Kandidatenauskunft sicher aus dem ATS nach Art. 15 DSGVO

Eine Kandidatin bittet am Dienstag um „alle Daten, die Sie über mich haben“. Der ATS-Export ist am Mittwoch fertig. Nur fehlen die Gesprächsnotiz im Postfach des Partners, zwei Kundenfreigaben und die frühere Dublette ihres Profils. Ein schneller Download ist noch keine vollständige Auskunft.

Wie erstellt eine Personalberatung eine Kandidatenauskunft?

Erfassen Sie den Antrag, prüfen Sie die Identität verhältnismäßig, sichern Sie die Frist und durchsuchen Sie alle Systeme, in denen personenbezogene Daten der Person verarbeitet werden. Anschließend prüfen Sie Inhalt und Rechte Dritter, erstellen eine verständliche Kopie samt Pflichtinformationen, übermitteln sie geschützt und dokumentieren den Abschluss.

Artikel 15 DSGVO betrifft nicht nur Lebenslauf-Felder. Je nach Verarbeitung können Kommunikationshistorie, Bewertungen, Herkunft, Empfänger, Zwecke, Speicherdauer und Informationen zu automatisierten Entscheidungen relevant sein. Welche konkreten Inhalte herauszugeben sind, verlangt eine fallbezogene Prüfung durch die verantwortliche Stelle.

Der ATS-Export ist dabei ein Werkzeug, kein rechtliches Urteil. Er sollte Such- und Prüfschritte nachweisbar machen, darf aber weder ungeprüfte Daten anderer Personen offenlegen noch außerhalb des ATS liegende Kandidatendaten still übergehen.

Antrag, Identität und Frist sofort in einen Fall überführen

Ein eindeutiger Fall mit Eingang, Eigentümer und Frist verhindert, dass eine formlose Nachricht im Beratungsalltag liegen bleibt.

Ein Auskunftsersuchen braucht kein juristisches Etikett. „Welche Daten haben Sie über mich?“ kann genügen, auch wenn die Nachricht an den bekannten Berater statt an eine Datenschutzadresse geht. Erfassen Sie Originalwortlaut, Eingangskanal, Zeitpunkt und betroffene Gesellschaft. Leiten Sie den Vorgang unverzüglich an die geschulte verantwortliche Stelle weiter.

Bestehen begründete Zweifel an der Identität, erlaubt die DSGVO zusätzliche Informationen zur Bestätigung. Verlangen Sie aber nicht reflexartig eine ungeschwärzte Ausweiskopie. Nutzen Sie zunächst vorhandene, risikoarme Merkmale oder einen bereits etablierten sicheren Kanal und sammeln Sie nur, was für die Prüfung wirklich erforderlich ist.

Die Regelfrist aus Artikel 12 beträgt einen Monat nach Eingang. Bei Komplexität oder zahlreichen Anträgen kann sie unter den dort genannten Bedingungen verlängert werden; die Person muss innerhalb des ersten Monats über Verlängerung und Gründe informiert werden. Deshalb gehören Frist, mögliche Rückfrage und jede Unterbrechungsannahme in denselben Fall.

Wortlaut, Eingang, Kanal und verantwortliche Gesellschaft oder Kundenorganisation.
Identitätsprüfung mit Grund, Methode und Ergebnis.
Regelfrist, interne Kontrolltermine und Eskalationsweg.
Gewünschtes Format oder erkennbar eingegrenzter Umfang.

Den Datenraum der Person vor der Suche kartieren

Eine Systemkarte ist belastbarer als die Annahme, alle Kandidatendaten lägen im sichtbaren ATS-Profil.

Listen Sie ATS und Recruiting-CRM, E-Mail, Kalender, Kundenportal, Dateispeicher, Interview- oder Assessment-Dienste, Supportsysteme sowie zulässige lokale Ablagen auf. Prüfen Sie auch Integrationen und historische Exporte. Die Leitlinien des EDSA betonen, dass unterschiedliche Datenbanken, Dateitypen und nicht textliche Daten in die Ermittlung einbezogen werden müssen.

Suchen Sie nicht nur nach dem aktuellen Namen. Frühere Namen, bekannte E-Mail-Adressen, Telefonnummern, Kandidaten-IDs und Dubletten können zu demselben Menschen gehören. Halten Sie Suchbegriffe, Systeme, Zeitraum, ausführende Person und Ergebnis fest. So bleibt auch ein negativer Suchschritt nachvollziehbar.

Ein Kundenportal erschwert die Rollenfrage. Daten können von der Personalberatung, dem Auftraggeber oder beiden in unterschiedlichen Rollen verarbeitet werden. Statt alles in ein Paket zu werfen, dokumentieren Sie, wer über Zweck und Mittel der jeweiligen Verarbeitung entscheidet und wie ein falsch adressierter Teil des Ersuchens weiterbehandelt wird.

„Im ATS nicht gefunden“ ist kein Abschluss. Es ist nur das Ergebnis einer einzelnen Suche.

Personenbezogene Inhalte von ganzen Dokumenten unterscheiden

Der Gegenstand der Auskunft sind personenbezogene Daten und die gesetzlich vorgesehenen Informationen, nicht automatisch jede Datei in unveränderter Form.

Ein Interviewvermerk kann Aussagen über die Kandidatin, Äußerungen des Kunden und interne Arbeitsanweisungen enthalten. Markieren Sie, welche Informationen sich auf die betroffene Person beziehen. Bewertungen können personenbezogen sein, wenn sie eine Aussage über sie treffen. Der bloße interne Charakter nimmt ihnen diese Eigenschaft nicht.

Artikel 15 Absatz 4 schützt Rechte und Freiheiten anderer. Das rechtfertigt keine pauschale Verweigerung, sondern eine konkrete Prüfung: Können Namen, Kontaktdaten oder vertrauliche Inhalte Dritter geschwärzt werden, während der personenbezogene Kern verständlich bleibt? Dokumentieren Sie die Abwägung statt eine ganze Notiz allein wegen eines fremden Namens auszuschließen.

Ein Rohdaten-Dump mit kryptischen Feldschlüsseln kann den Zweck der Auskunft verfehlen. Erklären Sie Codes, Statuswerte, Score-Skalen und Quellen so, dass die Person ihre Daten tatsächlich verstehen und prüfen kann. Gleichzeitig sollte die Aufbereitung die Daten nicht umdeuten oder nachträglich beschönigen.

Export und Pflichtinformationen als Paket zusammenstellen

Ein vollständiges Paket verbindet die Kopie der personenbezogenen Daten mit Kontext zu Verarbeitung, Empfängern und Aufbewahrung.

Strukturieren Sie nach Datenkategorie oder Prozess: Stammdaten, beruflicher Werdegang, Kontaktverlauf, Mandatszuordnungen, Bewertungen, Freigaben und Portalaktivität. Ergänzen Sie die Zwecke der Verarbeitung, Kategorien von Empfängern, vorgesehene Speicherdauer oder Kriterien dafür sowie die in Artikel 15 genannten Hinweise zu Rechten und Beschwerdemöglichkeit.

Stammen Daten nicht von der Kandidatin, muss die verfügbare Information über ihre Herkunft nachvollziehbar aufgenommen werden. „Internet“ ist oft zu grob. Ein öffentliches Profil, eine Empfehlung, ein Datenanbieter oder ein früherer Kundenkontakt sind unterschiedliche Quellen mit eigener Dokumentation.

Bei Profiling oder automatisierten Entscheidungen prüfen Sie die einschlägigen Informationspflichten genau. Ein Match-Hinweis ist nicht automatisch eine ausschließlich automatisierte Entscheidung mit erheblicher Wirkung. Beschreiben Sie tatsächliche Funktionen und menschliche Entscheidungsschritte, statt entweder jede Automatisierung zu dramatisieren oder sie pauschal zu verschweigen.

Alle bestätigten Identifikatoren und verknüpften Datensätze sammeln.
Personenbezogene Inhalte nach Kategorie und Herkunft ordnen.
Zwecke, Empfänger, Speicherkriterien und Rechte ergänzen.
Codes, Bewertungen und Systemfelder verständlich erläutern.
Paket gegen Suchprotokoll und Rollenmatrix abgleichen.

Vier-Augen-Prüfung vor der Übermittlung durchführen

Eine zweite qualifizierte Person prüft Vollständigkeit, Identität, Schwärzungen und sichere Zustellung getrennt voneinander.

Vergleichen Sie Exportpaket und Systemkarte. Fehlt ein System, muss der Grund erkennbar sein. Prüfen Sie Stichproben: Ist eine Kundenfreigabe im Portal auch im Paket oder Suchprotokoll berücksichtigt? Wurde die gelöschte Dublette als Suchpfad erfasst? Lassen sich abgekürzte Beraternotizen verstehen?

Kontrollieren Sie Rechte Dritter zeilenweise dort, wo ein Risiko besteht. Eine automatische globale Schwärzung aller Personennamen kann den Zusammenhang zerstören; gar keine Prüfung kann fremde Kandidaten, Referenzgeber oder Kundenmitarbeiter offenlegen. Der Review braucht deshalb Zugriff auf Original und beabsichtigte Fassung.

Bestätigen Sie zuletzt Empfängeradresse und Zustellweg unabhängig vom Fallinhalt. Eine perfekte Auskunft an eine alte private E-Mail-Adresse ist ein Sicherheitsvorfall, kein Erfolg. Bei besonders sensiblen Inhalten kann ein getrennt übermitteltes Passwort oder ein authentifiziertes Portal angemessen sein.

Sicher und im erwarteten Format zustellen

Die Übermittlung muss nutzbar, nachvollziehbar und dem Risiko des konkreten Inhalts angemessen sein.

Wurde der Antrag elektronisch gestellt, sieht Artikel 15 grundsätzlich ein gängiges elektronisches Format vor, sofern die Person nichts anderes verlangt. Ein proprietäres Archiv, das ohne Spezialsoftware nicht geöffnet werden kann, hilft wenig. PDF und strukturierte Dateien können sich ergänzen, wenn Datenmenge und Inhalt dies verlangen.

Nutzen Sie keinen öffentlich erratbaren Downloadlink. Setzen Sie Ablauf, Zugriffskontrolle und Protokollierung risikogerecht und vermeiden Sie, dass interne Nutzer den Export nach Abschluss weiterhin beliebig öffnen. Bestätigen Sie der Person klar, welche Organisation antwortet und an wen Rückfragen gerichtet werden können.

Der Zustellnachweis sollte Zeitpunkt, Kanal, Paketversion und erfolgreichen Abschluss enthalten, nicht eine unnötige dauerhafte Kopie sämtlicher exportierter Daten. Legen Sie fest, wann Arbeitskopien, temporäre Archive und lokale Downloads gelöscht oder eingeschränkt werden.

Folgeanträge aus demselben Fall kontrolliert bearbeiten

Berichtigung, Löschung, Einschränkung und Widerspruch werden verbunden, aber nicht in einen einzigen pauschalen Status gepresst.

Eine Auskunft zeigt oft veraltete Rolle, falsche Gesprächsnotiz oder unbekannte Weitergabe. Erfassen Sie jede konkrete Beanstandung und prüfen Sie das passende Betroffenenrecht. Ein Berichtigungswunsch kann andere Empfängerinformationen auslösen als ein Widerspruch gegen künftige Ansprache.

Ändern Sie historische Fakten nicht lautlos. Wenn eine Bewertung auf einer falschen Ausgangsinformation beruhte, kennzeichnen Sie Korrektur, Zeitpunkt und betroffene Folgewirkung. Der alte Fehler muss nicht im aktiven Profil fortleben, doch der Umgang damit sollte für berechtigte Kontrollzwecke nachvollziehbar bleiben.

Versprechen Sie keine automatische Voll-Löschung im Antwortschreiben, solange Rechtsgrund, Ausnahmen und verbleibende Zwecke nicht geprüft sind. Bestätigen Sie stattdessen, welcher Antrag eröffnet wurde, was vorläufig eingeschränkt ist und wann eine gesonderte Entscheidung folgt.

Den Prozess mit realistischen Testfällen prüfen

Ein Probelauf mit Dublette, E-Mail-Notiz und Kundenportal zeigt Lücken früher als der echte Monatsfall.

Bauen Sie einen synthetischen Testkandidaten mit früherer E-Mail-Adresse, zwei Mandaten, einer Portalfreigabe und einer Notiz im Partnerpostfach. Starten Sie den Prozess wie bei einem echten Antrag. Prüfen Sie, welche Daten gefunden, verstanden, geschwärzt und sicher zugestellt würden.

Messen Sie nicht nur Bearbeitungstage. Erfassen Sie ungesuchte Systeme, nachträglich entdeckte Datensätze, manuelle Exportfehler, unklare Verantwortlichkeiten und temporäre Dateien nach Abschluss. Diese Werte zeigen, ob die Organisation den eigenen Datenraum tatsächlich kennt.

Software kann Suchschritte, Verknüpfungen und Freigaben konsistent machen. Sie ersetzt weder die rechtliche Auslegung noch die Prüfung von Drittinteressen. Gute Technik hält die Fragen sichtbar, die eine qualifizierte Person entscheiden muss.

Kontrollregister für eine ATS-Kandidatenauskunft

Ein kompaktes Register verbindet Friststeuerung, Systemsuche, Inhaltsprüfung und sichere Zustellung, ohne die vollständige Auskunft dauerhaft zu duplizieren.

Kontrollfeld	Nachweis im Fall	Kernfrage
Eingang und Identität	Zeitpunkt, Kanal, Prüfmethode und Ergebnis	Antworten wir der richtigen Person?
Systemsuche	Systeme, Identifikatoren, Suchende und Ergebnis	Haben wir außerhalb des ATS gesucht?
Inhaltsumfang	Datenkategorien, Quellen, Empfänger und Erläuterungen	Ist das Paket verständlich und vollständig?
Drittrechte	Fundstelle, Risiko, Schwärzung und Prüfer	Bleibt der personenbezogene Kern erhalten?
Zustellung	Format, Empfängerprüfung, Kanal und Ablauf	Kann nur die berechtigte Person zugreifen?
Folgeschritte	Berichtigung, Löschung, Einschränkung oder Widerspruch	Welche getrennte Entscheidung ist offen?

Grenzen eines ATS-Auskunftsexports

Dieser Leitfaden ist ein operatives Kontrollmodell, keine Rechtsberatung. Umfang, Identitätsprüfung, Ausnahmen und Rechte Dritter müssen anhand des konkreten Falls, der Rollenverteilung und aktueller Rechtsprechung bewertet werden.

Kein ATS kann Daten in privaten Postfächern, Kundensystemen oder nicht angebundenen Dienstleistern automatisch vollständig erfassen. Ein Export ist nur so gut wie Systemkarte, Suchdisziplin und dokumentierte Verantwortlichkeiten.

Häufige Fragen zur Kandidatenauskunft

Vier kurze Antworten für Personalberatungen, die einen technischen Export von einem vollständigen Auskunftsprozess unterscheiden möchten.

Reicht der Standardexport des ATS für Artikel 15 DSGVO?

Nicht automatisch. Prüfen Sie, ob alle relevanten Datenkategorien, Systeme, Quellen, Empfänger und Pflichtinformationen enthalten sind. E-Mail, Portale, Dateien, Integrationen und Dubletten können zusätzliche Suchschritte erfordern.

Muss eine Kandidatin eine Ausweiskopie schicken?

Nur bei begründeten Zweifeln dürfen zusätzliche Identitätsinformationen verlangt werden, und auch dann verhältnismäßig. Nutzen Sie möglichst vorhandene sichere Merkmale und erheben Sie nicht mehr Identitätsdaten als nötig.

Gehören interne Bewertungen in die Auskunft?

Bewertungen können personenbezogene Daten sein, wenn sie eine Aussage über die Person treffen. Umfang, Kontext und Rechte anderer sind konkret zu prüfen; die Bezeichnung „intern“ schließt sie nicht pauschal aus.

Wie lange darf die Arbeitskopie des Exports gespeichert bleiben?

Legen Sie für Zustellnachweis und temporäre Dateien getrennte, begründete Fristen fest. Der Nachweis kann knapp sein; eine vollständige dauerhafte Exportkopie ist nicht allein deshalb erforderlich, weil die Auskunft versendet wurde.

Offizielle Quellen zum Auskunftsrecht

DSGVO, EDSA und Datenschutzkonferenz erläutern Umfang, Fristen, Kopie, Identitätsprüfung und die praktische Umsetzung von Artikel 15.

Datenqualität und Betroffenenrechte weiter absichern

Löschnachweise für Bewerberdaten führen · Herkunft von Kandidatendaten dokumentieren · Kandidatendubletten kontrolliert zusammenführen · Recruiting-CRM für Personalberatungen ansehen

Kandidatenakten für prüfbare Prozesse strukturieren

Yena verbindet Kandidatenprofil, Beziehungshistorie, Mandate und Berechtigungen, damit geschulte Teams Auskunftsfälle systematisch suchen und kontrolliert bearbeiten können.

Yena Recruiting-CRM entdecken