Rekrutierung in der Schweiz: nDSG/DSGVO-konform ohne Excel-Chaos

Rekrutierung ist einer der wenigen Geschäftsprozesse, bei dem ein Schweizer KMU sensible Personendaten von Menschen bearbeitet, die noch keine Mitarbeitenden, noch keine Kundinnen und Kunden und durch keinerlei Vertrag an das Unternehmen gebunden sind. Jeder Lebenslauf, jedes Begleitschreiben, jede Interviewnotiz gilt als Personendaten im Sinne des revidierten Datenschutzgesetzes (revDSG) – und befindet sich die bewerbende Person in der EU oder im EWR, kommt zusätzlich die DSGVO zur Anwendung. Trotzdem läuft der gesamte Bewerbungsprozess in vielen kleinen Unternehmen nach wie vor über ein gemeinsames Postfach, eine Excel-Tabelle und einen Ordner voller PDFs, die niemand je aufräumt.

Genau in dieser Lücke zwischen gesetzlichem Anspruch und gelebter Praxis entsteht das Risiko. Im Folgenden zeigen wir, worauf es ankommt – und wie ein durchdachter Rekrutierungsprozess diese Lücke schliesst.

Was das Schweizer Recht von Bewerbungsdaten tatsächlich verlangt

Das revDSG verlangt, dass Personendaten zu einem klar umrissenen Zweck erhoben, nicht länger als nötig aufbewahrt und vor unberechtigtem Zugriff geschützt werden. Für die Rekrutierung bedeutet das konkret:

Einwilligung und Transparenz — Bewerbende sollten wissen, was mit ihrer Bewerbung geschieht, und bestätigen können, dass sie tatsächlich selbst die Bewerbung eingereicht haben.
Datenminimierung und Aufbewahrungsfristen — Lebensläufe und Motivationsschreiben abgelehnter Kandidatinnen und Kandidaten dürfen nicht unbegrenzt "zur Sicherheit" im Postfach liegen bleiben.
Rechenschaftspflicht — Fragt eine abgelehnte Person nach, welche Daten Sie über sie gespeichert haben und weshalb, brauchen Sie eine Antwort – kein Achselzucken.
Faire, nachvollziehbare Entscheidungen — Setzen Sie ein automatisiertes Scoring oder Ranking ein, müssen Sie dessen Funktionsweise erklären können und technische Fehler erkennen, statt sie stillschweigend als Absage zu werten.

Nichts davon ist aussergewöhnlich. Es ist dieselbe Logik, die auch für Kundendaten unter dem DSG gilt – sie wird im Recruiting nur selten konsequent angewendet, weil der Bewerbungsprozess informell wirkt, obwohl er es rechtlich nicht ist.

Wo manuelle Rekrutierungsprozesse Risiken schaffen

Ein Vorgehen mit Excel und E-Mail scheitert meist auf dieselbe, vorhersehbare Weise:

Bewerbungen gehen aufgrund von Tippfehlern oder durch Bots ein, und niemand prüft, ob die E-Mail-Adresse wirklich zu einer echten Person gehört, bevor deren Daten in den Prozess gelangen.
Lebensläufe und persönliche Angaben werden zwischen Recruiterinnen und Fachverantwortlichen hin- und hergeleitet, wodurch sich sensible Daten an immer mehr Orten befinden.
Dossiers abgelehnter Personen werden nie gelöscht oder anonymisiert – nicht aus böser Absicht, sondern weil niemand dafür zuständig ist.
Bearbeiten zwei Personen gleichzeitig dieselbe Pipeline, überschreiben sich ihre Notizen gegenseitig, und es ist unklar, wer was mitgeteilt hat.
Erfolgt das Scoring oder die Vorauswahl informell, gibt es keine Dokumentation, weshalb eine Person weiterkam oder nicht.

Einzeln betrachtet wirken das wie kleine Ineffizienzen. In der Summe ist es genau das Muster, das bei einer Datenschutzprüfung oder einem Auskunftsbegehren einer bewerbenden Person ans Licht kommt.

Wie das Flitz Recruitment-Modul Compliance von Anfang an mitdenkt

Flitz behandelt Rekrutierung von der ersten Interaktion an als regulierten Datenprozess – nicht als nachträglich angeflanschtes Kanban-Board.

Bewerbungen mit Double-Opt-in

Jede bewerbende Person muss ihre Bewerbung zunächst über einen per E-Mail zugestellten Link bestätigen, bevor diese überhaupt in die Pipeline oder ins KI-Screening gelangt. So werden Tippfehler und Bot-Einreichungen herausgefiltert, bevor deren Daten überhaupt bearbeitet werden – eine praktische Umsetzung der Datenminimierung.

Transparentes, ehrliches KI-Screening

Bestätigte Bewerbungen werden automatisch anhand der Stellenbeschreibung bewertet. Entscheidend: Schlägt der KI-Aufruf aus irgendeinem Grund fehl, wird die Bewerbung zur manuellen Prüfung markiert – sie erscheint nie stillschweigend mit einem falschen Score von null. Das ist für Fairness und Nachvollziehbarkeit zentral: Niemand soll durch einen Systemfehler benachteiligt werden, der wie eine Absage aussieht.

Konfliktgeprüfte Pipeline, eine einzige Wahrheit

Die Kanban-Pipeline lässt sich pro Stelle konfigurieren, und jede Drag-and-Drop-Bewegung wird auf Konflikte geprüft, sodass sich zwei Recruiterinnen nicht gegenseitig überschreiben. Interviewtermine, Lebenslauf und KI-Score befinden sich alle im selben Bewerbungsdatensatz – keine verstreuten Kopien in Postfächern und Tabellen mehr.

Absagen nach Ihren Regeln

KI-generierte Absage-E-Mails können standardmässig automatisch verschickt oder zur Prüfung und Bearbeitung durch Recruiterinnen zurückgehalten werden – pro Mandant konfigurierbar. So oder so erhält jede abgelehnte Person eine zeitnahe, dokumentierte Rückmeldung statt Funkstille.

Eingebauter Datenlebenszyklus

Das ist der Punkt, den die meisten KMU komplett übersehen: Abgelehnte oder zurückgezogene Bewerbungen werden nach sechs Monaten automatisch anonymisiert. Die Daten eingestellter Personen gehen nahtlos in die reguläre Personalakte über. Niemand muss daran denken, einen Ordner aufzuräumen – die Aufbewahrungsregel wird vom System selbst durchgesetzt, und genau so sieht ein auditfähiger Prozess aus.

Eine öffentliche Karriereseite ohne Anbieter-Wildwuchs

Jeder Mandant erhält eine eigene, gebrandete Karriereseite mit Stellenausschreibungen — inklusive optionaler Lohnspanne, Remote-Kennzeichnung und einer stabilen Referenznummer JOB-XXXXXX, auf die Bewerbende bei Rückfragen verweisen können. Das ersetzt Tools wie Personio, Recruitee oder Workable, ohne Bewerberdaten an einen weiteren externen Anbieter zu exportieren — was die datenschutzrechtliche Angriffsfläche zusätzlich verkleinert: weniger Auftragsverarbeiter, weniger Datenübermittlungsvereinbarungen, weniger Stellen, an denen etwas schiefgehen kann.

Compliance als Nebeneffekt eines guten Prozesses

All das braucht weder eine Compliance-Verantwortliche noch eine juristische Prüfung jeder einzelnen Einstellung. Es braucht einen Rekrutierungsprozess, bei dem Einwilligung, Aufbewahrung, Fairness und Nachvollziehbarkeit bereits im Standardablauf verankert sind — sodass das Richtige zu tun zugleich der einfachste Weg ist. Für ein Schweizer KMU ohne eigene Recruiting- oder Rechtsabteilung ist das die einzige Art von Compliance, die wirklich im Alltag bestehen bleibt.