Vertraulichkeit im Datenzeitalter

Diskretion, Data Privacy, Vertraulichkeit, Datenschutz ... alles Herzstücke professionellen Recruitings. Die Frage ist: Wie erfüllt man das Versprechen im stressigen Tagesgeschäft und unter Zeitdruck mit Leben? Wie wahrt man dabei die Convenience und User Experience? Und welche Erwartungen haben die unterschiedlichen Seiten?

Letztlich bin ich überzeugt davon, dass der Grundstein dafür nicht nur in der Haltung zum Thema ist, sondern beim Design der Abläufe mitgedacht werden muss. Datenschutz darf keine spontane Ja/Nein-Entscheidung sein.

Worum geht es eigentlich?

Des Pudels Kern: Wer sieht welche Information zu welchem Zeitpunkt, wo liegt sie, wann verschwindet sie, wen erreicht sie, wer spricht darüber und wie wird sie wieder vergessen?

Im Anwendungsfall der Personalsuche und -auswahl geht es um folgende drei Punkte:

• Vertrauliche Informationen über das Unternehmen (Daten, Fakten, Pläne) und über Menschen, die in diesem Unternehmen arbeiten.

  
  

• Sensible Informationen über Kandidaten, das beginnt bei den basalen persönlichen Daten und geht bis zur tiefen Auswertung eines Management Audits.

  
  

• Informationen über den Prozess: Suchgrund, Wechselinteresse, Termine, Entscheidungen.

Beide Seiten legen etwas aktiv offen, das ihnen potentiell schaden kann. Auch wenn wir nicht von einem Schädigungsinteresse ausgehen, werden darüber hinaus unwillkürlich und ohne Absicht Signale an Markt, Mitbewerber, bestehende Workforce etc. gesendet, die in der falschen Konstellation zu Problemen führen können. Und ja, bei persönlichen Karrierethemen menschelt es besonders, ebenso wie bei Führungskräften. Gleichzeitig gibt es so etwas wie überwiegende Interessen, die einer zu restriktiven Handhabung, einer sofortigen Löschung etc. entgegenstehen.

Privacy by Design

Vertraulichkeit, die von der Verlässlichkeit einzelner Personen abhängt, ist Glückssache. Sie hält, solange niemand in Eile ist, niemand eine Vertretung braucht, niemand gekränkt oder frustriert ist. Belastbar wird sie erst, wenn sie zur Regel wird: Diese Prozesse muss man sich aber zuerst überlegen und sie technisch umsetzen, was in der immer anspruchsvolleren und fragmentierteren IT-Infrastruktur- und Tool-Landschaft schwierig ist.

Der wirksamste Schutz für einen Datensatz ist, ihn nicht zu erheben. Aber das ist nicht das Ende des Arguments...

Was nie erhoben wurde, kann nicht abfließen, nicht weitergeleitet, nicht vergessen werden. In der Praxis heißt das: Nur entscheidungsrelevante Informationen werden erhoben. Es geht nicht um Interesse oder Neugier, sondern um den Zweck der Erhebung. Demgegenüber steht der zutiefst menschliche Wunsch nach Anschluss, persönlicher Beziehung, etc, ein Spagat, der nicht so einfach aufzulösen ist.

Für mich steht folgende Regel im Fokus: Ein klarer Hinweis, welche Informationen für die Auswahlentscheidung zwingend sind. Dies auf Basis eines Kriterienkataloges, der gemeinsam definiert wird. Alles, was darüber hinaus bekanntgegeben wird, ist freiwilliges Add-on.

Damit dieser Zugang allerdings funktioniert, bedarf es einem Prozess auf Augenhöhe und keinem (gefühlten) Machtgefälle. Denn es gibt auch so etwas wie impliziten Zwang. Das gilt nicht nur für die Kandidatenseite. Auch bei Unternehmen besteht der Druck, viel preiszugeben und dies früh und ohne Formalität zu tun. Es könnte schließlich die Chancen erhöhen, interessante Kandidaten für sich zu gewinnen.

Tiefgehende Analysen nur bei Schlüsselrollen

Die Tiefe der Diagnostik muss zur Rolle passen, nicht zum Budget und nicht zur Gewohnheit. Bei C-Level und kritischen Schlüsselrollen ist ein Management Audit gerechtfertigt, weil die Fehlbesetzung ein Vielfaches kostet und weil die Entscheidung über Jahre prägend ist. Zwei Ebenen darunter leistet ein strukturiertes Interview mit klaren Kriterien dasselbe, ohne einen Datenbestand zu erzeugen, für den es danach keinen Zweck mehr gibt. Aufsichtsbehörden argumentieren nach derselben Logik.

Und was tatsächlich erhoben wird, gehört in eine andere Kategorie als der Lebenslauf. Auditergebnisse, Persönlichkeitsprofile und Referenzfeedback brauchen ein eigenes Schutzniveau, eigene Zugriffsrechte und eine eigene Löschfrist. Aus meiner Sicht gehört noch etwas dazu: Wer eine tiefe Analyse über sich zulässt, soll das Ergebnis auch selbst bekommen. Das ist der Teil von Augenhöhe, der vielleicht Zeit kostet, aber Vertrauen bildet.

Invest in Infrastruktur

Vertraulichkeit ist eine Investitionsentscheidung: Rechteverwaltung, verschlüsselte Übermittlung, Login-Mechanik, Passwort-Rollierung, Protokollierung, automatisierte Löschfristen, Prozessownership. Die Alternative ist das persönliche Postfach als Archiv, das geteilte Laufwerk ohne Struktur, die gewachsene Excel-Liste, der Messenger für schnelle Abstimmung.

Eine kleinere Struktur ist dabei kein Argument für niedrigere Standards, das haben wir uns selbst auch so auferlegt. Auch aus Eigeninteresse, denn die Konsequenz einer Panne ist für eine Boutique größer, weil das ganze Geschäftsmodell auf Vertrauen fußt. Wer in diesem Markt end-to-end mit Entscheidern arbeitet, kann sich die Infrastruktur nicht beliebig zusammenschustern.

Ein geprüftes Toolset verbindet UX mit Data Privacy

Die Spannung zwischen Convenience und Datenschutz ist ein Zielkonflikt, der oft noch durch Transparenzpflichten erweitert wird.

Wer einem Top-Kandidaten ein Portal mit Registrierung, Passwortregeln und Bestätigungsmail zumutet, bekommt am Ende öfter ein „No“. Wer umgekehrt alles per Whatsapp verschickt und kreuz und quer ablegt, hat Convenience und kein Schutzniveau.

Geprüftes Toolset heißt deshalb: wenige Werkzeuge, bewusst ausgewählt, vertraglich geregelt, für alle Beteiligten granular nutzbar. Schatten-IT und Workarounds entstehen oft aus Komfortbedürfnis und noch viel öfter aus Mangel an Alternativen und fehlender Beschäftigung mit dem Thema. Von Beginn weg das Bewusstsein dafür zu schärfen, dass rasche Iterationen auch immer eine Kehrseite mit sich bringen, ist somit essentiell.

Ein kleiner Kreis ist eine bewusste Entscheidung

Jede Weitergabe erzeugt eine Kopie, und jede Kopie ist ein eigenes Risiko. Wie viele Menschen eine Information sehen (müssen), ist eine Vertraulichkeitsfrage. Aus meiner Erfahrung:

Es lohnt sich, nachzufragen, warum jemand Zugriff auf ein Dokument haben sollte. Oft ist die Antwort Gewohnheit oder Bequemlichkeit.

Das gilt intern wie in der Zusammenarbeit mit externen Partnern und in unserem Fall mit Auftraggebern. Der Kreis wird namentlich festgelegt, nicht rollenbasiert im Vagen gelassen, und er wird erweitert, wenn es nötig ist, nicht wenn es bequem ist. Ein kleiner Kreis ist ein leiser Kreis.

Aggregieren ist angesagt

Der Auftraggeber hat Anspruch auf Transparenz über den Projektstand, nicht auf einzelne Namen. Solange ein Kandidat den Auftraggeber nicht kennt und der Weitergabe nicht zugestimmt hat, wird aggregiert berichtet. Das ist in den meisten Fällen auch relevanter, als viele erwarten: vier Ansprachen im Zulieferumfeld, zwei Absagen wegen Standort, ein Gehaltsband deutlich über Plan. Das ist die Grundlage, auf der man ein Suchprojekt steuert. Ein Klarname ist es nicht.

Tatsächlich ist der verdichtete Marktbefund Teil des eigentlichen Produkts. Vierzig Gespräche werden zu einer belastbaren Aussage über Verfügbarkeit, Preis und Attraktivität des Angebots, und die hilft bei der Entscheidung mehr als eine Longlist mit Namen. Aggregation schützt am Ende auch den Auftraggeber: Ein anonymisierter Bericht, der in einer Gremiumsmappe liegen bleibt, richtet deutlich weniger Schaden an als eine namentliche Longlist.

Auftraggeber & Kandidaten im richtigen Moment auf Datenschutz verpflichten

Beim Timing wird der meiste Wirkungsgrad verschenkt. Zu früh wirkt die Verpflichtung bürokratisch und bremst das Gespräch, zu spät ist sie wirkungslos, weil die Information längst geflossen ist. Auf Auftraggeberseite liegt der Moment vor dem ersten inhaltlichen Briefing, denn dort kommen Suchgrund, Zahlen und Personalien auf den Tisch. Auf Kandidatenseite liegt er zweigeteilt: Information beim Erstkontakt, wer was wie lange verarbeitet, und Zustimmung zur Weitergabe erst dann, wenn klar ist, an wen.

Ein Missverständnis begleitet das regelmäßig: Die Personalberatung ist kein Auftragsverarbeiter, der Datenschutz im Paket mitliefert. Beide Seiten sind eigenständig verantwortlich. Mit dem Mandat kauft niemand Compliance ein. Deshalb wird vereinbart, wer beim Auftraggeber Zugriff hat, über welchen Kanal Unterlagen laufen und wann sie gelöscht werden. Nicht als Misstrauensbeweis, sondern weil beide dasselbe Risiko tragen.

Bewusstseinsbildung durch Prozessverantwortliche

Regeln, die niemand erklärt, werden umgangen. Dafür ist nicht die IT zuständig und kein Hinweis in der Signatur, sondern die Person, die den Prozess führt. Bei uns ist das der Senior Berater, und die Arbeit besteht aus drei kurzen Ansagen: beim Kick-off, wie berichtet wird und warum zunächst ohne Namen. Beim Erstkontakt, was mit den Daten passiert. Im Entscheidungsgremium, dass Unterlagen dort bleiben, wo sie hingehören.

Das Ziel: Die Erwartung setzten, bevor Routinen dazwischenfunken können.

Intern gilt dasselbe: Wer im Projekt mitarbeitet, muss wissen, warum ein Werkzeug freigegeben ist und ein anderes nicht. Technik ersetzt keine Verantwortung.

Die sensibelste Information ist nicht der Lebenslauf

Über sensible, persönliche Daten wird viel gesprochen, über Auftraggeberdaten kaum. Dabei ist die heikelste Information in vielen Mandaten die Antwort auf die Frage, warum gesucht wird. Der Amtsinhaber soll gehen, weiß es aber noch nicht. Die Übergabe in der Familie ist strittig. Die Bank hat Auflagen gemacht. Der Verkauf wird vorbereitet. Die interne Lösung ist gescheitert.

Dazu kommt ein Effekt, der in großen Beratungshäusern meiner Meinung nach stärker reflektiert werden muss: In der Summe entsteht eine Sammlung, die brisanter ist als das einzelne Mandat, nämlich die Lage von Dutzenden Unternehmen aus derselben Region und teils derselben Branche. Daraus folgt eine unbequeme Selbstverpflichtung: kein Namedropping, keine Referenzliste ohne Freigabe, keine Anekdoten im Neugeschäft. Wer im Erstgespräch mit Interna anderer Auftraggeber punktet, erklärt gerade, wie er mit Ihren umgehen wird.

NDAs von Beginn an mitdenken

Der übliche Ablauf ist verkehrt: erst briefen, dann über Geheimhaltung sprechen. Deshalb gehört die Vertraulichkeitsvereinbarung in das Angebot, gegenseitig, und sie regelt den Personenkreis, die Zweckbindung, die Behandlung von Unterlagen, Rückgabe oder Löschung nach Projektende, die Geltung über das Mandat hinaus und den Umgang mit eingesetzten Dritten.

Dafür gibt es ein Argument, das über Vertrauen hinausgeht. Ein Geschäftsgeheimnis ist rechtlich nur geschützt, wenn sein Inhaber angemessene Geheimhaltungsmaßnahmen getroffen hat, so steht es seit der Umsetzung der EU-Geschäftsgeheimnis-Richtlinie im UWG. Wer Nachfolgeplanung, Zahlen oder Trennungsabsicht ohne jede vertragliche Absicherung an einen Dienstleister gibt, riskiert im Streitfall nicht nur die Diskretion, sondern den Schutzanspruch. Ein NDA, das erst geschlossen wird, wenn etwas passiert ist, dokumentiert nur das Versäumnis.

Kandidatenseitig ist Maß gefragt. Sobald es an Zahlen, Strategiepapiere oder die Situation des Amtsinhabers geht, ist eine Vereinbarung angebracht, und zwar eine kurze, lesbare, auf den Anlass beschränkte. Zwölf Seiten mit Konkurrenzklausel-Anhang vor dem Erstgespräch beenden den Prozess, bevor er begonnen hat.

Gegenseitigkeit der Informationsfreigabe

Offenheit ist keine Bringschuld einer Seite. Wer vom Kandidaten den vollständigen Werdegang, Gehaltshistorie, Wechselmotive und Referenzen verlangt und selbst nichts über Suchgrund, Vorgeschichte und Erwartungen sagt, verliert am Ende das Vertrauen. Ein Level Playing Field entsteht durch Schrittfolge: Wechselmotiv gegen Suchgrund, Gehaltsvorstellung gegen Rahmen, Referenzen gegen Zugang zu Eigentümern und Gremium. Jede Freigabe zieht die nächste nach sich, und beide Seiten können jederzeit aussteigen, ohne das Gesicht zu verlieren.

Die Gegenrichtung wird dabei gern übersehen. Wenn ein Kandidat im Interview Deckungsbeiträge, Kundenlisten oder Preisstrategien seines aktuellen Arbeitgebers ausbreitet, ist das kein Beleg für Offenheit, sondern ein Warnsignal. Solche Informationen gehören nicht in den Bericht und nicht in das Gespräch mit dem Auftraggeber. Wer die Vertraulichkeit seines heutigen Arbeitgebers nicht wahrt, verrät viel – im doppelten Sinn.

KI professionell aufsetzen

Der Lebenslauf, der zur schnellen Zusammenfassung in ein frei zugängliches Sprachmodell kopiert wird, ist derzeit die häufigste undichte Stelle im Recruiting. Das Werkzeug ist nicht das Problem, die ungeregelte Nutzung ist es. Administrieren heißt: freigegebene Anwendungen, keine Nutzung zu Trainingszwecken, geklärte Vertragslage, definierte Anwendungsfälle und eine dokumentierte menschliche Entscheidung am Ende.

Der Rahmen dafür ist absehbar. Die KI-Verordnung ordnet Systeme, die über Bewerberauswahl mitentscheiden, ausdrücklich der Hochrisiko-Kategorie zu; die Fristen wurden zuletzt nach hinten verschoben, die Erwartungshaltung von Kandidaten nicht.

Und noch ein Punkt, von dem ich ein großer Fan bin: offen sagen, wo KI im Prozess mitwirkt. Wer das transparent macht, vermeidet unausgesprochene Annahmen.

Zwischen den Zeilen

Vertraulichkeit hat eine Ebene, die kein Tool abdeckt. Ein Inserat kann eine Reorganisation verraten, bevor sie kommuniziert ist. Eine Ansprache kann durch die Kombination aus Branche, Größe und Region erkennbar machen, wer sucht. Ein Beraterwechsel wird im Markt gelesen. Wer diese Signale nicht mitdenkt, hält rein formal jede Regel ein.

Auf der Hörseite ist es die gleiche Aufmerksamkeit: Was ein Kandidat nicht sagt, warum jetzt, welches Zeitfenster wirklich gilt. Was ein Auftraggeber auslässt, wenn er erklärt, warum der Vorgänger gegangen ist. Und es gibt für mich einen Satz, der besser ist als jede Andeutung: Das kann ich Ihnen zu diesem Zeitpunkt nicht sagen. Wer andeutet, gibt die Information trotzdem preis, verliert an Kontrolle und Professionalität.

Krisenmanagement & Offenheit

Irgendwann passiert es. Der falsche Empfänger im Verteiler, das verlorene Gerät, der weitergeleitete Bericht, die indiskrete Bemerkung im Gremium. Dann entscheidet nicht die Frage, ob man Regeln hatte, sondern wie schnell und wie offen reagiert wird: informieren, wer betroffen ist, Fakten benennen, Wirkung begrenzen, dokumentieren. Die prioritäre Frage ist nicht, wer schuld ist.

Ein Kandidat, der proaktiv informiert wird, dass seine Unterlagen falsch adressiert oder Sperrvermerke nicht berücksichtigt wurden, bleibt ansprechbar und in vielen Fällen im Prozess. Einer, der es selbst herausfindet, ist als Kandidat und als Kontakt verloren, und er erzählt es weiter.

Vergessen trainieren

Löschen ist ein Prozess, keine Einzelentscheidung. Ohne Frist, Verantwortlichen und Automatisierung bleibt alles liegen, und zwar für immer. Für Bewerberdaten gibt es in Österreich einen praktikablen Anker: Ansprüche nach dem Gleichbehandlungsgesetz können binnen sechs Monaten geltend gemacht werden, dazu kommt ein Monat für den Klageweg.

Alles darüber braucht einen eigenen Grund: eine Einwilligung für den Talentpool, offene Verjährungsfristen, steuerliche Aufbewahrungspflichten. Und Löschen heißt löschen, also auch im Backup, auf dem Mobilgerät, in der Notizenapp, im Downloads-Ordner und in der Kopie beim Auftraggeber. All das spricht wieder für ein straffes, schlankes und kontrollierbares Toolset.

Vertraulichkeit ist damit am Ende kein Versprechen, das man abgibt, sondern eine Eigenschaft, die von jemandem systematisch in einen Prozess „hineingedacht“ und in vielen Fällen hineinverhandelt werden muss.