In Spanien hat ein KI-Werkzeug für die Bewerberauswahl eine Warnung der Datenschutzaufsicht bekommen, bevor es überhaupt eingeschaltet war.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Eine Warnung vor dem ersten Einsatz

Die Agencia Española de Protección de Datos (AEPD) hat am 23. September 2026 bekannt gemacht, dass sie einem Unternehmen eine Warnung geschickt hat, Aktenzeichen EXP202600427. Der Name des Unternehmens ist im Bescheid anonymisiert. Gegenstand ist ein geplantes KI-Werkzeug für die Vorauswahl und Bewertung von Bewerbungen, und zwar in Auswahlverfahren ebenso wie bei interner Mobilität. Das Programm sollte Lebensläufe analysieren, Punkte vergeben und Bewerbungen gegebenenfalls priorisieren.

In Betrieb war es laut AEPD noch nicht.

Die Belegschaft wusste trotzdem schon Bescheid, das Unternehmen hatte sie über die bevorstehende Einführung informiert. Laut Bescheid war die Arbeitnehmervertretung am 1. Dezember 2025 unterrichtet worden. Am 6. Januar 2026 ging bei der AEPD ein Hinweis ein.

Was das Unternehmen zusagt und was die Aufsicht verlangt

Das Unternehmen hat sein Vorhaben laut Bescheid mit vier Angaben beschrieben. Das System sei ein Hilfswerkzeug, die Endentscheidung treffe ein Mensch. Sensible Merkmale würden nicht ausgewertet, und es gebe regelmäßige Prüfungen. Die AEPD erinnert in ihrer Warnung an die Garantien, die sie beim Einsatz eines solchen Werkzeugs erwartet. Sinngemäß übersetzt sind das diese Punkte:

Rechtsgrundlage der Warnung ist Art. 58 Abs. 2 lit. a DSGVO. Nach Angaben der AEPD ist sie vorbeugend gemeint und bedeutet nicht, dass das Unternehmen gegen die DSGVO verstoßen hat. Eine Strafe hat die Behörde nicht verhängt.

Wann ist eine Entscheidung automatisiert?

Beim heikelsten Punkt bleibt die AEPD vorsichtig. Artikel 22 Absatz 1 DSGVO gibt jeder Person das Recht, „nicht einer ausschließlich auf einer automatisierten Verarbeitung“ beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie „in ähnlicher Weise erheblich beeinträchtigt“. Ob das bei dem spanischen Werkzeug greift, lässt die Behörde offen. Es hängt laut AEPD davon ab, wie das Werkzeug tatsächlich arbeitet und wie stark Menschen eingreifen. Die Zusage im Konzept, am Ende entscheide ein Mensch, beantwortet diese Frage deshalb noch nicht. Entscheidend ist der Ablauf im Alltag. Übernimmt die zuständige Person die Punktzahl regelmäßig ungeprüft, sieht das Verfahren auf dem Papier menschlich aus und läuft in Wahrheit automatisch. Genau deshalb besteht die AEPD darauf, dass die Prüfung echt ist.

Für die Folgenabschätzung ist der Wortlaut deutlicher. Nach Artikel 35 Absatz 1 führt der Verantwortliche bei voraussichtlich hohem Risiko vorab eine Folgenabschätzung durch. Absatz 3 Buchstabe a nennt die systematische und umfassende Bewertung persönlicher Aspekte, die sich auf automatisierte Verarbeitung stützt. Ein Programm, das Lebensläufe analysiert und mit Punkten versieht, liegt nah an dieser Beschreibung.

Eine Einschränkung zu unseren Zitaten: Der DSGVO-Wortlaut stammt aus dem Amtsblatt von 2016, ob seither Änderungen gelten, haben wir nicht geprüft.

Spanische Behörde, europäisches Recht

An die Warnung aus Spanien sind deutsche Aufsichtsbehörden nicht gebunden. Die DSGVO gilt aber in der ganzen EU, und die Artikel 22, 25 und 35, auf die sich die AEPD stützt, gelten genauso für deutsche Betriebe. Wie eine deutsche Behörde einen vergleichbaren Fall bewerten würde, lässt sich aus dem Bescheid nicht ablesen.

Aufschlussreich ist die Einordnung, die die AEPD mitliefert. KI kann Auswahlverfahren nach ihrer Ansicht effizienter und besser machen, und laut Iberley betont die Behörde, dass die DSGVO KI in der Personalauswahl nicht verbietet. Sie setzt Bedingungen, ein Verbot spricht sie nicht aus. Welche Fragen sich beim Vorsortieren von Bewerbungen mit KI in Deutschland stellen, behandelt unser Artikel Bewerbungen mit KI screenen: rechtssicher nach DSGVO und AGG.

Unsere Einschätzung

Manche Programme für das Bewerbermanagement zeigen eine Punktzahl oder eine Passung in Prozent an. Aus unserer Sicht steht der wichtigste Satz des Bescheids bei der menschlichen Prüfung. Wer am Ende nur auf „Übernehmen“ klickt, prüft nichts.

Wir würden vor dem Einschalten einer solchen Funktion zwei Dinge schriftlich festlegen. Zuerst, wer sich die Bewerbungen mit niedriger Punktzahl trotzdem ansieht, namentlich und mit eigener Zuständigkeit. Dann, was Bewerber in der Datenschutzerklärung lesen: dass ein solches Werkzeug eingesetzt wird und wofür. Ob zusätzlich eine Folgenabschätzung nötig ist, klärt ein Betrieb mit seinem Datenschutzbeauftragten, bevor das Werkzeug läuft.

Die spanische Warnung kam, bevor das System lief. Günstiger wird der Zeitpunkt für diese Fragen nicht mehr.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 29. September 2026):

Häufige Fragen

Worum geht es bei der Warnung der spanischen Datenschutzbehörde AEPD?

Die AEPD hat am 23. September 2026 mitgeteilt, dass sie einem Unternehmen eine Warnung geschickt hat (Aktenzeichen EXP202600427). Das Unternehmen plante ein KI-Werkzeug, das Lebensläufe analysiert, Punkte vergibt und Bewerbungen gegebenenfalls priorisiert, in Auswahlverfahren und bei interner Mobilität. In Betrieb war das Werkzeug laut AEPD noch nicht, der Name des Unternehmens ist im Bescheid anonymisiert.

Hat das Unternehmen gegen die DSGVO verstoßen oder eine Strafe bekommen?

Nein. Die Warnung beruht auf Art. 58 Abs. 2 lit. a DSGVO und ist laut AEPD vorbeugend. Sie bedeutet ausdrücklich nicht, dass das Unternehmen gegen die DSGVO verstoßen hat, und eine Strafe gab es nicht.

Gilt die spanische Warnung auch für Betriebe in Deutschland?

Deutsche Aufsichtsbehörden sind an die Entscheidung der AEPD nicht gebunden. Die DSGVO gilt aber in der ganzen EU, und die Artikel 22, 25 und 35, auf die sich die AEPD beruft, gelten auch für deutsche Betriebe. Laut Iberley betont die AEPD, dass die DSGVO KI in der Personalauswahl nicht verbietet.

Was sollte ein Betrieb regeln, bevor er eine KI-Punktzahl für Bewerber einschaltet?

Aus unserer Sicht zuerst, wer die Bewerbungen mit niedriger Punktzahl trotzdem ansieht und die Punktzahl kritisch würdigt, wie es die AEPD verlangt. Bewerber sollten klar und verständlich erfahren, dass ein solches Werkzeug eingesetzt wird und welche Rolle es bei der Bewertung spielt. Ob wegen voraussichtlich hohen Risikos eine Datenschutz-Folgenabschätzung nötig ist, klärt ein Betrieb am besten vorab mit seinem Datenschutzbeauftragten.

Wer im Betrieb sieht sich die Bewerbung mit der niedrigsten KI-Punktzahl noch an?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 29. September 2026. Stand der Recherche: 29. September 2026.