Compliance & verantwortungsvolle KI

Deutsche und europäische Käufer brauchen eine klare Antwort auf drei Punkte: DSGVO, wo Bewerberdaten liegen, und wie KI unter der EU-KI-Verordnung eingesetzt wird. Diese Seite ist diese Antwort. Virkla GmbH ist Auftragsverarbeiter mit Sitz in Berlin. Plattformdaten werden in der EU gehostet. KI-Rankings stellen niemanden ein und lehnen niemanden ab. Die Abschnitte richten sich an Datenschutzbeauftragte, Betriebsräte und Hiring-Verantwortliche — sie ersetzen keine Rechtsberatung.

Zuletzt aktualisiert: 10. September 2026

DSGVO: wer für Bewerberdaten verantwortlich ist

Für Recruiting-Daten in Virkla ist der Arbeitgeber Verantwortlicher und die Virkla GmbH Auftragsverarbeiter nach DSGVO. Das ist das Modell, das deutsche Datenschutzbeauftragte von einem ATS erwarten. Wir verarbeiten Bewerberdaten nur nach dokumentierter Weisung des Arbeitgebers, auf Basis eines Auftragsverarbeitungsvertrags (AVV / Art. 28 DSGVO). Wir verwenden keine Bewerber- oder Arbeitgeberdaten, um KI-Modelle zu trainieren oder zu optimieren.

Verantwortlicher: die einstellende Organisation, die Virkla nutzt
Auftragsverarbeiter: Virkla GmbH, Kolonnenstr. 8, 10827 Berlin, Deutschland
AVV für Kunden verfügbar — Anfrage an privacy@virkla.de
Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) werden gegenüber dem Arbeitgeber ausgeübt; wir unterstützen den Arbeitgeber operativ
Die Aufbewahrung von Bewerberdaten ist konfigurierbar; Standard nach Abschluss einer Bewerbung sind 6 Monate, sofern der Arbeitgeber keine andere Frist setzt
Der rechtlich verbindliche Text steht in der Datenschutzerklärung

Datenresidenz: EU-Hosting, Region Frankfurt

Produktive Anwendungs- und Bewerberdaten der Virkla-Plattform werden in der Europäischen Union gehostet. Die Produktionsinfrastruktur läuft in AWS eu-central-1 (Frankfurt am Main, Deutschland). Die öffentliche Website wird über ein CDN ausgeliefert; die Origin-Daten bleiben in der EU. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des EWR, gelten Standardvertragsklauseln oder gleichwertige Garantien — wie in der Datenschutzerklärung beschrieben.

Primäres Plattform-Hosting: EU / EWR, Region Frankfurt (Deutschland)
Verschlüsselung bei Übertragung (TLS 1.2+) und im Ruhezustand
Rollenbasierter Zugriff: Recruiter und Hiring Manager sehen nur, was ihre Rolle erlaubt
Aktivitätsprotokoll bei Statuswechseln und Bewertungen für Audits und Betroffenenanfragen
Kategorien und Standorte der Unterauftragsverarbeiter stehen in der Datenschutzerklärung und werden bei Änderungen aktualisiert

Positionierung zur EU-KI-Verordnung

KI, die Menschen im Recruiting bewertet oder vorsortiert, kann unter die Hochrisiko-Regeln der EU-KI-Verordnung für Beschäftigung fallen. Virkla behauptet keine abgeschlossene Notified-Body-Zertifizierung. Wir gestalten das Produkt so, dass Arbeitgeber als Betreiber mit menschlicher Aufsicht, Transparenz und Protokollierung arbeiten können — und wir als Anbieter dieser Werkzeuge die zugehörige Dokumentation liefern.

KI-Score-Matching reiht Kandidaten nach vom Recruiter definierten Rollenkriterien. Es stellt niemanden ein, lehnt niemanden ab und schiebt niemanden automatisch weiter
Jeder KI-unterstützte Schritt hat einen menschlichen Entscheidungspunkt. Recruiter können Scores jederzeit überschreiben
Ergebnisse sind bezogen auf das Anforderungsprofil erklärbar, kein Black-Box-Bestehen/Durchfallen
KI-Scores und Recruiter-Entscheidungen (weiterleiten, ablehnen, überschreiben) werden beide im Kandidatendatensatz gespeichert — was die KI vorgeschlagen und was der Recruiter entschieden hat, ist immer nebeneinander sichtbar
Arbeitgeber mit KI-Score-Matching erhalten kandidatenseitige Offenlegungstexte für Stellenanzeigen und Datenschutzhinweise
Die Risikoklassifizierung Ihrer Organisation hängt davon ab, wie Sie das Werkzeug einsetzen — beziehen Sie Rechtsberatung und Datenschutzbeauftragte ein

Unsere Prinzipien

Wir halten uns bei jedem KI-Feature, das wir entwickeln und betreiben, an sechs Kernprinzipien:

Transparenz: Nutzer können immer sehen, wo KI eingesetzt wurde und welches Ergebnis sie produziert hat
Erklärbarkeit: KI-Ausgaben werden mit Begründungen begleitet, die sie interpretierbar machen — nicht nur ein Score
Menschliche Aufsicht: jeder KI-unterstützte Schritt hat einen menschlichen Entscheidungspunkt — KI priorisiert und fasst zusammen, Menschen entscheiden
Fairness by Design: wir setzen dort an, wo wir steuern können — Stellensprach-Checks, optionales anonymisiertes Früh-Screening und Scoring-Prompts, die geschützte Merkmale ignorieren. Wir behaupten kein zertifiziert bias-freies Modell
Datensparsamkeit: KI-Features werden mit dem Minimum an Kandidaten- und Job-Daten betrieben, das für die Aufgabe notwendig ist
Rechenschaftspflicht: KI-Score-Ausgaben und Recruiter-Entscheidungen werden beide im Kandidatendatensatz gespeichert, und wir übernehmen Verantwortung für die Auswirkungen unserer Systeme

Wie KI in Virkla eingesetzt wird

KI-Features in Virkla werden an spezifischen, definierten Punkten im Einstellungsworkflow eingesetzt. Sie operieren nicht autonom und treffen keine verbindlichen Entscheidungen.

KI-Score-Matching: bewertet Kandidaten anhand rollenspezifischer, vom Recruiter definierter Kriterien. Erstellt eine rangierte Shortlist, keine Einstell- oder Ablehnungsentscheidung. Scores sind sichtbar, überschreibbar und an spezifische Kriterien geknüpft
Stellenanzeigen-Check — Stellenanzeigen-Analyse: prüft Stellenbeschreibungen auf Formulierungen, die gegen § 11 AGG sprechen oder mit einer reduzierten Kandidatenpool-Vielfalt verbunden sind. Kennzeichnet Elemente zur menschlichen Überprüfung; bearbeitet keine Inhalte automatisch
Stellenanzeigen-Check — Blind-CV-Screening: entfernt persönliche Identifikatoren aus der CV-Anzeige in frühen Pipeline-Phasen, wenn vom Recruiter pro Stelle aktiviert
KI-Zusammenfassung: erstellt Kurzzusammenfassungen von Kandidatenprofilen und Bewertungsnotizen zur Reduzierung der Lesezeit. Zusammenfassungen werden stets neben dem vollständigen Quellmaterial angezeigt

Bias-Monitoring und -Mitigation

Wir nehmen das Risiko algorithmischer Voreingenommenheit im Hiring ernst. Wir setzen dort an, wo Bias entsteht — Stellenanzeigen-Sprache und Kandidaten-Screening — statt eine einmalige Zertifizierung zu behaupten.

Die Prompts für KI-Score-Matching weisen das Modell ausdrücklich an, nur Skills, Erfahrung und Rollen-Fit zu bewerten — niemals Geschlecht, Alter, Nationalität oder andere geschützte Merkmale abzuleiten oder zu verwenden
Der Stellenanzeigen-Check prüft Stellenanzeigen vor der Veröffentlichung auf ausschließende oder voreingenommene Sprache und kennzeichnet identitätsoffenlegende Formulierungen in Kandidatenprofilen zur Überprüfung — in jedem Tarif, pro Stelle
Blind-CV-Features sind explizit darauf ausgelegt, den Einfluss identitätskorrelierten Signale beim frühen Screening zu reduzieren
Wir verwenden keine geschützten Merkmale als Modelleingaben oder Bewertungsfaktoren
Wir bieten aktuell keinen automatisierten, organisationsweiten Bias-Impact-Bericht an; das steht auf unserer Roadmap

Anforderungen an menschliche Aufsicht

Virkla trifft keine ausschließlich automatisierten Einstellungsentscheidungen. Recruiter prüfen KI-Rankings und halten eine menschliche Entscheidung an jeder Bewerbung fest. Das ist das Design, das DSGVO Art. 22 verlangt, wenn die Verarbeitung eine Person erheblich beeinträchtigen kann. Ob Art. 22 auf Ihren Prozess zutrifft, hängt davon ab, wie Ihr Team das Werkzeug nutzt — beziehen Sie Ihren Datenschutzbeauftragten ein.

Kein Kandidat kann allein aufgrund einer KI-Ausgabe abgelehnt, weitergeleitet oder eingestellt werden
KI-Score-Matching erstellt eine rangierte Liste; der Recruiter entscheidet, wen er kontaktiert, weiterleitet oder ablehnt
Alle KI-generierten Ausgaben werden als Eingaben für menschliche Entscheidungsfindung präsentiert, nicht als Entscheidungen
Recruiter können KI-Vorschläge an jedem Punkt des Workflows überschreiben
KI-Scores und Recruiter-Entscheidungen werden beide im Kandidatendatensatz gespeichert, sodass beide immer unterscheidbar sind

Datenpraktiken für KI

KI-Score-Matching, CV-Parsing und die Sprachvorschläge des Stellenanzeigen-Checks laufen auf dem Foundation-Modell von OpenAI (GPT-4o-mini, über die OpenAI- oder Azure-OpenAI-API) — Virkla trainiert oder betreibt kein eigenes Machine-Learning-Modell. Unsere zentrale Verpflichtung: Virkla verwendet keine Arbeitgeber- oder Bewerberdaten, um ein KI-Modell zu trainieren oder zu optimieren. Unsere vollständigen Datenpraktiken:

Wir trainieren, optimieren oder verbessern kein KI-Modell mit Arbeitgeber- oder Bewerberdaten — für keinen Kunden
Bevor eine Stelle oder ein Kandidatenprofil zur KI-Verarbeitung gesendet wird, werden direkte Identifikatoren (Name des Kandidaten, Arbeitgebername, Institutionsnamen) entfernt; übermittelt werden nur Skills, Erfahrung und rollenrelevante Felder
Nach den Standard-API-Bedingungen von OpenAI werden über die API übermittelte Daten nicht zum Training der OpenAI-Modelle verwendet
Kundendaten werden nie verwendet, um Modelle zu verbessern oder zu trainieren, die anderen Kunden nützen
Alle KI-bezogenen Datenverarbeitungen, einschließlich der Rolle unseres KI-Unterauftragsverarbeiters, sind in unserer Auftragsverarbeitungsvereinbarung und der Unterauftragsverarbeiter-Liste der Datenschutzerklärung dokumentiert

Transparenz für Kandidaten

Kandidaten haben ein Recht zu wissen, wenn KI in einem Prozess eingesetzt wurde, der ihre Bewerbung betrifft. Virkla stellt Arbeitgebern die Informationen bereit, die sie für die Offenlegung des KI-Einsatzes benötigen, wie von DSGVO und EU-KI-Verordnung gefordert.

Arbeitgeber, die KI-Score-Matching nutzen, erhalten kandidatenseitige Offenlegungssprache für Stellenanzeigen und Datenschutzhinweise
Kandidaten können beim Arbeitgeber Informationen über den KI-Einsatz in ihrem Bewerbungsprozess erfragen
Wir veröffentlichen und aktualisieren diese Erklärung öffentlich, wenn sich unsere Praktiken wesentlich ändern
Wir beobachten aktiv die Umsetzung der EU-KI-Verordnung und aktualisieren unsere Praktiken, wenn Anforderungen verbindlich werden

Rechenschaftspflicht und kontinuierliche Verbesserung

Verantwortungsvolle KI ist ein kontinuierliches operatives Engagement, keine einmalige Zertifizierung. Wir haben noch keine externen Sicherheits- oder Bias-Zertifizierungen abgeschlossen (z. B. ISO 42001) — wir beschreiben unten unsere aktuelle, tatsächliche Praxis und aktualisieren diese Seite, wenn sich das ändert.

Interne Überprüfung der KI-Feature-Prompts und -Ausgaben im Zuge der Produktentwicklung
Öffentliches Bekenntnis zur Aktualisierung dieser Erklärung bei Änderungen unserer Praktiken — und dazu, es klar zu sagen, wenn eine Aussage nicht mehr zutrifft
Eskalationspfad für Kunden, die unerwartetes KI-Verhalten beobachten: responsible-ai@virkla.de
Wir haben noch keine externen Sicherheits- oder Bias-Bewertungen abgeschlossen (z. B. ISO 42001). Diese Seite beschreibt die aktuelle Praxis; wir aktualisieren sie, wenn sich das ändert

Dokumente und Kontakte

Nutzen Sie diese Seite für die Due Diligence. Die Datenschutzerklärung ist die rechtlich verbindliche Beschreibung der Verarbeitung. Für AVV, Unterauftragsverarbeiter-Listen oder eine Demo mit Fokus auf DPO-Fragen kontaktieren Sie uns.

Datenschutz und Betroffenenanfragen: privacy@virkla.de
Recht und Compliance: legal@virkla.de
Eskalation verantwortungsvolle KI: responsible-ai@virkla.de

Datenschutzerklärung lesen

Zurück zur Startseite