Sie haben eine KI-Detektor-API gefunden, die 99 % Genauigkeit verspricht. Die Integration wirkt einfach. Doch bevor Sie die erste Bewerbung an diesen Endpunkt senden, gibt es eine Frage, die auf der Landingpage des Anbieters niemand stellt: Was passiert mit den Kandidatendaten, nachdem Sie sie gesendet haben?
Wenn Sie Lebensläufe von Kandidaten über eine API eines Drittanbieters zur KI-Erkennung verarbeiten, gehen Sie eine Datenverarbeitungsbeziehung ein, zu der die DSGVO und andere Datenschutzgesetze ganz konkrete Anforderungen stellen.
Was Sie tatsächlich übermitteln
Wenn Ihr ATS eine KI-Detektor-API aufruft, sendet es den Textinhalt eines Lebenslaufs, oder einen erheblichen Teil davon, an einen Server des Drittanbieters. Dieser Text enthält personenbezogene Daten: Namen, Kontaktdaten, Berufsverlauf, Ausbildung und mitunter demografische Angaben.
Die meisten KI-Detektor-APIs sind nicht für HR-Daten gebaut. Sie wurden ursprünglich für die Plagiatserkennung im akademischen Bereich und für Content-Marketing entwickelt. Ihre Datenschutzerklärungen, Aufbewahrungsrichtlinien und Sicherheitsstandards wurden für die Prüfung von Aufsätzen geschrieben, nicht für das Kandidaten-Screening.
Lesen Sie die Datenschutzerklärung des Anbieters, bevor Sie integrieren, und zwar so, als wären Sie Datenschutzbeauftragter. Denn genau der wird Fragen stellen, wenn etwas schiefgeht.
DSGVO: die Grundlagen, auf die Sie nicht verzichten können
Wenn Sie in der EU oder im EWR einstellen oder Daten von EU-Einwohnern verarbeiten, gilt die DSGVO für jedes System, das Kandidatendaten berührt. Für eine KI-Detektor-Integration bedeutet das Folgendes:
Rechtsgrundlage: Sie brauchen einen rechtlichen Grund, um Kandidatendaten über den Detektor zu verarbeiten. Die zwei gängigen Optionen sind berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) und ausdrückliche Einwilligung. Berechtigtes Interesse setzt voraus, dass Sie dokumentieren, warum die Erkennung erforderlich und verhältnismäßig ist. Eine Einwilligung verlangt, dass der Kandidat zustimmt, bevor sein Lebenslauf gescannt wird. Diese Einwilligung muss spezifisch, informiert und widerrufbar sein (GDPR Advisor, 2026).
Transparenz: Kandidaten müssen darüber informiert werden, dass ihre Daten an einen KI-Erkennungsdienst eines Drittanbieters gesendet werden, welche Daten geteilt werden, warum und wie lange sie gespeichert werden. Ihre Datenschutzhinweise müssen den Zweck ausdrücklich nennen. „Wir nutzen unter Umständen Tools von Drittanbietern“ ist nicht konkret genug.
Auftragsverarbeitungsvertrag: Art. 28 DSGVO verlangt eine schriftliche Vereinbarung zwischen Ihnen (dem Verantwortlichen) und dem API-Anbieter (dem Auftragsverarbeiter), also einen AVV (Auftragsverarbeitungsvertrag). Dieser muss festlegen, welche Daten verarbeitet werden, zu welchem Zweck, wie lange sie gespeichert werden und welche Sicherheitsmaßnahmen gelten. Bietet der Anbieter keinen AVV an, ist das ein Warnsignal.
US-Datenschutzgesetze: nicht nur ein europäisches Thema
Die DSGVO macht die Schlagzeilen, doch auch in den USA werden die Anforderungen strenger. Mehrere Bundesstaaten haben umfassende Datenschutzgesetze verabschiedet oder vorgeschlagen:
- Kalifornien (CCPA/CPRA): Verlangt die Offenlegung der Weitergabe von Daten an Dritte und gibt Verbrauchern das Recht, dem Verkauf oder der Weitergabe ihrer personenbezogenen Daten zu widersprechen.
- New York City Local Law 144: Verlangt Bias-Audits für automatisierte Entscheidungstools im Beschäftigungskontext. Trägt Ihr KI-Detektor zu einer Einstellungsentscheidung bei, kann er unter dieses Gesetz fallen.
- Illinois AI Video Interview Act und BIPA: Stellen spezifische Anforderungen an biometrische Daten und KI-Tools im Recruiting.
Die regulatorische Lage bewegt sich in Richtung mehr Offenlegung, mehr Prüfung und mehr Rechte für Kandidaten. Ein ungeprüfter API-Dienst eines Drittanbieters in Ihrer Pipeline vergrößert die Angriffsfläche für Compliance-Probleme.
Fünf Fragen an den API-Anbieter
Holen Sie vor der Vertragsunterzeichnung schriftliche Antworten auf diese Fragen ein:
- Wo stehen die Server? Liegt die Infrastruktur des Anbieters außerhalb Ihrer Jurisdiktion, gelten Regeln für die grenzüberschreitende Datenübermittlung. Für Daten aus der EU, die an US-Server gesendet werden, brauchen Sie Standardvertragsklauseln oder einen Angemessenheitsbeschluss.
- Wie lange werden Kandidatendaten gespeichert? Manche APIs speichern Eingabetexte zur Verbesserung ihrer Modelle. Wenn die Lebensläufe Ihrer Kandidaten unbegrenzt auf den Servern des Anbieters liegen, widerspricht das dem Grundsatz der Datenminimierung.
- Werden Kandidatendaten für das Training von Modellen verwendet? Viele KI-Unternehmen nutzen Eingabedaten zur Verbesserung ihrer Modelle. Wenn Lebenslauftexte für das Training verwendet werden, teilen Sie Kandidatendaten für einen Zweck, der mit dem Recruiting nichts zu tun hat, und der liegt mit hoher Wahrscheinlichkeit außerhalb Ihrer festgelegten Rechtsgrundlage.
- Welche Sicherheitszertifizierungen besitzt der Anbieter? SOC 2 Typ II, ISO 27001 oder Gleichwertiges. Wenn der Anbieter keine Sicherheitsstandards nachweisen kann, senden Sie personenbezogene Daten in ein System, das Sie nicht prüfen können.
- Wird der Anbieter einen DSGVO-konformen AVV unterzeichnen? Lautet die Antwort Nein oder „das machen wir für dieses Produkt normalerweise nicht“, sollten Sie die Finger davon lassen.
Die Alternative: Datenminimierung
Der Grundsatz der Datenminimierung in der DSGVO besagt, dass Sie nur die Daten verarbeiten sollten, die für einen bestimmten Zweck nötig sind. Ein KI-Erkennungsscan verarbeitet den gesamten Lebenslauftext, um eine einzige Frage zu beantworten: „Wurde das von einer KI geschrieben?“ Das ist sehr viel personenbezogene Information für ein Signal mit geringem Nutzen.
Ein kriterienbasierter Ansatz verarbeitet weniger Daten für ein nützlicheres Ergebnis. CriteriaMatch prüft konkrete Qualifikationen wie Zertifizierungen, Arbeitsrechte, Sprachkenntnisse und Erfahrungsschwellen gegen definierte Anforderungen. Das Screening ist zielgerichtet, das Ergebnis ist umsetzbar, und die Datenverarbeitung steht im Verhältnis zum Zweck.
Sie müssen keine vollständigen Lebensläufe an einen Server eines Drittanbieters senden, um zu entscheiden, ob ein Kandidat Ihre Anforderungen erfüllt.
Mehr dazu, wie Sie Recruiting-Abläufe aufbauen, die sowohl die Rechte der Kandidaten als auch die Effizienz des Teams respektieren, finden Sie in unserem Leitfaden zu verantwortungsvoller KI im Recruiting.
Compliance klären, bevor Sie unterschreiben
Der Markt für KI-Detektor-APIs bewegt sich schnell. Anbieter verkaufen Dringlichkeit („KI-Lebensläufe überschwemmen Ihre Pipeline“), ohne auf die Datenschutz-Infrastruktur einzugehen, die für einen verantwortungsvollen Einsatz nötig ist.
Bewerten Sie zuerst die Compliance, dann die Genauigkeit. Die technische Integration ist der einfache Teil. Die Data Governance ist der Punkt, an dem die meisten Teams merken, dass sich der Aufwand für das Signal nicht lohnt.