Der Militärische Abschirmdienst (MAD) lässt seit Juli 2026 eine KI die sozialen Netzwerke aller Bundeswehrbewerber durchsuchen, und er darf das. Ein Unternehmen, das dasselbe mit seinen Bewerbern macht, verstößt in aller Regel gegen Datenschutzrecht. Der Unterschied liegt nicht in der Technik, sondern im Gesetz: Der MAD hat eine eigene Rechtsgrundlage bekommen, alle anderen nicht.
Dasselbe Prinzip gilt im Marketing, sobald eine KI Social-Media-Profile auswertet. Dass ein Profil öffentlich ist, heißt nicht, dass du es beliebig auslesen und verknüpfen lassen darfst. Dieser Beitrag zeigt, wo die Grenze verläuft.
Der Fall: Was der MAD bei Bundeswehrbewerbern jetzt darf
Über das Verfahren berichtete der „Spiegel“ am 5. Oktober 2026. Es heißt „unterstützte Verfassungstreueprüfung“ und wurde mit einem deutschen IT-Unternehmen entwickelt.
Die KI prüft laut Bericht drei Dinge: Verbreitet jemand selbst rechtsextreme Inhalte, folgt er rechtsextremen Accounts oder teilt er solche Inhalte weiter? Mehrere Zehntausend Bewerber wurden bereits überprüft. Eine niedrige dreistellige Zahl wurde wegen fehlender Verfassungstreue aussortiert.
Quelle: dts Nachrichtenagentur: MAD prüft Bundeswehr-Bewerber mit KI auf Rechtsextremismus
Die Grundlage dafür steht im Bundeswehr-Schutz-Gesetz (BwSchutzG). Der Teil zur Verfassungstreueprüfung gilt seit dem 1. Juli 2026. Wer sich bewirbt, muss seine Internetseiten, seine Mitgliedschaften in sozialen Netzwerken samt Benutzernamen und eine Kopie des Ausweises angeben.
Der MAD darf dann nach § 4 BwSchutzG:
- Auskünfte bei Verfassungsschutz und Bundesnachrichtendienst einholen,
- das Bundeszentralregister unbeschränkt abfragen,
- personenbezogene Daten aus öffentlich zugänglichen Quellen „systematisch erheben oder zusammenführen“, auf allen öffentlichen Plattformen und in allen öffentlichen sozialen Netzwerken,
- das Foto aus dem Ausweis für einen automatisierten Abgleich mit Datenbanken nutzen.
Der letzte Punkt ist der heikle. Mit dem Foto lassen sich Konten finden, die jemand nicht angegeben hat. Das ist etwas anderes, als einen Namen zu googeln.
Wichtig für die Einordnung: Der MAD arbeitet laut Gesetz „zur Unterstützung“ der Stelle, die über die Einstellung entscheidet. Die KI sammelt und sortiert vor. Die Entscheidung trifft eine Behörde, nicht die Software.
Quelle: Gesetze im Internet: § 4 Bundeswehr-Schutz-Gesetz · Bundestag, DIP: Gesetz zur Stärkung der Militärischen Sicherheit in der Bundeswehr (Inkrafttreten)
Öffentlich heißt nicht datenschutzfrei
Ein öffentlicher Instagram-Post bleibt ein personenbezogenes Datum. Die DSGVO kennt keine Ausnahme für Dinge, die jeder sehen kann. Wer solche Daten sammelt, braucht dafür eine Rechtsgrundlage.
Der Unterschied liegt in der Menge und in der Methode. Ein einzelnes Profil ansehen kann jeder. Tausende Profile automatisch durchsuchen, verknüpfen und bewerten ist ein eigener, schwererer Eingriff.
Das Bundesverfassungsgericht hat das 2023 für die Polizei so entschieden. Eine automatisierte Datenanalyse hat ein „Eigengewicht“, weil sie aus vorhandenen Daten neues Wissen über Personen erzeugt. Die Regeln in Hessen und Hamburg erklärte das Gericht für verfassungswidrig, weil klare Eingriffsschwellen fehlten.
Quelle: Bundesverfassungsgericht: Pressemitteilung Nr. 18/2023 zur automatisierten Datenanalyse
Dieselbe Linie zog ein Sachverständiger in der Anhörung zum neuen MAD-Gesetz. Markus Löffelmann von der Hochschule des Bundes schrieb: Eine Behörde greift nur dann nicht in Grundrechte ein, wenn sie öffentliche Daten „wie jeder Dritte“ abruft. Bei automatisierten Werkzeugen sei das nicht immer der Fall.
Quelle: Bundestag: Stellungnahme Löffelmann, Ausschussdrucksache 21(12)221
Besonders heikel sind politische Informationen. Wem jemand folgt, was er kommentiert, welche Symbole er nutzt: Daraus lassen sich politische Meinungen ableiten. Die DSGVO schützt sie in Artikel 9 als besondere Kategorie.
Wer darf was: MAD, Polizei, Unternehmen
Die Technik ist für alle drei dieselbe, die Erlaubnis nicht. Entscheidend ist, ob ein Gesetz genau diesen Einsatz erlaubt.
| Wer | Was erlaubt ist | Grundlage | Wo die Grenze liegt |
|---|---|---|---|
| MAD bei Bundeswehrbewerbern | Systematische Recherche auf allen öffentlichen Plattformen, Abgleich des Ausweisfotos mit Datenbanken | § 4 BwSchutzG, seit 1. Juli 2026 | Nur für die Verfassungstreueprüfung; die Entscheidung trifft die einstellende Stelle |
| Polizei | Automatisierte Datenanalyse, wenn ein Gesetz sie ausdrücklich regelt | Polizeigesetze, Maßstab: BVerfG vom 16. Februar 2023 | Klare Schwellen zu Anlass, Zweck und Umfang; ohne sie ist die Regel verfassungswidrig |
| Unternehmen | Beruflich relevante, öffentliche Angaben zu Bewerbern ansehen, vor allem in Berufsnetzwerken | Art. 6 DSGVO, ergänzend § 26 BDSG | Kein flächendeckendes KI-Screening, kein politisches Profil, keine Gesichtssuche nach versteckten Konten |
Bei Unternehmen kommt die KI-Verordnung der EU hinzu. Sie verbietet Datenbanken zur Gesichtserkennung, die durch ungezieltes Auslesen von Bildern aus dem Internet entstehen. KI zur Auswahl von Bewerbern stuft sie als Hochrisiko-System ein.
Für militärische Zwecke und die nationale Sicherheit gilt die KI-Verordnung ausdrücklich nicht. Der MAD fällt also heraus, dein Unternehmen nicht.
Quelle: EUR-Lex: Verordnung (EU) 2024/1689 über künstliche Intelligenz, Art. 2, Art. 5, Anhang III · Dr. Datenschutz: Background-Check – dürfen Arbeitgeber Bewerber googeln?
KI und Social-Media-Profile: was im Marketing erlaubt ist
Was der MAD mit Bewerbern macht, können Marketing-Tools mit Zielgruppen: öffentliche Profile auslesen, verknüpfen und bewerten. Erlaubt ist davon nur ein Teil. Die Grenze verläuft zwischen deinen eigenen Kanälen und den Profilen anderer, und zwischen dem einzelnen Blick und der Massenauswertung.
| Was die KI tut | Einschätzung | Worauf es ankommt |
|---|---|---|
| Eigene Kanäle: Beiträge planen, Statistiken auswerten | Erlaubt | Business-Tarif und Vertrag zur Auftragsverarbeitung |
| Eigene Kanäle: Kommentare und Nachrichten lesen und beantworten | Erlaubt mit Vorarbeit | Das sind Daten anderer; Hinweis in der Datenschutzerklärung, Freigabe vor dem Senden |
| Fremde Profile: einzelne, beruflich relevante Angaben ansehen | Meist erlaubt | Klarer Zweck, Interessenabwägung, Information der Betroffenen |
| Fremde Profile: massenhaft auslesen, verknüpfen, Personen bewerten | Nicht erlaubt | Keine Rechtsgrundlage; zulässig nur mit Einwilligung jeder betroffenen Person |
Einzelne Profile anzusehen ist erlaubt, wenn es einen beruflichen Anlass gibt. Beispiele: das LinkedIn-Profil eines Ansprechpartners vor dem Erstgespräch, die Prüfung einer Influencerin vor der Kooperation. Die Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 DSGVO. Dazu gehört die Pflicht, die Person zu informieren, wenn du ihre Daten speicherst.
Quelle: Dr. Datenschutz: Social Media – darf man die öffentlich zugänglichen Daten nutzen?
Nicht erlaubt ist die Massenauswertung fremder Profile. Ein Beispiel: Ein KI-Agent liest die Follower eines Wettbewerbers aus, sortiert sie nach Interessen und verknüpft sie mit E-Mail-Adressen. So ein Agent ist schnell gebaut. Er erzeugt genau das, was das Bundesverfassungsgericht als eigenen Eingriff wertet: neues Wissen über Personen, die davon nichts ahnen. Die Nutzungsbedingungen der großen Plattformen untersagen das automatisierte Auslesen in der Regel zusätzlich.
Meine Faustregel für Social Listening: Themen auswerten ja, Personen durchleuchten nein. Welche Fragen eine Zielgruppe bewegt, darf eine KI zusammenfassen. Wer von ihnen welcher politischen Seite folgt, geht dich nichts an.
Was das mit meinem KI-Kurs zu tun hat
In meinem KI-Kurs bei MOD education gibt es eine Live-Session zu Guardrails, also zu den Leitplanken, die festlegen, was eine KI im Unternehmen darf und was nicht. Der Bundeswehr-Fall ist dafür das beste Lehrstück, das ich seit Langem gesehen habe. Ein Werkzeug, das Profile durchsucht und Dossiers schreibt, kann heute jede Marketingabteilung bauen. Erlaubt ist es deshalb nicht: Der MAD hat ein eigenes Gesetz bekommen, du hast die DSGVO, die KI-Verordnung und im Zweifel einen Betriebsrat.
Lead-Recherche, Social Listening, Influencer-Prüfung, Bewerberauswahl im eigenen Team: Überall werden öffentliche Daten über Menschen automatisch gesammelt. Die Frage „Dürfen wir das?“ gehört an den Anfang des Projekts.
Die KI-Verordnung verlangt außerdem, dass Unternehmen Maßnahmen für die KI-Kompetenz ihrer Mitarbeiter ergreifen. Seit dem 27. Juli 2026 gilt diese Pflicht in abgeschwächter Fassung, Details stehen im Beitrag zur KI-Schulungspflicht. Dazu zählt, solche Grenzen zu kennen. Was meine beiden Kurse sonst abdecken, steht auf Meine Kurse.
Fünf Prüffragen vor dem nächsten KI-Einsatz
Diese fünf Fragen stelle ich, bevor eine KI an Daten über Menschen darf, ob in Social-Media-Profilen, im CRM oder im Postfach.
- Wessen Daten sind das? Eigene Daten sind selten das Problem. Daten von Kunden, Bewerbern und Kollegen fast immer.
- Welche Regel erlaubt mir das? „Die Daten sind öffentlich“ und „ich habe Zugriff“ sind keine Antworten.
- Wofür wurden die Daten ursprünglich gegeben? Eine Mail mit einer Terminanfrage ist kein Rohstoff für ein Kundenprofil.
- Wo landen die Daten? Tarif, Vertrag zur Auftragsverarbeitung, Serverstandort und Training gehören vor dem Start geklärt.
- Wer gibt frei? Alles, was nach außen geht oder über einen Menschen entscheidet, braucht einen Menschen am Ende.
Drei Fragen lässt der Bundeswehr-Fall offen. Wo endet die Verfassungstreueprüfung und wo beginnt politisches Profiling? Was passiert, wenn die KI jemanden zu Unrecht markiert? Und wie wehrt sich ein Bewerber, der nie erfährt, dass ein KI-Treffer hinter seiner Ablehnung steht?
Dieser Beitrag ist eine Einordnung aus Sicht eines KI-Dozenten und ersetzt keine Rechtsberatung. Für den eigenen Fall sind Datenschutzbeauftragte oder eine Fachanwältin die richtige Adresse.
Weiterführende Links
- Bundestag: Anhörung zur Stärkung der militärischen Sicherheit, mit den Positionen der Sachverständigen
- Bundesverteidigungsministerium: Überblick über das Artikelgesetz Militärische Sicherheit
- Bundesdatenschutzbeauftragte: Stellungnahme zum Gesetz zur Stärkung der Militärischen Sicherheit (15. Oktober 2025)
- Datenschutzkonferenz: Entschließung zur automatisierten Datenanalyse durch Polizei und Nachrichtendienste