Bewerben mit KI-Tools: Was mit deinen Daten passiert

Wenn du deine Bewerbungsunterlagen in ChatGPT oder ein anderes KI-Tool eingibst, gibst du personenbezogene, teils sensible Daten an einen Dritten weiter, dessen Umgang damit du kaum kontrollieren kannst. Bei der gängigen Consumer-Version ist die Nutzung deiner Eingaben zum Modelltraining standardmäßig aktiv, du hast als Bewerber:in DSGVO-Rechte wie Auskunft und Löschung, aber die eigentliche Kontrolle liegt vor allem in dem, was du überhaupt eingibst.

Das Wichtigste in Kürze

• Bei Consumer-ChatGPT (Free, Plus, Pro) ist die Trainingsnutzung deiner Eingaben laut OpenAI standardmäßig aktiv, ein Opt-out ist manuell möglich, aber nicht rückwirkend.
• Bei ChatGPT Team, Enterprise und der API ist standardmäßig kein Training auf deinen Daten aktiv, das betrifft aber selten die Bewerbungspraxis von Privatpersonen.
• Bewerbungsunterlagen enthalten häufiger als gedacht besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, etwa über ein Bewerbungsfoto oder eine gesundheitlich erklärte Lücke im Lebenslauf.
• Der rechtliche Rahmen für Datentransfers in die USA, das EU-US Data Privacy Framework, ist Stand Juli 2026 rechtlich in Bewegung, nicht endgültig geklärt.
• Datensparsamkeit bei der Eingabe schützt dich wirksamer als das nachträgliche Ausüben von Auskunfts- oder Löschungsrechten.

Was passiert, wenn du deine Bewerbungsunterlagen in ChatGPT & Co. eingibst?

Jede Eingabe in ein KI-Tool wird an einen Server des Anbieters geschickt, dort verarbeitet und in der Regel für eine gewisse Zeit gespeichert. Das gilt unabhängig davon, ob du einen vollständigen Lebenslauf hochlädst, ein Anschreiben formulieren lässt oder nur eine einzelne Frage zu einer Stellenanzeige stellst. Anders als beim klassischen Bewerbungsprozess, bei dem ein Unternehmen deine Daten im Rahmen eines konkreten Bewerbungsverfahrens verarbeitet, entsteht hier eine zusätzliche Verarbeitung durch einen ganz anderen Akteur: den KI-Anbieter selbst.

Diese zweite Verarbeitung wird beim Formulieren einer Bewerbung leicht übersehen, weil sie sich wie ein privates Werkzeug anfühlt, ähnlich einem Textverarbeitungsprogramm. Technisch ist sie aber etwas anderes: Deine Eingabe verlässt dein Gerät und landet bei einem Unternehmen, dessen genaue Verarbeitungspraxis du nur über dessen Datenschutzerklärung nachvollziehen kannst, nicht über das, was auf deinem Bildschirm passiert.

Werden meine Daten zum Training des KI-Modells genutzt?

Die Antwort hängt entscheidend davon ab, welche Version eines Tools du nutzt, und das ist der Punkt, den die meisten Ratgeber zu KI-Bewerbungen übersehen.

Bei der Consumer-Version von ChatGPT (Free, Plus, Pro), also der Oberfläche, die die allermeisten Bewerbenden über Browser oder App nutzen, ist die Nutzung deiner Eingaben und Ausgaben zur Modellverbesserung laut OpenAIs eigener Erklärung, wie Daten zur Modellverbesserung genutzt werden, standardmäßig aktiv. Du kannst das abschalten, laut OpenAI Help Center über Profil, Einstellungen, Datenkontrollen und den Schalter „Modell für alle verbessern". Wichtig dabei: Die Umstellung wirkt nur auf neue Unterhaltungen ab diesem Zeitpunkt, nicht rückwirkend auf bereits geführte Chats, die vorher schon in einen Trainingslauf eingeflossen sein könnten.

Bei ChatGPT Team, ChatGPT Enterprise und der API, also den Business-Produkten, ist es laut OpenAIs Enterprise-Datenschutzseite genau umgekehrt: Standardmäßig wird nicht auf Eingaben oder Ausgaben trainiert, ein Unternehmen müsste aktiv zustimmen, um Daten für dieses Ziel zu teilen. Für dich als Privatperson auf Jobsuche ist das in der Praxis meist irrelevant, weil du fast immer die kostenlose oder Plus-Consumer-Oberfläche nutzt, nicht ein API-Abonnement.

Eine Zwischenlösung bietet der „Temporäre Chat"-Modus, der laut OpenAI nicht in der Historie erscheint, nicht ins Gedächtnis des Kontos einfließt und nicht fürs Training verwendet wird. Auch hier gilt aber eine praktische Grenze: Laut denselben Quellen bleibt eine Standard-Aufbewahrung von bis zu 30 Tagen zu Sicherheits- und Missbrauchsmonitoring-Zwecken bestehen, bevor die Daten gelöscht werden.

Ein Beispiel aus dem Vertrieb: Eine Vertriebsmitarbeiterin öffnet auf dem Handy die ChatGPT-App, um in der Mittagspause schnell ein Anschreiben zu überarbeiten. Ohne die Einstellung bewusst geändert zu haben, läuft sie im Standard-Modus mit aktivem Training, ganz gleich, ob sie nur eine Formulierung optimiert oder den gesamten Lebenslauf einfügt.

Warum Bewerbungsunterlagen oft sensibler sind, als du denkst

Bewerbungsunterlagen wirken auf den ersten Blick wie neutrale berufliche Informationen: Stationen, Qualifikationen, Kontaktdaten. Tatsächlich rutschen dort regelmäßig Angaben hinein, die unter Artikel 9 der DSGVO fallen, also besondere Kategorien personenbezogener Daten wie Gesundheitsdaten, ein Grad der Behinderung, ethnische Herkunft oder religiöse Zugehörigkeit. Ein Bewerbungsfoto kann optisch Rückschlüsse auf ethnische Herkunft zulassen. Eine Lücke im Lebenslauf, die mit einer Kur oder einer längeren Erkrankung erklärt wird, ist eine Gesundheitsangabe. Ehrenamtliches Engagement in einer religiösen Gemeinde kann Rückschlüsse auf eine Glaubensrichtung erlauben.

Laut einem Fachbeitrag zur Praxis von Art.-9-Daten in Bewerbungsunterlagen reicht für die Verarbeitung solcher Daten eine allgemeine Zustimmung zur Datenverarbeitung nicht aus, es braucht eine ausdrückliche Einwilligung, die sich konkret auf die sensiblen Daten bezieht. Diese Anforderung gilt zwischen dir und einem Arbeitgeber. Gibst du dieselben Angaben in ein öffentliches KI-Tool ein, existiert diese formale Einwilligungsstruktur in der Regel gar nicht, du übermittelst die Daten einfach durch die Eingabe, ohne dass ein Verfahren dazwischengeschaltet ist, das die Sensibilität der Daten eigens abfragt.

Ein Beispiel aus der Pflege: Eine Pflegefachkraft hat ihre Ausbildung wegen einer mehrmonatigen Reha unterbrochen und möchte das im Lebenslauf plausibel erklären lassen. Fügt sie den kompletten Lebenslauf inklusive dieser Erklärung in ein Consumer-KI-Tool ein, landet eine Gesundheitsangabe bei einem Anbieter, der dafür keine gesonderte Einwilligung eingeholt hat. Ein zweites Beispiel aus dem Handwerk: Ein Bewerber mit Schwerbehindertenausweis möchte einen Nachteilsausgleich im Anschreiben ansprechen und lässt sich dafür Formulierungen vorschlagen, wieder eine Angabe, die eigentlich besonderen Schutz verdient.

Wo werden die Daten gespeichert und was hat das mit Drittländern zu tun?

Nach Artikel 44 der DSGVO dürfen personenbezogene Daten nur dann in ein Drittland außerhalb der EU oder des EWR übermittelt werden, wenn ein angemessenes Schutzniveau sichergestellt ist, etwa durch einen Angemessenheitsbeschluss der EU-Kommission oder andere anerkannte Garantien. Viele große KI-Anbieter verarbeiten Daten zumindest teilweise auf Servern in den USA, was diese Regel direkt betrifft.

Die zentrale Rechtsgrundlage für solche Übermittlungen in die USA ist aktuell das EU-US Data Privacy Framework (DPF). Anfang September 2025 wies das Gericht der Europäischen Union eine Nichtigkeitsklage gegen das DPF ab und bestätigte damit zunächst, dass die USA im Rahmen dieses Abkommens ein angemessenes Schutzniveau bieten, wie mehrere Kanzleien berichteten. Seither hat sich die Lage aber wieder verschoben: Im Zusammenhang mit einem Urteil des US-Supreme-Court zur Unabhängigkeit der US-Handelsaufsichtsbehörde FTC spricht die Datenschutzorganisation noyb rund um Max Schrems von einem drohenden Einbruch der rechtlichen Grundlage des DPF, weil die Angemessenheitsentscheidung der EU-Kommission die FTC als zentrale Durchsetzungsstelle voraussetzt, wie Techzine berichtet. Eine weitergehende gerichtliche Klärung, in Anlehnung an die früheren Schrems-Verfahren teils „Schrems III" genannt, wird laut einem Working Paper der Stanford Law School frühestens Ende 2026 oder Anfang 2027 erwartet.

Für dich als Bewerber:in heißt das konkret: Der rechtliche Rahmen, auf den sich viele US-amerikanische KI-Anbieter für die Übermittlung deiner Daten stützen, ist zum jetzigen Zeitpunkt formal gültig, aber Gegenstand einer laufenden rechtlichen Auseinandersetzung. Das ist weder Grund zur Panik noch ein Argument, das Thema zu ignorieren, es ist ein Punkt, den du bei der Wahl eines Tools mitbedenken kannst.

Genau hier wird der Hosting-Standort zu einem sinnvollen, nüchternen Auswahlkriterium: Ein Dienst, der Bewerbungsdaten in der EU verarbeitet und sie zweckgebunden nur für die eigentliche Aufgabe nutzt, umgeht diese Drittland-Unsicherheit von vornherein. smart-job-match ist als KI-Produkt selbst ein Beispiel für diese Bauweise: Kundendaten werden zweckgebunden für die eigene Bewerbungsanalyse verarbeitet und nicht zum Training allgemeiner Modelle verwendet. Das ist ein Kriterium unter mehreren, nicht das einzige und keine pauschale Sicherheitsgarantie, aber ein Unterschied, der bei der Wahl eines KI-Tools für sensible Bewerbungsdaten zählt.

Welche Rechte hast du als Bewerber:in nach der DSGVO?

Als betroffene Person hast du gegenüber jedem Verantwortlichen, der deine Daten verarbeitet, einschließlich eines KI-Anbieters, mehrere konkrete Rechte. Nach Artikel 15 DSGVO kannst du eine Bestätigung verlangen, ob und welche Daten über dich verarbeitet werden, inklusive Auskunft über eine etwaige Übermittlung in ein Drittland und die dafür geltenden Garantien. Nach Artikel 17 DSGVO hast du unter bestimmten Voraussetzungen, etwa wenn der Verarbeitungszweck entfallen ist oder du eine Einwilligung widerrufst, ein Recht auf Löschung.

Diese Rechte sind real, sie haben aber eine wichtige praktische Grenze, die auch OpenAI selbst in den eigenen Datenschutzhinweisen einräumt: Ein Opt-out aus dem Training oder eine Löschanfrage entfernt deine sichtbaren Daten aus deinem Konto, verhindert aber nicht rückwirkend, dass bereits genutzte Trainingsdaten in ein Modell eingeflossen sind. Ein Modell lässt sich technisch nicht punktuell „entlernen", so wie man eine einzelne Zeile aus einer Datei löscht. Deshalb ist die Vorsicht bei der Eingabe wirksamer als das nachträgliche Ausüben dieser Rechte.

Ein weiterer Punkt wird oft übersehen: Wenn du selbst deine Unterlagen in ein KI-Tool eingibst, bist in diesem Moment du selbst diejenige Person, die personenbezogene Daten an einen Dritten weitergibt, nicht ein künftiger Arbeitgeber. Die Verantwortung, vorsichtig mit dieser Weitergabe umzugehen, liegt deshalb zuerst bei dir.

Ein Beispiel aus der Verwaltung: Ein Sachbearbeiter, der für seine Bewerbung mehrere KI-Tools ausprobiert hat, möchte im Nachhinein wissen, welche seiner Daten bei einem der Anbieter noch gespeichert sind. Über eine Auskunftsanfrage nach Artikel 15 kann er das erfragen, auch wenn das nicht rückgängig macht, was mit bereits verarbeiteten Eingaben geschehen ist.

Praktische Tipps: Was du eingeben solltest und was nicht

Ein paar einfache Grundsätze verringern das Risiko deutlich, ohne dass du auf KI-Unterstützung bei der Bewerbung verzichten musst.

• Baustein statt Komplettpaket. Gib nicht den kompletten Lebenslauf mit Name, Adresse, Geburtsdatum und Foto in einem Rutsch ein, sondern nur den Teil, den du gerade brauchst, etwa eine Formulierung für einen einzelnen Absatz.
• Sensible Angaben separat behandeln. Gesundheitsbezogene Erklärungen, Angaben zu einem Grad der Behinderung oder religiöse/weltanschauliche Bezüge gehören nicht in eine Eingabe an ein Consumer-KI-Tool, wenn es vermeidbar ist. Formuliere solche Passagen selbst oder lasse dir nur eine allgemeine Struktur vorschlagen, ohne die konkrete sensible Information einzufügen.
• Trainings-Einstellung prüfen und anpassen. Schau in den Datenkontrollen deines Tools nach, ob eine Trainingsnutzung standardmäßig aktiv ist, und schalte sie ab, wenn dir das wichtig ist, im Wissen um die oben genannte Grenze für bereits geführte Chats.
• Datenschutzerklärung des Tools kurz prüfen. Ein Blick darauf, wo ein Anbieter seine Daten verarbeitet und ob er Angaben zu Auftragsverarbeitung und Speicherort macht, sagt oft mehr aus als der Werbetext auf der Startseite.
• EU-Anbieter als Kriterium einbeziehen, nicht als Automatismus. Ein europäischer Hosting-Standort reduziert die Drittland-Problematik, ersetzt aber nicht die eigene Prüfung von Zweckbindung und tatsächlicher Datennutzung.

Grenzen ehrlich benannt

Kein KI-Tool, egal ob europäisch oder amerikanisch, ist automatisch „100 Prozent sicher". Als einzelne bewerbende Person kannst du die Datenschutzpraxis eines Anbieters nicht vollständig technisch überprüfen, du bist auf dessen eigene Angaben und öffentlich zugängliche Berichte angewiesen. Die Lage rund um das EU-US Data Privacy Framework ist zum jetzigen Zeitpunkt, Juli 2026, rechtlich in Bewegung, eine endgültige Einschätzung dazu wäre verfrüht, in die eine wie in die andere Richtung. Dieser Artikel ersetzt außerdem keine rechtliche Einzelfallberatung: Bei konkreten Zweifeln, insbesondere wenn es um sensible Daten oder eine ungewöhnliche Vertragskonstellation mit einem Anbieter geht, hilft nur eine Fachperson für Datenschutzrecht weiter.

So geht's weiter

Der Kern bleibt einfach: Je weniger sensible Daten du unbedacht in ein öffentliches KI-Tool gibst, desto weniger musst du dir über Trainingsnutzung, Speicherort oder Löschanfragen im Nachhinein Gedanken machen. Wenn du wissen willst, wie sich eine konkrete Stellenanzeige für dich einordnen lässt, ohne dafür deine kompletten Unterlagen in ein beliebiges Consumer-Tool zu kopieren, kannst du sie unter app.smart-job-match.de einreichen. Mehr zum diskreten Umgang mit deinen Bewerbungsspuren im Alltag liest du im Artikel Diskret auf Jobsuche. Wie du eine Stellenanzeige vorab strukturiert einordnest, zeigt die 4-Achsen-Prüfung.