Recruiting-Software mit KI: 5 Prüfungen

Kurze Antwort: Wenn Ihr Recruiting-Werkzeug KI einsetzt, um Lebensläufe zu sichten, Bewerber zu ranken oder Einstellungen zu empfehlen, ist es ein Hochrisiko-KI-System nach Anhang III der KI-Verordnung. Der Digital-Omnibus — Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026 — hat den Anwendungsbeginn für eigenständige Anhang-III-Systeme vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Das ist Vorbereitungszeit, kein Freibrief: Die DSGVO regelt die automatisierte Bewerbersichtung bereits heute. Bevor Sie ein Werkzeug kaufen (oder behalten), machen Sie den 5-Fragen-Test: Umfang, Rolle, Transparenz, menschliche Aufsicht, Datenfluss. Fällt auch nur eine Frage durch, kaufen Sie ein Compliance-Problem und kein Produktivitätswerkzeug.

Die meisten Kaufratgeber für Recruiting-Software vergleichen Parsing-Genauigkeit, Pipeline-Ansichten, Terminplanung, Integrationen. Nützlich — und derzeit am Kern vorbei. Wenn Sie ein Unternehmen mit 10 bis 300 Beschäftigten in Luxemburg führen oder über die französische Grenze hinweg einstellen, entscheidet nicht die Frage „Welches ATS hat das schönste Kanban-Board?" über Ihren Kauf. Sondern: „Kann ich die KI-Funktionen dieses Werkzeugs rechtmäßig betreiben — heute unter der DSGVO und ab dem 2. Dezember 2027 unter dem Hochrisiko-Regime der KI-Verordnung — und kann ich das belegen?"

Ich habe 2026 damit verbracht, Luxemburger KMU bei der Klassifizierung ihrer KI-Systeme zu unterstützen, und Recruiting-Werkzeuge sind das mit Abstand häufigste Hochrisikosystem, das wir finden — meist zur ehrlichen Überraschung des Unternehmens, das sie einsetzt. Niemand hält sein CV-Screening-Modul für regulatorisch gleichrangig mit Kredit-Scoring. Es ist es aber. Dieser Leitfaden behandelt, was vor der Unterschrift zu prüfen ist, aus Sicht des Betreibers — und wenn Sie noch früher stehen, ordnet unsere Übersicht zur KI in Luxemburg das größere Bild ein.

Wenn Sie Ihre engere Auswahl lieber mit jemandem durchgehen, der das wöchentlich tut: Buchen Sie eine kostenlose 30-minütige Beratung — bringen Sie die Anbieternamen mit, wir prüfen sie live auf Herz und Nieren.

Warum Ihr Recruiting-Werkzeug (wahrscheinlich) ein Hochrisikosystem ist

Die KI-Verordnung reguliert „Recruiting-Software" nicht als solche. Ein schlichtes ATS, das Bewerber speichert und durch Pipeline-Stufen bewegt, ist überhaupt kein KI-System — kaufen Sie es mit gutem Gewissen. Die Verordnung greift in dem Moment, in dem das Werkzeug KI einsetzt, um zu beeinflussen, wer eingestellt wird.

Anhang III nennt Beschäftigung ausdrücklich als Hochrisikobereich: KI-Systeme, die für die Einstellung oder Auswahl natürlicher Personen bestimmt sind — insbesondere zur Schaltung zielgerichteter Stellenanzeigen, zur Analyse und Filterung von Bewerbungen und zur Bewertung von Bewerbern. Das ist die nahezu perfekte Beschreibung des KI-Funktionsumfangs, den jeder moderne ATS-Anbieter seit 2024 ausliefert: CV-Screening, Bewerber-Scoring, „Best Match"-Ranking, automatische Vorauswahl, Analyse von Videointerviews.

Daraus folgen zwei Dinge, und das zweite ist das dringende:

• Der Anbieter eines solchen Werkzeugs ist in der Regel der Provider und trägt die schweren Pflichten — Konformitätsbewertung, technische Dokumentation, Registrierung.
• Sie, das Unternehmen, das damit einstellt, sind der Betreiber — und Betreiber von Anhang-III-Hochrisikosystemen haben eigene verbindliche Pflichten, die am 2. Dezember 2027 zusammen mit dem übrigen Regime für eigenständige Systeme anwendbar werden (2. August 2028, wenn die KI in ein Produkt nach Anhang I eingebettet ist). Unser Zeitplan zur KI-Verordnung zeigt die vollständige Abfolge; kurz gesagt war „wir nutzen es nur, verantwortlich ist der Anbieter" nie eine Verteidigung — weder unter der KI-Verordnung noch unter den DSGVO-Regeln, die für automatisierte Bewerbersichtung längst gelten.

Wenn Sie unsicher sind, auf welcher Seite dieser Linie Sie stehen — etwa weil Sie ein Recruiting-Werkzeug angepasst oder unter eigenem Namen betrieben haben —, machen Sie zuerst den Selbsttest Anbieter oder Betreiber. Für ein handelsübliches SaaS-ATS, das wie geliefert eingesetzt wird, sind Sie Betreiber, und dieser Artikel ist für Sie geschrieben.

Der 5-Fragen-Test vor dem Kauf

Das ist der Test, den wir in Scoping-Projekten durchführen, bevor ein Kunde unterschreibt, verlängert oder die KI-Funktionen eines Recruiting-Werkzeugs aktiviert. Jede Frage entspricht einem Punkt, den der Anbieter schriftlich beantworten muss — und sie disqualifiziert schwache Anbieter schneller als jede Demo.

#	Frage	Wie ein „Bestanden" aussieht	Wenn der Anbieter nicht antworten kann
1	Im Anwendungsbereich? Nutzt das Werkzeug KI, um Bewerbungen zu filtern, zu bewerten, zu ranken oder Kandidaten zu beurteilen?	Eine klare schriftliche Aufstellung, welche Funktionen KI-gestützt und welche regelbasiert sind	Betrachten Sie jede „intelligente" Funktion als KI, bis das Gegenteil belegt ist
2	Welche Rolle? Ist der Anbieter der Provider im Sinne der Verordnung, mit abrufbarer Konformitätsdokumentation?	Anbieterdokumentation, Betriebsanleitung und — für Hochrisikofunktionen — auf Anfrage ein Nachweis der Konformitätsbewertung	Sie übernehmen womöglich Anbieterrisiko mit Betreiberinformation
3	Transparenz? Können Sie Bewerber darüber informieren, dass KI in der Auswahl eingesetzt wird, in der Sprache der Bewerbung?	Konfigurierbare Hinweise an Bewerber; Dokumentation, die Sie in Datenschutzerklärung und Stellenanzeigen übernehmen können	Sie formulieren gesetzlich vorgeschriebene Hinweise selbst aus dem Stegreif
4	Menschliche Aufsicht? Kann eine namentlich benannte Person jedes KI-Ranking und jede Ablehnung prüfen, übersteuern und die Übersteuerung dokumentieren?	Übersteuerungsfunktionen in der Oberfläche, protokolliert — nicht bloß „ein Mensch kann die Liste ansehen"	Automatische Ablehnung ohne echte Prüfung ist genau das, worauf die Verordnung zielt
5	Datenfluss? Wohin gehen Bewerberdaten, welche Unterauftragnehmer berühren sie, werden sie zum Modelltraining genutzt, können Sie Aufbewahrung und Löschung durchsetzen?	Hosting in der EU/im EWR, Liste der Unterauftragnehmer, vertragliche Nicht-Trainings-Klausel, konfigurierbare Aufbewahrung	Sie haben ein DSGVO-Problem, bevor Sie die KI-Verordnung überhaupt erreichen

Bewerten Sie nüchtern: fünf schriftliche „Bestanden", sonst bleiben die KI-Funktionen aus. Und stellen Sie die Fragen 3 bis 5 auch zu Werkzeugen, die Sie bereits betreiben — viele Luxemburger KMU haben ihr ATS vor 2024 gekauft und bekamen die KI-Sichtung später durch ein Produktupdate aktiviert, das sie nie bewusst übernommen haben.

Die Frage hinter den Fragen

Eine sechste Prüfung ist nicht regulatorisch, entscheidet aber, ob das Werkzeug in diesem Markt überhaupt funktioniert: Bewältigt die KI Ihren tatsächlichen Bewerberpool? Ein Sichtungsmodell, das überwiegend an englischsprachigen Lebensläufen trainiert wurde, wird die französischen, deutschen und portugiesischen Bewerbungen, die das Luxemburger Recruiting prägen, still und leise falsch einordnen. Fragen Sie, an welchen Sprachen die Parsing- und Ranking-Modelle evaluiert wurden — nicht, welche Sprachen die Oberfläche anzeigt. Das sind sehr verschiedene Aussagen.

Was Betreiberpflichten in einem Einstellungsprozess bedeuten

So sehen die Betreiberpflichten nach Artikel 26 — anwendbar auf eigenständige Anhang-III-Systeme ab dem 2. Dezember 2027 — aus, übertragen auf einen gewöhnlichen KMU-Einstellungsprozess. Konkret müssen Sie:

• Das System gemäß der Anbieteranleitung nutzen — was voraussetzt, dass jemand sie gelesen hat und vorlegen kann.
• Die menschliche Aufsicht benannten, fachkundigen Personen übertragen. In einem 40-Personen-Betrieb sind das typischerweise die HR-Leitung und die einstellende Führungskraft, mit der Befugnis, das Ranking der KI zu übersteuern und ihre Ablehnungen aufzuheben.
• Für die Eignung der Eingabedaten sorgen — wer das Sichtungswerkzeug mit einem veralteten Stellenprofil füttert und danach filtern lässt, hat selbst versagt, nicht der Anbieter.
• Die automatisch erzeugten Protokolle aufbewahren, damit eine angefochtene Einstellungsentscheidung Monate später rekonstruierbar bleibt.
• Die Betroffenen informieren. Ein Arbeitgeber, der ein Hochrisikosystem am Arbeitsplatz einsetzt, muss die Beschäftigten und ihre Vertretung vor der Inbetriebnahme informieren — relevant, wenn Sie das Werkzeug auch für interne Mobilität nutzen. Zwei Transparenzpflichten greifen früher: Die Artikel 13-14 und 22 DSGVO verlangen bereits, Bewerbern zu erklären, wie ihre Bewerbung bewertet wird, und Artikel 50 der KI-Verordnung — seit dem 2. August 2026 anwendbar — verlangt, dass jede Person, die mit einem Chatbot oder Interview-Bot interagiert, über den KI-Einsatz informiert wird, wobei synthetische Inhalte als solche zu kennzeichnen sind.

Nichts davon ist exotisch. Bei einer kürzlichen Umsetzung für eine Luxemburger Professional-Services-Kanzlei hat die vollständige Betreiber-Einrichtung — Zuweisung der Aufsicht, Bewerberhinweise in FR/EN/DE, Konfiguration der Protokollaufbewahrung, ein einseitiger Registereintrag — rund zwei Arbeitstage gekostet, sobald die Anbieterdokumentation vorlag. Die teure Variante dieses Projekts ist die, die nach der Frage eines abgelehnten Bewerbers beginnt, wie die Entscheidung zustande kam.

Sie betreiben bereits ein ATS mit KI-Funktionen und wissen nicht, wo Sie stehen? Das ist derzeit der häufigste Recruiting-bezogene Anruf bei uns. Buchen Sie eine kostenlose 30-minütige Beratung und wir sagen Ihnen noch im Gespräch, ob Sie zwei Tage Einrichtungsarbeit vor sich haben oder ein echtes Problem.

Bewerberdaten: die DSGVO- und CNPD-Ebene darunter

Die KI-Verordnung liegt über der DSGVO; sie ersetzt sie nicht. Bewerbungsdaten waren lange vor der KI sensibel, und die Luxemburger Datenschutzbehörde, die CNPD, behandelt sie entsprechend. Drei Punkte verdienen besondere Aufmerksamkeit, sobald die Verarbeitung automatisiert ist:

• Automatisierte Entscheidung. Artikel 22 DSGVO beschränkt Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Personen erheblich beeinträchtigen — ein Sichtungssystem, das Bewerber ohne menschliche Prüfung automatisch ablehnt, ist der Lehrbuchfall. Menschliche Aufsicht ist nicht nur eine Pflicht der KI-Verordnung: Sie hält Ihre Pipeline auf der richtigen Seite der DSGVO.
• Aufbewahrung. Lebensläufe werden in der Regel nach einer Einstellungsrunde für eine definierte, begründete Dauer aufbewahrt, sofern der Bewerber nicht einem Talentpool zustimmt. Ihre Automatisierung muss das durchsetzen können, nicht nur Ihr Richtlinienpapier.
• Grenzüberschreitende Realität. Mit Grenzgängern, die aus Frankreich, Deutschland und Belgien bewerben, verarbeiten Sie standardmäßig EU-weite personenbezogene Daten — Hosting in der EU/im EWR und eine saubere Unterauftragskette sind die Grundlinie, kein Premium-Merkmal.

Den allgemeinen Rahmen behandeln wir in unserem Leitfaden zu DSGVO-konformer KI für Luxemburger KMU; Recruiting ist schlicht dessen schärfste Kante, weil die Personen, deren Daten Sie verarbeiten, definitionsgemäß außerhalb Ihres Unternehmens stehen und sich frei beschweren können.

Die Luxemburger Realität: vier Sprachen, drei Grenzen, 10 bis 300 Beschäftigte

Warum taucht die Spanne 10 bis 300 Beschäftigte in Suchanfragen zur Recruiting-Automatisierung immer wieder auf? Weil in diesem Band das Einstellen am meisten schmerzt. Unter etwa 10 Beschäftigten stellt die Geschäftsführung über das eigene Netzwerk ein; über etwa 300 gibt es ein besetztes Talent-Acquisition-Team und Enterprise-Werkzeuge. Dazwischen steht das Luxemburger KMU, das 5 bis 30 Personen im Jahr einstellt — bestenfalls mit einer HR-Generalistin —, während Bewerbungen auf Französisch, Deutsch, Englisch und Portugiesisch aus vier Ländern eingehen, für Stellen, bei denen eine einzige Fehlbesetzung spürbar wehtut.

Für dieses Unternehmen sind die ehrlichen Gewinne der Recruiting-Automatisierung real:

• Jede Bewerbung binnen Minuten analysieren und bestätigen, in der Sprache des Bewerbers — Reaktionsgeschwindigkeit ist eine Waffe, wenn Sie um dieselben Talente konkurrieren wie die Big Four und die Fonds.
• Terminplanung zwischen Führungskräften, die permanent in Kundenterminen sitzen.
• Strukturierte Vorauswahlfragen (Arbeitserlaubnis, Kündigungsfrist, Sprachniveaus, Pendelbarkeit für Grenzgänger), die nach von Ihnen definierten Fakten filtern — regelbasiert, transparent, deutlich risikoärmer als modellbasiertes Ranking.
• Pipeline-Hygiene: automatische DSGVO-konforme Aufbewahrung, Absagen, die tatsächlich verschickt werden, ein Talentpool, der rechtmäßig statt zufällig entstanden ist.

Beachten Sie, was diese Liste impliziert: Der größte Teil des Nutzens von Recruiting-Automatisierung für ein KMU liegt im Arbeitsablauf, nicht im KI-Ranking. Sie können 80 % der Zeitersparnis mit Automatisierung erreichen, die Anhang III nie berührt — und das KI-Screening danach bewusst einführen, mit bestandenem 5-Fragen-Test, statt es standardmäßig mitlaufen zu lassen. Zur Einordnung des Recruitings in das größere HR-Bild siehe unseren Leitfaden zur HR-Automatisierung; zur Auswahl des führenden Systems selbst nennt der HR-Software-Vergleich die tatsächlichen Plattformen.

Typische Kosten, ehrlich benannt

Als typische Größenordnungen für 2026 in einem Luxemburger KMU zu verstehen, nicht als Angebot: Ein ATS im KMU-Segment liegt bei etwa 100 bis 400 € pro Monat; eine darum herum zugeschnittene Automatisierungsschicht (mehrsprachige Eingangsbestätigungen, Terminplanung, Vorauswahl-Workflows, Aufbewahrungsautomatik) ist in der Regel ein einmaliges Projekt von 5.000 bis 15.000 €; und die Betreiber-Compliance für KI-Funktionen kommt mit 2 bis 5 Arbeitstagen hinzu, wenn sie vor dem Go-live erledigt wird. Jede dieser Zahlen verdoppelt sich ungefähr, wenn sie nachträglich unter Druck anfällt.

Was in diesem Quartal zu tun ist

Wenn Sie aus diesem Artikel eine einzige Handlung mitnehmen: Erfassen Sie diese Woche jede KI-gestützte Funktion in Ihrem Einstellungsprozess — ATS, Jobbörsen-Integrationen, Videointerview-Werkzeug, die LinkedIn-Erweiterungen Ihrer Führungskräfte — und führen Sie jede durch den 5-Fragen-Test. Schalten Sie ab, was durchfällt, dokumentieren Sie, was besteht, und weisen Sie für den Rest die Aufsicht zu. Das ist eine verteidigbare Position, und sie passt auf eine Seite.

Genau diese Art zugeschnittener Mandate führt 20 More als KI-Berater in Luxemburg durch: Wir sind kein ATS-Anbieter, wir verkaufen keine Software weiter, und unser einziges Interesse ist, dass Ihre Recruiting-Automatisierung Zeit spart, ohne Risiko einzukaufen. Wo ein Standard-ATS wirklich nicht zu Ihrer Art des Einstellens passt — mehrsprachige Pipelines, Grenzgängerlogistik, Vorauswahlregeln, die niemand als Produkt verkauft —, ist das maßgeschneiderte KI-Automatisierung, und was sie kostet, steht auf unserer Preisseite, netto nach Luxemburger Förderung. Wenn Sie die Bewertung lieber mit uns statt allein machen möchten: Buchen Sie eine kostenlose 30-minütige Beratung — jetzt, solange das Hochrisiko-Regime noch vor Ihnen liegt, ist es weit günstiger als Ende 2027.

Häufige Fragen

Ist KI-gestütztes CV-Screening in Luxemburg zulässig?

Ja — KI-gestütztes CV-Screening ist zulässig, wird aber nach Anhang III der KI-Verordnung als hochriskant reguliert; die Pflichten für eigenständige Systeme gelten ab dem 2. Dezember 2027, nachdem der Digital-Omnibus Artikel 113 geändert hat. Als Betreiber müssen Sie dann eine wirksame menschliche Aufsicht über Rankings und Ablehnungen sicherstellen, das System gemäß Anbieteranleitung nutzen und die Protokolle aufbewahren. In der Praxis wartet nichts davon bis 2027: Die DSGVO beschränkt vollständig automatisierte Ablehnungen ohne menschliche Prüfung bereits und verlangt bereits, Bewerbern zu erklären, wie sie bewertet werden — mit der CNPD als zuständiger Aufsichtsbehörde. Zulässig also, aber nur, wenn bewusst betrieben.

Gilt die KI-Verordnung auch, wenn mein ATS-Anbieter sagt, er kümmere sich um die Compliance?

Die Anbieterpflichten und Ihre Betreiberpflichten sind getrennt und kumulativ — ein konformer Anbieter macht Sie nicht konform. Menschliche Aufsicht, Bewerbertransparenz, Protokollaufbewahrung und der korrekte Einsatz im eigenen Prozess bleiben Ihre Verantwortung. Was ein guter Anbieter liefert, ist Dokumentation, die Ihren Teil beschleunigt: Betriebsanleitung, Konformitätsinformationen und konfigurierbare Bewerberhinweise. Kann ein Anbieter das nicht schriftlich liefern, ist das Ihre Antwort über den Anbieter.

Ist ein einfaches ATS ohne KI-Funktionen von der KI-Verordnung betroffen?

Nein. Ein Bewerbermanagementsystem, das Kandidaten speichert, Pipeline-Stufen verwaltet, E-Mails versendet und Termine plant, ohne KI-gestützte Bewertung, ist kein KI-System im Sinne der Verordnung. Auch regelbasierte Ausschlussfragen, die Sie selbst definieren (Arbeitserlaubnis, Kündigungsfrist, Sprachniveau), fallen im Regelfall nicht in die Hochrisikokategorie, weil sie Ihre ausdrücklichen Kriterien anwenden statt einer modellbasierten Bewertung. Deshalb raten wir, zuerst die Workflow-Ersparnis zu heben und das KI-Ranking als eigene, bewusste Entscheidung einzuführen.

Warum richtet sich Recruiting-Automatisierungssoftware an Unternehmen mit 10 bis 300 Beschäftigten?

Weil sich in diesem Band Schmerz und Ertrag treffen: Diese Unternehmen stellen oft genug ein, dass manuelle Prozesse wehtun — mehrsprachige Bewerbungen, Grenzgängerlogistik, langsame Rückmeldungen, die Kandidaten kosten —, verfügen aber selten über ein eigenes Talent-Acquisition-Team oder Enterprise-Werkzeuge. Ein typisches Luxemburger KMU dieser Größe kann Eingangsbestätigung, Terminplanung, strukturierte Vorauswahl und DSGVO-Aufbewahrung für ein einmaliges Projekt von 5.000 bis 15.000 € zuzüglich 100 bis 400 € ATS-Abonnement im Monat automatisieren und einen erheblichen Teil der Zeit einer HR-Generalistin zurückgewinnen.

Was sollte ich einen Anbieter von Recruiting-Software 2026 vor dem Kauf fragen?

Machen Sie den 5-Fragen-Test aus diesem Leitfaden: (1) welche Funktionen tatsächlich KI-gestützt sind, schriftlich; (2) Bestätigung, dass der Anbieter der Provider im Sinne der Verordnung ist, mit Dokumentation; (3) Transparenzhinweise für Bewerber in FR/DE/EN; (4) protokollierte, nicht kosmetische Übersteuerungsfunktionen; (5) der vollständige Bewerberdatenfluss — Hosting, Unterauftragnehmer, Nicht-Trainings-Klausel, Aufbewahrungssteuerung. Fügen Sie eine sechste hinzu: an welchen Sprachen die Modelle evaluiert wurden, denn Luxemburger Bewerberpools sind standardmäßig FR/DE/EN/PT.

Was passiert, wenn ich KI-Screening ohne Erfüllung der Betreiberpflichten weiter nutze?

Ab dem 2. Dezember 2027 würden Sie ein Hochrisiko-KI-System unter Verstoß gegen die Verordnung betreiben. Der Bußgeldrahmen nach Artikel 99 für Verstöße gegen Betreiberpflichten reicht bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, mit niedrigeren Obergrenzen für KMU und kleine Mid-Caps. Bis dahin liegt die Exponierung bei der DSGVO: bis zu 20 Millionen Euro oder 4 %, durchgesetzt von der CNPD. Das realistische kurzfristige Risiko für ein KMU ist keine Überraschungsprüfung; es ist ein abgelehnter Bewerber, eine Beschwerde bei der CNPD und keine Dokumentation, mit der sich antworten ließe. Die Korrektur kostet heute Tage; die Nachrüstung kostet ein Quartal.

— Laurent Tousch, Gründer von 20 More, Berater für KI-Automatisierung in Luxemburg