anhang III Nr. 4 aufgeführten Systeme im Bereich Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit gelten nach Art. 6 Abs. 2 KI-VO als hochriskant. Die Ausnahme des Art. 6 Abs. 3 KI-VO — kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte — ist ausgeschlossen, wenn das System ein Profiling natürlicher Personen durchführt.

Zeitlich: Die KI-VO gilt seit dem 2. August 2026 allgemein, Kapitel V (GPAI-Modelle) bereits seit dem 2. August 2025. Die Hochrisiko-Pflichten aus Kapitel III Abschnitte 1 bis 3 gelten für Anhang-III-Systeme — also auch für HR-KI nach Anhang III Nr. 4 — ab dem 2. Dezember 2027, für die Produktroute über Anhang I ab dem 2. August 2028 (Art. 113 KI-VO in der seit 27. Juli 2026 geltenden Fassung der Verordnung (EU) 2026/1744). Getrennt davon bleibt die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 Abs. 1 KI-VO: Sie trifft öffentliche Stellen, private Betreiber öffentlicher Dienste sowie Betreiber nach Anhang III Nr. 5 lit. b/c — private Arbeitgeber mit HR-KI nach Anhang III Nr. 4 nicht. Die folgende 7-Schritt-Struktur ist eine Praxisvorlage für die Durchführung; die Pflichten selbst folgen aus den genannten Normen, nicht aus der Nummerierung.

1. Beschreibung der Verarbeitung

Schritt 1 hält fest, welches System welche Daten zu welchem Zweck verarbeitet — ohne diese Beschreibung ist keine Risikobewertung prüfbar. Dokumentiert werden: KI-Tool, Modell-Typ (GPAI / nicht), Eingangs-Daten (Lebenslauf-Felder), Output (Score, Ranking), Verwendungs-Zweck (Vorauswahl, Endauswahl).

Der Modell-Typ entscheidet, woher Ihre Unterlagen kommen. Ein KI-Modell mit allgemeinem Verwendungszweck (GPAI) ist ein Modell mit erheblicher allgemeiner Verwendbarkeit, das ein breites Aufgabenspektrum erfüllt und in viele nachgelagerte Systeme integrierbar ist (Art. 3 Nr. 63 KI-VO). Anbieter solcher Modelle müssen technische Dokumentation erstellen und Informationen für die Anbieter bereitstellen, die das Modell integrieren (Art. 53 Abs. 1 lit. a und lit. b KI-VO, mindestens nach Anhang XI bzw. Anhang XII). Diese Unterlagen liegen beim Anbieter, der das Modell in Ihr HR-Tool integriert; was davon bei Ihnen ankommt, ist vertraglich zu klären und in der DSFA festzuhalten.

Zweite Achse: die Rollen. Welche Rolle Sie einnehmen, ist anhand von Art. 4 Nr. 7, Art. 4 Nr. 8 und Art. 26 DSGVO für die konkrete Konstellation zu bestimmen und in der DSFA zu begründen. Erfolgt die Verarbeitung im Auftrag, dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten, und brauchen einen Vertrag mit Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechten (Art. 28 Abs. 1 und Abs. 3 DSGVO). Bewerbermanagement ist zudem eine eigene Verarbeitungstätigkeit im Verzeichnis nach Art. 30 DSGVO; bei Aufsichtsanfragen wird in der Praxis häufig in der Reihenfolge Verarbeitungsverzeichnis, AVV, TOM-Konzept, DSFA geprüft (Praxiseinschätzung, keine gesetzliche Vorgabe).

2. Notwendigkeit + Verhältnismäßigkeit

Schritt 2 begründet, warum das Ziel ohne das KI-System nicht oder nur deutlich schlechter erreichbar ist — und hält die geprüfte Alternative fest. Kernpunkte: Alternative ohne KI prüfen. Datenminimierung: nur relevante Felder. Zweckbindung: nur für definierten Use Case.

Vorgelagert ist die Rechtsgrundlage: Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der sechs Bedingungen des Art. 6 Abs. 1 DSGVO erfüllt ist (Einwilligung, Vertrag bzw. vorvertragliche Maßnahmen, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigte Interessen). In Deutschland ist bei Beschäftigtendaten § 26 BDSG die einschlägige Norm; das österreichische DSG kennt keinen eigenen Beschäftigtendatenschutz-Paragrafen — maßgeblich sind dort Art. 6 und Art. 88 DSGVO. Wer auf die Einwilligung setzt, muss sie nachweisen können; sie ist jederzeit widerrufbar und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und Abs. 3 DSGVO).

Die Frage „muss das Tool ranken oder reicht eine Vollständigkeitsprüfung?“ entscheidet zugleich über den KI-rechtlichen Pflichtenkatalog (siehe Rückausnahme oben). Praxisempfehlung: Löschfristen im selben Schritt festlegen — üblich sind sechs Monate für Bewerberdaten; Bezugspunkte sind die Zwei-Monats-Frist des § 15 Abs. 4 AGG in Deutschland und die sechsmonatige gerichtliche Frist des § 15 bzw. § 29 GlBG in Österreich.

3. Risiko-Identifikation

Schritt 3 sammelt die Risiken aus Sicht der Bewerber, nicht aus Sicht des Unternehmens. Bewerber-Risiken: Diskriminierung (§ 22 AGG-Beweislastumkehr), Profilbildung (Art. 22 DSGVO), undurchsichtige Auto-Entscheidungen, Falsche Klassifizierung.

Der rechtlich entscheidende Mechanismus ist die mittelbare Benachteiligung: Sie liegt vor, wenn dem Anschein nach neutrale Vorschriften, Kriterien oder Verfahren Personen in besonderer Weise benachteiligen können, sofern sie nicht sachlich gerechtfertigt sind (§ 3 Abs. 2 AGG). Genau dieses Muster kann ein Modell erzeugen, das auf einem korrelierten Merkmal statt auf dem verbotenen Merkmal selbst optimiert — die Rechtfertigungsprüfung gehört dann in die DSFA. Die Gründe zählt § 1 AGG auf: Rasse oder ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter, sexuelle Identität. Beschäftigte dürfen wegen dieser Gründe nicht benachteiligt werden; das gilt auch, wenn der Grund nur unterstellt wird, und abweichende Vereinbarungen sind unwirksam (§ 7 Abs. 1 und Abs. 2 AGG).

Die Folgen gehören in die Risikobewertung: Bei einem Verstoß ist der Arbeitgeber zum Ersatz des Schadens verpflichtet, sofern er die Pflichtverletzung zu vertreten hat, und schuldet für den immateriellen Schaden eine Geldentschädigung (§ 15 Abs. 1 und Abs. 2 AGG; in Österreich § 12 bzw. § 26 GlBG) — die Obergrenzen und Mindestbeträge unterscheiden sich, siehe DE/AT-Tabelle unten. Datenschutzseitig fallen Verstöße gegen die Betroffenenrechte der Art. 12 bis 22 DSGVO in den höheren Bußgeldrahmen des Art. 83 Abs. 5 DSGVO.

4. Bias-Test

Schritt 4 misst, ob das System Bewerbergruppen unterschiedlich behandelt — pro Merkmal, mit dokumentierter Methode und dokumentiertem Ergebnis. Statistische Tests pro AGG-Merkmal (Alter, Geschlecht, Ethnie). Verglichen werden je Merkmal die Auswahlquoten der Gruppen, also der Anteil der weiterempfohlenen Bewerbungen an allen Bewerbungen einer Gruppe; auffällig ist eine Abweichung, die sich mit der Stichprobengröße nicht mehr zufällig erklären lässt — die Stichprobe muss dafür je Merkmal groß genug sein, um statistisch aussagekräftig zu bleiben. Wer mit einem Signifikanzniveau von 5 % arbeitet, legt damit eine Konvention der eigenen statistischen Auswertung fest — eine vom BAG oder vom Gesetz festgelegte Indiz-Schwelle ist das nicht: § 22 AGG verlangt Indizien, die eine Benachteiligung wegen eines in § 1 AGG genannten Grundes vermuten lassen — dann trägt die andere Partei die Beweislast. Praxisempfehlung: je Test Merkmal, Datenbasis und Stichprobengröße, Auswertungsmethode, Ergebnis und abgeleitete Maßnahme festhalten — das ist der Nachweis, den die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt.

Gesucht wird die mittelbare Benachteiligung (§ 3 Abs. 2 AGG): die Gruppe, die ein neutral formuliertes Kriterium in besonderer Weise trifft. In Österreich sind die Prüfmerkmale auf zwei Normen verteilt — § 3 GlBG erfasst das Geschlecht, § 17 GlBG die ethnische Zugehörigkeit, Religion oder Weltanschauung, das Alter und die sexuelle Orientierung.

Die praktische Hürde ist datenschutzrechtlich: Daten, aus denen die rassische und ethnische Herkunft oder religiöse und weltanschauliche Überzeugungen hervorgehen, sind besondere Kategorien; ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO untersagt, Ausnahmen gibt es nur nach Art. 9 Abs. 2 DSGVO (etwa bei ausdrücklicher Einwilligung). Ein Test nach diesen Merkmalen lässt sich ohne tragfähige Ausnahme nicht auf individuelle Bewerberdaten stützen — diese Grenze gehört ausdrücklich in die DSFA. Testdesign, Datenbasis und Ergebnis zu dokumentieren, zahlt zugleich auf die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ein.

5. Schutzmaßnahmen

Schritt 5 listet die Maßnahmen, die das identifizierte Risiko senken — jede mit erwarteter Wirkung und Nachweis. Basis-Set: Anonymisierte Erst-Auswahl, menschliche Endentscheidung (Art. 22 Abs. 3), Transparenz im Bewerbungsprozess, Widerspruchs-Recht. Ergänzend belegbar sind:

• Verbotene Funktionen ausschließen: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Kategorisierung zur Ableitung sensibler Merkmale sind nach Art. 5 Abs. 1 lit. f und lit. g KI-VO verboten.
• Interaktionshinweis: Anbieter müssen sicherstellen, dass Systeme, die zur direkten Interaktion mit natürlichen Personen bestimmt sind, diese darüber informieren, dass sie mit einem KI-System interagieren (Art. 50 Abs. 1 KI-VO) — bei Chat- oder Dialog-Vorauswahl im Bewerbungsprozess prüfen und in der DSFA dokumentieren, wer den Hinweis ausspielt (Karriereseite, Chatbot-Oberfläche, Einladungsmail).
• Schulung: Der Arbeitgeber muss die erforderlichen, auch vorbeugenden Maßnahmen zum Schutz vor Benachteiligungen treffen; eine geeignete Schulung der Beschäftigten gilt als Erfüllung dieser Pflicht (§ 12 Abs. 1 bis 3 AGG).
• Beschwerdeweg: Beschäftigte können sich bei der zuständigen Stelle beschweren, die Beschwerde ist zu prüfen und das Ergebnis mitzuteilen (§ 13 Abs. 1 AGG); Gesetz und zuständige Stelle sind im Betrieb bekannt zu machen (§ 12 Abs. 5 AGG). Wer Rechte in Anspruch nimmt oder als Zeuge aussagt, darf dafür nicht benachteiligt werden (§ 16 Abs. 1 AGG; in Österreich § 13 bzw. § 27 GlBG).
• Auskunftsprozess: Anträge nach Art. 15 bis 22 DSGVO sind unverzüglich, spätestens binnen eines Monats zu beantworten; die Frist ist bei Komplexität um zwei Monate verlängerbar, worüber innerhalb des ersten Monats zu unterrichten ist (Art. 12 Abs. 3 DSGVO).

6. Konsultation Aufsichtsbehörde

Schritt 6 greift nur, wenn nach allen Maßnahmen ein hohes Restrisiko bleibt; dann ist die zuständige Aufsichtsbehörde vor Verarbeitungsbeginn zu konsultieren (Art. 36 DSGVO). Bearbeitungsdauer: 8 Wochen, verlängerbar auf 14 Wochen; Erfahrungswert für das Gesamtverfahren in Deutschland sind 12 bis 20 Wochen — den Go-live entsprechend planen.

Welche Behörde zuständig ist, hängt von der Art der Stelle ab. In Deutschland überwachen die nach Landesrecht zuständigen Behörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG) — private Arbeitgeber wenden sich also an ihre Landesdatenschutzbehörde. Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist für die öffentlichen Stellen des Bundes sowie bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). In Österreich ist es durchgängig die Datenschutzbehörde, die nach § 18 Abs. 1 DSG als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet ist.

Der Sanktionsrahmen macht deutlich, warum dieser Schritt nicht übersprungen wird: Verstöße gegen die Pflichten der Art. 25 bis 39 DSGVO — dazu zählen DSFA und Konsultation — werden mit Geldbußen bis zu 10 Mio. EUR oder bei einem Unternehmen bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).

7. Re-Evaluation

Schritt 7 hält die DSFA aktuell: Bei wesentlichen Änderungen am Modell wird sie neu durchgeführt, dazwischen läuft ein fester Prüfrhythmus. Quartalsweise Bias-Re-Test (Praxisempfehlung). Bei wesentlichen Änderungen am Modell: neue DSFA.

Anlässe außer der Reihe ergeben sich aus den Verträgen und aus der Lieferkette. Ein Anbieter- oder Modellwechsel berührt den Auftragsverarbeitungsvertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Datenarten festlegt (Art. 28 Abs. 3 DSGVO) — er ist mit dem Wechsel neu zu prüfen. Setzt das Tool auf einem KI-Modell mit allgemeinem Verwendungszweck mit systemischem Risiko auf — vermutet ab einer kumulierten Trainings-Rechenleistung von mehr als 10^25 Gleitkommaoperationen (Art. 51 Abs. 2 KI-VO) —, müssen dessen Anbieter schwerwiegende Vorfälle erfassen, dokumentieren und dem Büro für Künstliche Intelligenz sowie gegebenenfalls den zuständigen nationalen Behörden unverzüglich melden (Art. 55 Abs. 1 lit. c KI-VO). Solche Meldungen sind ein Anlass, die eigene Bewertung nachzuziehen.

Praxisempfehlung: Den Re-Eval-Termin an den Review-Zyklus des Verarbeitungsverzeichnisses koppeln — dort sind jährlich plus anlassbezogen üblich, quartalsweise für ständig wachsende Unternehmen; einen festen Turnus nennen Art. 35 Abs. 1 und Abs. 3 DSGVO nicht — ausgelöst wird die Neubewertung durch wesentliche Änderungen. Jede Aktualisierung mit Datum dokumentieren, sonst ist der Stand bei einer Aufsichtsanfrage nicht belegbar.

Pflichten und Fundstellen im Überblick

Die folgende Tabelle nennt ausschließlich gesetzliche Pflichten und Rechtsfolgen; die Spalte „Auslöser“ gibt den Tatbestand der jeweils genannten Norm wieder und keine Praxisempfehlung.

Sanktionsrahmen: DSGVO und KI-VO nebeneinander

Beide Verordnungen sanktionieren eigenständig; die Obergrenzen gelten jeweils alternativ zum Prozentsatz, wobei der höhere Betrag maßgeblich ist.

Deutschland und Österreich: was sich unterscheidet

Die DSGVO-Artikel gelten in beiden Ländern gleich; abweichend sind das Antidiskriminierungsrecht und der nationale Überbau zum Datenschutz. Alle Angaben der Tabelle sind gesetzliche Regelungen der jeweils genannten Norm.

Hinweis Österreich: Die DSGVO-Artikel gelten wortgleich (Art. 35 DSFA, Art. 36 Konsultation), Aufsicht und nationales Recht unterscheiden sich jedoch: Zuständig ist die österreichische Datenschutzbehörde — nicht BfDI oder eine Landesdatenschutzbehörde —, ergänzendes nationales Recht ist das DSG statt des BDSG. Das Diskriminierungsverbot samt Beweismaß folgt nicht dem AGG, sondern dem Gleichbehandlungsgesetz (GlBG): § 3 (Geschlecht) bzw. § 17 (übrige Gründe); die betroffene Person hat den Diskriminierungstatbestand glaubhaft zu machen, danach trifft die Beweislast die beklagte Seite (§ 12 Abs. 12 bzw. § 26 Abs. 12 GlBG). Anlaufstellen sind die Gleichbehandlungsanwaltschaft (GAW) und die Gleichbehandlungskommission; Rechtsprechung des BAG ist in Österreich nicht einschlägig.