KI für Recruiting — So screenst du CVs 2026 DSGVO- und AI-Act-konform

Das Problem

200 Bewerbungen pro ausgeschriebener Senior-Stelle sind 2026 in IT, Industrie und Finance kein Ausreißer mehr, sondern Mittelwert (Quelle: AMS Stellenmarkt-Report 2025). Manuelles Screening frisst pro Recruiter zwei volle Arbeitstage je Vakanz, und gleichzeitig zeigt eine McKinsey-Studie aus 2026, dass menschliches CV-Screening bei mehr als 80 Bewerbungen in über 30 Prozent der Fälle zu inkonsistenten Bewertungen führt — schlicht, weil Müdigkeit, Reihenfolge-Effekte und unbewusste Bias zuschlagen. Ihr verliert Top-Kandidat:innen, weil sie auf Platz 147 lagen.

So funktioniert die KI-Lösung

Ein sauber gebautes KI-Vorscreening hat fünf Schichten. Erstens: CV-Parsing per OCR plus strukturierter Extraktion (Berufserfahrung, Skills, Ausbildung, Zertifikate). Zweitens: ICP-Match-Scoring gegen ein dokumentiertes Anforderungsprofil — jedes Kriterium hat ein Gewicht, jede Punktevergabe ist nachvollziehbar. Drittens: Bias-Audit-Layer, der prüft, ob bestimmte Merkmale (Geschlecht, Alter, Name, Foto) das Scoring beeinflussen — und falls ja, das Modell vor Produktivsetzung adjustiert. Viertens: Human-Review-Pflicht — die KI liefert eine Empfehlung mit Begründung, die finale Entscheidung trifft ein Mensch (Art. 22 DSGVO). Fünftens: Audit-Trail-Logging mit jeder Bewertung, jeder Begründung, jeder menschlichen Korrektur.

Architektur-Skizze

So sieht ein produktives Setup aus, das wir 2026 für Mittelstand und Konzerne bauen:

CV-Eingang: Bewerber-Portal (Greenhouse, Personio, SmartRecruiters) oder Mail-In mit automatischer Anhang-Erkennung
Parsing-Layer: Tesseract OCR plus Claude Sonnet 4.5 für strukturierte Extraktion in ein definiertes JSON-Schema
ICP-Match: Regelbasiertes Scoring (Muss-Kriterien als Hard-Filter, Soll-Kriterien gewichtet 1-5) plus LLM-basierte Plausibilitäts-Bewertung von Berufserfahrung und Skill-Tiefe
Bias-Audit-Layer: Anonymisierung von Name, Foto, Geburtsdatum, Adresse vor dem Scoring; statistische Auswertung der Output-Verteilung gegen geschützte Merkmale (DSGVO Art. 9) im Monatsrhythmus
Human-Review-Interface: Empfehlungsliste mit Begründung, expliziter "Override"-Button mit Kommentar-Pflicht für jede Abweichung
Audit-Trail: PostgreSQL-Log mit Zeitstempel, Model-Version, Input-Hash, Output-Score, menschlicher Letztentscheidung — 10 Jahre Aufbewahrung
Infrastruktur: EU-only (Hetzner Falkenstein oder Vercel Frankfurt), DPA mit Anthropic für EU-Endpoints

DSGVO und EU AI Act

Recruiting-KI ist nach Anhang III Punkt 4 des EU AI Acts Hochrisiko-System. Daraus folgen konkrete Pflichten: eine Datenschutz-Folgenabschätzung (DPIA) ist nach Art. 35 DSGVO Pflicht, weil systematisches Profiling stattfindet. Das Modell muss Bias-getestet sein, die Test-Ergebnisse müssen dokumentiert in der technischen Dokumentation liegen. Menschliche Letztentscheidung ist nach Art. 22 DSGVO zwingend — die KI darf eine Empfehlung geben, aber nie selbst absagen oder einladen. Logging und Audit-Trail müssen so dicht sein, dass ihr jede Entscheidung der letzten zehn Jahre rekonstruieren könnt.

Zusätzlich: Trainingsdaten dokumentieren (welche Bewerber-Daten wurden verwendet, mit welcher Rechtsgrundlage), Transparenz gegenüber Bewerber:innen (Hinweis im Bewerbungsformular, dass KI eingesetzt wird, plus Recht auf menschliche Überprüfung), und Eintrag in die EU-Datenbank für Hochrisiko-KI nach Art. 49 EU AI Act.

50 %

Time-to-Hire halbiert — bei gleichzeitig 2× mehr Diversität in der Final-Shortlist

ROI-Beispiel

50-MA-Tech-Firma in Linz, 18 offene Stellen pro Jahr, durchschnittlich 180 Bewerbungen je Vakanz:

Time-to-Hire: 28 → 14 Tage (-50 %)
Recruiter-Zeit für CV-Screening: 22h → 4h pro Woche (-18h/Woche)
Diversität in der Final-Shortlist: +112 % (durch strukturiertes Scoring statt Bauchgefühl)
Mismatch-Quote (Kündigung in der Probezeit): 18 % → 9 %
Setup-Kosten: €42.000 einmalig (inkl. DPIA, Bias-Audit, AI-Act-Doku)
Laufende Kosten: €1.900/Monat (LLM-API, Hosting, externe Bias-Audit-Reviews)
Amortisation: 8 Monate

Wichtig: die ROI-Rechnung hält nur, wenn die Compliance-Setup-Kosten von Anfang an mitgerechnet werden. Wer Bias-Audit und DPIA "später" macht, zahlt 2027 das Doppelte und riskiert Bußgelder bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (AI Act Art. 99).

Implementation-Aufwand

Sprint S (8 Wochen, €38.000–55.000): CV-Parsing plus ICP-Scoring für eine Berufsgruppe, DPIA, Bias-Audit-Setup, Audit-Trail
Sprint M (12 Wochen, €70.000–110.000): Multi-Role-Setup mit ATS-Integration (Greenhouse, Personio), erweiterter Bias-Audit-Layer, Schulung für HR-Team
Sprint L (16–20 Wochen, €140.000–220.000): Konzern-Setup mit mehrsprachigem Parsing (DE/EN/CEE), tiefer ATS-Integration, vollständiger AI-Act-Doku inklusive EU-Datenbank-Eintrag, kontinuierlichem Bias-Monitoring

Häufige Fehler

Blinde Übernahme von Modell-Empfehlungen: "Die KI sagt, der Kandidat passt nicht" ist keine Begründung. Ohne dokumentierte menschliche Letztentscheidung ist das ein DSGVO-Verstoß nach Art. 22.
Fehlende DPIA: Wer ein KI-Recruiting-System ohne Datenschutz-Folgenabschätzung einsetzt, riskiert Bußgelder bis 20 Millionen Euro nach DSGVO und zusätzlich AI-Act-Sanktionen.
Kein Bias-Audit vor Produktivsetzung: Modelle reproduzieren Trainings-Bias. Wer das nicht testet, diskriminiert systematisch — und haftet dafür.
Undokumentierte Trainingsdaten: "Wir haben das Modell mit unseren alten Bewerbungen trainiert" ist ohne Rechtsgrundlage und Dokumentation ein klarer AI-Act-Verstoß.
ChatGPT-Browser-Tab als CV-Screener: Bewerber-Daten in eine öffentliche LLM-API ohne DPA zu kippen ist mehrfach rechtswidrig — und kommt 2026 sehr regelmäßig im Audit hoch.

Häufige Fragen

Was HR-Verantwortliche zur KI im Recruiting fragen.

Ist KI-Recruiting in Österreich überhaupt erlaubt?

Ja, aber nur als Hochrisiko-System nach EU AI Act mit voller Compliance-Doku. Notwendig sind DPIA nach DSGVO Art. 35, Bias-Audit, menschliche Letztentscheidung, Audit-Trail und ab August 2026 der Eintrag in der EU-Datenbank für Hochrisiko-KI. Eine vollautonome Absage durch die KI ist nach Art. 22 DSGVO unzulässig.

Wie verhindern wir, dass die KI diskriminiert?

Drei Schichten: erstens Anonymisierung sensibler Merkmale (Name, Foto, Geburtsdatum, Adresse) vor dem Scoring. Zweitens monatliche statistische Bias-Tests gegen die geschützten Merkmale nach DSGVO Art. 9. Drittens ein externes Bias-Audit jährlich, dokumentiert in der AI-Act-Technical-File. Wer alle drei Schichten umsetzt, ist messbar weniger diskriminierend als der manuelle Prozess.

Was kostet ein vollständiges KI-Recruiting-Setup 2026?

Für mittelständische Unternehmen rechnen wir mit €38.000 bis €110.000 Setup-Kosten inklusive DPIA, Bias-Audit und AI-Act-Doku. Laufende Kosten liegen bei €1.500 bis €4.500 pro Monat. Konzerne mit mehrsprachigem Setup und tiefer ATS-Integration landen bei €140.000 bis €220.000 Setup. Wer billiger anbietet, hat in der Regel die Compliance-Pflichten nicht eingerechnet.

Müssen wir Bewerber:innen über den KI-Einsatz informieren?

Ja, zwingend. Transparenzpflicht nach DSGVO Art. 13 und EU AI Act. Im Bewerbungsformular muss ein klarer Hinweis stehen, dass KI zur Vorauswahl eingesetzt wird, mit Verweis auf das Recht, eine rein menschliche Überprüfung zu verlangen (Art. 22 Abs. 3 DSGVO). Wir liefern den Standard-Hinweistext mit der Implementation.

Was passiert mit dem Audit-Trail bei einem Rechtsstreit?

Der Audit-Trail ist die wichtigste Verteidigungslinie. Bei einer Diskriminierungsklage oder einer Datenschutzbeschwerde könnt ihr nachweisen, welche Kriterien wann angewendet wurden, welche menschliche Korrektur stattfand und auf welcher dokumentierten Grundlage entschieden wurde. Aufbewahrungsfrist: 10 Jahre, weil arbeitsrechtliche Ansprüche bis dahin reichen können.

Bereit für ein erstes Audit?

Wenn ihr 2026 mehr als 100 Bewerbungen pro Vakanz bekommt und über KI-Vorscreening nachdenkt, ist die Compliance-Frage größer als die Technik-Frage. Im Audit S (€3.500) bewerten wir euren aktuellen Recruiting-Prozess gegen die AI-Act-Anforderungen, identifizieren konkrete Hochrisiko-Punkte und liefern einen klaren Umsetzungspfad mit DPIA-Template und Bias-Audit-Plan. Buch dir einen 30-minütigen Discovery-Call — danach weißt du, ob euer Setup AI-Act-fit ist oder ob ihr 2026 ein Compliance-Problem habt.