Die Frage kommt in fast jedem Gespräch mit Pflegeträgern, die über KI im Recruiting nachdenken: „Dürfen wir die KI entscheiden lassen, wer eine Absage bekommt?" Die kurze Antwort lautet nein. Die lange Antwort ist wichtiger, weil sie zeigt, wo die Grenze wirklich verläuft – und dass sie weiter von „KI verboten" entfernt ist, als viele glauben.
Kurz gesagt: Eine KI darf Bewerbungen vorsortieren, Kriterien prüfen und Empfehlungen geben. Sie darf nicht selbst absagen. Entscheidend ist nicht, ob formal ein Mensch beteiligt ist, sondern ob er tatsächlich entscheidet. Wer das sauber aufsetzt, kann KI im Recruiting rechtssicher nutzen.
Stand: Oktober 2026. Dieser Ratgeber gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.
1. Was Art. 22 DSGVO genau sagt
Art. 22 Abs. 1 DSGVO gibt jeder Person das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
Drei Bausteine, alle müssen vorliegen:
- Eine Entscheidung. Nicht jede Verarbeitung ist eine Entscheidung. Eine Rangliste zu erstellen ist zunächst nur eine Verarbeitung. Jemanden deshalb nicht einzuladen, ist eine Entscheidung.
- Ausschließlich automatisiert. Kein Mensch hat die Entscheidung inhaltlich getroffen.
- Erhebliche Beeinträchtigung. Eine Absage im Bewerbungsverfahren erfüllt das nach ganz überwiegender Auffassung. Es geht um den Zugang zu einem Arbeitsplatz.
Für die Absage einer Bewerbung treffen alle drei Punkte zu, sobald kein Mensch tatsächlich entscheidet.
Die Ausnahmen – und warum sie im Recruiting kaum helfen
Art. 22 Abs. 2 DSGVO erlaubt automatisierte Entscheidungen in drei Fällen: wenn sie für den Abschluss eines Vertrags erforderlich sind, wenn eine Rechtsvorschrift sie zulässt, oder wenn die Person ausdrücklich eingewilligt hat.
Die Vertragsausnahme wird gelegentlich für Bewerbungsverfahren ins Feld geführt. Sie trägt aber nicht weit: „Erforderlich" wird eng ausgelegt, und eine Absage ist für den Abschluss eines Arbeitsvertrags offensichtlich nicht erforderlich. Eine Einwilligung wiederum ist im Bewerbungsverhältnis selten wirklich freiwillig, weil der Bewerber auf die Stelle angewiesen ist. Und selbst wenn eine Ausnahme greift, bleibt nach Art. 22 Abs. 3 das Recht auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.
In der Praxis bedeutet das: Planen Sie nicht mit den Ausnahmen. Planen Sie mit einem Menschen, der entscheidet.
2. Das SCHUFA-Urteil: Warum „ein Mensch klickt" nicht reicht
Lange galt die Faustregel: Solange ein Mensch den letzten Schritt macht, ist Art. 22 nicht berührt. Der Europäische Gerichtshof hat das im Dezember 2023 beendet.
Im Fall C-634/21 (SCHUFA) ging es um Bonitätsscores. Die SCHUFA berechnete den Score, Banken trafen formal die Kreditentscheidung. Der EuGH entschied: Wenn der automatisiert erzeugte Wert für die Entscheidung des Dritten maßgeblich ist, ist bereits die Erstellung des Werts eine automatisierte Entscheidung im Sinne von Art. 22.
Übertragen auf das Recruiting heißt das: Erstellt eine KI einen Score oder eine Rangliste, und richtet sich der Recruiter in der Praxis danach, ohne die Bewerbung selbst zu prüfen, dann ist das Ergebnis der KI die Entscheidung. Der formale Klick ändert daran nichts.
Was echte menschliche Prüfung ausmacht
Die Datenschutzbehörden und die Rechtsprechung haben inzwischen ein klares Bild davon, was ein Mensch tun muss, damit seine Beteiligung zählt:
- Er sieht die Bewerbungsunterlagen, nicht nur das KI-Ergebnis.
- Er versteht, warum die KI zu ihrer Einschätzung kommt. Eine Zahl ohne Begründung lässt sich nicht prüfen.
- Er hat die Befugnis und die Zeit, abzuweichen. Wer 200 Bewerbungen in einer Stunde „prüfen" soll, prüft nicht.
- Seine Entscheidung wird dokumentiert, mit Name und Datum.
Ein System, das pro Kriterium ausweist, ob es erfüllt ist, und das mit einer Stelle aus dem Lebenslauf belegt, macht diese Prüfung in Sekunden möglich. Ein System, das einen Prozentwert ausgibt, macht sie praktisch unmöglich.
3. Die vier Varianten in der Praxis
| Vorgehen | Zulässig? | Warum |
|---|---|---|
| KI sagt automatisch ab, wenn ein Knockout-Kriterium nicht erfüllt ist | Nein | Reine automatisierte Entscheidung |
| KI erstellt Rangliste, nur die oberen 20 werden von Menschen angesehen | Nein | Für die übrigen ist die Absage faktisch automatisiert (SCHUFA-Logik) |
| KI empfiehlt Absage, Recruiter bestätigt per Sammelklick | Riskant | Formale Beteiligung ohne inhaltliche Prüfung |
| KI prüft Kriterien mit Beleg, markiert Unklares, Mensch sieht jede Bewerbung und entscheidet dokumentiert | Ja | Vorsortierung mit echter menschlicher Entscheidung |
Die letzte Zeile ist nicht nur die rechtlich sichere, sondern auch die praktisch bessere Variante. Wer jede Bewerbung sieht, aber mit vorbereiteten Kriterien und Zitaten, braucht dafür einen Bruchteil der Zeit – und übersieht niemanden, den die KI falsch eingeschätzt hat.
4. Wenn ein Bewerber fragt: „Hat eine KI mich abgelehnt?"
Diese Frage wird häufiger. Bewerber kennen ihre Rechte, und abgelehnte Bewerber haben ein Motiv, sie zu nutzen. Zwei Ansprüche sind relevant:
Auskunft nach Art. 15 DSGVO. Der Bewerber kann verlangen zu erfahren, ob eine automatisierte Entscheidungsfindung einschließlich Profiling stattfand und – wenn ja – welche Logik dahintersteckt und welche Auswirkungen sie hat (Art. 15 Abs. 1 lit. h).
Erklärung der Logik. Der EuGH hat im Februar 2025 (C-203/22) präzisiert, was „aussagekräftige Informationen über die involvierte Logik" bedeutet: Der Betroffene muss verstehen können, welche seiner Daten verwendet wurden, wie sie das Ergebnis beeinflusst haben und was sich hätte ändern müssen, damit das Ergebnis anders ausfällt. Den Algorithmus, das Modell oder den Prompt müssen Sie nicht offenlegen. Pauschal auf Geschäftsgeheimnisse berufen dürfen Sie sich aber auch nicht.
Eine Antwort, die diesen Anforderungen genügt, könnte so aussehen:
„Ihre Bewerbung wurde mit Unterstützung einer Software vorsortiert, die prüft, ob die in der Stellenanzeige genannten Anforderungen in Ihren Unterlagen belegt sind. Für die Stelle als Pflegefachkraft waren das: abgeschlossene dreijährige Ausbildung, Deutschkenntnisse mindestens B2, Bereitschaft zum Schichtdienst. Die Software hat die Ausbildung als belegt eingestuft, die Deutschkenntnisse als nicht belegt, da in Ihren Unterlagen kein Nachweis enthalten war. Die Entscheidung, Sie nicht einzuladen, hat Frau Müller aus unserem Recruiting-Team am 12.09.2026 nach Durchsicht Ihrer Unterlagen getroffen. Mit einem Sprachnachweis wäre die Einschätzung zu diesem Kriterium anders ausgefallen."
Das ist nur möglich, wenn Ihr System die Bewertung kriterienweise speichert und die menschliche Entscheidung mit Name und Datum protokolliert. Ist das nicht der Fall, können Sie die Auskunft nicht erteilen – und das ist selbst ein Verstoß.
5. Was mit AGG und AI Act zusammenhängt
Art. 22 DSGVO ist nicht die einzige Vorschrift, die bei KI-Absagen greift.
AGG. Wenn die Kriterien, nach denen die KI vorsortiert, mittelbar an Herkunft, Alter oder Geschlecht anknüpfen, hilft auch eine menschliche Entscheidung nicht. Dann ist die Benachteiligung im Kriterium angelegt. Mehr dazu im Ratgeber KI im Pflege-Recruiting: Was ist bei der Bewerbervorauswahl erlaubt?.
EU AI Act. KI-Systeme zur Auswahl von Bewerbern gelten als Hochrisiko-KI. Ab dem 2. Dezember 2027 müssen Anbieter unter anderem menschliche Aufsicht technisch ermöglichen (Art. 14) und Betreiber sie kompetenten Personen übertragen (Art. 26). Die Logik ist dieselbe wie bei Art. 22 DSGVO: Der Mensch muss eingreifen können, und zwar wirksam.
6. Checkliste: KI-Vorsortierung ohne automatisierte Absage
- Kein Kriterium löst allein eine Absage aus. Knockouts führen zu „Prüfung nötig", nicht zu „abgelehnt".
- Jede Bewerbung wird von einem Menschen gesehen – nicht nur die oberen Ränge.
- Die KI gibt keine Punktzahl, sondern eine Einschätzung pro Kriterium mit Beleg aus den Unterlagen.
- Jede Absage wird mit Name, Datum und Begründung dokumentiert.
- Bewerber werden vor der Verarbeitung über die KI-Vorsortierung informiert (Art. 13 DSGVO).
- Auskunftsanfragen können innerhalb eines Monats beantwortet werden, weil die Daten dafür vorliegen.
- Die Recruiter haben Zeit für die Prüfung. Eine Vorsortierung, die den Zeitdruck erhöht statt senkt, ist falsch aufgesetzt.
7. Wie Curawork das löst
Das Curawork BMS vergibt keinen Score. Es prüft jede Bewerbung Kriterium für Kriterium, belegt jede Einschätzung mit einem Zitat aus dem Lebenslauf und markiert Unklares als „Prüfung nötig". Eine Absage kann nur ein Mensch auslösen, und sie wird mit Name und Zeitpunkt protokolliert. Auf Anfrage lässt sich für jede Bewerbung nachvollziehen, welche Kriterien galten, wie die KI sie bewertet hat und wer entschieden hat.
Bewerbungen DSGVO-konform mit KI vorsortieren – im Curawork BMSWeiterlesen
Dieser Ratgeber dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die konkrete Ausgestaltung in Ihrer Einrichtung empfehlen wir die Abstimmung mit Ihrer Datenschutzbeauftragten oder einer Fachanwältin für Arbeitsrecht.