DSGVO-konformes CV-Screening: Welche Kontrollen HireSift bereitstellt

Der häufigste Fehler in Anbietertexten ist, die Rollen zu verwischen. Deshalb zuerst die Abgrenzung:

Kurz: Die Frage „dürfen wir das?“ beantwortet Ihr Unternehmen. Die Frage „wie wird es technisch umgesetzt und wo?“ beantwortet diese Seite.

In der Praxis stützen Unternehmen die Bewerberdatenverarbeitung überwiegend auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person). In Deutschland tritt § 26 BDSG hinzu. Für eine Speicherung über das konkrete Verfahren hinaus — etwa in einem Talentpool — ist eine Einwilligung nach Art. 6 Abs. 1 lit. a der übliche Weg.

Welche Grundlage in Ihrem Fall trägt, kann und darf HireSift nicht für Sie entscheiden. Wir stellen die Angaben bereit, die Sie für diese Prüfung brauchen.

Mit jedem Kunden wird ein Vertrag nach Art. 28 DSGVO geschlossen. Die Liste der Unterauftragsverarbeiter ist Anlage dieses Vertrags. Neue oder ersetzte Unterauftragsverarbeiter werden mindestens 30 Tage im Voraus per E-Mail an die benannte Datenschutzadresse angekündigt; Sie können aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen schriftlich widersprechen.

Klar gesagt: Die Aussage „alle Daten bleiben in der EU“ wäre falsch. Speicherung und KI-Analyse der Bewerberdaten finden in der EU statt. Für E-Mail-Zustellung und Recruiter-Authentifizierung gibt es Verarbeitungen außerhalb des EWR, abgesichert über Verträge nach Art. 28, einen Angemessenheitsbeschluss und Standardvertragsklauseln nach Art. 46. Die jeweils gültige Fassung mit allen Vertragsentitäten steht im Trust Center.

Die Regionsbindung des Vertex-AI-Pfads auf europe-west4 ist in der Anwendung erzwungen: Eine abweichende Region führt zum Abbruch der Verarbeitung, nicht zu einer stillen Ausweichregion.

Die Aufbewahrungsdauer legt der Verantwortliche fest. Zwei Fristen bestimmen in Deutschland die Praxis: die zweimonatige Geltendmachungsfrist nach § 15 Abs. 4 AGG und die daran anschließende dreimonatige Klagefrist nach § 61b ArbGG. Daraus leitet sich die verbreitete Orientierungsgröße von etwa sechs Monaten nach Verfahrensende ab — sie steht so nicht im Gesetz und ist mit Ihrer Rechtsberatung abzustimmen.

• Bewerberdaten können jederzeit gelöscht werden — einzeln oder für eine gesamte Stelle.
• Die Löschung umfasst das strukturierte Profil, die Scores und die hinterlegte Datei.
• Für die längerfristige Aufnahme in einen Talentpool brauchen Sie eine Einwilligung.

Die für ein Screening-Werkzeug wesentlichen Maßnahmen:

• Verschlüsselte Übertragung und verschlüsselte Speicherung der Daten.
• Mandantentrennung: Alle Datenzugriffe sind an die Organisation gebunden; ein organisationsfremder Zugriff ist ausgeschlossen.
• Lebensläufe liegen in einem nicht öffentlich zugänglichen Storage-Bucket.
• Konfigurierbare Datensparsamkeit: Welche sensiblen Profilfelder überhaupt erhoben werden dürfen, wird pro Organisation festgelegt und serverseitig durchgesetzt. Deaktivierte Felder werden weder angefordert noch gespeichert noch bewertet.
• Provider-Freigabe: Ein KI-Anbieter erhält ohne ausdrückliche Freigabe der Organisation keine Daten.
• Protokollierung der Bewertungen mit Kriterien, Gewichtung, Teilscores und Zeitpunkt.

Es gibt keine ISO-27001- oder SOC-2-Zertifizierung. Wo andere Anbieter ein Siegel führen, steht hier die konkrete Maßnahme — prüfen Sie beides mit derselben Skepsis.

Beim systematischen und umfangreichen Bewerten persönlicher Aspekte spricht vieles für eine DSFA nach Art. 35 DSGVO. Ob sie in Ihrem Fall erforderlich ist, entscheidet der Verantwortliche — unter anderem anhand der Positivliste Ihrer zuständigen Aufsichtsbehörde.

Was HireSift dafür liefert:

• Beschreibung der Verarbeitungsvorgänge und der verarbeiteten Kategorien.
• Angaben zu Empfängern, Verarbeitungsorten und Transfergrundlagen.
• Beschreibung der Bewertungslogik und der menschlichen Aufsicht.
• Beschreibung der technischen und organisatorischen Maßnahmen.

Was HireSift nicht liefert: die Risikobewertung selbst, die Abwägungsentscheidung und die Dokumentation. Das ist Aufgabe des Verantwortlichen. Eine Struktur dafür beschreibt der Artikel zur DSFA für KI im Recruiting.

Die Schweiz ist kein DSGVO-Markt. Wer schweizerische Bewerberdaten verarbeitet, prüft das nDSG und die Vorgaben des EDÖB gesondert. Die DSGVO kann zusätzlich anwendbar sein, wenn ein EU-Bezug besteht.

Wer ist beim CV-Screening Verantwortlicher und wer Auftragsverarbeiter?

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist das einstellende Unternehmen. Es entscheidet über Zwecke und Mittel der Verarbeitung und legt die Rechtsgrundlage fest. HireSift verarbeitet die Bewerberdaten weisungsgebunden als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Wo werden Bewerberdaten gespeichert?

Lebensläufe, extrahierte Profile und Scores werden in Frankfurt am Main gespeichert (Supabase auf AWS eu-central-1). Die Anwendung läuft ebenfalls in Frankfurt (Vercel fra1). Die KI-Analyse läuft standardmäßig bei Mistral AI in Paris, alternativ über Vertex AI in der Region europe-west4 in Belgien.

Verlassen Bewerberdaten den EWR?

Für Speicherung und KI-Analyse nicht. Für E-Mail-Empfang und -Versand wird Resend eingesetzt; dabei können ergänzende Anbieter-Verarbeitungen außerhalb des EWR stattfinden, abgesichert über einen Vertrag nach Art. 28 DSGVO, einen Angemessenheitsbeschluss und Standardvertragsklauseln. Die Recruiter-Authentifizierung über Clerk findet außerhalb des EWR statt und umfasst keine Bewerberdaten.

Werden Bewerberdaten zum Training von KI-Modellen verwendet?

Nein. Für die eingesetzten KI-Dienste ist vertraglich ausgeschlossen, dass übermittelte Daten gespeichert oder zum Modelltraining verwendet werden. Diese Zusage sollten Sie sich als Verantwortlicher im AVV bestätigen lassen.

Brauche ich eine Datenschutz-Folgenabschätzung?

Das entscheidet der Verantwortliche. Beim systematischen, umfangreichen Bewerten personenbezogener Merkmale spricht vieles dafür, eine DSFA nach Art. 35 DSGVO durchzuführen. HireSift liefert die technischen Angaben dafür; die Bewertung und Dokumentation verantwortet Ihr Unternehmen.