Datensicherheit im Recruiting: Das Fundament von Purrcruit

Die wenigsten Solo-Recruiter oder kleinen Agenturen können auf Anhieb sagen, auf welchem Server die Lebensläufe ihrer Kandidaten liegen und wer theoretisch Zugriff darauf hätte. Bei den meisten Recruiting-Tools lautet die ehrliche Antwort: nicht genau. Für uns war Sicherheit bei der Entwicklung von Purrcruit kein zusätzliches Feature, sondern der Ausgangspunkt jeder Entscheidung. Deine Bewerberdaten sollen dein Eigentum bleiben, nicht das eines Cloud-Konzerns, dessen Serverstandort du nur vermutest. Das betrifft dich als Solo-Recruiter genauso wie einen Konzern mit eigener IT-Abteilung, nur dass dir bei der Softwarewahl niemand die Prüfung abnimmt.

Hosting in Deutschland: Warum wir auf US-Clouds verzichten

Die meisten modernen SaaS-Tools laufen auf der Infrastruktur amerikanischer Cloud-Anbieter. Das birgt ein rechtliches Risiko, das viele erst spät bemerken: den US CLOUD Act. Er erlaubt US-Behörden unter bestimmten Voraussetzungen, etwa mit richterlicher Anordnung, den Zugriff auf Daten, die ein US-Unternehmen verwaltet, selbst wenn diese Daten physisch auf einem Server in Europa liegen. Entscheidend ist dabei nicht der Serverstandort, sondern der Firmensitz des Anbieters.

Nutzt du zum Beispiel ein US-amerikanisches Tool mit einer Serverfarm in Frankfurt, kann der europäische Serverstandort rechtlich wirkungslos werden, sobald eine US-Behörde formell auf den amerikanischen Mutterkonzern zugreift. Deshalb sind wir einen konsequenten Weg gegangen:

• 100 % Deutschland. Deine Daten verlassen zu keinem Zeitpunkt den deutschen Rechtsraum.
• Keine US-Infrastruktur. Wir verzichten bewusst auf US-Anbieter, damit dich die rechtlichen Unsicherheiten des CLOUD Act erst gar nicht betreffen.
• Rechenzentren nach europäischen Standards. Wir nutzen ausschließlich Anlagen auf deutschem Boden, die europäischen Sicherheitsanforderungen entsprechen.

Rechtssicherheit: DSGVO, AVV und was das für dich bedeutet

Für uns ist die Datenschutz-Grundverordnung kein lästiges Kürzel, sondern täglicher Standard. Jeder Kunde erhält einen klaren Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der genau regelt, wie wir mit den Daten deiner Bewerber umgehen dürfen und wofür du selbst als Verantwortlicher zuständig bleibst. Das entbindet dich nicht von deinen eigenen Pflichten. Was diese Pflichten konkret umfassen, beschreiben wir in einem eigenen Beitrag über die wichtigsten DSGVO-Pflichten für Recruiter. Die technische und organisatorische Seite ist bei uns bereits sauber gelöst. Du musst sie nicht selbst nachbauen.

Transparenz durch Open-Source: Keine Blackbox-Software

Wir glauben an Offenheit statt an Blackbox-Software. Durch den Einsatz geprüfter Open-Source-Komponenten stellen wir sicher, dass du nicht in einem geschlossenen System gefangen bist:

• Kein Vendor Lock-in. Du bleibst unabhängig und bist nicht an einen einzigen proprietären Anbieter gebunden.
• Nachvollziehbare Sicherheit. Offener Code kann kontinuierlich von der Community auf Schwachstellen überprüft werden, statt dass du dich allein auf das Versprechen eines einzelnen Herstellers verlassen musst.

KI-Ethik: Warum deine Kandidatendaten nicht ins Training wandern

Viele KI-gestützte Plattformen nutzen die Daten ihrer Kunden, um ihre Modelle weiter zu trainieren, oft ohne dass das den Nutzern wirklich bewusst ist. Bei Purrcruit ist das technisch ausgeschlossen. Wir setzen KI ein, um deine Prozesse effizienter zu machen, etwa beim Vorsortieren von Profilen. Die Kandidatendaten und internen Informationen, die dabei verarbeitet werden, bleiben aber ausschließlich dein Eigentum und fließen nicht in das Training allgemeiner Modelle ein.

Strikte Datentrennung: Ein Beispiel für Agenturen mit mehreren Mandaten

Unsere Architektur ist als sogenannte Mandantenfähigkeit (Multi-Tenancy) aufgebaut: Jeder Kunde arbeitet in einer vollständig isolierten Umgebung. Ein Beispiel aus der Agentur-Praxis: Betreust du gleichzeitig eine Vakanz für Kunde A und eine für den direkten Wettbewerber von Kunde A, dürfen sich die Bewerberprofile, Notizen und Gespräche zu diesen beiden Mandaten niemals überschneiden, selbst dann nicht, wenn beide Mandate im selben Purrcruit-Account laufen. Diese logische Trennung ist fest in unserer Systemarchitektur verankert. Sie ist keine Berechtigungseinstellung, die du selbst konfigurieren musst.

Was das für deinen Arbeitsalltag als Solo-Recruiter bedeutet

Sicherheit ist für dich kein abstraktes Thema, sondern etwas, das direkt mit deiner Glaubwürdigkeit bei Kunden und Kandidaten zusammenhängt. Wenn dich ein Kandidat fragt, wo sein Lebenslauf gespeichert wird, willst du eine klare Antwort geben können, statt auf die AGB eines dir unbekannten US-Anbieters zu verweisen. Das gilt besonders, wenn du, wie viele unserer Nutzer, Kandidaten über einen längeren Zeitraum in einem strukturierten Pool vorhältst. Wie du deinen Talentpool sicher und strukturiert aufbaust, ohne dabei den Überblick über Einwilligungen und Fristen zu verlieren, beschreiben wir in einem eigenen Beitrag.

Die fünf Fragen, die du jedem Anbieter stellen solltest

Du musst kein IT-Experte sein, um die Sicherheit einer Recruiting-Software einzuschätzen. Es reicht, wenn du fünf Fragen stellst und darauf bestehst, konkrete Antworten zu bekommen statt Marketingfloskeln.

1. Wer ist der Betreiber, und wo sitzt er? Frag nach dem Firmensitz des Anbieters und dem seiner Unterauftragnehmer. Der Serverstandort allein sagt wenig. Ein deutscher Serverstandort unter amerikanischer Konzernkontrolle ist etwas anderes als ein deutscher Anbieter.

2. Gibt es einen AVV, und was steht in der Anlage? Jeder seriöse Anbieter legt dir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor. Interessant ist weniger der Vertrag selbst als die Liste der Unterauftragnehmer im Anhang. Dort steht, wer sonst noch an deine Daten kommt.

3. Was passiert mit meinen Daten, wenn ich kündige? Lass dir sagen, in welchem Format du deine Kandidaten- und Kundendaten exportieren kannst und nach welcher Frist die Daten beim Anbieter gelöscht werden. Wenn darauf niemand eine klare Antwort hat, ist das die Antwort.

4. Werden meine Daten für KI-Training verwendet? Das ist inzwischen die wichtigste Frage überhaupt, und sie muss schriftlich beantwortet werden, nicht im Vertriebsgespräch. Achte auf Formulierungen wie „aggregiert“ oder „anonymisiert“: Sie klingen harmlos, lassen aber oft mehr zu, als du erwartest.

5. Wie werden Zugriffe protokolliert? Wenn du im Team arbeitest oder mit Freelancern zusammenarbeitest, willst du nachvollziehen können, wer wann welches Profil geöffnet hat. Ohne Protokollierung kannst du im Ernstfall nicht belegen, dass bei dir nichts abgeflossen ist.

Notier dir die Antworten. Wenn du in zwei Jahren einen Kunden mit einem eigenen Datenschutzbeauftragten gewinnst, wirst du sie brauchen. Dann ist es deutlich angenehmer, sie nachzuschlagen, als sie rückwirkend zu recherchieren.

Was du selbst absichern musst

Auch die beste Software nimmt dir einen Teil der Verantwortung nicht ab. Als Verantwortlicher im Sinne der DSGVO bleibst du für die Rechtsgrundlage der Verarbeitung zuständig, für die Löschfristen und dafür, wer in deinem Umfeld Zugriff bekommt. Drei Dinge gehen am häufigsten schief:

• Der ungesicherte Zweitkanal. Du arbeitest sauber im System und schickst den Lebenslauf dann per WhatsApp an den Kunden. Damit ist die ganze technische Absicherung wirkungslos.
• Der Account, der nie gelöscht wird. Freelancer, Werkstudentin, ehemaliger Partner: Zugänge überleben Zusammenarbeit oft um Jahre. Setz dir einen wiederkehrenden Termin, um Zugriffe durchzugehen.
• Das Backup auf dem privaten Laptop. Ein lokaler Export „zur Sicherheit“ ist eine eigenständige Verarbeitung, für die dieselben Regeln gelten, nur ohne die Schutzmechanismen des Systems.

Sicherheit als Entscheidungskriterium bei der Softwarewahl

Bei der Auswahl einer Recruiting-Software wird Sicherheit oft erst ganz am Ende geprüft, nach Preis, Design und Funktionsumfang. Aus unserer Sicht gehört sie an die erste Stelle. Ein Datenleck oder eine Abmahnung wegen fehlender Rechtsgrundlage kostet am Ende deutlich mehr Zeit und Geld als der eigentliche Softwarepreis. Welche weiteren Kriterien neben der Sicherheit eine Rolle spielen, erfährst du in unserem Beitrag darüber, welche Kriterien eine gute Recruiting-Software erfüllen sollte.

Purrcruit ist mehr als eine Recruiting-Software. Es soll ein sicherer Rahmen für dein Business sein, in dem deine Daten dein Eigentum bleiben. Wir kombinieren deutsches Hosting, rechtliche Absicherung und moderne Technik, damit du dich auf das Wesentliche konzentrieren kannst: dein Team aufzubauen. Einen Überblick über Preise und Pakete von Purrcruit findest du auf der Startseite.