Recht & Compliance · 10 min · 26. September 2026 (aktualisiert)

KI-gestützte Bewerberauswahl: Diskriminierungsschutz nach AGG, DSGVO, Betriebsverfassung und AI Act (September 2026)

In Deutschland gibt es keine Pflicht, ein Bias-Audit für KI in der Bewerberauswahl zu veröffentlichen. Trotzdem haftet der Arbeitgeber nach dem AGG für benachteiligende Ergebnisse und muss nach Art. 22 DSGVO die Entscheidung bei Menschen lassen. Für Auswahlrichtlinien braucht er die Zustimmung des Betriebsrats, auch wenn KI sie aufstellt. Ab dem 2. Dezember 2027 gilt KI-gestützte Bewerberauswahl zudem als Hochrisiko nach dem EU AI Act.

Auf einen Blick

Nach § 22 AGG reicht es, wenn Bewerber:innen Indizien für eine Benachteiligung beweisen. Dann muss der Arbeitgeber zeigen, dass keine vorlag, auch wenn eine Software vorsortiert hat.
Die Hamburger Datenschutzaufsicht verlangt bei KI-Vorschlägen einen echten Entscheidungsspielraum der Menschen. Eine bloß formelle menschliche Beteiligung reicht nicht.
§ 95 Abs. 2a BetrVG stellt klar: Auswahlrichtlinien brauchen die Zustimmung des Betriebsrats auch dann, wenn bei ihrer Aufstellung KI zum Einsatz kommt.
In einer Bitkom-Umfrage vom Herbst 2024 screente 1 Prozent der Unternehmen in Deutschland Bewerbungen mit KI, 21 Prozent konnten es sich vorstellen.
Ab dem 2. Dezember 2027 müssen Anbieter ihre Daten auf Verzerrungen prüfen, und Arbeitgeber müssen das System überwachen. Die Aufsicht in Deutschland führt die Bundesnetzagentur.

Die KI-gestützte Bewerberauswahl ist in deutschen Unternehmen noch selten, doch bei ihr treffen vier Rechtsgebiete zusammen. Wer Lebensläufe von Software bewerten oder vorsortieren lässt, bewegt sich im AGG, in der DSGVO, im Betriebsverfassungsgesetz und bald im EU AI Act. Ein vorgeschriebenes Bias-Audit (Prüfung auf Benachteiligung) kennt das deutsche Recht nicht. Die Pflicht, Benachteiligung zu vermeiden und im Streit zu widerlegen, besteht trotzdem.

Dieser Ratgeber richtet sich an HR-Leitungen in Deutschland. Er zeigt, was Diskriminierungsschutz, Datenschutz, Mitbestimmung und AI Act verlangen und welche Prüfungen und Nachweise Sie vom Anbieter fordern sollten. Stand ist der 25. September 2026. Der Text ist eine allgemeine Information und keine Rechtsberatung. Wir sind unabhängig, kein Anbieter hat für eine Nennung bezahlt.

KI-gestützte Bewerberauswahl in Deutschland: selten im Einsatz, aber vierfach geregelt

Die meisten Unternehmen in Deutschland lassen Bewerbungen noch nicht von KI sichten. Bitkom Research hat im Herbst 2024 repräsentativ 852 Unternehmen ab 3 Beschäftigten telefonisch befragt. 1 Prozent gab an, Bewerbungen mit KI zu screenen, weitere 21 Prozent konnten sich das vorstellen. Einen KI-Chatbot für Fragen im Bewerbungsprozess nutzten 4 Prozent.

Wer den Schritt geht, muss vier Regelwerke zugleich beachten. Das AGG schützt vor Benachteiligung, die DSGVO begrenzt automatisierte Entscheidungen, und das BetrVG gibt dem Betriebsrat Mitsprache. Der EU AI Act stuft Software zur Bewerberauswahl als Hochrisiko ein. Die Bitkom-Umfrage zum digitalen Recruiting zeigt, dass die meisten Unternehmen diese Fragen noch vor sich haben.

Ein veröffentlichtes Bias-Audit, wie es New York City mit Local Law 144 seit Juli 2023 verlangt, gibt es in Deutschland nicht. Die Last liegt hier an anderer Stelle. Der Arbeitgeber muss im Streitfall belegen können, dass sein Verfahren nicht benachteiligt, und er muss es dem Betriebsrat erklären können.

Eine feste Schwelle für Auswahlquoten nennt das AGG nicht. § 3 Abs. 2 fragt, ob ein neutral wirkendes Kriterium Menschen wegen eines geschützten Merkmals in besonderer Weise benachteiligt und ob es sachlich gerechtfertigt ist. Für die Praxis heißt das: Vergleichen Sie Einladungsquoten zwischen Gruppen, und halten Sie für jedes Kriterium fest, warum die Stelle es verlangt.

KI-Chatbot für Fragen von Bewerber:innen4 %

KI-gestützte Kompetenz- oder Potenzialanalyse3 %

Bewerbungen mit KI screenen1 %

Bewerbungsgespräche von KI führen lassen1 %

Anteil der Unternehmen in Deutschland, die das jeweilige KI-Werkzeug im Recruiting nutzen. Bitkom Research, 852 Unternehmen, befragt im Herbst 2024, veröffentlicht am 10. März 2025.

Belege: [1][2][3]

AGG: Der Arbeitgeber haftet auch für die Vorauswahl durch Software

Das Allgemeine Gleichbehandlungsgesetz (AGG) schützt Bewerber:innen vor Benachteiligung wegen ethnischer Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexueller Identität. Das Gesetz fragt nicht, ob ein Mensch oder eine Software benachteiligt. Es erfasst auch die mittelbare Benachteiligung: Ein neutral wirkendes Kriterium kann eine geschützte Gruppe in besonderer Weise treffen.

Bei KI ist das der naheliegende Fall. Ein Modell, das Lücken im Lebenslauf abwertet, kann Menschen nach einer Elternzeit treffen, und ein Sprachkriterium kann nach Herkunft sortieren. Nach § 22 AGG zur Beweislast genügt es, wenn Bewerber:innen Indizien für eine Benachteiligung beweisen. Dann muss der Arbeitgeber beweisen, dass kein Verstoß vorlag.

Die Summen sind begrenzt, der Aufwand eines Verfahrens nicht. Nach § 15 Abs. 2 AGG darf die Entschädigung bei einer Nichteinstellung drei Monatsgehälter nicht übersteigen, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre. Ansprüche müssen heute innerhalb von zwei Monaten schriftlich geltend gemacht werden.

Ob das AGG für KI reicht, ist umstritten. Ein Rechtsgutachten für die Antidiskriminierungsstelle des Bundes fand im August 2023 Regelungslücken, die den Schutz bei Diskriminierung durch KI-Systeme verhindern. Der Regierungsentwurf zur AGG-Reform vom 6. Mai 2026 verlängert die Frist auf vier Monate, enthält laut der Bundesbeauftragten Ferda Ataman aber keine Regel zu KI. Der Bundestag beriet ihn am 11. Juni 2026 in erster Lesung, einen Beschluss fanden wir bis zum 25. September 2026 nicht.

AGG

Entschädigung und Fristen

3 MonatsgehälterObergrenze der Entschädigung bei Nichteinstellung, wenn die Person auch bei fairer Auswahl nicht eingestellt worden wäre

2 MonateFrist für die schriftliche Geltendmachung nach geltendem AGG

4 MonateFrist laut Regierungsentwurf vom 6. Mai 2026, noch nicht beschlossen

Quelle: Gesetze im Internet, § 15 AGG; Antidiskriminierungsstelle des Bundes, Stellungnahme zum Gesetzentwurf der AGG-Reform, Stand 25. September 2026

Belege: [4][3][5][6][7][8][9]

Art. 22 DSGVO: Die Entscheidung muss wirklich bei Menschen liegen

Seit dem Urteil des Europäischen Gerichtshofs (EuGH) vom 30. März 2023 in der Rechtssache C-34/21 ist fraglich, ob § 26 Abs. 1 Satz 1 BDSG noch als eigene Rechtsgrundlage taugt. Die Hamburger Datenschutzaufsicht stützt die Verarbeitung von Bewerberdaten deshalb direkt auf Art. 6 Abs. 1 lit. b DSGVO. Maßstab bleibt, was für die Auswahl erforderlich ist.

Für KI zählt vor allem Art. 22 DSGVO. Er verbietet grundsätzlich Entscheidungen, die ausschließlich automatisiert fallen und rechtliche Wirkung haben. Im SCHUFA-Urteil vom 7. Dezember 2023 (C-634/21) entschied der EuGH, dass schon ein Score darunter fallen kann, wenn er für die Entscheidung eines anderen maßgeblich ist.

Die Information der Hamburger Datenschutzaufsicht vom Juni 2024 überträgt das auf das Recruiting. KI-Vorschläge müssen so gestaltet sein, dass die Person, die entscheidet, einen echten Spielraum hat. Eine bloß formelle menschliche Beteiligung reicht nicht. Eine vollständige Auswahlentscheidung einem Sprachmodell zu überlassen, hält die Behörde für grundsätzlich unzulässig.

Abgelehnte Bewerber:innen können außerdem Auskunft verlangen. Nach dem EuGH-Urteil zur Erklärungspflicht vom 27. Februar 2025 (C-203/22) muss der Verantwortliche das tatsächlich angewandte Verfahren verständlich beschreiben. Den Algorithmus bloß zu übermitteln, genügt nicht. Beruft sich ein Unternehmen auf Geschäftsgeheimnisse, wägen Aufsichtsbehörde oder Gericht ab.

Selbstcheck

Entscheidet bei Ihnen noch ein Mensch?

Orientierung, keine Rechtsberatung. Grundlage sind Art. 22 DSGVO, das SCHUFA-Urteil des EuGH (C-634/21) und die Information der Hamburger Datenschutzaufsicht vom Juni 2024.

Lehnt die KI Bewerbungen selbst ab oder lädt sie selbst ein?

Belege: [10][11][12]

Betriebsrat: Auswahlrichtlinien, Beurteilungsgrundsätze und ein Sachverständiger

Hat Ihr Betrieb einen Betriebsrat, kommen Sie an ihm nicht vorbei. Das Betriebsverfassungsgesetz (BetrVG) nennt Künstliche Intelligenz an drei Stellen ausdrücklich, und weitere Rechte greifen ohnehin.

Für die Bewerberauswahl ist § 95 am wichtigsten. Richtlinien über die personelle Auswahl bei Einstellungen brauchen die Zustimmung des Betriebsrats. Nach § 95 Abs. 2a BetrVG gilt das auch, wenn bei der Aufstellung der Richtlinien KI zum Einsatz kommt. Kriterien, Gewichtungen und K.-o.-Fragen in einem Matching-Tool können solche Richtlinien sein.

Nach § 94 Abs. 2 BetrVG braucht auch die Aufstellung allgemeiner Beurteilungsgrundsätze die Zustimmung des Betriebsrats. § 90 Abs. 1 Nr. 3 verpflichtet den Arbeitgeber, ihn über Arbeitsverfahren einschließlich des Einsatzes von KI zu unterrichten. Muss der Betriebsrat KI beurteilen, gilt ein Sachverständiger nach § 80 Abs. 3 als erforderlich.

§ 87 Abs. 1 Nr. 6 BetrVG betrifft technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer:innen zu überwachen. Bewerber:innen gehören nicht dazu, die Recruiter:innen am Tool aber schon. Das Arbeitsgericht Hamburg verneinte im Januar 2024 ein Mitbestimmungsrecht bei ChatGPT über private Konten, weil der Arbeitgeber keinen Zugriff auf die Daten hatte (24 BVGa 1/24). Bei einem eigenen Recruiting-Tool mit Nutzungsprotokollen kann das anders aussehen.

BetrVG

Wo der Betriebsrat bei KI-gestützter Bewerberauswahl mitredet

Tippen Sie auf eine Vorschrift.

Belege: [13][14][15][16][17][18]

EU AI Act: KI-gestützte Bewerberauswahl ist ab Dezember 2027 Hochrisiko

Anhang III Nr. 4 lit. a des EU AI Act erfasst KI, die für die Einstellung oder Auswahl von Menschen bestimmt ist. Genannt sind gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerber:innen. Der Digital-Omnibus, Verordnung (EU) 2026/1744, hat den Beginn dieser Pflichten vom 2. August 2026 auf den 2. Dezember 2027 verschoben.

Die Arbeit gegen Verzerrungen liegt zuerst beim Anbieter. Art. 10 verlangt, die Daten hinter dem System auf mögliche Verzerrungen (Bias) zu untersuchen und Gegenmaßnahmen zu treffen. Der neue Art. 4a erlaubt dafür unter strengen Bedingungen die Verarbeitung besonderer Kategorien personenbezogener Daten. Nach Art. 13 muss die Betriebsanleitung Genauigkeit, bekannte Risiken und die Leistung für bestimmte Personengruppen beschreiben.

Arbeitgeber sind Betreiber nach Art. 26. Sie übertragen die menschliche Aufsicht geschultem Personal, halten eigene Eingabedaten repräsentativ und bewahren Protokolle mindestens sechs Monate auf. Vor dem Einsatz informieren sie die Arbeitnehmervertretung. Die Einzelheiten stehen in unserem Leitfaden zum EU AI Act für HR.

In Deutschland überwacht das die Bundesnetzagentur. Das Gesetz zur KI-Marktüberwachung (KI-MIG) gilt seit dem 29. Juli 2026 und macht sie zur zuständigen Marktüberwachungsbehörde. Die Behörde nennt KI-Systeme im Personalmanagement ausdrücklich unter den Bereichen, die sie beaufsichtigt. Datenschutzbehörden bindet sie ein, soweit deren Zuständigkeit berührt ist.

1. August 2024Der EU AI Act tritt in Kraft.

2. Februar 2025Verbote, darunter die Emotionserkennung am Arbeitsplatz, und die Pflicht zur KI-Kompetenz gelten.

27. Juli 2026Der Digital-Omnibus tritt in Kraft und verschiebt die Hochrisiko-Pflichten für HR.

29. Juli 2026Das KI-MIG tritt in Kraft, die Bundesnetzagentur wird Marktüberwachungsbehörde.

2. Dezember 2027Die Hochrisiko-Pflichten für KI in der Bewerberauswahl gelten.

Daten laut AI Act Service Desk der Europäischen Kommission und Bundesgesetzblatt 2026 I Nr. 223, Stand September 2026.

Belege: [19][20][21][22][23][24][25][26][27]

Wie deutsche Anbieter ihre Matching-Funktionen einordnen

Die Anbieter ordnen ihre KI unterschiedlich ein. Zwei Beispiele aus dem deutschen Bewerbermanagement zeigen die Spannweite. Von den 44 Tools für CV-Screening in unserem Verzeichnis nennen 4 die Norm ISO/IEC 42001, ein Managementsystem für KI. Ergebnisse von Bias-Tests belegt so ein Zertifikat nicht.

d.vinci schreibt auf seiner KI-Seite, seine KI-Lösungen zählten nach dem EU AI Act zu den Hochrisikosystemen. Der Anbieter nennt Risikomanagement, Datenqualität, Dokumentation und eine regelmäßige Prüfung von Modellen auf Bias. Eine Prescreening-Funktion, die die Passung von Bewerber:innen bewertet, ist als „coming soon“ angekündigt. Die KI-Server stehen laut d.vinci in der EU.

softgarden bietet ein KI-gestütztes Bewerber-Matching, das Bewerbungen mit den Stellenanforderungen abgleicht und passende als „KI-Match“ hervorhebt. Die Funktion ist ab Werk ausgeschaltet. softgarden betont, sie habe keinen Einfluss auf Einstellungsentscheidungen und führe nicht zu automatisierten Ablehnungen. Die Textfunktionen laufen laut Hilfeseite über die API von OpenAI.

Beide Haltungen sind nachvollziehbar, beide verlangen Nachfragen. Eine Hervorhebung ist keine Ablehnung, bewertet aber Bewerbungen, und genau das nennt Anhang III. Nach dem Leitlinienentwurf der Kommission vom Mai 2026 ändert eine formale menschliche Freigabe nichts, wenn der Output stark beeinflusst, wer weiterkommt. Vergleichen Sie die Tools für CV-Screening deshalb nach Funktion, nicht nach Produktname.

Was Anbieter oft sagen

Die KI hebt nur hervor, die Entscheidung trifft der Mensch.

Was für die Einstufung zählt

Anhang III erfasst schon das Sichten, Filtern und Bewerten von Bewerbungen. Eine formale Freigabe durch Menschen ändert daran nichts, wenn der Output stark beeinflusst, wer weiterkommt.

Leitlinienentwurf der Europäischen Kommission zur Hochrisiko-Einstufung vom 19. Mai 2026, zusammengefasst von DLA Piper.

Unser Verzeichnis

Zertifikat ist kein Bias-Test

Jede Kachel ist ein Tool für CV-Screening in unserem Verzeichnis. Nur wenige nennen ISO/IEC 42001, und keines dieser Zertifikate belegt Ergebnisse von Bias-Tests.

nennt ISO/IEC 42001: 3 (12 %)ohne ISO/IEC 42001: 22 (88 %)

Tippen oder zeigen Sie auf eine Kachel.

Quelle: Datensatz ai-toolfinder.com, Stand 26.09.2026

Belege: [28][29][30][31][32]

Welche Prüfungen und Nachweise Sie vom Anbieter verlangen sollten

Ein Zertifikat oder ein Satz auf der Website ersetzt keinen Nachweis. Fordern Sie Unterlagen, die Sie im Streitfall nach § 22 AGG, gegenüber dem Betriebsrat und gegenüber der Datenschutzaufsicht vorlegen können.

Beginnen Sie mit dem, was der AI Act ab Dezember 2027 ohnehin verlangt. Die Betriebsanleitung nach Art. 13 beschreibt Genauigkeit, bekannte Risiken und die Leistung für Personengruppen. Nach Art. 26 Abs. 9 nutzen Arbeitgeber diese Angaben für ihre Datenschutz-Folgenabschätzung. Schreiben Sie außerdem in den Vertrag, dass der Anbieter Änderungen am Modell vorab ankündigt. Neue Kriterien oder Gewichtungen können eine neue Zustimmung des Betriebsrats nach § 95 BetrVG erfordern.

Für eigene Tests fehlen oft die Daten. Merkmale wie ethnische Herkunft oder Religion erheben viele Arbeitgeber aus gutem Grund nicht. Der neue Art. 4a AI Act erlaubt Anbietern und Betreibern, besondere Kategorien personenbezogener Daten zu verarbeiten, wenn das zur Erkennung und Korrektur von Bias unbedingt nötig ist. Die Hürden sind hoch, klären Sie das vorher mit Ihrem Datenschutz.

Achten Sie darauf, dass Tests mehr abdecken als Geschlecht und Herkunft. Das AGG schützt auch Alter, Behinderung, Religion und sexuelle Identität. Prüfen Sie zusätzlich mit eigenen Zahlen, etwa ob sich die Einladungsquoten nach Altersgruppen vor und nach dem Einsatz verschieben. Welche Fragen bei Videointerviews dazukommen, erklärt unser Ratgeber zu KI-Videointerviews.

Unterlagen, die Sie vor der Unterschrift schriftlich anfordern sollten.

Einstufung nach dem EU AI ActHochrisiko oder nicht, mit Begründung je Funktion.
Betriebsanleitung oder ihr EntwurfGenauigkeit, bekannte Risiken, Leistung für Personengruppen (Art. 13).
Letzte Bias-PrüfungWer geprüft hat, wann, mit welchen Daten, welche Merkmale nach § 1 AGG abgedeckt sind.
Liste der Kriterien und GewichtungenGrundlage für die Zustimmung des Betriebsrats nach § 95 BetrVG.
Beschreibung der menschlichen PrüfungWas Recruiter:innen sehen und wie sie übersteuern können (Art. 22 DSGVO).
Text für die Auskunft an Bewerber:innenVerständliche Erklärung des Verfahrens nach EuGH C-203/22.
Protokolle und AufbewahrungMindestens sechs Monate für Hochrisiko-Systeme (Art. 26 Abs. 6).
Hosting und UnterauftragsverarbeiterServerstandort, Modellanbieter, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Belege: [24][25][6][4][23][13]

Tools in diesem Artikel

Häufige Fragen

Ist KI bei der Bewerberauswahl in Deutschland erlaubt?

Ja, mit Grenzen. KI darf Bewerbungen auslesen, ordnen und Vorschläge machen, solange Menschen mit echtem Spielraum entscheiden (Art. 22 DSGVO). Das AGG verbietet benachteiligende Ergebnisse, auch wenn sie aus einer Software stammen. Ab dem 2. Dezember 2027 gelten zusätzlich die Hochrisiko-Pflichten des EU AI Act.

Muss der Betriebsrat einer KI im Recruiting zustimmen?

Häufig ja. Legt ein Tool Kriterien für die Auswahl fest, handelt es sich um Auswahlrichtlinien, die nach § 95 Abs. 2a BetrVG auch mit KI zustimmungspflichtig sind. Dazu kommen § 94 für Beurteilungsgrundsätze und § 87 Abs. 1 Nr. 6, wenn das Tool die Arbeit der Recruiter:innen überwacht.

Brauchen Arbeitgeber in Deutschland ein Bias-Audit für KI in der Bewerberauswahl?

Ein vorgeschriebenes, veröffentlichtes Audit gibt es nicht. Weil Arbeitgeber nach § 22 AGG im Streitfall beweisen müssen, dass keine Benachteiligung vorlag, sind dokumentierte Tests trotzdem sinnvoll. Ab Dezember 2027 müssen Anbieter nach dem EU AI Act ihre Daten auf Verzerrungen prüfen.

Können abgelehnte Bewerber:innen erfahren, wie die KI sie bewertet hat?

Ja. Nach dem EuGH-Urteil C-203/22 vom 27. Februar 2025 muss der Verantwortliche das angewandte Verfahren so beschreiben, dass die Person versteht, welche Daten wie genutzt wurden. Die bloße Übermittlung eines Algorithmus reicht nicht.

Welche Behörde kontrolliert KI in der Bewerberauswahl in Deutschland?

Für den EU AI Act ist seit dem 29. Juli 2026 die Bundesnetzagentur zuständig, sie nennt KI im Personalmanagement ausdrücklich. Für den Datenschutz bleiben die Datenschutzbehörden zuständig. Nach § 9 Abs. 4 KI-MIG bindet die Bundesnetzagentur sie ein, soweit deren Zuständigkeit berührt ist.

Quellen

Nick Schaefer, HR Interim Manager & AI Consultant
nicksadvisory.com · LinkedIn

Read this article in English →