Lebensläufe mit KI analysieren: Was technisch möglich und rechtlich riskant ist

Ein Stapel von 80 Bewerbungen für eine Stelle ist in KMU keine Ausnahme, sondern der Normalfall bei gefragten Positionen. KI-Tools versprechen hier schnelle Entlastung: Lebenslauf hochladen, Daten sind extrahiert, im Idealfall gleich mit Punktzahl. Genau an dieser Stelle verschwimmt in der Praxis eine Grenze, die rechtlich hart gezogen ist – die zwischen reiner Datenextraktion und automatisierter Bewertung von Menschen. Wer sie übersieht, landet schneller in einer Hochrisiko-Anwendung nach der europäischen KI-Verordnung, als es auf den ersten Blick wirkt.

Dieser Artikel ist Teil unseres Themen-Clusters KI in HR und Recruiting und richtet sich an Geschäftsführung, Operations, IT und Fachbereich in kleinen und mittleren Unternehmen, die prüfen, ob und wie sie KI zur Analyse von Lebensläufen einsetzen. Er erklärt, was technisch heute möglich ist, wo Bewertung beginnt, welche Risiken automatisiertes Ranking birgt, welche Transparenz nötig ist und welche Alternativen ohne Hochrisiko-Einstufung auskommen. Stand ist Juli 2026. Der Artikel ersetzt keine Rechtsberatung – für verbindliche Aussagen zu deinem konkreten Einsatz gehören Datenschutzbeauftragte oder Fachanwält:innen an den Tisch.

Welche Daten KI aus Lebensläufen extrahieren kann, direkt beantwortet: KI kann aus Lebensläufen zuverlässig strukturierte Daten extrahieren – Kontaktangaben, Ausbildungsstationen, Berufserfahrung, genannte Kenntnisse und Zertifikate. Das ist reine Texterkennung ohne Werturteil. Sobald ein System diese Daten gewichtet, Kandidat:innen vergleicht, einen Score vergibt oder eine Rangfolge bildet, findet Bewertung statt – und damit nach der EU-KI-Verordnung ein Hochrisiko-Anwendungsfall im Recruiting mit eigenen Pflichten für Anbieter und Arbeitgeber.

Begriffe und Abgrenzung: Extraktion, Bewertung, Ranking

Für den Rest des Artikels sind drei Begriffe wichtig, weil in Tool-Beschreibungen und Marketingtexten oft alle drei unter „KI-Analyse” zusammengeworfen werden:

• Extraktion ist das Auslesen von Fakten aus einem Dokument: Wer hat wann wo welchen Abschluss gemacht, welche Stationen liegen dazwischen, welche Kenntnisse werden genannt. Extraktion trifft keine Aussage darüber, ob diese Fakten für eine Stelle gut oder schlecht sind.
• Bewertung liegt vor, sobald ein System aus extrahierten Fakten ein Urteil ableitet: eine Punktzahl, eine Ampel, eine Kategorie wie „passend” oder „unpassend”, eine Prozentangabe zur „Passung”. Bewertung setzt eine implizite oder explizite Gewichtung voraus – und die stammt entweder aus expliziten Regeln oder aus einem trainierten Modell, das Muster aus früheren Fällen überträgt.
• Ranking ist die Zuspitzung der Bewertung: Kandidat:innen werden gegeneinander in eine Reihenfolge gebracht. Ranking ist besonders wirkmächtig, weil es die Auswahlentscheidung praktisch vorwegnimmt – wer prüft schon Platz 47 von 80 mit derselben Sorgfalt wie Platz 3.

Die europäische KI-Verordnung (Verordnung (EU) 2024/1689) zieht die rechtliche Grenze nicht bei „KI im Recruiting” allgemein, sondern konkret bei Systemen, die zur Bewertung von Bewerbenden eingesetzt werden. Die Europäische Kommission nennt „CV-sorting software for recruitment” als ausdrückliches Beispiel für hochriskante KI-Anwendungen in Beschäftigung und Personalmanagement. Der Begriff „Sorting” – Sortieren – ist hier der entscheidende Hinweis: Sobald ein System Bewerbungen nach einem Kriterium ordnet oder filtert, bewertet es, auch wenn kein sichtbarer Zahlenwert ausgegeben wird.

Welche Daten kann KI extrahieren?

Sprachmodelle und spezialisierte Extraktions-Tools sind heute technisch gut darin, unstrukturierten Text in strukturierte Felder zu überführen. Aus einem Lebenslauf lassen sich zuverlässig herausziehen:

• Kontaktdaten und formale Angaben (Name, Ort, ggf. Sprachniveau)
• Ausbildungsstationen mit Institution, Abschluss und Zeitraum
• Berufsstationen mit Arbeitgeber, Position und Zeitraum
• explizit genannte Kenntnisse, Tools, Zertifikate, Sprachen
• ggf. Lücken zwischen Stationen als reine Zeitangabe

Das Ergebnis ist eine durchsuchbare, sortierbare Tabelle statt eines PDF-Stapels. Für sich genommen ist das ein administrativer Nutzen ohne Bewertungscharakter: Die Frage „Wer hat SAP-Erfahrung genannt?” lässt sich per Filter beantworten, ohne dass ein System entscheidet, wer dafür geeignet ist. Wichtig ist die Präzision der Formulierung „genannt” statt „hat”: Ein Lebenslauf ist eine Selbstauskunft, keine geprüfte Tatsachenbehauptung. Extraktion bildet ab, was dort steht – nicht, ob es stimmt oder reicht.

Technisch schwieriger und fehleranfälliger wird es bei impliziten Angaben: Sprachmodelle können versuchen, aus Formulierungen, Reihenfolge oder Lücken Rückschlüsse zu ziehen – etwa auf Seniorität, Führungserfahrung oder Karriereverlauf. Genau hier beginnt in der Praxis oft unbemerkt die Bewertung, weil aus einer Interpretation schnell eine implizite Gewichtung wird, auch ohne expliziten Score.

Was ist bereits Bewertung?

Die Grenze zwischen Extraktion und Bewertung verläuft nicht am Tool, sondern am Verwendungszweck – und an der Frage, ob ein System vergleicht. Drei Praxisbeispiele zur Einordnung:

Klar Extraktion: Eine tabellarische Übersicht aller Bewerbungen mit den oben genannten Feldern, die ein Mensch durchsucht, filtert und liest. Das System liefert Struktur, keine Empfehlung.

Klar Bewertung: Ein „Match-Score” von 0 bis 100, der angibt, wie gut eine Bewerbung zur Stellenausschreibung passt, oder eine automatische Kategorisierung in „geeignet / bedingt geeignet / ungeeignet”. Hier vergleicht das System Kandidat:innen implizit gegeneinander und gegen ein Anforderungsprofil.

Der Graubereich, der in der Praxis am häufigsten übersehen wird: Eine Sortierung der Bewerbungsliste nach „Relevanz” oder ein Filter, der Bewerbungen ohne bestimmte Stichworte automatisch ausblendet. Beides wirkt wie reine Organisation, ist aber funktional eine Bewertung – wer ausgeblendet wird, bekommt keine menschliche Prüfung mehr, das System hat bereits entschieden. Für die Einordnung nach der KI-Verordnung zählt die Funktion, nicht die Marketingbezeichnung im Tool.

Eigene Einordnungshilfe (kein Ersatz für Rechtsberatung): Wenn du eine Frage mit Ja beantworten kannst, spricht viel für Bewertung statt reiner Extraktion:

Prüffrage	Extraktion	Bewertung
Vergibt das System eine Punktzahl, Ampel oder Kategorie zur Eignung?	Nein	Ja
Verändert das System die Reihenfolge oder Sichtbarkeit von Bewerbungen automatisiert?	Nein	Ja
Blendet das System Bewerbungen automatisch aus, ohne dass eine Person sie sieht?	Nein	Ja
Vergleicht das System Kandidat:innen untereinander?	Nein	Ja
Beeinflusst die Ausgabe, wer zum Gespräch eingeladen wird, ohne vollständige menschliche Prüfung aller Fälle?	Nein	Ja

Eigene Einordnungshilfe Philogic Labs, abgeleitet aus der Abgrenzung „CV-sorting” der Europäischen Kommission. Sie ersetzt keine rechtliche Prüfung des Einzelfalls.

Welche Risiken hat Ranking?

Automatisiertes Ranking von Bewerbungen hat zwei getrennte Risikoebenen, die in Diskussionen oft vermischt werden.

Die technisch-statistische Ebene: Rankingmodelle, die aus historischen Einstellungsentscheidungen lernen, können Muster aus der Vergangenheit fortschreiben. Wenn frühere Einstellungen unbewusst bestimmte Lebenslaufmuster bevorzugt haben – etwa lückenlose Verläufe, bestimmte Ausbildungswege oder Formulierungsstile –, kann ein darauf trainiertes System diese Muster verstärkt reproduzieren, ohne dass das im Tool sichtbar wird. Das betrifft nicht nur Modelle mit eigenem Training: Auch Sprachmodelle mit Prompt-basierter Bewertung können durch die Formulierung des Prompts oder durch in Trainingsdaten enthaltene gesellschaftliche Muster verzerrte Ausgaben liefern.

Die rechtliche Ebene: Genau wegen dieses Risikos hat der europäische Gesetzgeber Systeme zur Bewertung von Bewerber:innen als Hochrisiko-Anwendung eingestuft. Für Hochrisiko-KI-Systeme gelten nach der KI-Verordnung strenge Pflichten: Risikomanagement über den gesamten Lebenszyklus, hochwertige und diskriminierungsarme Trainings-, Validierungs- und Testdaten, lückenlose Protokollierung zur Nachvollziehbarkeit, ausführliche technische Dokumentation, klare Information an Betreiber sowie wirksame menschliche Aufsicht. Wer als Arbeitgeber ein solches System einsetzt, gilt rechtlich als „Betreiber” und muss laut den FAQ der Europäischen Kommission das System gemäß Anleitung nutzen, den Betrieb überwachen, Personal mit Aufsichtsfunktion benennen und betroffene Personen vorab informieren.

Wichtig für die Einordnung, damit hier keine falsche Dringlichkeit entsteht: Die Klassifizierung von Bewerbungs-Ranking als Hochrisiko-Anwendung steht bereits im Rechtstext. Der Zeitplan für die vollständige Anwendbarkeit der Hochrisiko-Pflichten aus Anhang III wurde 2026 jedoch verschoben – nach aktuellem Stand greifen sie nun ab dem 2. Dezember 2027, nachdem ursprünglich der 2. August 2026 vorgesehen war. Das ändert nichts an der grundsätzlichen Risikoeinstufung, gibt Unternehmen aber mehr Vorlaufzeit für die Umsetzung. Wer heute ein Ranking-System einführt, sollte sich an den kommenden Pflichten orientieren statt an der aktuell noch laufenden Übergangsfrist – ein System, das erst kurz vor dem Stichtag nachgerüstet wird, verursacht in der Regel mehr Aufwand als eines, das von Anfang an sauber aufgesetzt ist.

Welche Transparenz ist nötig?

Transparenz hat bei der KI-gestützten Bewerbungsanalyse zwei Adressaten: die Bewerber:innen und das eigene Unternehmen.

Gegenüber Bewerber:innen gilt nach den Vorgaben der Europäischen Kommission für Hochrisiko-Systeme: Betroffene Personen müssen bei rechtlich relevanten Auswirkungen der KI-Ausgabe eine klare und verständliche Erklärung erhalten können. Praktisch heißt das für die Bewerbungsanalyse: Wer wissen möchte, warum eine Absage erfolgte oder wie die Vorauswahl zustande kam, muss eine nachvollziehbare Antwort bekommen können – „das hat der Algorithmus entschieden” reicht nicht. Ergänzend gilt datenschutzrechtlich, dass Betroffene grundsätzlich einen Anspruch darauf haben, nicht ausschließlich einer automatisierten Entscheidung mit rechtlicher Wirkung unterworfen zu werden, die sie erheblich beeinträchtigt.

Intern verlangt die von der Datenschutzkonferenz veröffentlichte Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei KI-Systemen, dass Verantwortliche den Zweck der Verarbeitung und die Rechtsgrundlage vorab eindeutig festlegen und dokumentieren – und regelmäßig prüfen, ob sich der Zweck auch mit weniger einschneidenden Mitteln erreichen lässt, etwa mit anonymisierten oder rein strukturierenden statt bewertenden Verfahren. Aus dieser Grundsatzanforderung der Datenminimierung folgt für die Praxis: Bevor ein Bewertungssystem eingeführt wird, lohnt die Prüfung, ob eine reine Extraktionslösung den eigentlichen Bedarf – schneller einen Überblick über viele Bewerbungen zu bekommen – nicht ebenso gut erfüllt, ohne die zusätzlichen Pflichten eines Bewertungssystems auszulösen.

Konkret sollte vor dem produktiven Einsatz dokumentiert sein: welches Tool welche Daten zu welchem Zweck verarbeitet, auf welcher Rechtsgrundlage, wer die Ausgaben vor Wirkung prüft, und wie Bewerber:innen informiert werden. Das ist keine Formalie – es ist die Grundlage, falls ein System später infrage gestellt wird, sei es durch eine betroffene Person, eine Aufsichtsbehörde oder eine interne Revision.

Welche Alternativen sind sicherer?

Nicht jeder Nutzen aus KI bei der Bewerbungsanalyse erfordert ein Bewertungssystem. Drei Alternativen, die in der Praxis den größten Teil des Zeitgewinns bringen, ohne in die Hochrisiko-Logik zu fallen:

1. Reine Extraktion mit menschlicher Sichtung. Eine strukturierte, durchsuchbare Übersicht aller Bewerbungen – ohne Score, ohne automatische Sortierung nach „Eignung”. Der Zeitgewinn liegt darin, dass niemand mehr 80 PDFs einzeln öffnen muss, um „SAP-Erfahrung” zu finden; die Entscheidung, wer eingeladen wird, bleibt aber vollständig bei Menschen, die alle Bewerbungen sehen.

2. Definierte K.-o.-Kriterien statt Scoring. Wenn eine Stelle zwingende formale Anforderungen hat (bestimmter Abschluss, Sprachlevel, Arbeitserlaubnis), kann ein System auf explizit definierte, von Menschen festgelegte Kriterien prüfen und das Ergebnis transparent anzeigen – „Kriterium X erfüllt: ja/nein” statt einer Gesamtpunktzahl. Wichtig ist hier menschliche Kontrolle der Kriterien selbst und der Grenzfälle: Wer knapp nicht erfüllt, sollte trotzdem gesehen werden können, nicht automatisch verschwinden.

3. Assistenz bei der Kommunikation statt bei der Auswahl. KI-gestützte Entwürfe für Eingangsbestätigungen, Terminvorschläge oder Statusupdates entlasten HR-Teams spürbar, ohne dass eine einzige Bewertung stattfindet. Diese Prozesse gehören zur administrativen Ebene, die deutlich risikoärmer ist als Bewertungssysteme – vertiefend dazu ein weiterer Artikel unseres Clusters KI in HR und Recruiting.

Der gemeinsame Nenner aller drei Alternativen: KI liefert Informationen und Struktur, Menschen treffen die Personalentscheidung mit vollem Überblick über alle Bewerbungen – nicht nur über die, die ein Algorithmus vorher durchgelassen hat.

Umsetzung: Wie du vorgehst, wenn du KI zur Lebenslaufanalyse einführen willst

Aus meiner Beratungspraxis hat sich für dieses Thema eine Reihenfolge bewährt, die Risiko und Nutzen früh sichtbar macht, statt sie am Ende zu entdecken:

Schritt 1 – Zweck festlegen, bevor ein Tool ausgewählt wird. Willst du wirklich einen Überblick über viele Bewerbungen gewinnen (Extraktion reicht), oder willst du eine Vorauswahl automatisieren (Bewertung, mit den entsprechenden Pflichten)? Diese Entscheidung trifft die Geschäftsführung oder HR-Leitung bewusst – nicht die Voreinstellung eines Tools.

Schritt 2 – Einordnung dokumentieren. Mit der Prüffrage-Tabelle aus diesem Artikel oder einer vergleichbaren eigenen Checkliste festhalten, ob das geplante System extrahiert oder bewertet. Im Zweifel: mit Datenschutzbeauftragten oder externer rechtlicher Beratung abstimmen, insbesondere bei Grenzfällen wie automatischer Sortierung.

Schritt 3 – Datenschutzrechtliche Basis klären. Rechtsgrundlage, Auftragsverarbeitungsvertrag mit dem Anbieter, Informationspflichten gegenüber Bewerber:innen, Löschkonzept für Bewerbungsunterlagen. Das gilt unabhängig davon, ob es sich um Extraktion oder Bewertung handelt, sobald personenbezogene Daten verarbeitet werden.

Schritt 4 – Menschliche Prüfstelle benennen. Wer sieht sich die Ausgaben des Systems an, bevor sie eine Wirkung entfalten – etwa eine Absage oder eine Einladung? Diese Person oder Stelle braucht reale Zeit dafür, nicht nur eine formale Zuständigkeit.

Schritt 5 – Klein starten, beobachten, nachschärfen. Ein Testlauf mit einer einzelnen Stellenausschreibung zeigt, ob die Extraktion die richtigen Felder trifft und ob – bei Bewertungssystemen – die Ergebnisse plausibel und nachvollziehbar sind, bevor das System breiter eingesetzt wird.

Wenn du diesen Prozess nicht allein durchlaufen willst: Ein Erstgespräch klärt in der Regel innerhalb von 45 Minuten, ob dein geplanter Einsatz eher Extraktion oder Bewertung ist und was das für dein Vorgehen bedeutet. Unser Beratungsangebot für risikoarme HR-Workflows findest du auf der Startseite.

Risiken & Grenzen

Ein ehrlicher Blick auf die Grenzen dieses Themas gehört dazu:

• Die Grenze zwischen Extraktion und Bewertung ist nicht immer eindeutig. Manche Tools kombinieren beides in einer Oberfläche, ohne die Funktionen technisch zu trennen. Im Zweifel gehört die Einordnung in fachkundige Hände, nicht in eine Selbsteinschätzung nach diesem Artikel allein.
• Rechtliche Fristen können sich weiter ändern. Der Zeitplan der KI-Verordnung wurde 2026 bereits einmal verschoben; dass sich Termine oder Detailregeln erneut ändern, ist nicht ausgeschlossen. Prüfe vor einer Einführung den aktuellen Stand bei der Europäischen Kommission.
• Dieser Artikel ist keine Rechtsberatung und kennt weder deine konkrete Tool-Auswahl noch deine betriebliche Situation. Er ersetzt keine Prüfung durch Datenschutzbeauftragte oder Anwält:innen, insbesondere bei Grenzfällen und bei der Frage, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
• Auch reine Extraktion ist nicht risikofrei. Selbst ohne Bewertung verarbeitest du personenbezogene, teils sensible Daten. Datenschutzrechtliche Grundpflichten – Rechtsgrundlage, Zweckbindung, Löschfristen – gelten unabhängig davon, ob ein System bewertet oder nur strukturiert.

Checkliste: Lebensläufe mit KI analysieren

1. Der Zweck ist vor der Tool-Auswahl festgelegt: reiner Überblick (Extraktion) oder Vorauswahl (Bewertung)?
2. Wir haben mit einer Prüffrage-Liste dokumentiert, ob unser geplantes System extrahiert oder bewertet.
3. Bei Bewertung oder Ranking ist uns klar: Das ist nach der KI-Verordnung eine Hochrisiko-Anwendung mit eigenen Pflichten.
4. Rechtsgrundlage, Auftragsverarbeitung und Löschkonzept für Bewerbungsdaten sind geklärt – unabhängig von der Einstufung.
5. Es gibt eine benannte Person, die Systemausgaben prüft, bevor sie wirken (Einladung, Absage, Vorauswahl).
6. Bewerber:innen werden verständlich informiert, dass und wofür KI eingesetzt wird.
7. Bei Grenzfällen (automatische Sortierung, Ausblenden von Bewerbungen) ist die Einordnung mit Datenschutz oder Rechtsberatung abgestimmt.
8. Wir haben geprüft, ob eine reine Extraktionslösung den eigentlichen Bedarf nicht bereits deckt, statt direkt zu einem Bewertungssystem zu greifen.
9. Das Stand-Datum der rechtlichen Einordnung ist im Unternehmen bekannt und wird regelmäßig überprüft.

Wie du KI im Recruiting insgesamt rechtssicher einordnest – über die Lebenslaufanalyse hinaus – vertiefen weitere Artikel in unserem Themen-Cluster KI in HR und Recruiting.