Rekrutierungsplattformen und HR-Software

• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act, Annex III employment
• Directive 2019/1152 on transparent working conditions

Wer muss benennen

Anbieter, die außerhalb der Union ansässig sind und Rekrutierungs- oder HR-Systeme an Arbeitgeber in der EU anbieten. Der Arbeitgeber ist in der Regel der Verantwortliche und der Anbieter der Auftragsverarbeiter, aber jede Nutzung von Kandidatendaten für das Training von Modellen oder Benchmarking macht den Anbieter zu einem Verantwortlichen für diesen Zweck und löst seine eigenen Verpflichtungen aus.

Schwellen und Ausnahmen

Keine GDPR-Schwelle. Nach dem AI Act sind Systeme, die zur Rekrutierung, Filterung von Bewerbungen, Bewertung von Kandidaten, Zuweisung von Aufgaben oder Überwachung der Leistung verwendet werden, hochriskant gemäß Anhang III, wobei die Verpflichtungen ab dem 2. August 2026 gelten.

Was auf das Etikett gehört

Nicht physisch. Die Identität des Vertreters in der Datenschutzerklärung und in der vertraglichen Dokumentation, die den Arbeitgeberkunden gegeben wird. Wo KI verwendet wird, müssen die Kandidaten informiert werden und der Arbeitgeber muss in der Lage sein, die zugrunde liegende Logik zu erklären.

Marktplatz-Felder

EU-Arbeitgeber verlangen die Klassifizierung gemäß dem AI Act, die Übertragungsanalyse und den Vertreter in der Beschaffung, und Betriebsräte in Deutschland, Österreich und den Niederlanden blockieren häufig die Bereitstellung, wenn die Antworten unbefriedigend sind.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen, Artikel 28 Verarbeitungsklauseln, die Artikel 27 Benennung, eine Datenschutz-Folgenabschätzung, die das Profiling von Kandidaten abdeckt, Aufbewahrungsregeln, die erfolglose Bewerber von Einstellungen unterscheiden, und den Übertragungsmechanismus. Für hochriskante KI: technische Dokumentation, Risikomanagement, Datenverwaltung zur Bekämpfung von Vorurteilen, Protokollierung und die Konformitätsbewertung.

Normen und Prüfungen

Bewertung von Vorurteilen und Genauigkeit ist effektiv erforderlich: Der AI Act verpflichtet Anbieter, Trainingsdaten auf Vorurteile zu überprüfen und Genauigkeitsniveaus zu deklarieren, und das Antidiskriminierungsrecht gilt unabhängig.

Sprachanforderungen

Kandidatenorientierte Informationen in der Sprache der Bewerber und Arbeitgeberdokumentation in der Sprache des Marktes.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung. Hochriskante Verpflichtungen gemäß dem AI Act ab dem 2. August 2026, wobei der Arbeitgeber als Bereitsteller auch Pflichten hat, einschließlich der Information der Arbeitnehmer.

Aufbewahrungsfristen

Daten von erfolglosen Kandidaten nur so lange wie nötig, was mehrere Behörden als sechs bis zwölf Monate ohne spezifische Anspruchsfrist interpretieren. Unbefristete Talentpools ohne Grundlage sind ein wiederkehrender Befund.

Was bei Verstößen passiert

Bis zu 20 Millionen € oder 4 % des Umsatzes gemäß der GDPR und bis zu 15 Millionen € oder 3 % gemäß dem AI Act für hochriskante Verpflichtungen. Diskriminierungsansprüche laufen parallel durch nationale Arbeitsgerichte.

Wer kontrolliert

Datenschutzbehörden, Marktüberwachungsbehörden des AI Act, Gleichstellungsstellen und in der Praxis Betriebsräte.

Wo die Grenze verläuft

Automatisierte Ablehnung ohne menschliches Eingreifen betrifft Artikel 22 GDPR, der ausschließlich automatisierte Entscheidungen mit rechtlichen oder ähnlich signifikanten Auswirkungen einschränkt. Emotionale Inferenz in Interviews ist im Arbeitskontext gemäß Artikel 5 des AI Act verboten, sodass einige heute vermarktete Produkte nicht rechtmäßig in der Union verkauft werden können.

Häufige Fragen

Wir sind nur ein Auftragsverarbeiter für Arbeitgeber – benötigen wir einen Vertreter?

Wenn Sie Kandidatendaten von Personen in der Union verarbeiten und keine EU-Niederlassung haben, ja. Und jede Nutzung dieser Daten für Ihre eigenen Zwecke macht Sie zu einem Verantwortlichen.

Ist die Lebenslaufprüfung hochriskant?

Das Filtern oder Bewerten von Bewerbungen ist in Anhang III aufgeführt, also ja, mit Verpflichtungen ab August 2026.