Bewerberdaten sind sensibel. Behandeln Sie sie so.

Die Rechtsgrundlage steht am Anfang

Bevor Sie Bewerberdaten verarbeiten, brauchen Sie eine zulässige Grundlage nach der DSGVO. Im Bewerbungskontext ist das häufig die Anbahnung oder Erfüllung eines Vertragsverhältnisses. Für darüber hinausgehende Zwecke, etwa die Aufnahme in einen Talentpool, ist meist eine gesonderte Einwilligung nötig.

Auch das automatisierte Auslesen von Lebensläufen, das sogenannte CV-Parsing, ist eine Verarbeitung, die einer Grundlage bedarf und dokumentiert gehört.

Vier Pflichten, die im Alltag oft untergehen

• Informationspflicht: Bewerbende müssen wissen, wie und zu welchem Zweck ihre Daten verarbeitet und gespeichert werden.
• Löschfristen: Nach Abschluss des Verfahrens sind Daten zu löschen, sofern keine berechtigten Gründe oder Aufbewahrungspflichten entgegenstehen.
• Betroffenenrechte: Auskunft, Berichtigung und Löschung müssen praktisch umsetzbar sein.
• Externe Tools: Setzen Sie ein Bewerbermanagementsystem oder KI ein, brauchen Sie Auftragsverarbeitungsverträge und Klarheit über Serverstandorte und Drittlandtransfers.

Wo Datenschutz und KI zusammentreffen

Sobald KI ins Spiel kommt, kommen zwei weitere Ebenen hinzu: der EU AI Act und das Verbot rein automatisierter Einzelentscheidungen. Bei automatisierten Bewertungen mit wesentlicher Wirkung kann eine Datenschutz-Folgenabschätzung erforderlich sein. Wie Sie KI im Auswahlprozess sauber einsetzen, lesen Sie auf unserer Seite zu KI im Recruiting. Den regulatorischen Rahmen erläutert die Seite zum EU AI Act in HR.

Häufige Fragen