2. Juni 20259 min
DSGVO-konformes ATS: Was Unternehmen wissen müssen
Dieser Artikel erklärt, was die DSGVO konkret von einem ATS verlangt, welche Fehler am häufigsten auftreten und worauf Sie bei der Auswahl eines datenschutzkonformen Bewerbermanagementsystems achten sollten.
- DSGVO
- Datenschutz
- ATS
- Compliance
Warum Datenschutz im Recruiting besonders heikel ist
Im ATS liegen Name, Adresse, Gehaltsvorstellungen, Werdegang, manchmal Gesundheitsinformationen oder Lichtbilder – übermittelt in einem Vertrauensverhältnis, mit weitreichenden Konsequenzen für die Person. Diese Daten werden häufig viel zu lange gespeichert, obwohl nur kurze Aufbewahrungsfristen erlaubt sind.
- Sensible Personendaten in einem Vertrauensverhältnis
- Weitreichende Konsequenzen: Jobzusage oder -absage
- Zu lange Speicherung ist die häufigste DSGVO-Verletzung im Recruiting
Die 7 wichtigsten DSGVO-Anforderungen an ein ATS
Diese sieben Anforderungen müssen Sie und Ihr ATS-Anbieter gemeinsam erfüllen. Jede hat praktische Konsequenzen für die Systemkonfiguration.
- 1. Rechtmäßige Verarbeitungsgrundlage (Art. 6): Bewerbungsverfahren als Rechtsgrundlage; Talent Pool nur mit Einwilligung
- 2. Transparenz (Art. 13): Vollständige Information vor oder bei Datenerhebung im Bewerbungsformular
- 3. Datenminimierung (Art. 5): Nur notwendige Felder – keine Fragen nach Schwangerschaft, Religion, Staatsangehörigkeit
- 4. Löschfristen (Art. 17): 3–6 Monate nach Absage; Talent Pool max. 12–24 Monate mit erneuerbarer Einwilligung
- 5. Auftragsverarbeitungsvertrag (Art. 28): AVV mit ATS-Anbieter; EU-Serverstandort prüfen
- 6. Kein vollautomatisches Entscheiden (Art. 22): KI darf ranken, Menschen entscheiden
- 7. Betroffenenrechte (Art. 15–22): Auskunft, Berichtigung, Löschung direkt aus dem System erfüllbar
Löschfristen im Überblick
Die Aufbewahrungsfristen für Bewerberdaten unterscheiden sich je nach Situation. Ein DSGVO-konformes ATS überwacht diese automatisch.
| Situation | Empfohlene Frist |
|---|---|
| Absage nach Bewerbungseingang | 3–6 Monate (AGG-Klagefrist) |
| Einstellung erfolgt | Dauer des Arbeitsverhältnisses + gesetzliche Aufbewahrung |
| Talent Pool (mit Einwilligung) | Max. 12–24 Monate, dann Einwilligung erneuern |
| Eigeninitiativen-Bewerbung | Bis zu 6 Monate, dann löschen |
Die häufigsten DSGVO-Fehler im Recruiting
Diese fünf Fehler treten immer wieder auf – und lassen sich mit dem richtigen ATS vollständig vermeiden.
- Kein AVV mit dem ATS-Anbieter abgeschlossen
- Abgelehnte Bewerbungen jahre- statt monatelang gespeichert
- Talent Pool ohne explizite, dokumentierte Einwilligung
- KI-Einsatz nicht in der Datenschutzerklärung erwähnt
- Datenschutzerklärung nach Tool-Wechsel nicht aktualisiert
DSGVO-Checkliste für Ihr ATS
Nutzen Sie diese Checkliste bei der Auswahl oder Überprüfung Ihres Bewerbermanagementsystems.
- AVV mit dem Anbieter vorhanden und aktuell
- Serverstandort in der EU (idealerweise Deutschland)
- Datenschutzerklärung automatisch im Bewerbungsformular eingebunden
- Einwilligungsmanagement für Talent Pool integriert
- Automatische Löschfristenüberwachung aktiv
- Betroffenenrechte direkt aus dem System erfüllbar
- KI-Funktionen transparent dokumentiert
- Kein vollautomatisches Entscheiden ohne menschliche Überprüfung
- Nur notwendige Felder im Bewerbungsformular
- Audit-Log für Datenzugriffe vorhanden
Fazit
Ein DSGVO-konformes ATS ist keine Kür – es ist rechtliche Notwendigkeit für jedes Unternehmen, das in Deutschland einstellt. Mit dem richtigen System läuft DSGVO-Compliance im Hintergrund automatisch ab, ohne Ihren Recruiting-Alltag zu bremsen. Wählen Sie einen Anbieter, der Datenschutz als integralen Bestandteil des Produkts behandelt – nicht als Checkbox.
Virkla Demo anfragenHäufig gestellte Fragen
Wie lange dürfen Bewerberdaten nach einer Absage gespeichert werden?
In der Regel 3–6 Monate nach der Absage. Diese Frist orientiert sich an der AGG-Klagefrist von 2 Monaten plus einem Puffer. Nach Ablauf müssen die Daten vollständig gelöscht werden, sofern keine andere Rechtsgrundlage besteht.
Brauche ich einen AVV, auch wenn mein ATS-Anbieter DSGVO-konform ist?
Ja. Auch wenn der Anbieter DSGVO-konform ist, sind Sie als verantwortliche Stelle verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen. Prüfen Sie, ob er bereits im Vertrag enthalten ist oder separat angefordert werden muss.
Darf ich Bewerber in einen Talent Pool aufnehmen?
Ja, aber nur mit einer expliziten, freiwilligen und dokumentierten Einwilligung des Bewerbers. Die Einwilligung muss spezifisch (für den Talent Pool) und widerrufbar sein. Ohne Einwilligung ist die Speicherung über das Ende des Bewerbungsverfahrens hinaus unzulässig.
Was passiert, wenn mein ATS-Anbieter Server außerhalb der EU hat?
Datentransfers in Drittländer (z. B. USA) erfordern zusätzliche Schutzmaßnahmen wie EU-Standardvertragsklauseln (SCC). Prüfen Sie außerdem, ob der US CLOUD Act Zugriff auf die Daten ermöglichen könnte – für datenschutzsensible Unternehmen empfiehlt sich ein Anbieter mit Servern in Deutschland.
Ist vollautomatisches KI-Screening nach DSGVO erlaubt?
Nein, wenn es sich um eine rechtserhebliche Entscheidung handelt. Art. 22 DSGVO verbietet Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und erhebliche Auswirkungen auf Personen haben, ohne menschliche Einbindung. KI-Screening ist zulässig, wenn ein Mensch die endgültige Entscheidung trifft.