KI in der Schweizer Rekrutierung: Datenschutz und Ethik

Künstliche Intelligenz kann die Rekrutierung effizienter machen, bearbeitet dabei aber persönliche Informationen mit erheblichen Folgen für Bewerbende. In der Schweiz setzen Datenschutzgesetz und arbeitsrechtliche Regeln Grenzen. Entscheidend ist ein verhältnismässiges, dokumentiertes Vorgehen, das für Bewerberinnen und Bewerber verständlich bleibt.

Ob Lebensläufe ausgewertet, Profile im Internet gesucht, Gespräche transkribiert oder Bewerbungen geordnet werden: Jede dieser Tätigkeiten kann Personendaten betreffen. Auch neue Technik ändert nichts daran, dass der Arbeitgeber sich auf Informationen beschränken muss, die für die Eignungsprüfung oder das Arbeitsverhältnis zulässig sind. Je stärker ein Werkzeug in die Privatsphäre eingreift, etwa durch Stimm-, Video- oder Persönlichkeitsanalysen, desto sorgfältiger müssen Notwendigkeit und Risiken geprüft werden.

DSG: zentrale Anforderungen im Jahr 2026

Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Arbeitgeber müssen insbesondere Rechtmässigkeit, Verhältnismässigkeit, Zweckbindung, Transparenz, Richtigkeit und Sicherheit beachten. Je nach Fall sind weitere Pflichten zu prüfen, etwa ein Bearbeitungsverzeichnis, eine Datenschutz-Folgenabschätzung, Meldungen von Datensicherheitsverletzungen oder Informationen über automatisierte Einzelentscheidungen.

Eine Speicherung in der Schweiz ist weder eine allgemeine Pflicht noch automatisch ein Nachweis vollständiger Konformität. Bei Auslandbekanntgaben müssen das Schutzniveau beziehungsweise geeignete Garantien nach dem DSG geprüft werden. Der Vertrag sollte Unterauftragsbearbeiter, Sicherheitsmassnahmen, Löschung, Unterstützung bei Auskunftsgesuchen und eine mögliche Wiederverwendung der Daten zum Training von KI-Modellen regeln.

Die Einwilligung der Bewerbenden löst nicht jedes Problem

Eine Einwilligung muss freiwillig und informiert sein. Im Bewerbungsverfahren kann die Aussicht auf eine Stelle diese Freiwilligkeit beeinträchtigen. Artikel 328b des Obligationenrechts erlaubt dem Arbeitgeber die Bearbeitung von Daten, soweit sie die Eignung betreffen oder für die Durchführung des Arbeitsvertrags erforderlich sind. Prüfen Sie deshalb die tatsächliche Notwendigkeit und Zulässigkeit, statt sich allein auf zusätzliche Einwilligungsfelder zu verlassen.

Informieren Sie Bewerbende klar über Datenkategorien, Zwecke, Zugriffe und mögliche Auslandbekanntgaben. Stellen Sie die Informationen rechtzeitig und gut auffindbar bereit, statt sie in langen allgemeinen Bedingungen zu verstecken.

Vollautomatische Entscheidungen: menschliche Überprüfung ermöglichen

Beruht eine Entscheidung ausschliesslich auf automatisierter Bearbeitung und hat sie rechtliche Folgen oder beeinträchtigt sie eine Person erheblich, sieht das DSG besondere Informationspflichten vor. Betroffene können ihren Standpunkt darlegen und eine menschliche Überprüfung verlangen, soweit keine gesetzliche Ausnahme greift.

Ein routinemässig angeklickter Bestätigungsknopf ist keine inhaltliche menschliche Prüfung. Die zuständige Person braucht relevante Informationen, die tatsächliche Befugnis zur Änderung sowie ausreichend Zeit und Fachkenntnisse. Dokumentieren Sie bei Absagen nachvollziehbare, stellenbezogene Gründe und bieten Sie einen gut zugänglichen Weg für Rückfragen und Überprüfung.

Verzerrungen erkennen und begrenzen

Kein technisches Audit garantiert ein vollständig verzerrungsfreies System. Ziel ist, Probleme zu erkennen, Ursachen zu verstehen und Verbesserungen laufend zu überprüfen. Historische Einstellungsdaten können ungewohnte Laufbahnen oder Erwerbsunterbrüche benachteiligen. Auch eine fehlerhafte Texterkennung kann dazu führen, dass eine geeignete Bewerbung falsch eingeordnet wird.

• Auf die Anforderungen der Stelle konzentrieren: Definieren Sie tatsächlich benötigte Kompetenzen und vermeiden Sie sachfremde Merkmale.
• Geeignete Tests durchführen: Prüfen Sie Auswahlquoten und Fehlklassifikationen für relevante Bewerbergruppen. Ziehen Sie bei der Auswahl und Bearbeitung der Testdaten nötigenfalls rechtliche Beratung bei.
• Grenzfälle testen: Beziehen Sie vor dem Einsatz ungewöhnliche Lebensläufe und anspruchsvolle Fälle in die Tests ein.
• Laufend überwachen: Prüfen Sie regelmässig Änderungen am Modell, an den Daten und an den internen Rekrutierungsabläufen.
• Korrektur und Überprüfung ermöglichen: Bieten Sie einen Weg, falsche Angaben zu berichtigen und beanstandete Ergebnisse inhaltlich durch einen Menschen überprüfen zu lassen.

Den Technologieanbieter prüfen: zehn wichtige Kontrollpunkte

1. Der genaue Zweck des Systems und die verwendeten Entscheidungskriterien.
2. Die Datenarten und die konkreten Quellen der erhobenen Informationen.
3. Die Standorte der Verarbeitung und sämtliche relevanten Auslandbekanntgaben.
4. Die Kette der Auftragsbearbeiter und die Regeln für einen Wechsel oder die Hinzunahme weiterer Anbieter.
5. Die Aufbewahrungsfristen und ein nachvollziehbarer, überprüfbarer Löschprozess.
6. Die Trainingsklausel: Werden Ihre Daten zum Training der Modelle des Anbieters wiederverwendet?
7. Die Sicherheitsmassnahmen: Technischer Schutz und Vorgehen bei Sicherheitsvorfällen.
8. Die Rechte der Betroffenen: Verfahren für Erläuterung, Berichtigung und gegebenenfalls Datenherausgabe.
9. Die Testnachweise: Ergebnisse zu Verzerrungen, Richtigkeit und Zuverlässigkeit.
10. Die Abschaltmöglichkeit: Die technische Möglichkeit, die Automatisierung zu deaktivieren und manuell weiterzuarbeiten.

Häufige Fragen

Darf ich Lebensläufe in ein öffentliches generatives KI-Werkzeug eingeben?

Nicht ohne vorgängige Prüfung von Nutzungsbedingungen, Zugriffsverwaltung, Auslandbekanntgaben und möglicher Wiederverwendung. Echte Anonymisierung und eine vertraglich abgesicherte Unternehmensumgebung können Risiken verringern. Prüfen Sie, ob Dokumente tatsächlich nicht mehr einer Person zugeordnet werden können; blosses Entfernen des Namens reicht häufig nicht.

Muss ein Arbeitgeber den vollständigen Algorithmus offenlegen?

Nein, Transparenz verlangt nicht allgemein die Herausgabe des Quellcodes. Das Unternehmen muss aber seine Informations- und Auskunftspflichten erfüllen und den Einsatz, die verwendeten Daten sowie gegebenenfalls die Logik einer automatisierten Einzelentscheidung verständlich erläutern.

Reicht eine Cybersicherheitszertifizierung für die Konformität?

Nein. Eine Zertifizierung kann bestimmte Anbieterkontrollen bestätigen. Der Arbeitgeber bleibt für die von ihm bestimmten Zwecke und Mittel, bereitgestellten Daten, Konfigurationen und Ergebnisverwendungen verantwortlich. Daneben kann der Anbieter eigene Pflichten als Auftragsbearbeiter oder eigenständiger Verantwortlicher haben. Entscheidend sind die konkreten Rollen und Abläufe.

Allgemeine Information. Vor dem produktiven Einsatz ist eine auf Ihr Verfahren abgestimmte rechtliche und datenschutzbezogene Prüfung erforderlich.