Was es ist
Die DSGVO, im Englischen GDPR, ist das EU-Gesetz, das regelt, wie personenbezogene Daten erhoben, genutzt, gespeichert und gelöscht werden dürfen. Für eine Personalvermittlung reicht das weit über den offensichtlichen Fall eines Bewerber-CVs hinaus. Es betrifft Namen, Kontaktdaten, Gehaltsvorstellungen und Interviewnotizen von Kandidaten genauso wie die Firmen- und Kontaktdatensätze, die im Business Development entstehen: Die dienstliche E-Mail-Adresse, die Durchwahl oder der Titel einer namentlich bekannten Person sind personenbezogene Daten, egal ob es sich um eine Kandidatin oder einen Hiring Manager handelt, den du gerade prospektierst.
Die Verordnung nennt Rechtsgrundlagen, auf denen die Verarbeitung überhaupt erst erlaubt ist, und zwei davon zählen am Desk am meisten. Berechtigtes Interesse ist die Grundlage, auf die sich die meisten Agenturen beim Sourcing und Matching von Kandidaten stützen, ebenso beim Anreichern von Firmen- und Kontaktdaten fürs BD, vorausgesetzt das Interesse ist real, notwendig und gegen die Rechte der betroffenen Person abgewogen. Einwilligung braucht es für alles, was über diesen Kernzweck hinausgeht, etwa den Eintrag in einen Marketing-Newsletter. Die DSGVO gilt für jede Agentur, die Daten von Personen in der EU oder dem EWR verarbeitet, unabhängig davon, wo die Agentur selbst sitzt. Für Bewerber in Deutschland kommt zusätzlich § 26 BDSG zum Tragen, der die Verarbeitung im Beschäftigungskontext regelt.
Eine CV-Datenbank ist erst dann ein Asset, wenn du sagen kannst, warum du sie halten darfst, und wie lange.
Warum es zählt
Eine CV-Datenbank ist kein neutrales Asset, sondern ein Bestand personenbezogener Daten, den du begründen, so klein wie möglich halten und irgendwann löschen musst. Die DSGVO selbst legt keine feste Aufbewahrungsfrist fest, verlangt aber einen dokumentierten Grund für die Dauer, die du wählst. In der Praxis läuft das in Deutschland oft auf sechs Monate nach einer Absage hinaus, orientiert an den Fristen für eine mögliche AGG-Klage, während für Kandidaten, die du bewusst warm in einem echten Talent Pool hältst, eher zwei bis drei Jahre ab dem letzten inhaltlichen Kontakt vertretbar sind, nie unbegrenzt als Standard.
Kandidaten und Kontakte haben außerdem ein Recht auf Löschung. Eine Anfrage muss innerhalb einer festgelegten Frist beantwortet werden, und sie muss überall greifen, wo der Datensatz existiert, nicht nur im führenden CRM oder ATS. Genau hier erhöhen KI-Tools das Risiko, statt es zu senken: Ein Enrichment- oder Scraping-Tool, das Namen, Titel und Kontaktdaten ohne definierten Zweck oder über das hinaus sammelt, was eine konkrete Aufgabe wirklich braucht, schafft ein Risiko, das beim manuellen Nachschlagen, Kontakt für Kontakt, in diesem Ausmaß gar nicht entstand. Die Lösung ist nicht, auf Automatisierung zu verzichten, sondern sicherzustellen, dass Rechtsgrundlage, Datenminimierung und Nachweisbarkeit tragen, egal wer, oder was, die Daten gesammelt hat.
Wie boilr das übernimmt
boilr reichert nur Unternehmen und Kontakte an, die zu deinem ICP passen oder innerhalb eines aktiven Signals liegen, nicht das gesamte Internet. Datenminimierung steckt damit im Targeting selbst, statt nachträglich aufgesetzt zu werden. Was angereichert wird, landet im Company Brain statt verstreut in einem Dutzend Tabellen und Browser-Tabs, sodass es einen einzigen Ort gibt, an dem du siehst, was zu einem Account vorliegt und warum es gesammelt wurde.
Nichts, was boilr entwirft, erreicht eine Kandidatin oder einen Kundenkontakt, bevor ein Consultant es geprüft hat, was deinem Desk einen menschlichen Kontrollpunkt gibt, bevor ein veralteter, zu weit gefasster oder schlicht falscher Datensatz zu Outreach wird. Trotzdem bleibt boilr ein Werkzeug, keine Datenschutzbeauftragte: Deine Agentur bleibt Verantwortlicher im Sinne der DSGVO, zuständig für die eigene Rechtsgrundlage, die Löschfristen und die Beantwortung von Auskunfts- oder Löschanfragen. Die Guardrails, die Prüfschritte und das Company Brain geben dir die Übersicht, um diese Fragen schnell zu beantworten, sie ersetzen nicht, dass du sie beantwortet haben musst.
