Zahlungsverkehr und Operations

Recruiting-CV-Screening — EU-AI-Act Annex III Nr. 4 Bias-Dokumentation

anymize hält Bewerber-Einzelfälle aus dem Cloud-LLM heraus, während das Frontier-Modell aus aggregierten Bias-Test-Aggregaten eine EU-AI-Act-konforme Modell-Karte, Fairness-Metriken-Tabelle, Logging-Konzept und FRIA-Bausteine drafted. Fairness-Bewertungen bleiben Compliance-Officer-Sache.

Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:

Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.

01

Anwendungsbereich

Worum geht es hier?

KI im Zahlungsverkehr, FinTech-Operations und unter DORA

EU AI Act Annex III Nr. 4 macht KI im Recruiting/HR zur Hochrisiko-Anwendung — gilt auch für Banken-HR. Bias-Dokumentation ist Compliance-Pflicht. § 26 BDSG erweitert um Beschäftigtendatenschutz; AGG verlangt Antidiskriminierung. Manuelle Bias-Dokumentation 6–10 h. anymize beschleunigt strukturierte Drafting-Schicht; Bewertungen bleiben Bias-Officer.

02

Für wen passt das?

Zielgruppe und Kontext

Rolle
HR-Operations, Talent-Acquisition, Datenschutzbeauftragter, AI-Compliance-Officer, Recruiting-Manager.
Seniorität
Mid-Level — EU-AI-Act-Compliance verlangt Fachkenntnis.
Kanzleigröße
Alle Institute mit KI-gestütztem Recruiting (Großbanken, Sparkassen-Verbund, Volksbanken-Verbund).
Spezifische Kontexte
Tool-Erst-Implementierung, Quartals-Bias-Review, BaFin-/Datenschutz-Vorhalt, Bewerber-Beschwerde nach AGG.
03

Die Situation in der Kanzlei

So bringen Sie Tempo und Sorgfalt zusammen

EU AI Act Annex III Nr. 4 macht Recruiting-KI zur Hochrisiko-KI mit Bias-Tests, Modell-Karte, menschlicher Aufsicht, Logging, FRIA, Transparenz und Bewerber-Information als Pflicht. Manuelle Bias-Dokumentation 6–10 h. Bewerber-Einzelfälle dürfen nicht in den Cloud-LLM — Klasse A, § 26 BDSG-Bruch. anymize hält die Klasse-A-Anteile draußen; aggregierte Bias-Test-Ergebnisse (Klasse B) sind sicher.

04

Was Sie davon haben

Zeit, Wert, Vertraulichkeit

Zeit pro Bias-Update

2–4 h

Modell-Karte, Fairness-Metriken-Tabelle, FRIA-Bausteine und Bewerber-Transparenz-Texte strukturiert. Fairness-Bewertungen bleiben menschlich.

EU-AI-Act-Bereitschaft

Annex III Nr. 4

Bias-Tests, Modell-Karte, menschliche Aufsicht, Logging-Konzept werden EU-AI-Act-konform aufbereitet.

AGG-Antidiskriminierung

alle Kategorien

Prompt zwingt Adressierung aller AGG-Schutzkategorien (Alter, Geschlecht, sexuelle Orientierung, Religion, Weltanschauung, Behinderung, ethnische Herkunft).

Vertraulichkeit

§ 26 BDSG

Bewerber-Einzelfälle bleiben außerhalb des Drafting-Workflows; aggregierte Test-Daten sind Klasse B.

05

So gehen Sie vor

In 5 Schritten zum Antrag

1

Modell-Karte und Bias-Test-Ergebnisse vom Recruiting-Tool-Vendor anfordern (Modell-Klasse, Trainings-Daten aggregiert, Score-Logik). Eigene Bias-Tests gegen AGG-Schutzkategorien durchführen.

Sie + Vendor

EU AI Act Art. 13/14/15 · AGG

2

Klasse-Entscheidung. Aggregierte Test-Ergebnisse = Klasse B. Bewerber-Einzelfall-Daten = Klasse A; die gehen NICHT in den Drafting-Workflow.

anymize + Sie

DSGVO · § 26 BDSG

3

Frontier-KI drafted. Mit dem CRAFT-Prompt fragen Sie Modell-Karte (Zusammenfassung), Fairness-Metriken-Tabelle (DPD, EOD, DIR pro Schutzkategorie), Logging-Konzept, FRIA-Bausteine, Bewerber-Transparenz-Text und Verantwortlichkeiten ab.

GPT / Claude / Gemini in anymize

Strukturierung · EU AI Act

4

Fairness-Metriken-Bewertung manuell — der Bias-Officer entscheidet. Bei DIR unter 4/5-Schwelle Auffälligkeit. FRIA-Bausteine und Bewerber-Transparenz-Texte manuell verfeinern.

Sie

Letztverantwortung · EU AI Act Art. 27

5

Sign-off AI-Compliance-Officer, DSB, Schwerbehindertenvertretung (falls einschlägig), HR-Leitung. Bei Bias-Auffälligkeit Modell-Stop oder Re-Training.

Sie

Letztverantwortung Compliance

06

Womit Sie arbeiten

So setzen Sie anymize konkret ein

Was anymize tut

  • Hält Bewerber-Einzelfälle (Klasse A) außerhalb des Drafting-Workflows.
  • Pseudonymisiert eingebettete Personas in Modell-Karten oder Test-Berichten.
  • Re-identifiziert die Bias-Dokumentation für die Compliance-Verteilung.
  • Verarbeitung in deutschen Rechenzentren (Hetzner). AVV im Standardvertrag.

Was Sie als AI-Compliance/DSB tun

  • Eigene Bias-Tests gegen AGG-Schutzkategorien durchführen — KI liefert nur Strukturierung.
  • Fairness-Metriken manuell bewerten — KI darf nicht „akzeptabel“ sagen.
  • Bei DIR < 4/5 Modell-Stop oder Re-Training einleiten.
  • Schwerbehindertenvertretung und Personalrat einbinden (Betriebsvereinbarung).

Daten-Input

Aggregierte Modell-Karte des Vendors (Modell-Klasse, Trainings-Datengröße), eigene Bias-Test-Ergebnisse (Demographic Parity Difference, Equalized Odds, Disparate Impact Ratio pro AGG-Kategorie), Bewertungs-Schwellen (Bank-Compliance-Standard).

Output-Kontrolle

Pseudonymisierte aggregierte Daten gehen an die KI. Re-identifizierte Modell-Karte, Fairness-Metriken-Tabelle, Logging-Konzept, FRIA-Bausteine, Bewerber-Transparenz-Text und Verantwortlichkeiten kommen zurück.

Freigabeprozess

Sie behalten die Hoheit: Bias-Test-Durchführung und -Bewertung, FRIA-Vervollständigung, Bewerber-Transparenz-Text-Verfeinerung, Sign-off Compliance + DSB + Schwerbehindertenvertretung. anymize ist der Anonymisierungs-Layer, kein Bias-Test-Tool.

07

Die KI-Anweisung

Prompt zum Kopieren

So nutzen Sie diesen Prompt:

1. Aggregierte Modell-Karte und eigene Bias-Test-Aggregate in anymize einfügen — KEINE Bewerber-Einzelfälle.

2. Diesen Prompt kopieren und an die pseudonymisierten Daten anhängen.

3. In anymize unter „Tools → Reasoning„ auf ”Thinking-Modus„ stellen.

Empfohlener Reasoning-Modus in anymize: Thinking-Modus.
# Rolle
Du bist EU-AI-Act-Compliance-Drafting-Assistenz mit Kenntnis EU AI Act
Art. 8–15 (Hochrisiko-Pflichten), Art. 26 (Transparenz), Art. 27 (FRIA),
Annex III Nr. 4 Recruiting, BaFin "Automatisch fair?", § 26 BDSG und
AGG-Diskriminierungs-Kategorien.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.

# Aufgabe
Drafte die Bias-Dokumentation für ein Recruiting-CV-Screening (Annex III
Nr. 4 Hochrisiko-KI). Input: aggregierte Modell-Karte, Fairness-Metriken-
Ergebnisse, AGG-Kategorien-Liste. Keine Bewerber-Personendaten.

# Inhalt

1. Modell-Karte (Zusammenfassung)
   Tool, Modell-Klasse, Trainings-Daten (aggregiert), Score-Logik
   (vereinfacht), Update-Frequenz.

2. Fairness-Metriken pro AGG-Schutzkategorie
   Tabelle: Schutzkategorie | DPD | EOD | DIR | Bewertung
   Werte aus Eingangs-Daten ÜBERNEHMEN — NICHT erfinden.

3. Logging-Konzept
   Was wird geloggt: Bewerbungs-ID, Score, Top-3-Erklärungs-Features,
   menschlicher Override mit Volltext-Begründung, Aufbewahrung 5 Jahre.

4. FRIA-Bausteine
   Betroffene Grundrechte (Art. 3 GG, AGG, DSGVO), Risiko-Schweregrad,
   Mitigation.

5. Bewerber-Transparenz-Text (DSGVO Art. 13/14 + EU AI Act Art. 26)
   Vorgeschlagener Wortlaut mit Recht auf menschliche Prüfung
   (Art. 22 DSGVO).

6. Verantwortlichkeiten
   AI-Compliance-Officer, DSB, Recruiter, Schwerbehindertenvertretung.

7. Unsicherheiten
   [[UNSICHER: …]] bei mehrdeutigen Test-Ergebnissen.

# Format
Markdown, Tabelle für Metriken.

# Verbote
KEINE Bias-Bewertung durch KI — nur Strukturierung der Test-Daten.
KEINE AGG-Kategorie auslassen (Religion, sexuelle Orientierung, etc.).
KEIN allgemeiner Bewerber-Text — DSGVO-Art.-13/14-spezifisch.
KEIN FRIA-Baustein ohne Grundrechts-Bezug.
08

So sieht der Sachverhalt aus

Pseudonymisierter Eingabetext

Aggregierte Modell-Karte plus eigene Bias-Test-Ergebnisse. Tool-Name als Platzhalter; AGG-Kategorien und Metriken in Klartext.
Recruiting-Tool-Modell-Karte (Vendor-Selbstauskunft, aggregiert)

Tool: [[Tool-a3f9]] CV-Screening
Modell-Klasse: Embeddings + Klassifikator
Trainings-Daten (aggregiert): >2M anonymisierte CVs, EU-Markt
Use-Case: CV-zu-Job-Description-Match-Score
Score-Logik (vereinfacht): semantische Ähnlichkeit + Skill-Gewichtung

Eigene Bias-Tests (Q1/2026):
 Schutzkategorie | DPD | EOD | DIR (Disparate Impact Ratio)
 Alter (50+)    | -0,08 | -0,06 | 0,87
 Geschlecht (w) | -0,02 | -0,01 | 0,96
 Behinderung   | -0,12 | -0,10 | 0,79 ← unterhalb 4/5-Schwelle (0,80)
 Migration-Hg. | -0,04 | -0,03 | 0,93

Bewertungs-Schwellen (Bank-Compliance-Standard):
 - DPD: |Wert| < 0,10
 - EOD: |Wert| < 0,10
 - DIR: > 0,80 (4/5-Regel)

Modell-Update-Frequenz: alle 12 Wochen.
Logging-Status: Score + Top-3-Erklärung gespeichert;
menschlicher Override geloggt.
09

So liefert anymize zurück

Der Antrags-Entwurf

KI-Output (Beispiel). Tool-Name re-identifiziert; Fairness-Metriken aus Input übernommen; Auffälligkeit bei Schutzkategorie Behinderung explizit markiert.
# Recruiting-Bias-Dokumentation — Entwurf

## Modell-Karte (Zusammenfassung)
- **Tool**: [[Tool-a3f9]] CV-Screening (Vendor).
- **Modell-Klasse**: Embeddings + Klassifikator.
- **Trainings-Daten** (aggregiert, Vendor-Angabe): >2M anonymisierte
  CVs aus EU-Markt.
- **Score-Logik** (vereinfacht): semantische Ähnlichkeit CV ↔
  Stellenbeschreibung + Skill-Gewichtung.
- **Update-Frequenz**: alle 12 Wochen.

## Fairness-Metriken (Q1/2026 eigene Tests)
| Schutzkategorie | DPD | EOD | DIR | Bewertung |
|---|---|---|---|---|
| Alter (50+) | -0,08 | -0,06 | 0,87 | innerhalb Schwellen, Trend-Monitoring |
| Geschlecht (w) | -0,02 | -0,01 | 0,96 | innerhalb Schwellen |
| Behinderung | -0,12 | -0,10 | 0,79 | **Auffälligkeit**: DPD und EOD am Limit; DIR unter 4/5-Schwelle |
| Migrations-Hg. | -0,04 | -0,03 | 0,93 | innerhalb Schwellen |

## Logging-Konzept
- Pro Score: Bewerbungs-ID, Score, Top-3-Erklärungs-Features
  (vereinfacht).
- Menschlicher Override durch Recruiter: Volltext-Begründung Pflicht.
- Aufbewahrung 5 Jahre (gesetzliche Pflicht + Beweis-Ebene bei
  AGG-Klagen).

## FRIA-Bausteine
- **Betroffene Grundrechte**: Recht auf gleiche Behandlung (Art. 3 GG,
  AGG), informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1
  Abs. 1 GG; DSGVO).
- **Risiko-Schweregrad**: mittel (Auffälligkeit bei Schutzkategorie
  Behinderung).
- **Mitigation**:
  1. Modell-Re-Training mit Schwerbehinderten-Gleichbehandlung-Methodik.
  2. Mensch-in-the-Loop bei Schwerbehinderten-Bewerbern verstärken.
  3. Quartals-Bias-Test mit erweiterten Schutzkategorien.

## Bewerber-Transparenz-Text (vorgeschlagener Wortlaut)
"Wir nutzen ein KI-gestütztes Vorauswahl-System zur Unterstützung des
Recruiting-Prozesses. Das System liefert einen Match-Score zur
Job-Beschreibung — die finale Entscheidung trifft ein menschlicher
Recruiter. Sie haben das Recht auf eine menschliche Prüfung Ihrer
Bewerbung (Art. 22 DSGVO) und auf Information über die Verarbeitung
Ihrer Daten (Art. 13/14 DSGVO). Bei Fragen kontaktieren Sie unseren
Datenschutzbeauftragten unter [Kontakt]."

## Verantwortlichkeiten
- AI-Compliance-Officer: Quartals-Review.
- DSB: DSGVO-Pflichten.
- Recruiter: Mensch-in-the-Loop.
- Schwerbehindertenvertretung: bei Schwerbehinderten-Bewerbungen
  Einbindung.

## Unsicherheiten
1. [[UNSICHER: Schutzkategorie Behinderung DIR 0,79 — Re-Test mit
   erweiterter Stichprobe vor finaler Bewertung]]
10

Was das Berufsrecht verlangt

Pflichten — und wie anymize sie abdeckt

EU AI Act Annex III Nr. 4 + Art. 8–15 (SRC-0126, SRC-0127)

Recruiting-KI ist Hochrisiko; Compliance-Pflichten ab 02.08.2026 (vorbehaltlich Digital Omnibus). Bußgelder bis 30 Mio. EUR oder 7 % Umsatz.

§ 26 BDSG (SRC-0144)

Beschäftigtendatenschutz — Bewerber-Einzelfälle gehören nicht in den Cloud-LLM-Workflow.

DSGVO Art. 22 (SRC-0141)

Recht auf menschliche Prüfung — der Bewerber-Transparenz-Text muss das explizieren.

DSGVO Art. 35 (SRC-0143)

DPIA Pflicht bei systematischer KI-Nutzung im Recruiting.

BaFin „Automatisch fair?” (SRC-0121)

Bias und Diskriminierung in Finanz-KI sind aufsichtsrechtliches Thema. Bei Bank-HR greift sowohl EU AI Act als auch BaFin-Erwartung.

AGG-Antidiskriminierungs-Pflichten

Alle Schutzkategorien (Alter, Geschlecht, sexuelle Orientierung, Religion, Weltanschauung, Behinderung, ethnische Herkunft) sind zu testen — der Prompt zwingt das.

11

Datenschutz und Vertraulichkeit

So funktioniert das mit anymize

Aggregierte Bias-Test-Ergebnisse sind Klasse B (statistisch, ohne unmittelbaren Personenbezug). Bewerber-Einzelfälle sind Klasse A — gehören nicht in den Drafting-Workflow. anymize macht die Grenze sichtbar. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO und § 25b KWG. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Compliance-Pflichten) + § 26 BDSG. DPIA nach Art. 35 DSGVO Pflicht.

Was anymize konkret leistet

  • Hält Bewerber-Einzelfälle aus dem Drafting-Workflow.
  • Pseudonymisiert eingebettete Personas in Modell-Karten.
  • Re-identifiziert die Bias-Dokumentation für die Compliance-Verteilung.
  • Verarbeitung in deutschen Rechenzentren (Hetzner). AVV im Standardvertrag.
  • Zuordnungstabelle bleibt im Haus.
12

Sicherheitscheck vor der Einreichung

Was anymize liefert — was Sie souverän entscheiden

Vor dem KI-Aufruf

  • Bewerber-Einzelfälle NICHT im Input?
  • Eigene Bias-Tests durchgeführt (alle AGG-Kategorien)?
  • Vendor-Modell-Karte angefordert?
  • Bewertungs-Schwellen (DPD/EOD/DIR) definiert?
  • Klasse-Entscheidung B?

Nach der KI-Antwort

  • Fairness-Metriken-Werte korrekt übernommen (nicht erfunden)?
  • Alle AGG-Schutzkategorien adressiert?
  • FRIA-Bausteine mit Grundrechts-Bezug?
  • Bewerber-Transparenz-Text DSGVO-Art.-13/14-spezifisch?
  • Keine Bias-Bewertungen durch KI?

Vor Sign-off

  • Bias-Officer-Bewertung manuell durchgeführt?
  • Bei DIR < 4/5 Modell-Stop oder Re-Training?
  • DSB-Sign-off?
  • Schwerbehindertenvertretung eingebunden?
  • Quartals-Bias-Test-Termin gesetzt?

Typische Fehlermuster — und wie anymize gegensteuert

  • KI bewertet Bias statt Test-Daten zu strukturieren — Prompt-Verbot greift.
  • AGG-Kategorie ausgelassen (z. B. Religion) — Prompt zwingt vollständige Liste.
  • Bewerber-Transparenz-Text zu allgemein — DSGVO-Art.-13/14-Spezifika fehlen.
  • FRIA-Bausteine fehlen oder ohne Grundrechts-Bezug — Prompt-Auflage.
  • Bewerber-Einzelfälle versehentlich im Input — Klasse-A-Bruch.
13

Rechtsgrundlagen

Normen, Urteile, Belege

Primärnormen EU-AI-Act

  • EU AI Act — Hochrisiko-Pflichten Art. 8–15
  • EU AI Act Annex III Nr. 4 — Recruiting
  • EU Digital Omnibus — Stand 2026

DSGVO und Beschäftigtenschutz

  • DSGVO Art. 22 — automatisierte Entscheidungen
  • DSGVO Art. 28 — Auftragsverarbeitung
  • DSGVO Art. 35 — DPIA
  • § 26 BDSG — Beschäftigtendatenschutz
  • Allgemeines Gleichbehandlungsgesetz

BaFin

  • BaFin Orientierungshilfe IKT-Risiken KI 18.12.2025
  • BaFin „Automatisch fair?”

Sekundärquellen

  • PwC KI-Finanzsektor 2025

Stand: · Nächste Überprüfung:

Hinweis zur Nutzung

Zur Orientierung — nicht als Mandatsersatz

Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.

KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.

Jetzt starten.
14 Tage kostenlos testen.

Alle Modelle. Alle Features. Keine Kreditkarte.

Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.

Dein KI-Arbeitsplatz wartet.