Daten & Sicherheit
DSGVO- und EU-AI-Act-konform. Verarbeitung in der EU.
- Verarbeitungsregion
- EU
- Rechtsgrundlage
- DSGVO
- Matching offengelegt
- EU AI Act
- Auftragsverarbeitung
- Art. 28
- Verantwortlicher in Deutschland
- GmbH
Wie das kontrolliert wird
Konform, vertraglich geregelt und von außen geprüft.
Regulierung, nach der wir bauen
Der EU AI Act
KI im Recruiting fällt in die Hochrisiko-Kategorie des AI Act, und wir bauen danach — nicht daran vorbei. Das Matching ist automatisiert, und die Begründung wird auf jeder Shortlist offengelegt: warum jemand passt und wo nicht. Keine Einstellungsentscheidung fällt automatisch — die Shortlist ist eine Empfehlung, und ein Mensch entscheidet jedes Mal, mit wem er spricht. Die Position zu Art. 22 DSGVO steht in der Datenschutzerklärung.
Aufsicht von außen
Externer Datenschutzbeauftragter
Datenschutz ist hier nicht selbst attestiert. Ein externer Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG bestellt — die Kertos GmbH — und prüft unabhängig von den Menschen, die die Plattform gebaut haben, wie hier mit personenbezogenen Daten umgegangen wird. Die vollständigen Kontaktdaten stehen in der Datenschutzerklärung, wo eine namentlich benannte Person hingehört.
Jeder Auftragsverarbeiter arbeitet in einer EU-Region auf Grundlage eines schriftlichen Vertrags nach Art. 28 DSGVO, Standardvertragsklauseln decken jeden verbleibenden Zugriff von außerhalb des EWR ab, und die vollständige Liste der Auftragsverarbeiter ist in der Datenschutzerklärung veröffentlicht und nicht erst auf Anfrage erhältlich. Ihre Rechtsprüfung bekommt die Unterlagen zu jeder Aussage auf dieser Seite.
Im Detail
Die Fragen, die eine Rechtsprüfung stellt.
Wer ist Verantwortlicher?
Die WhyBrilliant GmbH, ein deutsches Unternehmen mit echter Adresse im Impressum. Sie schließen mit einer Gesellschaft innerhalb der EU ab, nicht mit dem Wiederverkäufer einer US-Plattform.
Wo werden Daten verarbeitet?
Innerhalb des Europäischen Wirtschaftsraums. Wir übermitteln personenbezogene Daten nicht regelmäßig außerhalb des EWR; jeder Auftragsverarbeiter ist auf seine EU-Region konfiguriert. Gelegentlicher Zugriff von außerhalb des EWR — etwa durch Support-Personal eines Anbieters — ist durch EU-Standardvertragsklauseln mit zusätzlichen technischen Schutzmaßnahmen abgedeckt.
Wer kann den Lebenslauf eines Kandidaten sehen?
Sie nicht, solange der Kandidat der Vorstellung nicht zugestimmt hat. Diese Zustimmung ist der Moment, in dem ein Unternehmen seine Kontaktdaten halten darf — und das ist im Service durchgesetzt, nicht nur in der Oberfläche. Der Lebenslauf gelangt erst in Ihr ATS, wenn Sie ihn exportieren, und nur aus einem Stadium nach der Vorstellung.
Was passiert mit unserem Briefing?
Wir nutzen es, um Ihre Stelle zu besetzen. Ihre Stelle, Ihre Anforderungen und Ihr Feedback werden nicht weitergegeben, nicht veröffentlicht und niemandem als Lead angeboten. Ihre Unternehmensdaten werden nicht zum Training eines fremden Modells verwendet.
Welche Auftragsverarbeiter sind beteiligt?
Hosting und Infrastruktur, Datenbank und Dateispeicher, die generative KI-Verarbeitung hinter Matching und Gesprächen, die Sprach-KI und der transaktionale E-Mail-Versand. Alle fünf arbeiten in ihren EU-Regionen auf Grundlage schriftlicher Verträge nach Art. 28 DSGVO. In der Datenschutzerklärung sind sie einzeln benannt, mit Zweck und Übermittlungsgarantie.
Wie lange wird etwas gespeichert?
Konto- und Profildaten, solange das Konto aktiv ist, und bis zu 48 Monate nach Schließung oder Inaktivität, um eine Reaktivierung zu ermöglichen — sofern keine frühere Löschung verlangt wird. Gesprächstranskripte und KI-Zusammenfassungen: maximal 48 Monate, rollierend. Nach der Löschung bleiben nur anonymisierte Aggregatstatistiken, die niemanden identifizieren können.
Gibt es automatisierte Entscheidungen?
Das Matching ist automatisiert, und die Begründung wird Ihnen gezeigt statt verborgen — jede Shortlist kommt damit, warum jemand passt und wo nicht. Keine Einstellungsentscheidung fällt automatisch: die Shortlist ist eine Empfehlung, und Sie entscheiden, mit wem Sie sprechen. Die Position zu Art. 22 DSGVO steht in der Datenschutzerklärung.
Welche Rechte haben Kandidaten, und wie schnell?
Den vollen Katalog nach Art. 15–22 DSGVO — Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf der Einwilligung. Anfragen gehen an die Datenschutzadresse in der Datenschutzerklärung und werden innerhalb eines Monats beantwortet, in komplexen Fällen mit Hinweis um zwei Monate verlängerbar, kostenfrei.
Mit einem Menschen sprechen
Noch Fragen? Sprechen Sie mit Yannick.
Yannick Domke, unser Founding GTM Lead, beantwortet Fragen zu Daten und Sicherheit direkt — einen AV-Vertrag, einen ausgefüllten Lieferantenfragebogen, die Liste der Auftragsverarbeiter als Dokument oder eine konkrete Frage Ihres Betriebsrats. Buchen Sie ein Gespräch, dann gehen wir es persönlich durch.