Sie wählen ein CV-Tool für Ihre Personalberatung? Stellen Sie dem Anbieter vor dem ersten Upload sechs Fragen zu Kandidatendaten und DSGVO und gleichen Sie die Antworten mit dem Auftragsverarbeitungsvertrag (AVV) ab, nicht mit der Vertriebsseite. Unten stehen die Fragen, die Antworten von TalentVeil mit Paragrafen und eine E-Mail zum Kopieren.
Als Verantwortlicher haften Sie für die Daten aus dem Lebenslauf auch dann, wenn ein Tool sie verarbeitet. Ähnlich sieht es die britische Aufsicht (ICO): Nach einer Prüfung von Anbietern von KI-Recruiting-Tools mit fast 300 Empfehlungen hat sie Hinweise für Recruiter veröffentlicht (eine britische Quelle, keine deutsche): eine Datenschutz-Folgenabschätzung schon bei der Beschaffung und ein Vertrag, der festhält, wer Verantwortlicher und wer Auftragsverarbeiter ist. Ein CV-Tool mit KI, das Namen, Kontaktdaten, Berufsstationen und manchmal ein Foto liest, wirft dieselben Fragen auf.
1. Wer ist Verantwortlicher, und steht das im Vertrag?
Sie. Die Kandidatendaten im Lebenslauf liegen in Ihrer Verantwortung; der Anbieter verarbeitet sie in Ihrem Auftrag. Nach Art. 28 DSGVO braucht dieses Verhältnis einen Vertrag, der Gegenstand, Zweck und Dauer der Verarbeitung festlegt und den Anbieter verpflichtet, nur auf Ihre dokumentierte Weisung zu handeln (Art. 28 DSGVO). Fordern Sie den AVV an, bevor Sie sich registrieren, nicht danach.
TalentVeil: Für die Kandidatendaten, die Sie hochladen, ist TalentVeil Auftragsverarbeiter. Der AVV beschränkt die Verarbeitung auf die Erbringung des Abonnementdienstes (§1 Abs. 2). Sie können ihn als PDF herunterladen (auf Englisch) und lesen, bevor Sie den ersten Lebenslauf hochladen.
2. Wo werden die Daten verarbeitet, und von welchen Unterauftragsverarbeitern?
„In Europa gehostet" ist keine Antwort. Fragen Sie, welche Unternehmen die Daten sehen, in welchem Land, und was passiert, wenn sich diese Liste ändert. Art. 28 DSGVO erlaubt dem Auftragsverarbeiter einen weiteren Auftragsverarbeiter nur mit Ihrer Genehmigung; der Vertrag sollte Sie über jede Änderung vorab informieren.
TalentVeil: Alle Kandidatendaten werden in der EU verarbeitet. Die KI läuft auf einer Azure-AI-Instanz in der Region Schweden. Die Liste der Unterauftragsverarbeiter im AVV nennt zwei Hosting-Anbieter: Microsoft (Azure, Gävle, Schweden) und OVH (Limburg, Deutschland). Über einen neuen Unterauftragsverarbeiter werden Sie mindestens 30 Tage informiert, bevor er Daten erhält (§4 Abs. 3).
3. Werden unsere Kandidatendaten zum Training eines Modells genutzt?
Fragen Sie, ob Lebenslaufinhalte zum Training oder zur Verbesserung irgendeines Modells verwendet werden, des Anbieters oder seines KI-Providers. Lassen Sie sich die Antwort schriftlich geben: Der Einkauf Ihres Kunden wird danach fragen.
TalentVeil: Nein. Kundendaten werden nicht zum Training von Modellen verwendet.
4. Wie lange werden die Daten aufbewahrt, und wer bestimmt das?
Suchen Sie nach einer Zahl, nicht nach „so lange wie nötig". Fragen Sie dann, ob Sie sie ändern können. Eine Aufbewahrungsfrist, die Sie nicht ändern können, müssen Sie hinnehmen; eine, die Sie festlegen, passen Sie an Ihre eigenen Löschfristen an.
TalentVeil: Die Standard-Aufbewahrungsfrist beträgt 12 Monate und lässt sich für Ihre Organisation anpassen. Nach ihrem Ablauf verlangt der AVV die Löschung der personenbezogenen Daten von allen Datenträgern, einschließlich aller Kopien, innerhalb von 30 Tagen (§9 Abs. 1); TalentVeil muss sicherstellen, dass auch die Unterauftragsverarbeiter sie löschen oder anonymisieren (§9 Abs. 2).
5. Lassen sich Daten exportieren oder löschen, wenn ein Kandidat es verlangt?
Ein Kandidat, der Löschung oder Berichtigung verlangt, wendet sich an Sie, nicht an den Anbieter. Der Anbieter muss Ihre Anweisung also umsetzen können.
TalentVeil: Auf Ihre Anfrage exportiert TalentVeil personenbezogene Daten, löscht sie oder schränkt ihre Verarbeitung ein und berichtigt sie (§5 Abs. 1 lit. b). Während der Aufbewahrungsfrist können Sie außerdem die Löschung und die Herausgabe der Daten verlangen (§9 Abs. 3).
6. Was passiert bei einer Datenpanne?
Fragen Sie nach einer Frist in Stunden und nach dem Inhalt der Meldung. Als Verantwortlicher müssen Sie eine Verletzung binnen 72 Stunden nach Kenntnis der Aufsichtsbehörde melden (Art. 33 DSGVO), und was Sie melden, wissen Sie vom Anbieter.
TalentVeil: Der AVV setzt eine Frist von 36 Stunden ab Entdeckung (§6 Abs. 1). Die Meldung beschreibt den Hergang und die Ursachen, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die möglichen Folgen und die ergriffenen Gegenmaßnahmen.
Was sieht mein Kunde, wenn ich die Shortlist teile?
Kandidatendaten verlassen Ihre Hände noch einmal, wenn Sie eine Shortlist präsentieren. In TalentVeil geschieht das über einen Link im Branding Ihrer Agentur, und Sie steuern ihn:
- Ihr Kunde sieht nur die Profile, die Sie in die Shortlist aufnehmen, anonym oder mit Namen, wie Sie es entscheiden.
- Ihr Kunde braucht kein Konto. Sie können einen Zugangscode verlangen, ein Ablaufdatum setzen und den Link jederzeit widerrufen.
- PDF-Download, Feedback und Original-Lebenslauf schalten Sie für den jeweiligen Link einzeln ein oder aus.
- Im eigenen Team vergeben Sie die Rolle Hiring Manager an jeden, der nur prüfen soll: Er sieht nur die ihm zugewiesenen Profile, ohne Name und Kontaktdaten.
Soll der Kunde weniger als den vollständigen Lebenslauf bekommen, lässt ein Blind-CV die Angaben weg, die er nicht braucht.
Schicken Sie das, bevor Sie etwas hochladen
Fügen Sie es in eine E-Mail an jeden Anbieter Ihrer engeren Auswahl ein und legen Sie die Antworten neben den AVV:
Bevor wir Kandidaten-Lebensläufe hochladen, bitten wir um schriftliche Bestätigung: (1) dass wir Verantwortlicher und Sie Auftragsverarbeiter sind, mit einem AVV, den wir vor der Registrierung lesen können; (2) in welchem Land unsere Daten verarbeitet werden und welche Unterauftragsverarbeiter, einschließlich Ihres KI-Providers, Lebenslaufinhalte erhalten, sowie wie und wann Sie uns über einen neuen informieren; (3) ob unsere Kandidatendaten zum Training oder zur Verbesserung eines Modells verwendet werden, Ihres oder das eines Dritten; (4) Ihre Standard-Aufbewahrungsfrist und ob wir sie für unsere Organisation ändern können; (5) wie und in welcher Zeit ein Lösch- oder Exportverlangen umgesetzt wird, einschließlich der Kopien bei Unterauftragsverarbeitern; (6) wie schnell Sie uns über eine Verletzung des Schutzes personenbezogener Daten informieren und was die Meldung enthält.
Ein Anbieter, der alle sechs Fragen in einem Dokument beantwortet, das Sie ablegen können, ist auf den Einkauf Ihres Kunden vorbereitet. Wer vieles am Telefon klärt und den Rest „auf Anfrage" nachreicht, überlässt Ihnen die Lücken. Legen Sie die Antworten neben den AVV und geben Sie beides an Ihren Datenschutzbeauftragten. Wie TalentVeil mit Kandidatendaten insgesamt umgeht, steht unter Sicherheit und DSGVO. Wenn Sie es an eigenen Lebensläufen sehen wollen: Starten Sie kostenlos mit 10 Profilen und allen Funktionen, laden Sie ein paar Lebensläufe Ihrer nächsten Shortlist hoch, bearbeiten Sie das Profil und senden Sie es Ihrem Kunden als Link im Branding Ihrer Agentur.
