DSGVO-konformes Recruiting: Was Software dir abnimmt

Kandidatendaten sind der Rohstoff jeder Personalvermittlung. Und genau deshalb fühlt sich die DSGVO im Alltag oft wie Bürokratie an, mit Einwilligungen, Fristen, Löschprotokollen und Anbieterprüfungen, die alle irgendwo nachgehalten werden wollen. Eine gute Recruiting-Software nimmt dir einen großen Teil dieser Routine ab. Sie nimmt dir aber nicht die Verantwortung ab, und jede Software, die etwas anderes verspricht, solltest du kritisch ansehen.

Dieser Beitrag zeigt, welche Datenschutz-Aufgaben sich sinnvoll automatisieren lassen, wie wir das in Purrcruit umgesetzt haben und welche Entscheidungen bei dir bleiben. Die rechtlichen Grundlagen selbst, also Rechtsgrundlage, Informationspflichten und Auskunftsersuchen, erklären wir ausführlich im Beitrag DSGVO im Recruiting.

Wer ist verantwortlich: du oder die Software?

Die kurze Antwort: du. Für die Kandidatendaten in deinem System bist du verantwortlich, und daran ändert auch die beste Software nichts. Der Softwareanbieter verarbeitet sie in deinem Auftrag und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Dafür brauchst du mit jedem Anbieter einen Auftragsverarbeitungsvertrag (AVV), der regelt, was der Anbieter mit den Daten tun darf und welche Unterauftragnehmer er einsetzt.

Daraus folgt eine einfache Arbeitsteilung: Die Software stellt Werkzeuge bereit, die rechtskonformes Arbeiten leicht machen. Ob du sie richtig einsetzt, welche Fristen du festlegst und wann du eine Einwilligung brauchst, entscheidest du. „Automatisch DSGVO-konform“ kann deshalb kein Tool sein, egal wie gut es gebaut ist.

Einwilligung: per Link statt per Excel-Liste

Für viele Verarbeitungen im Recruiting brauchst du keine Einwilligung, weil die Bewerbung selbst die Grundlage ist. Anders sieht es aus, sobald du ein Profil über das konkrete Verfahren hinaus behalten willst, etwa für einen Talentpool. Dann muss die Einwilligung freiwillig, informiert und nachweisbar sein, und sie muss sich jederzeit widerrufen lassen (Art. 7 DSGVO).

Woran das in der Praxis scheitert? Selten am Willen. Meistens am Aufwand: Formulare per Mail verschicken, Antworten abheften, den Stand in einer Tabelle nachhalten. In Purrcruit funktioniert das so:

• Formular per Klick: Du sendest dem Kandidaten aus seinem Profil heraus ein Einwilligungsformular. Er erhält eine E-Mail mit einem sicheren Link.
• Der Kandidat entscheidet selbst: Er wählt seine Einstellungen im Formular. Was er auswählt, steht sofort im Profil.
• Keine gebündelte Einwilligung: Das Bewerbungsformular akzeptiert nur die notwendige Speicher-Einwilligung und optional die zur Kontaktaufnahme. Eine Newsletter-Einwilligung lässt sich dort gar nicht erst mit abfragen.
• Widerruf mit Folgen: Kandidaten ohne gültige oder mit widerrufener Speicher-Einwilligung nimmt das Matching vollständig aus. Bestehende Treffer werden beim Widerruf archiviert.

Wie du einen Pool aus eingewilligten Kandidaten sinnvoll strukturierst, beschreiben wir im Beitrag Kandidaten in einem Talentpool strukturieren.

Löschfristen: löschen, ohne Kalendereinträge zu pflegen

Nach einer Absage entfällt der Zweck der Speicherung, die Daten sind dann zu löschen (Art. 17 DSGVO). Eine kurze Aufbewahrung danach ist üblich, weil abgelehnte Bewerber Ansprüche wegen Benachteiligung innerhalb von zwei Monaten schriftlich geltend machen können (§ 15 Abs. 4 AGG) und danach drei Monate Zeit für eine Klage haben (§ 61b ArbGG). Eine exakte Monatszahl schreibt die DSGVO nicht vor. Wie lange du aufbewahrst, legst du fest und begründest es.

Das eigentliche Problem ist selten die Frist. Es ist das Nachhalten: Wer Löschungen über Kalendererinnerungen organisiert, vergisst irgendwann eine, spätestens im Urlaub oder in einer Woche mit drei Besetzungen gleichzeitig. Purrcruit löscht Kandidatendaten nach Ablauf der hinterlegten Frist selbstständig, statt dich nur daran zu erinnern.

Eine zweite Stelle, an der sich ungewollte Daten ansammeln, ist der Posteingang. Eingehende Bewerbungen landen in Purrcruit deshalb zunächst in einem separaten Posteingang und werden erst zum Kandidaten, wenn jemand sie übernimmt. Erst dann entstehen Profil, Einwilligungen und Pipeline-Eintrag. Bewerbungen, die du aussortierst, löscht das System nach 14 Tagen endgültig, inklusive Absage-Mail, sofern sie niemand zurückholt.

Hosting und Unterauftragnehmer: genau hinsehen

Wo deine Daten liegen und wer sie mitverarbeitet, gehört zu den wichtigsten Fragen an jeden Anbieter. Purrcruit betreibt seine Server bei IONOS und Hetzner in Deutschland. Bewerbungsinhalte und Lebensläufe verarbeiten ausschließlich deutsche Anbieter.

Ein Satz wie „keine US-Dienste“ wäre trotzdem ungenau. Wir schreiben ihn deshalb nicht. Der Spam-Schutz des öffentlichen Bewerbungsformulars nutzt Cloudflare Turnstile, einen US-Dienst. Er sieht dabei die IP-Adresse und ein Prüf-Token, aber keine Bewerbungsinhalte. Solche Details gehören in die Liste der Unterauftragnehmer, die dir jeder Anbieter offenlegen sollte. Welche weiteren Fragen du stellen solltest, haben wir im Beitrag Datensicherheit im Recruiting zusammengestellt.

KI und Kandidatendaten

KI-Funktionen wie das Auslesen von Lebensläufen sind praktisch, werfen aber zwei Fragen auf: Welches Modell verarbeitet die Daten, und wo läuft es? Purrcruit führt alle KI-Funktionen über den IONOS AI Model Hub aus, also über Modelle, die ein deutscher Anbieter in der EU hostet. Name, Telefonnummer, E-Mail-Adresse und Freitext der Recruiter:innen werden vor dem Aufruf aus dem Prompt entfernt, und deine Kandidatendaten fließen nicht in das Training von Modellen.

Wie andere Anbieter das handhaben, unterscheidet sich stark. Einige setzen für ihre KI-Funktionen auf US-Modelle, manche machen gar keine Angabe. Einen Überblick mit Quellen findest du in unserem Vergleich von Recruiting-Software.

Was bei dir bleibt

Auch mit guter Software bleiben einige Aufgaben bei dir:

1. Fristen festlegen: Lege fest, wie lange du abgelehnte Bewerbungen aufbewahrst, und halte die Begründung kurz schriftlich fest.
2. Informieren: Kandidaten müssen bei der Erhebung erfahren, wer ihre Daten wofür verarbeitet (Art. 13 DSGVO). Das gilt auch, wenn du Profile aus Netzwerken übernimmst.
3. Verträge abschließen: Schließe mit jedem Anbieter, der Kandidatendaten für dich verarbeitet, einen AVV. Purrcruit stellt ihn auf Anfrage bereit.
4. Rechtlich prüfen lassen, wo es darauf ankommt: Eine Software ersetzt keine Rechtsberatung. Bei Sonderfällen wie Daten aus Drittländern oder besonderen Kategorien personenbezogener Daten lohnt sich der Blick einer Fachperson.

Fazit

DSGVO-konformes Recruiting ist zum größten Teil eine Frage guter Routinen: Einwilligungen sauber einholen, Fristen einhalten, Anbieter mit Bedacht auswählen. Eine Recruiting-Software kann genau diese Routinen übernehmen, sodass du dich auf die Vermittlung konzentrieren kannst. Sie sollte dabei offenlegen, wo deine Daten liegen und wer sie verarbeitet, statt pauschale Garantien zu geben. Was Purrcruit im Einzelnen kostet und welche Funktionen in welchem Paket enthalten sind, siehst du auf der Preisseite.