ATS-Auftragsverarbeiter nach Art. 28 DSGVO steuern

Im Sicherheitsfragebogen stehen drei Anbieter. In der produktiven ATS-Umgebung finden sich zwölf: Hosting, E-Mail, Support, Analyse, Transkription und zwei alte Integrationen, die niemand mehr nutzt. Der Auftragsverarbeitungsvertrag ist vorhanden. Die tatsächliche Verarbeitungskette kennt trotzdem keiner vollständig.

Wie steuert eine Personalberatung ATS-Auftragsverarbeiter?

Führen Sie ein aktuelles Register aller Anbieter und Unterauftragsverarbeiter mit Identität, Rolle, Dienst, Datenkategorien, Ort, Zugriff, Vertragsgrundlage, Genehmigung, technischer Evidenz, Eigentümer und Prüftermin. Gleichen Sie dieses Register mit der realen Systemkonfiguration ab und bewerten Sie Änderungen vor ihrer Aktivierung.

Artikel 28 DSGVO verlangt mehr als einen unterschriebenen Vertrag. Der Verantwortliche darf nur Auftragsverarbeiter mit hinreichenden Garantien einsetzen, muss Weisungen und Pflichten vertraglich regeln und die Einbindung weiterer Auftragsverarbeiter spezifisch oder allgemein schriftlich genehmigen. Die Prüfungstiefe richtet sich nach Verarbeitung und Risiko.

Nicht jeder Softwareanbieter ist automatisch Auftragsverarbeiter, und nicht jeder Unterauftrag ist gleichbedeutend mit einem Drittlandtransfer. Rollenbestimmung, Artikel-28-Kette, Sicherheitskontrolle und Kapitel-V-Prüfung sind verbundene, aber getrennte Entscheidungen.

Rollen anhand der tatsächlichen Verarbeitung bestimmen

Die Vertragsüberschrift entscheidet die Rolle nicht; ausschlaggebend ist, wer Zweck und wesentliche Mittel der Verarbeitung festlegt.

Kartieren Sie jeden Dienst: Welche Kandidaten-, Kunden- oder Nutzerdaten erhält er? Für welchen Zweck? Auf wessen Weisung? Darf der Anbieter Daten für eigene unabhängige Zwecke verwenden? Die EDSA-Leitlinien 07/2020 betonen, dass Verantwortlicher und Auftragsverarbeiter funktionale Rollen sind, die sich aus den tatsächlichen Umständen ergeben.

Ein Hostingdienst, der Kandidatendaten nur nach dokumentierter Weisung speichert, kann Auftragsverarbeiter sein. Ein Anbieter, der bestimmte Daten für eigene Produktwerbung oder eine unabhängige Datenbank nutzt, kann dafür eine andere Rolle einnehmen. Prüfen Sie Funktionen getrennt, statt dem gesamten Vertrag ein einziges Etikett zu geben.

Halten Sie unklare Fälle offen und eskalieren Sie sie fachlich. Ein Feld „AV ja/nein“ ohne Begründung erzeugt falsche Sicherheit. Speichern Sie Datenfluss, Zweckentscheidung, Vertragsklausel und Prüfer, damit die Einordnung bei einer Produktänderung erneut bewertet werden kann.

Dienst und konkrete Verarbeitungsfunktion.
Datenarten, Personengruppen und Systeme.
Wer Zweck sowie wesentliche Mittel bestimmt.
Eigennutzung, Weisungsbindung und verbleibende Unklarheit.

Ein Register bis zum letzten Unterauftragsverarbeiter führen

Das Register nennt Identität und Funktion jeder Organisation in der Verarbeitungskette, nicht nur den direkten ATS-Vertragspartner.

Erfassen Sie Name, Anschrift und erreichbaren Kontakt des direkten Anbieters sowie aller relevanten Unterauftragsverarbeiter. Die EDSA-Stellungnahme 22/2024 erklärt, dass diese Identitätsinformationen dem Verantwortlichen jederzeit ohne Weiteres zur Verfügung stehen sollten und aktuell gehalten werden müssen.

Verknüpfen Sie jede Organisation mit Dienst, Datenkategorien, Verarbeitungstätigkeit, Speicher- oder Zugriffsregion, Startdatum und Genehmigungsstatus. Eine bloße URL auf eine dynamische Lieferantenliste kann ein Eingangssignal sein, ersetzt aber nicht den internen Nachweis, welche Fassung wann geprüft wurde.

Gleichen Sie Register und Technik ab. Prüfen Sie aktive Integrationen, API-Schlüssel, SSO-Anwendungen, Supportzugriffe, Analyse-Tags, E-Mail-Routing und Exportziele. Ein gekündigter Vertrag mit weiterhin aktivem Token ist ebenso relevant wie ein neuer Anbieter, der im Vertrag genannt, aber nie aktiviert wurde.

Das Anbieterregister beschreibt nicht, was eingekauft wurde. Es beschreibt, wer heute tatsächlich Kandidatendaten verarbeiten kann.

Artikel-28-Vertrag mit der realen Nutzung abgleichen

Gegenstand, Dauer, Art, Zweck, Daten, Personengruppen, Weisungen und Unterstützungsleistungen müssen zur produktiven Konfiguration passen.

Prüfen Sie, ob der Vertrag Vertraulichkeit, Sicherheit, Unterstützung bei Betroffenenrechten, Vorfällen, Datenschutz-Folgenabschätzungen, Löschung oder Rückgabe, Nachweise und Audits abdeckt. Die DSGVO nennt diese Inhalte in Artikel 28. Ein generischer Anhang ohne ausgefüllte Verarbeitung ist schwer steuerbar.

Vergleichen Sie den beschriebenen Zweck mit aktivierten Modulen. Wird später Gesprächstranskription, Datenanreicherung oder ein KI-Assistent eingeschaltet, kann sich die Verarbeitung erheblich ändern. Ergänzen oder klären Sie Weisung, Datenarten, Speicherort und Unterauftragskette vor dem produktiven Einsatz.

Dokumentierte Weisungen müssen im Alltag funktionieren. Rollen, Admin-Einstellungen, Supporttickets und technische Signale können Weisungen abbilden, sofern der Prozess sie nachvollziehbar macht. Ein Berater sollte keine neue Verarbeitung allein durch einen ungeprüften Schalter im App-Marktplatz starten können.

Hinreichende Garantien risikogerecht prüfen

Die Personalberatung bestimmt erforderliche Kontrollen und sammelt ausreichende Evidenz, statt ein einzelnes Zertifikat als Freifahrtschein zu behandeln.

Prüfen Sie Sicherheitsorganisation, Zugriffskontrolle, Verschlüsselung, Mandantentrennung, Protokollierung, Schwachstellenmanagement, Vorfallprozess, Wiederherstellung und sichere Entwicklung passend zum Dienst. Bei sensiblen Gesprächsnotizen oder vertraulichen Vorstandssuchen braucht der Review mehr Tiefe als bei einem Dienst ohne Produktionszugriff.

Berichte wie SOC 2 Type I können einen Zeitpunkt und definierte Kontrollen abbilden, ersetzen aber nicht den Abgleich mit Ihrem Nutzungsfall. Lesen Sie Scope, Zeitraum, Ausnahmen und kundenseitige Ergänzungskontrollen. Ein Bericht über das Kernprodukt sagt nicht automatisch etwas über jede neue Integration aus.

Die EDSA-Stellungnahme 22/2024 sieht die Verantwortung für die Entscheidung über Unterauftragsverarbeiter beim Verantwortlichen. Informationen des direkten Anbieters dürfen als Grundlage dienen, müssen aber bei Lücken, Widersprüchen oder höherem Risiko vertieft werden. Halten Sie fest, warum die Evidenz genügt.

Risiko und erforderliche technische sowie organisatorische Maßnahmen bestimmen.
Anbieterunterlagen gegen den konkreten Datenfluss prüfen.
Lücken, Ausnahmen und kundenseitige Pflichten festhalten.
Entscheidung, Restrestrisiko, Freigeber und Prüftermin dokumentieren.

Unterauftragsverarbeiter-Änderungen vor Aktivierung bewerten

Allgemeine Genehmigung braucht ein wirksames Informations- und Widerspruchsverfahren, keine bloße nachträgliche Kenntnisnahme.

Legen Sie fest, wohin Änderungsmitteilungen gehen und wer sie bearbeitet. Eine Nachricht an einen ausgeschiedenen Admin ist keine funktionierende Kontrolle. Erfassen Sie Anbieter, neue Funktion, Daten, Region, Wirksamkeitsdatum und vertragliche Reaktionsfrist in einem Änderungsfall.

Bewerten Sie, ob die neue Organisation hinreichende Garantien bietet und ob Vertrags-, Sicherheits- oder Transferbedingungen angepasst werden müssen. Die Zustimmung sollte sich auf eine identifizierbare Organisation und konkrete Verarbeitung beziehen. Ein unbekannter Platzhalter „weitere Dienstleister“ reicht für Steuerung nicht.

Definieren Sie Handlungsoptionen bei begründetem Widerspruch: Funktion deaktivieren, Datenfluss begrenzen, Ersatz wählen, mit dem Anbieter klären oder Dienst beenden. Wenn keine Option praktisch umsetzbar ist, war die Änderungsprüfung nur Papier. Einkauf und Fachbereich müssen diese Konsequenz vor Vertragsschluss kennen.

Drittlandtransfers getrennt von Artikel 28 prüfen

Ein sauberer Auftragsverarbeitungsvertrag beantwortet nicht automatisch, ob eine Übermittlung oder ein Zugriff außerhalb des EWR zulässig abgesichert ist.

Erfassen Sie Speicherorte, Supportzugriffe, Fernwartung und Weiterübermittlungen entlang der Kette. Prüfen Sie, ob ein Angemessenheitsbeschluss, Standardvertragsklauseln oder ein anderes Instrument einschlägig ist und welche zusätzlichen Maßnahmen der konkrete Transfer verlangt. Das ist eine eigene dokumentierte Bewertung.

Verwechseln Sie die juristische Gesellschaft nicht mit dem Betriebsort. Ein EU-Vertragspartner kann Support aus einem Drittland nutzen; ein globaler Konzern kann eine klar abgegrenzte EWR-Verarbeitung anbieten. Benötigt wird der tatsächliche Datenfluss, nicht die Flagge auf der Anbieter-Website.

Ändert ein Unterauftragsverarbeiter Region oder Zugriffskonzept, aktualisieren Sie Transfer- und Artikel-28-Prüfung gemeinsam. Trotzdem bleiben die Ergebnisse getrennt: Ein genehmigter Unterauftragsverarbeiter kann transferrechtlich ungeklärt sein, und ein Transferinstrument macht einen Anbieter noch nicht automatisch geeignet.

Anbieterzugriffe mit einem Berechtigungsregister verbinden

Vertragliche Berechtigung wird auf reale Admin-, Support- und Integrationszugriffe heruntergebrochen.

Erfassen Sie technische Konten, API-Schlüssel, Supportzugriffsmodell, privilegierte Rollen, Freigabeweg und letzte Prüfung. Verlangen Sie für zeitlich begrenzten Support nach Möglichkeit eine konkrete Genehmigung und protokollierte Sitzung. Dauerhafte geteilte Admin-Konten erschweren Verantwortlichkeit.

Ordnen Sie intern einen Business Owner, technischen Owner, Datenschutzkontakt und Vertragsverantwortlichen zu. Eine einzige Person kann mehrere Rollen haben, doch die Aufgaben müssen benannt sein. Beim Ausscheiden eines Owners löst das System eine Übergabe aus statt einen verwaisten Registereintrag zu hinterlassen.

Testen Sie Joiner-, Mover- und Leaver-Fälle beim Anbieterwechsel und intern. Entfernen Sie alte Tokens, Gastnutzer, Sandbox-Daten und Supportfreigaben. Prüfen Sie, ob Protokolle eine spätere Frage beantworten können: Wer hatte wann aufgrund welcher Freigabe Zugriff auf welche Umgebung?

Laufende Kontrolle, Vorfall und Exit vorbereiten

Prüftermine, Ereignisse und ein getesteter Ausstieg halten das Register nach dem Einkauf lebendig.

Starten Sie einen Review bei neuen Modulen, Unterauftragsverarbeitern, Regionen, Sicherheitsvorfällen, Vertragsänderungen und wesentlichen Produktumbauten. Ergänzen Sie einen risikobasierten Regeltermin. Eine jährliche Checkbox reicht nicht, wenn die Verarbeitungskette sich monatlich ändert.

Definieren Sie den Vorfallweg: Meldeadresse, Mindestinformationen, interne Bewertung, Kundenzuständigkeit und Beweissicherung. Der Auftragsverarbeiter muss den Verantwortlichen unterstützen; die Personalberatung bleibt für eigene Pflichten und Entscheidungen verantwortlich. Üben Sie den Ablauf mit einem realistischen Supportzugriff oder falsch konfigurierten Export.

Planen Sie Export, Rückgabe, Löschung, Backup-Auslauf und Nachweis vor Vertragsende. Testen Sie, ob Kandidatenhistorie, Einwilligungs- oder Widerspruchsinformationen, Mandatsbeziehungen und Auditdaten tatsächlich portabel sind. Ein Exit-Plan, der erst am Kündigungstag entsteht, übersieht fast immer Nebenablagen.

Pflichtfelder im ATS-Anbieterregister

Ein gemeinsames Register verbindet Rolle, Vertrag, Unterauftragskette, Sicherheit und realen Zugriff. Detailnachweise können verlinkt werden, statt alles in einer Tabelle zu duplizieren.

Registerfeld	Erforderlicher Inhalt	Auslöser für Review
Identität und Rolle	Name, Anschrift, Kontakt, Funktion und Rollenbegründung	Neue Eigennutzung oder Zweckänderung
Verarbeitung	Dienst, Daten, Personen, Zweck, Systeme und Dauer	Neues Modul oder neue Datenart
Unterauftragskette	Identitäten, Funktion, Region und Genehmigungsstatus	Änderungsmitteilung des Anbieters
Vertrag und Weisung	AVV, Anlagen, Weisungsweg und Unterstützungsleistungen	Vertrags- oder Produktänderung
Sicherheit und Zugriff	Evidenz, Restlücke, Admins, Tokens und Supportmodell	Vorfall, neue Integration oder Prüfdatum
Transfer und Exit	Datenfluss, Instrument, Zusatzmaßnahmen, Export und Löschung	Regionwechsel oder Vertragsende

Grenzen eines Anbieterregisters

Das Register unterstützt Rechenschaft und Betrieb, ersetzt aber keine Rollen-, Vertrags-, Sicherheits- oder Drittlandprüfung im Einzelfall. Cloudarchitektur und Anbieterbedingungen verändern sich und müssen fachlich bewertet werden.

Zertifizierungen, Fragebögen und Vertragszusagen sind Evidenz mit begrenztem Scope. Ohne technische Bestandsaufnahme kann die Personalberatung ungenutzte Altzugriffe oder produktive Integrationen übersehen.

Häufige Fragen zu ATS-Auftragsverarbeitern

Vier Antworten für Personalberatungen, die ihren AVV mit der realen Anbieter- und Zugriffskette verbinden wollen.

Ist jeder ATS-Anbieter ein Auftragsverarbeiter?

Nicht automatisch für jede Funktion. Prüfen Sie, wer Zweck und wesentliche Mittel der konkreten Verarbeitung bestimmt und ob der Anbieter Daten für eigene Zwecke nutzt. Rollen können je Verarbeitung unterschiedlich sein.

Muss die Personalberatung alle Unterauftragsverarbeiter namentlich kennen?

Der EDSA hält Identität einschließlich Name, Anschrift und Kontakt entlang der Verarbeitungskette für jederzeit bereitzuhaltende Information. Das Register sollte diese Angaben und ihren aktuellen Prüfstand abbilden.

Reicht SOC 2 Type I als Anbieterprüfung aus?

Nein. Ein Bericht kann relevante Kontrollen zu einem bestimmten Zeitpunkt belegen. Prüfen Sie Scope, Ausnahmen, ergänzende Kundenkontrollen und Passung zum Datenfluss sowie weitere vertragliche und datenschutzrechtliche Anforderungen.

Ist jeder Unterauftragsverarbeiter außerhalb Deutschlands ein Drittlandtransfer?

Nein. Entscheidend sind EWR-Bezug und tatsächlicher Speicher- oder Zugriffsort, nicht die deutsche Grenze. Artikel-28-Genehmigung und Prüfung nach Kapitel V der DSGVO bleiben getrennte Schritte.

Offizielle Quellen zu Artikel 28 und Verarbeitungsketten

DSGVO und EDSA erläutern Rollen, Garantien, Vertragsinhalte, Unterauftragsverarbeiter und Verantwortlichkeit in der Verarbeitungskette.

Anbieter, Zugriffe und Kandidatendaten gemeinsam prüfen

Kundenportal-Zugriffe regelmäßig prüfen · Löschnachweise über Systeme und Dienstleister führen · Herkunft von Kandidatendaten dokumentieren · Recruiting-CRM für Personalberater ansehen

Kandidatenprozesse und Zugriffsrollen zusammenführen

Yena stellt Mandate, Kandidatendaten und berechtigte Nutzer in einen gemeinsamen Arbeitskontext. Anbieterprüfung und rechtliche Bewertung bleiben dabei Aufgaben der verantwortlichen Organisation.

Yena Recruiting-CRM ansehen