1. Mai 20269 min
DSGVO-konforme ATS-Auswahl: Die Checkliste für jedes deutsche HR-Team
Die Folgen eines nicht konformen ATS reichen vom Veto der Datenschutzbeauftragten im Einkauf bis zur aufsichtsbehördlichen Prüfung nach einer Betroffenenbeschwerde. Die meisten Lücken sind vermeidbar – wenn Sie wissen, was Sie fragen. Dieser Leitfaden fasst zusammen, was erfahrene Compliance-Leads vor der Tool-Auswahl prüfen.
- DSGVO
- ATS
- Compliance
- Deutschland
- HR-Software
Warum deutsche Arbeitgeber im Recruiting mehr DSGVO-Risiko tragen
Bewerberdaten gehören zu den sensibelsten Daten, die ein Unternehmen verarbeitet. Die DSGVO stellt strenge Regeln zu Rechtsgrundlage, Aufbewahrung und automatisierten Entscheidungen – alles wird durch Standard-ATS-Workflows ausgelöst. Deutsche Arbeitgeber unterliegen zusätzlich dem BDSG und bei KI-Unterstützung zunehmend dem EU AI Act.
- CVs, Anschreiben und Bewertungsnotizen sind personenbezogene Daten nach Art. 4 DSGVO
- Automatisches Scoring und Ranking kann Art. 22 DSGVO (ausschließlich automatisierte Entscheidungen) auslösen
- Betriebsräte haben Mitbestimmungsrechte bei technischen Systemen im Hiring
- BDSG §26 regelt die Verarbeitung von Beschäftigten- und Bewerberdaten – strenger als der allgemeine DSGVO-Rahmen
- Speicherung über das Bewerbungsverfahren hinaus braucht eine eigene Rechtsgrundlage
Die 12-Punkte-DSGVO-Checkliste für ATS
Nutzen Sie das als Mindestcheckliste, bevor Sie ernsthaft evaluieren. Zu jedem Punkt sollte schriftliche Dokumentation des Anbieters vorliegen.
- 1. AVV: Ist ein Auftragsverarbeitungsvertrag verfügbar? Wer initiiert ihn?
- 2. Datenresidenz: Wo liegen Bewerberdaten? Nur EU? Speziell Deutschland? Und Backups?
- 3. Unterauftragsverarbeiter: Wer verarbeitet mit? Liegen deren AVVs vor?
- 4. Rechtsgrundlage: Lässt sich die Rechtsgrundlage je Verarbeitung und Rolle dokumentieren?
- 5. Aufbewahrung: Können automatische Löschfristen je Rolle oder Status gesetzt werden?
- 6. Einwilligung: Wenn Consent die Basis ist – wie wird sie erhoben, gespeichert, widerrufen?
- 7. Betroffenenanfragen: Wie erfüllt die Plattform Auskunft, Berichtigung, Löschung?
- 8. Automatisierte Entscheidungen: Trifft eine KI-Funktion Einstellungsentscheidungen? Wie ist Art. 22 dokumentiert?
- 9. Datenminimierung: Lässt sich Early Screening beschränken (z. B. Blind-CV-Modus)?
- 10. Zugriffskontrollen: Rollen, die sensible Kategorien begrenzen
- 11. Audit-Log: Fälschungssicheres Protokoll, wer Daten gesehen und geändert hat?
- 12. Meldepflicht: Wie sieht das Art.-33-Verfahren des Anbieters aus (72 Stunden)?
Der AVV: worauf Sie hinter der Unterschrift achten
Die meisten ATS-Anbieter liefern einen Muster-AVV. Nicht alle halten einer deutschen Rechtsprüfung stand. Das prüfen erfahrene DPOs hinter der ersten Seite.
- Unterauftragsverarbeiter: der AVV muss sie listen oder verlinken, inklusive eigener DPA-Unterlagen
- Löschfrist nach Vertragsende: wie lange behält der Anbieter Daten, was wird genau gelöscht?
- Auditrechte: kann Ihre Organisation oder ein Dritter die DSGVO-Praxis prüfen?
- Drittlandtransfers: wenn Daten den EWR verlassen – SCCs, Angemessenheit, BCR?
- Vorfallmeldung: 72-Stunden-Pflicht nach Art. 33 muss im AVV stehen
- Weisungsbindung: verarbeitet der Anbieter nur nach Ihren Weisungen, oder gibt es Ausnahmen?
KI-Funktionen und Art. 22 DSGVO
KI-gestützte Recruiting-Tools – besonders solche, die automatisch scoren, ranken oder filtern – müssen gegen Art. 22 geprüft werden. Der Artikel beschränkt Entscheidungen, die „ausschließlich auf einer automatisierten Verarbeitung“ beruhen und die Person erheblich beeinträchtigen. Eine Absage zählt.
- Art. 22 braucht Einwilligung, Vertragserfordernis oder Mitgliedstaatenrecht als Basis
- Auch wenn KI nur „unterstützt“: Abnicken ohne echte Prüfung kann als automatisiert gelten
- Der Anbieter muss erklären können, welche Merkmale die KI nutzt und wie Scores entstehen
- Bewerber:innen müssen über KI-Einsatz in der Datenschutzerklärung oder der Anzeige informiert werden
- Der Betriebsrat kann eine Betriebsvereinbarung zu algorithmischen Systemen verlangen
Aufbewahrungskonfiguration: die am häufigsten verpasste Pflicht
Deutsche DPOs markieren Retention als das höchste ATS-Risiko. Die meisten Anbieter haben Einstellungen – ob sie zu BDSG §26 passen, ist aktive Konfiguration, keine Default-Installation.
- US-ATS setzen Defaults oft auf Jahre, nicht auf die in Deutschland üblichen 6 Monate nach Absage
- Fristen müssen im Verzeichnis von Verarbeitungstätigkeiten mit Rechtsgrundlage stehen
- Aktive Bewerbungen haben andere Fristen als abgelehnte
- Talent Pools brauchen explizite Einwilligung und eigene Regeln
- Automatische Durchsetzung (nicht nur ein Flag) ist für glaubwürdige Compliance nötig
Fragen an den Betriebsrat vor dem ATS-Rollout
In Betrieben mit Betriebsrat gilt Mitbestimmung nach BetrVG §87 Abs. 1 Nr. 6 bei technischen Einrichtungen, die Verhalten überwachen können – inklusive Recruiter-Aktivität und KI-Tools. Früh einbinden verhindert Blockaden im Einkauf.
- Welche ATS-Fähigkeiten fallen unter §87 Abs. 1 Nr. 6?
- Bewertet das KI-Scoring auch Beschäftigte (interne Mobilität)?
- Welche Recruiter-Aktivität wird geloggt, wer sieht sie?
- Eine Betriebsvereinbarung zu Umfang, Zweck und Grenzen des ATS ist stark empfohlen
Warnsignale in DSGVO-Claims von ATS-Anbietern
Manche Marketing-Sprache zu DSGVO stimmt; manche nicht. Diese Claims brauchen Nachfragen.
- „DSGVO-konform“ ohne öffentliche Unterauftragsverarbeiterliste: explizit anfordern
- „Daten in der EU“ ohne Region: Irland und Deutschland haben für manche Einkäufer unterschiedliche Risikoprofile
- „Wir übernehmen die DSGVO für Sie“: niemand nimmt Ihnen die Verantwortlichen-Pflichten ab
- „ISO-27001-zertifiziert“: Informationssicherheit ist nicht DSGVO – die Schnittmenge ist nur teilweise
- Kein deutscher AVV oder Rechts-Support: im Streit wendet ein deutsches Gericht deutsches Recht an
Wie Virkla für dieses Umfeld gebaut ist
Virkla ist für europäische Hiring-Teams unter DSGVO gebaut. Compliance steckt im Standard-Workflow, nicht in einer Option, die Expertise braucht, um sie richtig einzuschalten.
- Unterschriebener AVV für alle Kund:innen ab Tag eins – nicht hinter Enterprise-Plänen
- Konfigurierbare Löschfristen je Rolle und Status mit automatischer Durchsetzung
- Blind-CV-Modus je Rolle für Datenminimierung im Early Screening
- AI Score Matching liefert eine erklärbare Shortlist, keine autonome Entscheidung – Art. 22 by design
- Rollenbasierte Zugriffe begrenzen, wer Bewerberdaten sieht
- Audit-Log für Betriebsrat und DPO
Häufig gestellte Fragen
Ist ein unterschriebener AVV für jedes ATS in Deutschland Pflicht?
Ja. Nach Art. 28 DSGVO muss jede verantwortliche Stelle, die einen Auftragsverarbeiter einsetzt, einen AVV haben. Ein ATS, das Bewerberdaten in Ihrem Auftrag verarbeitet, ist Auftragsverarbeiter. Der AVV muss vor Beginn der Verarbeitung stehen.
Welche Aufbewahrungsfrist gilt nach einer Absage in Deutschland?
Die Praxis unter BDSG §26 stützt in der Regel bis zu 6 Monate nach Absage, angelehnt an mögliche AGG-Klagen. Manche DPOs raten bei den meisten Rollen zu 3 Monaten. Dokumentieren Sie Frist und Rechtsgrundlage im Verarbeitungsverzeichnis.
Löst KI-Scoring immer Art. 22 DSGVO aus?
Nicht automatisch. Art. 22 gilt für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung haben. Prüft ein Recruiter den Score wirklich und urteilt unabhängig, ist der Prozess nicht ausschließlich automatisiert. Das Wort lautet „wirklich“ – Abnicken zählt nicht.
Kann Virkla Unterlagen für die Betriebsratsprüfung liefern?
Ja. Virkla stellt Dokumentation zu KI-Umfang, Datenflüssen, Zugriffen und Audit-Log bereit – typischerweise das, was für eine Betriebsvereinbarung oder §87-Abs.-1-Nr.-6-Prüfung gebraucht wird.