KI-Bewerbung und Datenschutz: Ist der Lebenslauf-Upload sicher?

Es kommt auf den Anbieter an. Sicher ist der Upload, wenn der Anbieter seinen Sitz in der EU hat, den Serverstandort konkret nennt, mit seinen Dienstleistern Auftragsverarbeitungsverträge geschlossen hat und die KI über die kommerzielle Schnittstelle mit Datenverarbeitungsvertrag nutzt. Prüfe das in der Datenschutzerklärung, bevor du eine Datei hochlädst. Bei Karriereengel liegen Lebenslauf und Analysedaten auf Servern in Deutschland (Frankfurt am Main) und lassen sich jederzeit selbst wieder löschen; auch die Textanalyse wird in der EU-Datenzone von Microsoft verarbeitet, die Ressource liegt in Frankfurt (Azure OpenAI Service von Microsoft, EU-Datenzone, mit Auftragsverarbeitungsvertrag, ohne Training).

Laut den Vertragsbedingungen nicht. Die Textanalyse läuft über den Azure OpenAI Service von Microsoft, dessen Vertragsbedingungen die Verwendung von Kundeneingaben zum Training ausschließen; das gilt auch für die optionalen Funktionen über die OpenAI-Schnittstelle. Vorsicht ist geboten bei Tools, die im Hintergrund einen Verbraucher-Chatdienst ansprechen — dort gelten diese Zusagen nicht automatisch.

Karriereengel speichert Lebensläufe, Analysedaten und Chat-Verläufe bei Supabase in der AWS-Region Frankfurt am Main; die Anwendung selbst läuft über Vercel in Frankfurt, eigene Verarbeitungsschritte auf einem Hetzner-Server in Nürnberg. Bei anderen Anbietern lohnt der Blick in die Datenschutzerklärung: Ein deutscher Firmensitz bedeutet nicht automatisch deutsche oder EU-Server, viele Tools nutzen US-Cloud-Dienste ohne das offen zu benennen.

Die gespeicherte Kopie bleibt in Deutschland, und auch die Textanalyse wird in der EU-Datenzone von Microsoft verarbeitet, die Azure-Ressource liegt in Frankfurt am Main (Azure OpenAI Service). Optionale Funktionen wie Spracheingabe und KI-Bewerbungsfoto laufen über OpenAI auf Servern in den USA; die Ansprechpartner-Suche läuft über Google Vertex AI mit Google-Suche in einer EU-Region. Die Anbieter sind US-Konzerne; deshalb besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln, und die Eingaben werden laut Vertragsbedingungen nicht zum Training verwendet. Wer jeden Zugriff durch US-Konzerne ausschließen will, sollte vor der Nutzung eines beliebigen KI-Tools klären, welcher Anbieter im Hintergrund läuft.

An sieben Punkten: EU-Firmensitz mit ladungsfähiger Anschrift im Impressum, aktuelle und verständliche Datenschutzerklärung, konkret genannter Serverstandort, namentlich genannter KI-Dienst mit Trainings-Ausschluss, klare Löschfrist mit Selbstlöschung, erwähnte Auftragsverarbeitungsverträge und offengelegte Zahlungs- und E-Mail-Dienstleister. Fehlt mehr als einer davon, ist Vorsicht angebracht.

Bei Karriereengel jederzeit: Einzelne Analysen samt Datei, Chat-Verlauf und Anschreiben lassen sich im Dashboard löschen, das gesamte Konto in den Einstellungen, alternativ formlos per E-Mail an datenschutz@karriereengel.de. Ausgenommen sind nur Zahlungsbelege, die aus steuerrechtlichen Gründen zehn Jahre aufbewahrt werden müssen. Bei anderen Anbietern steht die Löschfrist in der Datenschutzerklärung — fehlt sie, ist das ein Warnzeichen.