DSGVO im Recruiting: „Ihre Daten sind sicher.“ Der Tracker ist schon mal vorgefahren.

Die Folien sind blau. Die Versprechen grenzenlos.

Es gibt Softwarepräsentationen, nach denen man am liebsten sofort alle Datenschutzbeauftragten in den Urlaub schicken würde.

Alles sicher. Alles durchdacht. Alles selbstverständlich DSGVO-konform.

Die Folien sind blau, die Versprechen grenzenlos und irgendwo steht ein Vorhängeschloss neben einer Cloud. Mehr Vertrauen passt auf keine PowerPoint.

Stellen wir uns dann den ersten Besuch in der App vor: Noch bevor wir entschieden haben, ob wir überhaupt mit diesem Anbieter arbeiten möchten, begrüßt uns dessen digitale Entourage. Analysewerkzeuge, eingebundene Drittdienste, vielleicht ein Marketing-Pixel.

Wir wollten Recruiting-Software kennenlernen. Unser Browser soll offenbar erst einmal Kontakte knüpfen.

Spätestens hier lohnt sich eine Frage: Wie viel Datenschutz steckt hinter dem Datenschutzversprechen?

Cookies haben keinen amerikanischen Wohnsitz

Zunächst eine Präzisierung, damit aus berechtigter Kritik kein Datenschutz-Stammtisch wird.

Cookies werden auf dem Endgerät gespeichert. Die entscheidende Frage lautet also nicht, ob jemand „Cookies in den USA setzt“. Entscheidend ist, welche Dienste Informationen speichern oder auslesen, welche personenbezogenen Daten anschließend wohin übertragen werden und auf welcher Grundlage das geschieht.

Ein amerikanischer Anbieter ist nicht automatisch rechtswidrig. Ein deutsches Logo macht eine Anwendung umgekehrt noch lange nicht datenschutzkonform.

Für Übermittlungen an entsprechend zertifizierte US-Unternehmen kann das EU-US Data Privacy Framework eine Grundlage bieten. Dafür müssen aber der konkrete Empfänger und der relevante Zertifizierungsumfang passen. Die übrigen Datenschutzpflichten verschwinden dadurch nicht. [1] [2]

Datenschutz ist leider etwas komplizierter als „Server Frankfurt, alles gut“.

„Technisch notwendig“ ist kein Synonym für „unser Marketing hätte das gern“

Nach § 25 TDDDG erfordern das Speichern von Informationen auf einem Endgerät und der Zugriff darauf grundsätzlich eine Einwilligung. Es gibt Ausnahmen, insbesondere für Vorgänge, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. [3]

Das ist ein Unterschied mit erheblicher praktischer Bedeutung.

Eine Funktion, ohne die der gewünschte Dienst nicht funktioniert, erfüllt einen anderen Zweck als die Frage, ob ein Interessent nach der Produktdemo noch dreimal auf der Preisseite war.

„Wir möchten unsere Conversion optimieren“ ist ein nachvollziehbarer Geschäftswunsch. Daraus wird allerdings nicht durch besonders engagiertes Wünschen eine technische Notwendigkeit.

Auch die Bezeichnung „essenziell“ im Cookie-Banner ist noch kein juristischer Zauberspruch. Entscheidend ist die tatsächliche Funktion. Die Datenschutzaufsicht legt die Ausnahme der unbedingten Erforderlichkeit eng aus. [4]

Bewerberdaten sind kein gewöhnlicher Vertriebskontakt

Im Recruiting geht es um Menschen, die beruflich etwas verändern wollen. Manchmal diskret. Manchmal aus einer schwierigen Situation heraus.

Lebensläufe, Gehaltsvorstellungen, Gesprächsnotizen und Videoaufnahmen ergeben ein detailliertes Bild einer Person. Entsprechend ernst sollten Unternehmen die Auswahl ihrer Recruiting-Dienstleister nehmen.

Ein hübsches Dashboard beantwortet dabei erstaunlich wenige Fragen.

Wer kann auf die Daten zugreifen? Welche Unterauftragnehmer sind beteiligt? Wofür werden Aufzeichnungen verwendet? Was passiert nach dem Ende eines Bewerbungsverfahrens? Und bedeutet „löschen“ tatsächlich löschen – oder nur, dass der Datensatz aus der bequem erreichbaren Ansicht verschwindet?

Wer darauf lediglich mit „Wir nehmen Datenschutz sehr ernst“ antwortet, hat bislang vor allem einen Satz geliefert.

Sechs Fragen, die jede Recruiting-Demo interessanter machen

Bevor Unternehmen Bewerberdaten in ein neues System laden, sollten sie konkrete Antworten verlangen:

• Welche Daten werden für welchen Zweck verarbeitet? Bewerbungsabwicklung, Produktanalyse, Werbung und KI-Training sind unterschiedliche Zwecke. Sie gehören auch unterschiedlich erklärt.
• Welche Dienste werden bereits beim Öffnen der Anwendung aktiv? Dazu gehören eingebundene Analysewerkzeuge, externe Inhalte und andere Drittdienste.
• Was passiert nach „Ablehnen“? Die technische Umsetzung sollte zur angebotenen Auswahl passen. Ein hübscher Button allein schützt niemanden.
• Wer verarbeitet die Daten und von wo aus? Gefragt sind konkrete Unternehmen, Rollen, Zugriffe und gegebenenfalls die Grundlage für Drittlandübermittlungen.
• Wie funktionieren Aufbewahrung und Löschung? Bitte als nachvollziehbarer Prozess. „Das regelt unser System“ ist eine Gesprächseröffnung, keine Dokumentation.
• Was macht die KI tatsächlich? Transkribieren, Zusammenfassen, Bewerten und Entscheiden sind verschiedene Aufgaben. „KI-gestützt“ ist dafür eine bemerkenswert unpräzise Beschreibung.

Auch die eigene Lieblingssoftware muss die Prüfung aushalten

Die bequemste Form der Datenschutzkritik lautet: Die anderen machen es falsch.

Die glaubwürdigere lautet: Wir stellen diese Fragen auch unseren eigenen Dienstleistern.

Das gilt genauso für Bewerbermanagement, Videointerviews und KI-Werkzeuge. Wer moderne Personalgewinnung verspricht, muss erklären können, welche Technik eingesetzt wird, welchen Nutzen sie schafft und wo ihre Grenzen liegen.

Gerade im Recruiting ist Vertrauen kein dekoratives Element der Marke. Es ist Teil der Leistung.

Unser Anspruch bei SEARCH4 lautet deshalb: technische Möglichkeiten kritisch prüfen, unnötige Datenerhebung hinterfragen und Menschen verständlich erklären, was mit ihren Informationen passiert. Eine neue Funktion ist erst dann ein Fortschritt, wenn sie auch verantwortbar eingesetzt werden kann.

Vertrauen beginnt dort, wo die Folien aufhören

Eine seriöse Antwort darf lauten: „Das müssen wir technisch prüfen.“

Sie darf auch lauten: „Diese Funktion bieten wir unter diesen Bedingungen nicht an.“

Deutlich schwieriger wird es, wenn alles angeblich vollkommen sicher ist, aber niemand erklären kann, was beim ersten Seitenaufruf passiert.

DSGVO-konformes Recruiting lässt sich nicht an der Anzahl der Datenschutz-Badges erkennen. Es muss sich in den tatsächlichen Abläufen zeigen.

Das blaue Versprechen ist schnell gemacht. Interessant wird es beim ersten Netzwerkaufruf.

Sie überprüfen gerade Ihre Recruiting-Prozesse? Sprechen wir darüber, welche Daten und Werkzeuge Sie für gute Personalgewinnung tatsächlich brauchen.