Datenschutz bei Quoro

• Stammdaten Bewerber:innen: Name, E-Mail, Telefon, Stadt/Region, Verfügbarkeit
• Berufliche Daten: Skills, Branchen, Berufserfahrung, CV-Volltext (extrahiert aus PDF-Upload), Anschreiben
• Workflow-Daten: Interview-Termine, Outcomes, CV-Freigabe-Status pro Projekt
• Technische Daten: Embedding-Vektor des CV-Auszugs (1024 Dimensionen, auf unserem eigenen Server berechnet), Session-Cookies bei Admin-Login

Quoro nutzt genau einen KI-Anbieter: Anthropic PBC (Modell claude-opus-4-8). Verarbeitungsort ist die USA — eine EU-Region bietet Anthropic für die Modell-Verarbeitung nicht an.

Wofür wir das Modell einsetzen und was dabei übermittelt wird:

• Auslesen des Lebenslaufs (PDF-Upload): hier geht der Lebenslauf im Volltext an das Modell — einschließlich Name und Kontaktdaten. Anders geht es nicht: genau diese Felder sollen ja ausgelesen werden.
• Vorschlag für die Vorauswahl (Screening): hier geht ausschließlich ein pseudonymisiertes Profil — Berufsjahre, Branchen, Skills und ein gekürzter CV-Auszug. Name, Stadt und Land werden vorher entfernt.
• Strukturieren von Projekt-Briefings unserer Kunden.

Was die EU nicht verlässt: die semantische Ähnlichkeitssuche für das Match-Verfahren. Das dafür nötige Sprachmodell läuft auf unserem eigenen Server in Deutschland — dieser Schritt geht an keinen externen Anbieter.

Drittlandtransfer:Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Anthropic (Art. 46 (2) c DSGVO). Anthropic verwendet über die Schnittstelle übermittelte Inhalte nichtzum Training seiner Modelle. Eine endgültige Einstellungs- oder Ablehnungsentscheidung trifft immer ein Mensch — die KI gibt nur Empfehlungen (Art. 22 DSGVO).

• Auskunft(Art. 15 DSGVO) — wir liefern eine vollständige Aufstellung als Markdown- und JSON-Datei
• Berichtigung(Art. 16)
• Löschung(Art. 17) — unverzügliche endgültige Löschung inklusive aller verknüpften Datensätze
• Einschränkung(Art. 18) — Status „archiviert"
• Datenübertragbarkeit(Art. 20) — JSON-Export
• Widerspruch(Art. 21) — löst die Löschung aus
• Beschwerderecht bei der zuständigen Aufsichtsbehörde (Thüringer Landesbeauftragter für Datenschutz und Informationsfreiheit, Erfurt)

• Personal-Schwelle:Quoro beschäftigt deutlich weniger als 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten — die zentrale Bestellschwelle nach § 38 Abs. 1 Satz 1 BDSG ist nicht erreicht.
• DSFA-Pflicht:Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wurde freiwillig durchgeführt (Stand Mai 2026), um die KI-gestützten Funktionen sauber zu dokumentieren. Die daraus formal ableitbare Bestellpflicht nach § 38 Abs. 1 Satz 2 BDSG wurde im Einzelfall geprüft: die KI-Komponenten greifen unter Human-in-the-Loop (Art. 22 DSGVO), keine automatisierten Letztentscheidungen.
• Übermittlung:CV-Weitergaben an Endkunden erfolgen einwilligungsbasiert pro Einzelprojekt (Magic-Link), nicht geschäftsmäßig zum Zweck der Übermittlung im Sinne des § 38 Abs. 1 Satz 2 BDSG.