DSGVO-Auskunft nach einer Bewerbungsabsage

Warum eine DSGVO-Auskunft nach einer Absage

Die meisten Absagen kommen ohne Begründung, und immer mehr davon laufen zuerst durch eine Software. Im Oktober 2026 berichtete die AFP, dass drei ehemalige Beschäftigte von Plus que pro, einem französischen Start-up, dem Unternehmen vorwerfen, eine Recruiting-Software gebaut zu haben, deren KI-Anweisungen Frauen, Bewerbende über 55 oder unter 27 und Menschen mit afrikanischen Nachnamen aussortierten; eine Person gibt an, sich bei der CNIL und dem Défenseur des droits beschwert zu haben. Das Unternehmen erklärt, ein ehemaliger Mitarbeiter habe diese Version entgegen seinen Richtlinien entwickelt und sie sei nie in Betrieb genommen worden. In derselben Woche berichteten türkische Medien über einen Bericht eines britischen Parlamentsausschusses, der warnt, dass automatisierte Vorauswahl im Recruiting Bewerbende aus ethnischen Minderheiten benachteiligen kann.

In die Auswahlsoftware eines Arbeitgebers kannst du nicht hineinsehen. Aber in der EU kannst du die Daten anfordern, die sie über dich erzeugt hat. Genau dafür gibt es die DSGVO-Auskunft – auch Auskunftsantrag oder, auf Englisch, Data Subject Access Request (DSAR) genannt. Sie verschafft dir nicht die Stelle, aber sie kann dir zeigen, was gespeichert wurde, welche Tools eingesetzt wurden und ob ein Mensch beteiligt war – und sie ist der Ausgangspunkt, um Fehler zu berichtigen oder eine Entscheidung anzufechten.

Worauf du Anspruch hast

Nach Artikel 15 DSGVO kannst du den Arbeitgeber – und gesondert jede Personalvermittlung – auffordern zu bestätigen, ob er personenbezogene Daten von dir verarbeitet, und dir gegebenenfalls Folgendes mitzuteilen:

• Eine Kopie der Daten selbst. Der Gerichtshof der EU hat entschieden, dass damit eine originalgetreue und verständliche Reproduktion all deiner Daten gemeint ist, einschließlich Auszügen aus Dokumenten oder Datenbanken, wenn diese zum Verständnis nötig sind (Rechtssache C-487/21).
• Die Zwecke der Verarbeitung und die Kategorien der betroffenen Daten.
• Die Empfänger – zum Beispiel das Bewerbermanagementsystem, der Anbieter von Assessments oder Videointerviews oder ein anderes Unternehmen der Gruppe.
• Wie lange deine Daten gespeichert werden oder nach welchen Kriterien das festgelegt wird.
• Woher die Daten stammen, wenn du sie nicht selbst angegeben hast – nützlich, wenn ein Recruiter dein Profil anderswo gefunden hat.
• Ob eine automatisierte Entscheidungsfindung stattfand und in diesem Fall aussagekräftige Informationen über die involvierte Logik und ihre Folgen für dich.

In einem Bewerbungsverfahren können zu deinen personenbezogenen Daten gehören: dein Lebenslauf und das Bewerbungsformular, Bewertungen oder Rankings aus der Vorauswahl, Ergebnisse von Online-Tests, Aufnahmen und Transkripte von KI- oder Videointerviews, Notizen und Bewertungsbögen von Interviewern über dich sowie interne E-Mails, in denen deine Bewerbung besprochen wird.

Automatisierte Absagen und Artikel 22

Artikel 22 DSGVO gibt dir das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dich erheblich beeinträchtigt – und eine Absage kann eine solche Entscheidung sein. Stützt sich ein Arbeitgeber auf eine der Ausnahmen (zum Beispiel, dass die Entscheidung für den Abschluss eines Vertrags erforderlich ist, oder deine ausdrückliche Einwilligung), muss er dir trotzdem ermöglichen, das Eingreifen eines Menschen zu erwirken, deinen Standpunkt darzulegen und die Entscheidung anzufechten.

Zwei Urteile des EU-Gerichtshofs machen dieses Recht nützlicher:

• Im Fall SCHUFA (C-634/21, Dezember 2023) entschied der Gerichtshof, dass ein automatisch erstellter Score als automatisierte Entscheidung gilt, wenn das Unternehmen, das ihn erhält, sich bei seiner Entscheidung maßgeblich darauf stützt. Ein Recruiter, der in der Praxis alle unterhalb eines festen KI-Scores ablehnt, könnte in einer ähnlichen Lage sein.
• Im Fall Dun & Bradstreet Austria (C-203/22, Februar 2025) entschied der Gerichtshof, dass „aussagekräftige Informationen über die involvierte Logik“ eine knappe, verständliche Erläuterung des Verfahrens und der Grundsätze bedeuten, die tatsächlich auf deine Daten angewendet wurden – keine komplexe Formel. Beruft sich das Unternehmen auf Geschäftsgeheimnisse, muss es die Informationen der Datenschutzaufsichtsbehörde oder dem Gericht vorlegen, die entscheiden, wie viel du davon bekommst.

Die KI-Verordnung der EU ergänzt ein Recht auf eine klare Erläuterung der Rolle der KI bei Entscheidungen, die auf Hochrisiko-Systemen beruhen, zu denen auch Tools für die Personalauswahl gehören (Artikel 86) – aber nur, soweit das EU-Recht nicht bereits ein solches Recht vorsieht; die DSGVO bleibt also dein wichtigstes Werkzeug. Die Hochrisiko-Pflichten der Verordnung für Recruiting-Tools gelten nach dem KI-Omnibus ab dem 2. Dezember 2027.

So stellst du den Antrag

Ein bestimmtes Formular ist nicht vorgeschrieben. Eine E-Mail reicht, und in der Datenschutzerklärung des Unternehmens steht meist ein Kontakt oder ein Datenschutzbeauftragter. Ein kurzer Antrag genügt:

„Betreff: Auskunftsersuchen nach Artikel 15 DSGVO. Ich habe mich am [Datum] auf die Stelle [Stellenbezeichnung, Referenz] beworben. Gemäß Artikel 15 DSGVO bitte ich Sie zu bestätigen, ob Sie personenbezogene Daten von mir verarbeiten, und mir eine Kopie aller personenbezogenen Daten zu meiner Bewerbung zu übermitteln, einschließlich Bewertungen oder Rankings aus der Vorauswahl, Test- und Assessment-Ergebnissen, Interviewaufnahmen, Transkripten und Notizen. Bitte teilen Sie mir außerdem die Verarbeitungszwecke, die Empfänger (einschließlich Softwareanbietern), die Speicherdauer und, falls eine automatisierte Entscheidungsfindung stattgefunden hat, aussagekräftige Informationen über die involvierte Logik mit. Bitte antworten Sie innerhalb eines Monats, wie in Artikel 12(3) vorgeschrieben. [Name, für die Bewerbung verwendete E-Mail-Adresse]“

• Schick ihn von der E-Mail-Adresse, mit der du dich beworben hast; das macht die Identifizierung einfach. Das Unternehmen darf nur dann weitere Informationen verlangen, wenn es begründete Zweifel an deiner Identität hat.
• Bewahre eine Kopie auf und notiere das Datum: Die Monatsfrist beginnt, wenn dein Antrag beim Unternehmen eingeht.
• Wenn du dich über eine Personalvermittlung oder eine Jobplattform beworben hast, schick jeder von ihnen einen eigenen Antrag – jede ist für ihre eigenen Daten verantwortlich.

Was du zurückbekommst – und was zurückgehalten werden darf

• Zeit: eine Antwort ohne unangemessene Verzögerung und innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen kann das Unternehmen um zwei weitere Monate verlängern, muss dir das aber innerhalb des ersten Monats mitteilen und begründen.
• Kosten: Die erste Kopie ist kostenlos. Der Gerichtshof hat bestätigt, dass du für deinen Antrag keinen Grund angeben musst (C-307/22). Ein angemessenes Entgelt ist nur für weitere Kopien möglich.
• Rechte anderer: Die Kopie darf andere nicht beeinträchtigen, daher werden Daten anderer Bewerbender entfernt, und manche Details, etwa Teile interner Kommentare von Kollegen, können geschwärzt werden. Schwärzungen sollten gezielt sein und kein Grund, alles zu verweigern.
• Missbrauch: Ein Unternehmen darf nur bei offenkundig unbegründeten oder exzessiven Anträgen ablehnen oder ein Entgelt verlangen, etwa bei wiederholten Anträgen – und muss das nachweisen können.
• Nationale Ausnahmen: EU-Länder können den Zugang in bestimmten Fällen beschränken, daher unterscheiden sich die Details von Land zu Land leicht.

Sobald du deine Daten hast, kannst du verlangen, dass Fehler berichtigt werden, die Löschung fordern, wenn die Daten nicht mehr gebraucht werden, oder widersprechen, dass dein Lebenslauf für künftige Stellen aufbewahrt wird.

Wenn keine Antwort kommt: Beschwerde und nächste Schritte

Lehnt ein Unternehmen ab, muss es dir innerhalb eines Monats die Gründe nennen und dich über dein Beschwerderecht informieren. Ignoriert es dich oder antwortet unvollständig, schick eine Erinnerung und beschwer dich dann bei der Datenschutzaufsichtsbehörde in deinem Land – in Frankreich etwa bei der CNIL – oder in dem Land, in dem der Arbeitgeber seinen Sitz hat. Der Europäische Datenschutzausschuss (EDSA) führt alle nationalen Behörden auf, und Beschwerden sind kostenlos.

Deuten die Daten auf Diskriminierung hin – etwa auf Filter nach Alter, Geschlecht oder Herkunft –, kannst du dich auch an deine nationale Gleichbehandlungsstelle wenden, und in vielen Ländern können dich eine Fachanwältin oder ein Fachanwalt für Arbeitsrecht oder eine Gewerkschaft beraten. Im Vereinigten Königreich gilt dasselbe Auskunftsrecht nach der UK GDPR, und Beschwerden gehen an die ICO.