Datenschutz & DSGVO im Vendor Management: Wie sicher sind Bewerber- und Mitarbeiterdaten?

Ein Vendor Management System (VMS) bündelt genau die Daten, die datenschutzrechtlich besonders sensibel sind: Bewerber-, Mitarbeiter- und Einsatzdaten. Wer ein VMS einführt, sollte deshalb von Anfang an wissen, welche DSGVO-Pflichten gelten. Dieser Beitrag gibt einen Überblick – er ersetzt keine Rechtsberatung, schafft aber Orientierung.

Das Wichtigste in Kürze: Ein VMS verarbeitet personenbezogene Daten von Bewerbern und Zeitarbeitnehmenden im Auftrag des Kunden. Rechtlich braucht es dafür eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO, klare Löschfristen und ein Rollenkonzept. Bei stazzle liegen die Daten in Rechenzentren in Frankfurt (Deutschland/EU).

Welche Daten ein VMS verarbeitet

In einem Zeitarbeits-VMS fallen regelmäßig Daten von Kandidaten, Mitarbeitenden, Einsatzunternehmen und Ansprechpartnern an: Stamm- und Kontaktdaten, Qualifikationen, Einsatzhistorie, Verfügbarkeiten sowie Vertrags-, Abrechnungs- und Kommunikationsdaten. Für Bewerber gilt zusätzlich: Zweck, Umfang, Rechtsgrundlage, Empfänger und Speicherdauer müssen transparent mitgeteilt werden.

Datenminimierung & Speicherbegrenzung (Art. 5 DSGVO)

Zwei Grundsätze aus Art. 5 DSGVO sind zentral: Es dürfen nur Daten verarbeitet werden, die für Vermittlung, Einsatzplanung, Abrechnung oder Compliance tatsächlich erforderlich sind (Datenminimierung), und sie sind zu löschen, sobald der Zweck entfällt (Speicherbegrenzung). Gerade bei Bewerberdaten ist das relevant: Für abgelehnte Bewerbungen ist in der Praxis häufig eine Speicherfrist von rund vier bis sechs Monaten üblich, danach wird gelöscht – sofern keine längere Aufbewahrung gerechtfertigt ist.

Auftragsverarbeitung nach Art. 28 DSGVO

Betreibt ein Anbieter das VMS für seine Kunden, liegt meist eine Auftragsverarbeitung vor: Der Kunde bleibt Verantwortlicher, der Anbieter verarbeitet in seinem Auftrag. Dafür ist ein Vertrag nach Art. 28 Abs. 3 DSGVO erforderlich, der unter anderem Gegenstand, Dauer, Art, Zweck, Daten- und Betroffenenkategorien regelt – dazu Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen (TOMs), Unterstützung bei Betroffenenrechten und Datenschutzvorfällen, Regelungen zu Subunternehmern sowie Löschung oder Rückgabe der Daten nach Vertragsende.

Wichtig: Die Datenschutzkonferenz (DSK) betont, dass der Verantwortliche vor der Beauftragung prüfen muss, ob der Dienstleister hinreichende Garantien bietet – und dass Subunternehmer nur mit vorheriger Genehmigung eingesetzt werden dürfen.

Wie das in der Praxis aussieht, lässt sich am Beispiel von stazzle nachvollziehen: Für die Nutzung stellt stazzle eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 Abs. 3 DSGVO bereit, bei der der Kunde Verantwortlicher bleibt. Die Datenverarbeitung findet ausschließlich auf Servern in Deutschland statt – konkret in Rechenzentren von Amazon Web Services (AWS) und Microsoft Azure am Standort Frankfurt innerhalb der EU. Eine Übermittlung in Drittländer findet dabei nicht statt. Für Betriebe im Gesundheits- und Pflegebereich, die mit besonders sensiblen Personaldaten arbeiten, ist die Frage nach Serverstandort und AVV ein zentrales Auswahlkriterium – hier lohnt der Blick in die Datenschutzbestimmungen und die AVV des jeweiligen Anbieters.

Rollen & Berechtigungen: Wer sieht was?

Ein enges Rollen- und Berechtigungskonzept ist in der Zeitarbeit besonders wichtig, weil mehrere Parteien – Einsatzbetrieb, koordinierender Dienstleister, Sublieferanten – parallel arbeiten. Nicht jeder soll alles sehen. Bei stazzle wird das über das Berechtigungsmanagement der Nutzergruppen geregelt: Im Master-Vendor-Modell kann der koordinierende Dienstleister Anfragen bearbeiten und Kandidaten vorauswählen, während der Einsatzbetrieb entweder außen vor bleibt oder gezielt einbezogen wird. So bleibt der Datenzugriff auf das Notwendige beschränkt.

Checkliste für die VMS-Auswahl

• Liegt ein vollständiger AV-Vertrag nach Art. 28 DSGVO vor?
• Sind TOMs dokumentiert und nachvollziehbar?
• Gibt es ein granulares Rollen- und Berechtigungskonzept?
• Sind Löschfristen und Aufbewahrungsregeln klar definiert?
• Werden Subunternehmer transparent benannt und genehmigt?
• Wo werden die Daten gehostet, und wie ist der Serverstandort geregelt?

Löschfristen: Wie lange welche Daten bleiben dürfen

Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO klingt abstrakt, bis man sie in Fristen übersetzt. Die folgenden Werte sind der übliche Rahmen im Fremdpersonaleinsatz – im Zweifel entscheidet die konkrete Konstellation:

Praktisch heißt das: Ein VMS braucht keine pauschale Löschfrist, sondern getrennte Fristen pro Datenart – technisch abgebildet, nicht organisatorisch versprochen. Wer Fristen nur in einer Richtlinie regelt, hat sie nicht.

Rollen und Sichtbarkeiten: Wer sieht was?

Der wirksamste Datenschutz in einem Multi-Vendor-Setup ist kein Vertragstext, sondern ein sauberes Rollenkonzept. Entscheidend ist, dass konkurrierende Personaldienstleister sich nicht gegenseitig sehen und dass Beschäftigtendaten nur dort landen, wo sie gebraucht werden.

Art. 32 DSGVO: Was technisch nachweisbar sein muss

Technische und organisatorische Maßnahmen sind kein Anhang, sondern Prüfgegenstand. Diese Punkte sollten im Auftragsverarbeitungsvertrag benannt und im System sichtbar sein:

• Verschlüsselung im Transport und Verschlüsselung der gespeicherten Daten
• Rollenbasierte Zugriffskontrolle mit dokumentierter Rechtevergabe
• Protokollierung von Zugriffen und Änderungen, revisionssicher und auswertbar
• Trennung der Mandanten, sodass Daten verschiedener Einsatzbetriebe nicht vermischt werden
• Zwei-Faktor-Authentifizierung oder Anbindung an das eigene Identity Management
• Backup- und Wiederherstellungskonzept mit getesteten Wiederherstellungszeiten
• Prozess für Datenschutzvorfälle inklusive Meldewege nach Art. 33 DSGVO

Wie diese Anforderungen mit den Datenflüssen zusammenhängen, zeigt der Beitrag zu Integration und Schnittstellen eines VMS. Welche Compliance-Pflicht welche Funktion voraussetzt, ist im Beitrag zu den Anforderungen an ein Vendor Management System aufgeschlüsselt.

Wo Datenschutz und Compliance sich berühren

Datenschutz ist im Fremdpersonaleinsatz nie isoliert. Dieselben Nachweise, die aus Compliance-Gründen gebraucht werden, sind personenbezogene Daten – Qualifikationen, Arbeitszeiten, Einsatzdauern. Zwei Beispiele:

• Die Dokumentation der Einsatzdauer ist nötig, um die Höchstüberlassungsdauer und den Equal-Pay-Zeitpunkt zu überwachen – und gleichzeitig eine Verarbeitung von Beschäftigtendaten.
• Die Abgrenzung von Dienst- und Werkvertragskräften erfordert Nachweise zur Weisungsstruktur. Wie weit das gehen darf, ohne in die Scheinselbstständigkeit zu geraten, ist eine Frage der Prozessgestaltung, nicht der Software.

Die Regel dafür ist einfach: So viel erfassen, wie zum Nachweis der Pflicht nötig ist – und nicht mehr.

Fazit

Ein VMS macht Datenschutz nicht komplizierter – richtig eingesetzt macht es ihn sogar nachvollziehbarer, weil Zugriffe, Zwecke und Fristen an einer Stelle geregelt sind. Entscheidend sind ein sauberer AV-Vertrag, Datenminimierung und ein durchdachtes Rollenmodell. Die konkreten Datenschutzangaben zu stazzle finden Sie in unserer Datenschutzerklärung. Grundlagen zum System selbst erklärt der Beitrag Vendor Management System (VMS): Was es ist und warum Zeitarbeitsbetriebe es brauchen.

Häufige Fragen