DSGVO im Recruiting: Welche Rollen, Fristen und Freigaben Sie im CRM festhalten müssen

Invalid Date

DSGVO im Recruiting: Welche Rollen, Fristen und Freigaben Sie im CRM festhalten müssen

Die DSGVO im Recruiting betrifft weit mehr als Datenschutzhinweise und Verträge mit Softwareanbietern. Sie bestimmt auch, welche Kandidatendaten eine Personalberatung im CRM speichern darf, wann Kandidaten informiert werden müssen, wer Profile an Kundenunternehmen freigeben kann und wann Datensätze zu löschen sind.

Ein nachvollziehbarer Prozess hält deshalb für jede Verarbeitung die datenschutzrechtliche Rolle, die Datenquelle, den Erhebungszeitpunkt, den Stand der Informationspflicht, Einwilligungen, Freigaben und Löschzeitpunkte fest. So wird die DSGVO im Recruiting zu einem festen Bestandteil des Suchprozesses.

Verantwortlicher oder Auftragsverarbeiter: Rollen im CRM sauber dokumentieren

Am Anfang steht die Frage, wer über Zwecke und Mittel einer Verarbeitung entscheidet. Ein datenschutzrechtlicher Verantwortlicher bestimmt diese Zwecke und Mittel. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten dagegen ausschließlich auf Weisung des Verantwortlichen. Der Europäische Datenschutzausschuss erläutert diese Rollenabgrenzung.

Für die DSGVO im Recruiting ist die Einordnung vom konkreten Verhältnis abhängig. In der klassischen Personalvermittlung und beim Headhunting sind Personalberatung und Kundenunternehmen in der Regel eigenständige Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Die Weitergabe eines Kandidatenprofils an den Kunden ist dann regelmäßig keine Auftragsverarbeitung, sondern eine Datenübermittlung zwischen zwei Verantwortlichen. Diese Einordnung beschreibt der Leitfaden zur Personalvermittlung.

Der Anbieter eines Recruiting-CRM kann hingegen Auftragsverarbeiter sein, wenn er Kandidatendaten ausschließlich nach den Weisungen der Personalberatung verarbeitet. Bei zusätzlichen KI-Funktionen oder besonderen Mandatsmodellen lässt sich die Rolle nicht pauschal bestimmen. Sie hängt von der konkreten Produkt- und Prozessgestaltung ab.

Liegt eine Auftragsverarbeitung vor, ist ein Vertrag nach Art. 28 DSGVO erforderlich. Er muss unter anderem Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen, Löschung oder Rückgabe nach Vertragsende sowie Audits regeln. Diese Mindestinhalte nennt der Europäische Datenschutzausschuss.

Für einen Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 9 DSGVO genügt die elektronische Form; eine Schriftform nach § 126 BGB ist nicht erforderlich. Darauf weist das BayLDA hin. Im zentralen Compliance-Bestand sollten daher der aktuelle Vertrag, technische Anlagen, die Liste der Unter-Auftragsverarbeiter und interne Zuständigkeiten verfügbar sein.

Setzt der CRM-Anbieter weitere Dienstleister ein, etwa für Hosting oder Support, sind auch diese Beziehungen für die DSGVO im Recruiting relevant. Ein Unter-Auftragsverarbeiter darf nur mit vorheriger schriftlicher Autorisierung des Verantwortlichen oder der gemeinsamen Verantwortlichen eingesetzt werden. Sein Vertrag muss zudem ein Datenschutzniveau sichern, das dem Hauptvertrag entspricht. Die Anforderungen an Unter-Auftragsverarbeiter erläutert der Europäische Datenschutzausschuss.

Bei Cloud-Diensten außerhalb der EU oder des EWR sollte die Beratung zusätzlich Speicherorte, Datenübermittlungen und Zugriffsmöglichkeiten prüfen. Für US-Cloud-Dienste nennt das BayLDA neben Standardvertragsklauseln und einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO insbesondere die Pflicht, unzulässige Zugriffe durch US-Nachrichtendienste auszuschließen.

Active Sourcing: Informationspflicht und Datenquelle im CRM festhalten

Im Active Sourcing beginnt die DSGVO im Recruiting häufig vor der ersten Ansprache. Schon das interne Anlegen eines Bewerberdatensatzes in einem CRM oder ATS ist eine Verarbeitung personenbezogener Daten, auch ohne vorherige Kontaktaufnahme. Der Leitfaden zur Personalvermittlung stellt dies ausdrücklich klar.

Das CRM sollte daher bei jedem neu angelegten Profil zumindest die Quelle, das Datum der Datenerhebung, den Verarbeitungszweck, den Mandatsbezug, den Kontaktstatus und den Status der Datenschutzinformation dokumentieren. Auch die zuständige Person und die internen Zugriffsrechte sollten nachvollziehbar sein.

Wer Daten nicht direkt bei der betroffenen Person erhebt, muss die Informationspflicht nach Art. 14 DSGVO beachten. Beim Active Sourcing ist die Information spätestens bei der ersten Kommunikation oder innerhalb von einem Monat zu erteilen. Diese Frist nennt der Leitfaden zur Personalvermittlung. Das Erhebungsdatum muss deshalb im System zuverlässig hinterlegt sein; vor Ablauf der Frist sollte eine Wiedervorlage erfolgen. Findet die Ansprache früher statt, muss die Information zu diesem Zeitpunkt erfolgen.

Auch bei der Datenquelle gelten Grenzen. Die Recherche in öffentlich zugänglichen Berufsprofilen, etwa auf LinkedIn oder XING, ist grundsätzlich zulässig. Die Auswertung privater Social-Media-Profile auf Facebook oder Instagram ist dagegen unzulässig. Diese Abgrenzung erläutert der Leitfaden zur Personalvermittlung.

Die einzelnen Schritte einer Executive Search sollten zudem von den Freigabestufen getrennt sein. Der von AESC beschriebene Ablauf führt vom Briefing über Market Mapping, Sourcing und Identifikation sowie Ansprache zur Longlist. Die Longlist entsteht damit nach Mapping und ersten Kontakten. Ein typischer Longlist-Report kann Name, Unternehmen, aktuelle Position, Kontaktdaten, Lebenslauf und Gesprächsnotizen enthalten. AESC beschreibt Recherche, Kontakt und Präsentation als getrennte Prozessstufen.

Für die DSGVO im Recruiting sollte das CRM vor der Übermittlung an ein Kundenunternehmen eine dokumentierte Freigabe verlangen. Zu prüfen und festzuhalten sind insbesondere der Mandatsbezug, der Informationsstatus, der Umfang der Daten und die berechtigten Empfänger. Eine interne Recherche- oder Kontaktfreigabe ist nicht automatisch eine Freigabe zur Präsentation beim Kunden.

Löschfristen und Einwilligungen: Den Lebenszyklus jedes Profils steuern

Die Speicherbegrenzung ist ein Kernprinzip der DSGVO im Recruiting. Kandidatenprofile dürfen nicht allein deshalb unbegrenzt im CRM bleiben, weil sie später noch einmal interessant sein könnten. Erforderlich sind Regeln, die sich am jeweiligen Zweck der Speicherung orientieren.

Daten abgelehnter Bewerber dürfen nach entsprechender Information über das Auswahlverfahren hinaus maximal sechs Monate aufbewahrt werden, um auf mögliche AGG-Klagen reagieren zu können. Für eine längere Speicherung ist eine Einwilligung erforderlich. Diese Frist wird im Leitfaden zur Personalvermittlung genannt. Auch Daten aus Initiativbewerbungen dürfen ohne passende Stelle und ohne gesonderte Einwilligung maximal sechs Monate gespeichert werden. Der Leitfaden nennt dieselbe Höchstfrist für diese Konstellation.

Für die DSGVO im Recruiting reicht daher ein allgemeiner Status wie „archiviert“ nicht aus. Das CRM sollte den Speicherzweck, den Fristbeginn, den vorgesehenen Löschzeitpunkt und den tatsächlichen Löschstatus ausweisen. Wird ein Profil noch für ein konkretes laufendes Mandat verarbeitet, sollte dieser Zweck nachvollziehbar dokumentiert sein.

Für die Aufnahme in einen Talent-Pool oder die Weitergabe von Bewerberdaten an mehrere Kundenunternehmen, die dem Bewerber namentlich nicht bekannt sind, ist eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich. Die Anforderungen an Talent-Pools und Mehrfachweitergaben sind hier zusammengefasst. Im CRM sollte diese Einwilligung mit Zeitpunkt, Zweck, Widerrufsmöglichkeit und Löschregel dokumentiert werden.

Auch mit Einwilligung besteht keine unbegrenzte Speicherdauer. Dr. Sait Yalazay empfiehlt für Talent-Pools eine Überprüfung alle zwölf Monate sowie eine automatische Löschung nach beispielsweise 24 Monaten Inaktivität. Diese Empfehlung liefert eine praktische Orientierung für Löschkonzepte. Das System kann vor Ablauf dieser Zeiträume eine Prüfung auslösen und nicht mehr benötigte Profile zur Löschung vorsehen.

Zusätzliche Hintergrundinformationen erfordern besondere Zurückhaltung. Referenzen dürfen nur mit ausdrücklicher Einwilligung eingeholt werden. Ein Führungszeugnis darf nur bei konkreter Erforderlichkeit für die Position verlangt werden. SCHUFA- und Bonitätsabfragen sind im Vorfeld eines normalen Arbeitsverhältnisses in aller Regel unzulässig. Diese Grenzen beschreibt der Leitfaden zur Personalvermittlung. Entsprechende Einwilligungen und Erforderlichkeitsprüfungen sollten dem konkreten Mandat und Profil zugeordnet sein.

KI, Profiling und Datenschutz-Folgenabschätzung

KI-Funktionen werden im Recruiting unter anderem eingesetzt, um Informationen aus Lebensläufen zu extrahieren, Texte zu analysieren oder Profile zu priorisieren. Im Jahr 2024 nutzten 20 % der Unternehmen in Deutschland mit mindestens zehn Beschäftigten KI-Technologien; 2023 waren es 12 %. Bei kleinen Unternehmen mit 10 bis 49 Beschäftigten lag der Anteil bei 17 %, bei mittleren Unternehmen mit 50 bis 249 Beschäftigten bei 28 % und bei Großunternehmen ab 250 Beschäftigten bei 48 %. Die Zahlen stammen aus der Destatis-Erhebung zur KI-Nutzung.

Unter den Unternehmen, die KI einsetzen, nutzten 48 % Technologien zur Analyse von Schriftsprache beziehungsweise Text Mining. Die Statistik zeigt damit, dass textbezogene KI-Anwendungen verbreitet sind. Sie beantwortet jedoch nicht, ob ein konkretes Tool im Recruiting datenschutzrechtlich geeignet ist. Die Destatis-Erhebung erfasst rechtlich selbstständige, wirtschaftlich tätige Einheiten mit mindestens zehn Beschäftigten. Ein-Personen-Beratungen und ein Teil kleiner Executive-Search-Boutiquen werden daher nicht zwingend abgebildet. Destatis beschreibt den Geltungsbereich der Erhebung.

Für die DSGVO im Recruiting ist vor allem entscheidend, was die Funktion mit Kandidatendaten tut. Das automatische Auslesen eines Lebenslaufs und das Erstellen eines Rankings sind unterschiedliche Verarbeitungsschritte. Ein KI-Score zur Vorab-Sortierung oder zum Ranking von Bewerbern stellt Profiling dar; automatisierte Entscheidungen mit rechtlicher Wirkung ohne menschliche Prüfung sind grundsätzlich verboten. Der Leitfaden zur Personalvermittlung ordnet KI-Scoring entsprechend ein.

Praktisch sollte eine Empfehlung des Systems deshalb nicht mit einer endgültigen Auswahlentscheidung gleichgesetzt werden. Erhält ein Kandidat etwa einen niedrigen Score, sollte nachvollziehbar sein, ob und warum ein Recruiter das Profil dennoch prüft oder nicht weiterverfolgt. Umgekehrt ersetzt ein hoher Score keine fachliche Begründung für eine Präsentation beim Kunden. Das CRM sollte dokumentieren, welche KI-Funktion eingesetzt wurde, welche Empfehlung vorlag, wer die Entscheidung getroffen hat und welche menschliche Prüfung stattgefunden hat. So bleibt die Entscheidung dem Recruiting-Team zugeordnet, statt im Systemergebnis aufzugehen.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei Recruiting-KI nicht pauschal immer oder nie erforderlich. Dr. Sait Yalazay bewertet eine DSFA bei systematischem Profiling oder umfangreichem KI-Einsatz in der Bewerbervorauswahl als praktisch verpflichtend. Das BayLDA erklärt dagegen, dass bei der Verarbeitung von Personaldaten in der Regel keine DSFA nötig sei; als mögliche Ausnahme nennt es umfangreiche zentrale Personalverwaltungen in internationalen Konzernstrukturen. Die erste Position wird im Leitfaden zur Personalvermittlung dargestellt.

Diese abweichenden Einschätzungen machen eine Einzelfallprüfung erforderlich. Dabei sollte die Personalberatung insbesondere betrachten, ob die KI Kandidaten systematisch bewertet oder priorisiert, wie viele Profile verarbeitet werden, welche Daten in die Bewertung einfließen, ob das Ergebnis eine Auswahl faktisch vorprägt und wie wirksam die menschliche Kontrolle ausgestaltet ist. Auch die Rollenverteilung zwischen Beratung, Kundenunternehmen und Softwareanbieter ist für jede KI-Funktion separat zu prüfen. Eine allgemeine Aussage, ein CRM oder KI-Add-on sei „DSGVO-konform“, ersetzt diese Prüfung nicht.

Sichere Übermittlung und Meldepflichten bei Datenpannen

Die Weitergabe eines Kandidatenprofils an ein Kundenunternehmen ist im Rahmen der DSGVO im Recruiting ein besonders sensibler Verarbeitungsschritt. Das unverschlüsselte Versenden von Lebensläufen per E-Mail an Kundenunternehmen entspricht nicht dem Stand der Technik. Darauf weist der Leitfaden zur Personalvermittlung ausdrücklich hin.

Eine sichere Übermittlung beginnt bereits vor dem Versand. Die Personalberatung sollte prüfen, ob die vorgesehenen Empfänger zum konkreten Mandat gehören, ob der Kandidat über die Übermittlung informiert wurde und ob der Umfang der Daten für die Präsentation erforderlich ist. Für eine erste Vorstellung können beispielsweise andere Angaben nötig sein als für die spätere Besetzung einer Position. Das CRM sollte daher keine allgemeine Freigabe eines gesamten Profils abbilden, sondern eine Freigabe für den konkreten Kunden, das konkrete Mandat und den vorgesehenen Datenumfang.

Auch der Übermittlungsweg gehört in den Prozess. Geschützte Portale, passwortgeschützte Anhänge oder andere gesicherte Plattformen können dazu beitragen, den Empfängerkreis zu begrenzen und Übermittlungen nachvollziehbar zu machen. Entscheidend ist, dass Mitarbeitende nicht auf ungesicherte Ad-hoc-Lösungen ausweichen müssen. Eine klar dokumentierte Freigabe reduziert zudem das Risiko, dass ein Profil an den falschen Kunden, einen nicht berechtigten Ansprechpartner oder für ein nicht passendes Mandat weitergegeben wird.

Kommt es dennoch zu einem Fehlversand, einem kompromittierten Zugang oder einer fehlerhaften Schnittstelle, muss die Personalberatung den Vorfall unverzüglich bewerten. Dafür sollte zunächst gesichert werden, was passiert ist: Welche Daten waren betroffen? Welche Personen konnten darauf zugreifen? Wurde der Zugriff beendet oder die Nachricht zurückgerufen? Welche Kandidatenprofile und welche Empfänger lassen sich im CRM nachvollziehen? Diese Informationen sind nötig, um das Risiko für die Betroffenen strukturiert zu bewerten und die weiteren Schritte festzulegen.

Meldepflichtige Datenschutzverletzungen sind nach Art. 33 DSGVO innerhalb von 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden, sofern ein Risiko für die betroffenen Personen besteht. Die Frist und ihre Voraussetzung nennt der Leitfaden zur Personalvermittlung. Nach der Auslegung des BayLDA beginnt die Frist um 0:00 Uhr des Folgetags, an dem die Verletzung festgestellt wurde; Wochenenden und Feiertage werden mitgezählt.

Die 72-Stunden-Frist verlangt deshalb vorab definierte Verantwortlichkeiten. Es sollte feststehen, wer einen Vorfall entgegennimmt, wer den Zugang oder die Übermittlung stoppt, wer die Risikobewertung verantwortet und wer bei einer Meldepflicht die Kommunikation mit der Aufsichtsbehörde vorbereitet. Recruiter und Researcher brauchen außerdem eine einfache Eskalationsmöglichkeit, weil sie Fehladressierungen oder auffällige Zugriffe häufig zuerst bemerken.

Ein belastbarer Prozess verbindet technische Nachvollziehbarkeit mit klaren Freigaben: Das CRM sollte zeigen können, welches Profil wann an welchen Empfänger übermittelt wurde, welche Person die Freigabe erteilt hat und welche Datenversion betroffen war. Wenn Rollen, Informationspflichten, Einwilligungen, Freigaben und Löschfristen im CRM nachvollziehbar dokumentiert sind, lässt sich die DSGVO im Recruiting auch im laufenden Suchgeschäft und im Fall einer Datenpanne strukturiert umsetzen.

Quellen