Compliance
Compliance-Prozess
Stand: Oktober 2026
So führen Sie KI-Interviews mit Mirage im Einklang mit DSGVO, BDSG, Betriebsverfassungsgesetz und EU-KI-Verordnung ein. Bei jedem Schritt sehen Sie, was Ihr Unternehmen erledigt und was Mirage beisteuert. Diese Übersicht ist keine Rechtsberatung.
1. Vertrag und Auftragsverarbeitung
Mirage verarbeitet die Daten Ihrer Bewerbenden in Ihrem Auftrag. Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Ihr Unternehmen
- Unternehmenskonto anlegen und den AVV abschließen
- Technische und organisatorische Maßnahmen sowie Unterauftragsverarbeiter prüfen
- Den AVV in Ihr Verzeichnis von Verarbeitungstätigkeiten aufnehmen
Mirage
- AVV mit Anlage 1 (Maßnahmen) und Anlage 2 (Unterauftragsverarbeiter)
- Auf Wunsch eine unterzeichnete Fassung
- Ankündigung jeder Änderung an den Unterauftragsverarbeitern 30 Tage im Voraus
2. Rechtsgrundlage und Datenschutzhinweise
Bewerbende müssen wissen, dass ein KI-gestütztes Interview Teil Ihres Auswahlverfahrens ist, bevor ihre Daten verarbeitet werden.
Ihr Unternehmen
- Rechtsgrundlage festlegen; für das Bewerbungsverfahren kommt in der Regel Art. 6 Abs. 1 lit. b DSGVO in Betracht, für den KI-gestützten Schritt je nach Ausgestaltung auch lit. f mit dokumentierter Interessenabwägung
- Ihre Datenschutzhinweise für Bewerbende ergänzen: Zweck des KI-Interviews, Datenarten, Mirage als Auftragsverarbeiter, Drittlandübermittlungen, Speicherdauer und der Hinweis, dass ein Mensch entscheidet
- Die Schritte mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten abstimmen
Mirage
- Beschreibung der Verarbeitung und der Datenflüsse als Grundlage für Ihre Hinweise
- Liste der Unterauftragsverarbeiter, einschließlich der Anbieter von KI-Modellen
3. Datenschutz-Folgenabschätzung
Die KI-gestützte Bewertung von Bewerbenden erfüllt regelmäßig die Kriterien, nach denen eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, etwa die systematische Bewertung persönlicher Aspekte mit neuen Technologien.
Ihr Unternehmen
- Prüfen, ob eine Folgenabschätzung erforderlich ist, und sie vor dem ersten Interview durchführen
- Risiken und Gegenmaßnahmen dokumentieren
Mirage
- Beschreibung des KI-Systems: Zweck, Funktionsweise, menschliche Aufsicht und Grenzen
- Technische und organisatorische Maßnahmen (Anlage 1 zum AVV)
- Antworten auf Ihre Rückfragen zur Verarbeitung
4. Betriebsrat
In Deutschland unterliegen technische Einrichtungen, die Verhalten oder Leistung bewerten können, in der Regel der Mitbestimmung. Beziehen Sie den Betriebsrat früh ein.
Ihr Unternehmen
- Mitbestimmungsrechte prüfen, insbesondere § 87 Abs. 1 Nr. 6 BetrVG sowie bei Personalfragebögen und Auswahlrichtlinien §§ 94 und 95 BetrVG, auch wenn sie mit KI erstellt werden (§ 95 Abs. 2a BetrVG)
- Den Betriebsrat über den geplanten Einsatz von KI unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG); zur Beurteilung kann er einen Sachverständigen hinzuziehen (§ 80 Abs. 3 BetrVG)
- Mit Mirage Office betrifft die Mitbestimmung insbesondere Feedback, Pulsbefragungen und Leistungsbeurteilungen
- Bei Bedarf eine Betriebsvereinbarung abschließen
Mirage
- Informationen für den Betriebsrat: Funktionsweise, Datenarten, Zugriffsrechte und Auswertungen
- Die Zusicherung, dass Mirage keine Emotionen erkennt und keine Bewerbung selbsttätig bewegt
5. EU-KI-Verordnung: Pflichten als Betreiber
KI, die Bewerbende bewertet, ist nach Anhang III der KI-Verordnung ein Hochrisiko-System. Ihr Unternehmen ist dabei Betreiber. Die Pflicht zur KI-Kompetenz gilt seit dem 2. Februar 2025; die Betreiberpflichten für Hochrisiko-Systeme gelten nach derzeitigem Stand ab dem 2. Dezember 2027.
Ihr Unternehmen
- Maßnahmen ergreifen, damit die Personen, die mit Mirage arbeiten, über ausreichende KI-Kompetenz verfügen (Art. 4)
- Mirage gemäß unseren Hinweisen einsetzen und die menschliche Aufsicht geschulten Personen übertragen (Art. 26)
- Arbeitnehmervertretung und betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz informieren und Bewerbende über den Einsatz unterrichten (Art. 26)
Mirage
- Einen Hinweis für Bewerbende vor jedem Interview: dass sie mit einer KI sprechen, was aufgezeichnet wird und wie das Ergebnis verwendet wird
- Bewertungen mit Belegzitaten, eine Übersteuerungsmöglichkeit und Berichte, die als KI-gestützte Einschätzung gekennzeichnet sind
- Ein Entscheidungsjournal, mit dem Entscheidungen nachvollziehbar bleiben
- Mirage ist Anbieter des KI-Systems; die Konformitätsbewertung für Hochrisiko-Systeme bereiten wir vor, den aktuellen Stand zeigt unsere Compliance-Seite
6. Interviews durchführen
Bewerbende erhalten eine Einladung und bestätigen vor dem Start einen versionierten Hinweis. Ohne diese Bestätigung beginnt kein Interview.
Ihr Unternehmen
- Bewerbende in der Einladung auf das KI-Interview und Ihre Datenschutzhinweise hinweisen
- Auf Wunsch ein Gespräch ohne KI ermöglichen; wir empfehlen das ausdrücklich
Mirage
- Einladung, Hinweis vor dem Start und das strukturierte Interview auf Deutsch oder Englisch
- Bericht mit Bewertungen von 0 bis 10, Belegzitaten und einer Empfehlung
7. Entscheiden, dokumentieren, löschen
Über eine Bewerbung entscheidet ein Mensch in Ihrem Unternehmen, der die Belege prüft und der Empfehlung nicht ungeprüft folgt (Art. 22 DSGVO).
Ihr Unternehmen
- Belege prüfen, Bewertungen bei Bedarf übersteuern und die Entscheidung treffen
- Anfragen von Bewerbenden zu ihren Daten beantworten
- Eine Speicherdauer festlegen und Daten nach Abschluss des Verfahrens löschen lassen, unter Berücksichtigung der Fristen für Ansprüche nach dem AGG
Mirage
- Abruf von Bericht und Transkript
- Unterstützung bei Auskunft, Berichtigung und Löschung nach dem AVV
- Löschung auf Ihre Weisung