Mitarbeiter-Lebensläufe in KI-Tools: Was IT-Beratungen datenschutzrechtlich beachten müssen

Beschäftigtendaten sind nicht Kandidatendaten

Wer sich auf eine Ausschreibung bewirbt, schickt seine Unterlagen selbst und weiß, wofür. Bei Kandidaten und freien Mitarbeitenden stützt sich die Verarbeitung deshalb regelmäßig auf deren Einwilligung. Bei deinen Angestellten liegt der Lebenslauf dagegen längst im Haus, und zwar zu einem anderen Zweck: Er kam zur Einstellung, nicht zum täglichen Abgleich mit Projektausschreibungen.

Genau das ist der Unterschied. Du legst einen bestehenden Datensatz in ein externes System, lässt ihn dort laufend automatisiert abgleichen und schickst das Ergebnis an eine Adresse. Drei Dinge folgen daraus. Erstens brauchst du eine Rechtsgrundlage für diesen neuen Zweck, und die Einwilligung ist im Arbeitsverhältnis nicht die naheliegendste. Zweitens kann Mitbestimmung ins Spiel kommen. Drittens musst du die Mitarbeitenden informieren, bevor der erste Lauf startet.

Die gute Nachricht: Das sind vier Fragen, keine vierzig, und wer sie einmal beantwortet und dokumentiert, hat das Thema für alle Profile im Haus erledigt.

Rechtsgrundlage und Information der Mitarbeitenden

In Betracht kommen zwei Wege. Der eine ist § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO: Verarbeitung, weil sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Wer Berater anstellt, um sie in Kundenprojekten einzusetzen, wird zuerst prüfen, ob die Suche nach dem nächsten Einsatz noch zur Durchführung dieses Verhältnisses gehört – das ist die Kernfrage für deinen Datenschutzbeauftragten. Der andere Weg ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse an der Auslastung des eigenen Teams; dann gehört eine dokumentierte Abwägung dazu, warum das Interesse überwiegt und wie du die Verarbeitung begrenzt.

Die Einwilligung ist der dritte, unbequeme Weg: Sie muss freiwillig sein, was zwischen Arbeitgeber und Angestelltem begründungsbedürftig ist, und sie lässt sich jederzeit widerrufen. Ein Widerruf hieße, dass das Profil unverzüglich aus dem Suchauftrag verschwinden muss. Welchen Weg dein Haus geht, entscheidet dein Datenschutzbeauftragter; halte das Ergebnis mit Begründung im Verzeichnis der Verarbeitungstätigkeiten fest.

Informieren musst du in aller Regel (Art. 13/14 DSGVO). Einen fertigen Rechtstext findest du hier bewusst nicht, wohl aber den Rahmen. Eine Information an die Mitarbeitenden beantwortet acht Fragen:

• Wer verarbeitet? Dein Haus als Verantwortlicher, das Werkzeug als Auftragsverarbeiter in deinem Auftrag.
• Welche Daten? Der aus dem hochgeladenen Profil extrahierte Text, nicht die Originaldatei.
• Wozu? Abgleich mit Projektausschreibungen und Vorschläge an eine benannte Adresse im Haus.
• Auf welcher Rechtsgrundlage? Die Norm, für die ihr euch entschieden habt.
• Wer bekommt die Daten und wo werden sie verarbeitet? Anbieter, Unterauftragsverarbeiter und Ort der Verarbeitung.
• Wie lange? Die Speicherdauer, samt Hinweis, wann ein Profil gelöscht wird.
• Welche Rechte bestehen? Auskunft, Berichtigung, Löschung und, sofern ihr euch auf Art. 6 Abs. 1 lit. f DSGVO stützt, das Recht auf Widerspruch.
• Wie wird entschieden? Der Hinweis, dass die Auswahl ein Mensch trifft.

In vielen Häusern lässt sich das in die bestehende Beschäftigten-Information einbauen; ob der Umfang genügt, entscheidet dein Datenschutzbeauftragter. Wichtig ist der Zeitpunkt: Die Information gehört vor den ersten Lauf, nicht in die Rückschau.

Betriebsrat: wann § 87 Abs. 1 Nr. 6 BetrVG zu prüfen ist

§ 87 Abs. 1 Nr. 6 BetrVG betrifft die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Die Auslegung dieser Norm ist weit, deshalb ist das ein Prüfpunkt und keine Selbsteinschätzung zwischen Tür und Angel. Wenn es einen Betriebsrat gibt, gehört das Vorhaben vor dem ersten Lauf auf den Tisch.

Was du beisteuern kannst, ist eine saubere Funktionsbeschreibung. Das Matching bewertet die fachliche Passung eines Profils zu einer Ausschreibung. Es misst weder Leistung noch Verhalten der Profilinhaber und erstellt keine Profile über sie hinaus; die Ergebnisse gehen ausschließlich an die Adresse, die du benannt hast. Solange die Einreichung ein Mensch entscheidet, liegt keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO vor. Wer keinen Betriebsrat hat, hält die Beschreibung trotzdem fest.

Auftragsverarbeitung: was im AVV stehen muss

Für die Profile deiner Leute bleibst du der Verantwortliche; das Werkzeug verarbeitet sie weisungsgebunden in deinem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Vier Punkte solltest du darin nachlesen, bevor du zustimmst: die Weisungsbindung samt Hinweispflicht bei rechtswidrigen Weisungen, die technischen und organisatorischen Maßnahmen, die Regeln zu Unterauftragsverarbeitern (Liste, Vorabinformation, Widerspruchsfrist) und die Löschung oder Rückgabe am Ende.

Bei WiseMatcher steht der Auftragsverarbeitungsvertrag öffentlich, ist Bestandteil der AGB und wird mit dem Vertragsschluss wirksam; eine gegengezeichnete Fassung gibt es auf Wunsch. Die Verarbeitung selbst ist dort und in der Datenschutzerklärung beschrieben: Die hochgeladene Datei wird nicht dauerhaft aufbewahrt, beim Upload wird der Text extrahiert, die extrahierten Daten werden auf Servern innerhalb der EU gespeichert, und für den Abgleich kommt Google Cloud Vertex AI in einer EU-Region zum Einsatz, ohne Nutzung zum Training und ohne Speicherung der Ein- und Ausgaben über die Verarbeitung hinaus. Neue Unterauftragsverarbeiter werden vorab mitgeteilt – auch durch Aktualisierung der AVV-Seite –, Widerspruch aus wichtigem datenschutzrechtlichem Grund in Textform binnen 14 Tagen. Datenschutzverletzungen werden dir als Verantwortlichem unverzüglich gemeldet, spätestens 48 Stunden nach Bekanntwerden.

Zwei Dinge bleiben auf deiner Seite des Tisches. Erstens die Frage, ob für diese Verarbeitung eine Datenschutz-Folgenabschätzung nötig ist; der Anbieter unterstützt dabei, entscheiden musst du. Zweitens der Sitz des Anbieters: Er liegt in Kanada, Übermittlungen dorthin stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission für Kanada und ergänzend auf Standardvertragsklauseln. Beides steht im AVV.

Weniger hochladen: Beraterprofil statt Privat-Lebenslauf

Der wirksamste Hebel ist banal: Lade weniger hoch. Ein Bewerbungs-Lebenslauf enthält Adresse, Geburtsdatum, Familienstand, Foto, manchmal Hinweise auf Gesundheit oder Religion. Aus einem beruflichen Datensatz wird damit schnell einer mit besonderen Kategorien nach Art. 9 DSGVO, für die du eine eigene Rechtsgrundlage brauchst. Für das Matching ist nichts davon nötig.

Was gebraucht wird, ist ein Beraterprofil: Rolle und Seniorität, Technologien und Methoden, Branchen, die letzten Projekte mit Aufgabe und Zeitraum, Zertifikate, Sprachen, Verfügbarkeit. Was raus kann, ist alles Private. Solche Profile schneiden nebenbei besser ab, weil das Modell nur Fachliches liest. Wie du ein Profil zuschneidest, das Ausschreibungen trifft, steht im Ratgeber zur Projektakquise für IT-Beratungen.

Löschen und Pausieren

Verfügbarkeit ändert sich ständig: Elternzeit, Verlängerung beim Kunden, Kündigung. Die Daten müssen mit. Wer nur vorübergehend nicht im Markt ist, braucht keine Löschung, sondern einen pausierten Suchauftrag; es laufen dann keine Durchläufe, bis du fortsetzt. Wer geht, gehört raus aus der Bibliothek.

Dazu solltest du die Fristen kennen, die im AVV stehen. Profiltexte bleiben gespeichert, bis du das Profil aus deiner Bibliothek oder dein Konto löschst. Match-Ergebnisse, also Namen und Begründungen, werden je Suchauftrag nur für die zehn jüngsten Läufe vorgehalten. Pipeline-Karten bleiben, bis du sie löschst oder archivierst. Verschlüsselte Sicherungskopien werden nach 30 Tagen überschrieben. Brauchst du die Daten noch, hol dir vor dem Löschen den maschinenlesbaren Export über die Funktion „Meine Daten herunterladen“ (Art. 20 DSGVO).

Die Profillöschung gehört auf den Offboarding-Zettel, neben Laptop und Zugänge.

Checkliste für den DSB in zehn Punkten

1. Rollen festhalten: Für die Profile deiner Leute bist du Verantwortlicher, der Anbieter ist Auftragsverarbeiter (Art. 28 DSGVO).
2. Rechtsgrundlage wählen und begründen: § 26 Abs. 1 BDSG mit Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO mit dokumentierter Abwägung.
3. Zweck eng fassen: Besetzung und Auslastung, ausdrücklich keine Leistungs- oder Verhaltensbewertung.
4. Mitarbeitende nach Art. 13/14 DSGVO informieren, bevor der erste Lauf startet.
5. Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG prüfen und das Ergebnis dokumentieren.
6. AVV abschließen und ablegen, inklusive der Liste der Unterauftragsverarbeiter und der Widerspruchsfrist bei Änderungen.
7. Technische und organisatorische Maßnahmen sowie den Meldeweg für Datenschutzverletzungen prüfen.
8. Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist, und das Ergebnis dokumentieren.
9. Datenminimierung durchsetzen: Beraterprofil ohne Foto, Geburtsdatum, Familienstand sowie ohne Gesundheits- oder Religionsangaben (Art. 9 DSGVO).
10. Empfängeradresse und Löschroutine festlegen: eine benannte Adresse für die Treffer, Profillöschung beim Austritt, Speicherfristen im Verzeichnis der Verarbeitungstätigkeiten notiert.

Zehn Punkte, ein Termin. Wenn du danach wissen willst, ob sich der Aufwand überhaupt rechnet, hilft der Rechenweg zum Return on Investment weiter, und wie der Prozess drumherum aussieht, steht im Leitfaden zur automatisierten Projektakquise.

Häufige Fragen

Brauche ich die Einwilligung meiner Mitarbeiter?

Nicht zwingend, und die Einwilligung ist im Beschäftigungsverhältnis oft der unbequemste Weg: Sie muss freiwillig sein, und Freiwilligkeit zwischen Arbeitgeber und Angestelltem ist begründungsbedürftig. Außerdem lässt sie sich jederzeit widerrufen, dann müsste das Profil unverzüglich aus dem Suchauftrag verschwinden. In der Praxis prüfen Häuser deshalb zuerst § 26 Abs. 1 BDSG, also die Verarbeitung zur Durchführung des Beschäftigungsverhältnisses, sowie Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO. Welche Grundlage in deinem Haus trägt, entscheidet dein Datenschutzbeauftragter; informieren nach Art. 13/14 DSGVO musst du in aller Regel.

Wo werden die Daten verarbeitet?

Die hochgeladene Datei wird nicht dauerhaft aufbewahrt; beim Upload wird der Text extrahiert, und nur dieser Text geht ins Matching. Die extrahierten Daten werden auf Servern innerhalb der EU gespeichert. Für den Abgleich kommt Google Cloud Vertex AI in einer EU-Region zum Einsatz; die Daten werden nicht zum Training genutzt, und Ein- und Ausgaben werden nicht über die Verarbeitung hinaus gespeichert. Die vollständige Liste der Unterauftragsverarbeiter mit Ort der Verarbeitung steht in Anlage 3 des Auftragsverarbeitungsvertrags. Der Anbieter selbst sitzt in Kanada; Übermittlungen dorthin stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission für Kanada und ergänzend auf Standardvertragsklauseln. Gehört ein Unterauftragsverarbeiter einer Muttergesellschaft mit Sitz in den USA an, sind etwaige Support-Zugriffe durch Standardvertragsklauseln als Auffanggarantie abgesichert.

Muss der Betriebsrat zustimmen?

Das ist ein Prüfpunkt, kein Automatismus. § 87 Abs. 1 Nr. 6 BetrVG betrifft technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen; die Auslegung ist weit, deshalb gehört die Frage vor den Start auf den Tisch. Was du beisteuern kannst, ist die Funktionsbeschreibung: Das Matching bewertet die fachliche Passung eines Profils zu einer Ausschreibung. Es misst weder Leistung noch Verhalten der Profilinhaber, und die Ergebnisse gehen ausschließlich an die Adresse, die du benannt hast. Ob daraus Mitbestimmung folgt, entscheiden Betriebsrat und Anwalt, nicht der Anbieter.

Was passiert beim Ausscheiden eines Mitarbeiters?

Du löschst das Profil aus der Bibliothek; damit endet der Abgleich. Was danach noch wie lange gespeichert bleibt – Match-Ergebnisse, Pipeline-Karten, Sicherungskopien – steht oben unter „Löschen und Pausieren“ und im AVV. Brauchst du die Daten noch, hol dir vorher den Export über „Meine Daten herunterladen“.

Weiterlesen

• Projektakquise für IT-Beratungen: das eigene Team auslasten
• Was ein unbesetzter Berater kostet: der Rechenweg
• SAP-Berater in Projekte bringen
• Projektakquise automatisieren: Der Leitfaden