Compliance und Datenschutz
Automatisierung, die du deinem Datenschutzbeauftragten zeigen kannst.
Bewerberdaten gehören zu den sensibelsten Daten, die eine Agentur hat. Deshalb gilt bei ProzessKontor: Server in Deutschland, Bewerberdaten bleiben in deinem ATS, KI bereitet nur vor und ein Mensch entscheidet. Hier steht, wie das konkret aussieht und welche Regeln dahinterstehen.
Server in Deutschland
DSGVO und BDSG
EU AI Act
AVV in jedem Projekt
Grundsätze
Vier Regeln, die in jedem Projekt gelten.
Keine Ausnahmen, auch nicht für einen schnellen Prototyp.
Server in Deutschland
Deine Automationen laufen auf Servern in Deutschland. KI-Modelle binden wir über Rechenzentren in der EU an. Wo ein Dienst das nicht kann, sagen wir es dir vor der Beauftragung.
Deine Daten bleiben bei dir
Bewerberdaten bleiben in deinem ATS und deinem Microsoft 365. Wir bauen keine zweite Kandidatendatenbank und trainieren keine KI mit deinen Daten.
Ein Mensch entscheidet
KI fasst zusammen und bereitet Entwürfe vor. Absagen, Shortlists und Bewertungen bleiben bei deinem Team.
Alles schriftlich
Vertrag zur Auftragsverarbeitung, technische und organisatorische Maßnahmen und Unterauftragnehmerliste bekommst du vor dem ersten Zugriff. Dazu eine Systemanlage, welche Daten wohin fließen, und ein Abnahmeprotokoll.
Datenfluss
So läuft ein Lebenslauf durch eine Automation.
Am Beispiel CV zu Kandidatenprofil. Jeder Schritt hat einen festen Ort, und an der entscheidenden Stelle sitzt ein Mensch.
Bewerbung kommt rein
Per E-Mail oder Jobbörse, wie heute auch.
Dein PostfachAutomation liest und sortiert
Anhänge werden erkannt, Daten herausgezogen, nichts wird als zweite Kandidatendatenbank abgelegt.
Server in DeutschlandKI bereitet vor
Zusammenfassung und Entwurf. Kein Ranking, keine Absage, kein Training mit deinen Daten.
Rechenzentrum in der EURecruiter prüft und gibt frei
Ein Mensch liest, korrigiert und entscheidet. Ohne Freigabe passiert nichts.
Mensch entscheidetErgebnis landet im ATS
Bewerberdaten bleiben dort, wo sie hingehören, mit deinen Löschfristen.
Dein ATSRechtsrahmen
Welche Regeln gelten und was das bei uns heißt.
Kurz erklärt, ohne Juristendeutsch. Für deinen konkreten Fall ersetzt das keine Rechtsberatung.
DSGVO und BDSG
Bewerberdaten dürfen nur für das Verfahren genutzt werden, für das sie da sind, und müssen danach gelöscht werden. Wer sie verarbeitet, braucht einen Vertrag und muss sie sicher halten.
Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO in jedem Projekt
Nur die Daten, die der Prozess wirklich braucht
Löschfristen aus deinem ATS gelten auch für die Automation
Keine automatische Entscheidung ohne Menschen (Art. 22 DSGVO)
EU AI Act
Recruiting ist ein Hochrisikobereich, sobald KI Bewerbungen filtert oder Kandidaten bewertet. Dafür gelten ab 02.12.2027 strenge Pflichten. Verbote und die Pflicht zur KI-Kompetenz gelten schon heute.
KI fasst zusammen und strukturiert, sie rankt nicht und sortiert nicht aus
Jeder Vorschlag braucht eine Freigabe durch jemanden, der widersprechen kann
Wer Anbieter und wer Betreiber ist, steht pro Projekt schriftlich fest
Keine Emotionserkennung, keine Persönlichkeitsanalyse
AGG
Niemand darf wegen Alter, Geschlecht, Herkunft, Religion, Behinderung oder sexueller Identität benachteiligt werden. Das gilt auch, wenn ein Tool die Vorauswahl trifft.
Keine geschützten Merkmale und keine Ersatzmerkmale wie Foto oder Geburtsjahr als Kriterium
Kriterien sind dokumentiert und begründbar
Absagen schreibt und verantwortet ein Mensch
IT-Sicherheit
Ein Lebenslauf in falschen Händen ist eine meldepflichtige Datenpanne. Sicherheit ist deshalb Teil der Lösung, kein Zusatz.
Verschlüsselte Verbindungen, Zwei-Faktor-Anmeldung, minimale Rechte
Getrennte Zugänge je Kunde, keine geteilten Passwörter
Protokolle ohne Bewerberinhalte, Notfallplan für Datenpannen
Vorgehen nach BSI IT-Grundschutz
EU AI Act
Was schon gilt und was noch kommt.
Die Pflichten für Recruiting-KI wurden im Juli 2026 auf Dezember 2027 verschoben. Wer jetzt baut, sollte trotzdem schon so bauen, dass es dann passt.
- 02.02.2025gilt
Verbote und KI-Kompetenz
Emotionserkennung am Arbeitsplatz und im Bewerbungsverfahren ist verboten. Wer KI einsetzt, muss dafür sorgen, dass sein Team damit umgehen kann.
- 02.08.2026gilt
Transparenz und Aufsicht
Chatbots müssen sich als KI zu erkennen geben. In Deutschland überwacht die Bundesnetzagentur die Einhaltung.
- 02.12.2027kommt
Hochrisiko-Pflichten
KI, die Bewerbungen filtert oder Kandidaten bewertet, braucht menschliche Aufsicht, Protokolle über mindestens sechs Monate und informierte Kandidaten.
Grundlage: Verordnung (EU) 2024/1689, geändert durch Verordnung (EU) 2026/1744. Stand Oktober 2026.
Verantwortung
Wer wofür verantwortlich ist.
Nach DSGVO bleibst du Herr über die Daten deiner Bewerber. Wir arbeiten in deinem Auftrag und nach deiner Weisung.
Deine Agentur
Du entscheidest, wofür Bewerberdaten genutzt werden und wie lange sie bleiben.
ProzessKontor
Verarbeitet nur nach deiner Weisung, geregelt im Vertrag zur Auftragsverarbeitung.
Hosting und KI-Modell
Jeder Anbieter mit eigenem AVV. Die Liste bekommst du vor Projektstart.
Die Rechte der Bewerber:innen bleiben bei dir: Auskunft, Löschung und eine Entscheidung durch einen Menschen.
Aus der Praxis
Das ist kein Theorieproblem.
Vier echte Fälle aus 2025 und 2026, alle mit Bezug zum Recruiting.
35.000 €
Bußgeld gegen eine Düsseldorfer Personalvermittlung. Sie hatte Auskunfts- und Löschanfragen ignoriert und nach angeblicher Löschung weiter Newsletter verschickt.
LDI NRW, September 2025
24 %
der Datenpannen, die 2025 bei der Datenschutzbehörde NRW gemeldet wurden, waren Fehlversand. Bei 2.844 Meldungen.
LDI NRW, Datenschutzbericht 2026
Unterlassung
Werbemails einer Personalvermittlerin an Unternehmen waren unzulässig. Eine Kontaktadresse auf der Website ist keine Einwilligung.
AG Düsseldorf, 290c C 153/25, Januar 2026
Schadensersatz
Eine XING-Nachricht mit Gehaltsangebot ging an den falschen Empfänger. Der Bewerber hat dem Grunde nach Anspruch auf Schadensersatz.
BGH, VI ZR 97/22, Juni 2026
Compliance-Check
Wo steht deine Agentur?
Ehrlich beantwortet dauert es drei Minuten. Du siehst sofort, wo deine größten Lücken liegen und was du als Erstes tun kannst. Ohne Anmeldung, ohne Formular.
15 Fragen · ca. 3 Minuten · Stand Oktober 2026
Wie gut ist deine Agentur bei Datenschutz und KI aufgestellt?
Fragen zu Bewerberdaten, Ansprache, KI, Tools und Sicherheit. Am Ende siehst du, wo deine Agentur steht, wo die größten Lücken liegen und was du als Erstes tun kannst.
Deine Antworten bleiben in deinem Browser. Nichts wird gespeichert oder gesendet, bis du selbst die Mail abschickst.
Klare Grenzen
Was wir bewusst nicht bauen.
Manche Automationen wären technisch möglich. Wir lassen sie trotzdem.
✕
Automatische Absagen ohne menschliche Prüfung
✕
Rankings und Scores, nach denen Kandidaten automatisch aussortiert werden
✕
Persönlichkeit oder Emotionen aus Video, Stimme oder Foto ableiten
✕
LinkedIn-Bots und automatisierte Massenansprache
✕
KI-Training mit deinen Bewerberdaten
Wer dahintersteht
Ich bin Robin Lipkow. Bevor ich ProzessKontor gegründet habe, habe ich in IT-Infrastruktur und Security gearbeitet. Ich bin Fachinformatiker für Systemintegration (IHK) und Cyber Security Manager mit Weiterbildung zum BSI IT-Grundschutz-Praktiker. Deshalb kläre ich in jedem Projekt zuerst, welche Daten wohin fließen, bevor ich eine Zeile baue.
FAQ
Häufige Fragen zu Datenschutz und KI.
Wo liegen meine Bewerberdaten?
In deinem ATS und deinem Microsoft 365, wie heute auch. Die Automation verarbeitet sie auf einem Server in Deutschland und legt keine eigene Kandidatendatenbank an.
Nutzt ihr ChatGPT mit unseren Lebensläufen?
Nicht über Verbraucherkonten. KI-Modelle binden wir über Geschäftsschnittstellen an, mit Vertrag zur Auftragsverarbeitung und Verarbeitung in der EU. Die Nutzung deiner Daten für Training ist bei jedem Dienst vertraglich ausgeschlossen und steht in der Unterauftragnehmerliste.
Fällt unsere Automation unter den EU AI Act?
Das hängt davon ab, was die KI tut. Daten aus einem Lebenslauf herauslesen oder einen Termin planen ist etwas anderes als Kandidaten zu bewerten. Wir klären die Einstufung vor Projektstart und bauen so, dass KI vorbereitet und nicht bewertet.
Können wir die Automation selbst abschalten?
Ja, jederzeit und ohne uns. Wie das geht, steht in der Dokumentation und wird bei der Einweisung gezeigt. Endet die Zusammenarbeit, werden deine Daten nach deiner Wahl gelöscht oder zurückgegeben.
Ist ProzessKontor zertifiziert?
Nein, ProzessKontor hat derzeit keine ISO-27001-Zertifizierung. Ich arbeite nach den Grundsätzen des BSI IT-Grundschutzes und dokumentiere jedes Projekt so, dass dein Datenschutzbeauftragter es prüfen kann.
Was passiert bei einer Datenpanne?
Wir informieren dich unverzüglich, damit du die Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde einhalten kannst. Das Vorgehen steht vorher im Vertrag zur Auftragsverarbeitung.
Lass uns prüfen, wo deine Agentur steht.
Im Analysegespräch gehen wir einen echten Prozess durch: welche Daten fließen, wo die Lücken liegen und was sich sicher automatisieren lässt.
Compliance-Check starten
Diese Seite gibt einen Überblick und ist keine Rechtsberatung. Stand: Oktober 2026.