Zoho Recruit

Beim Laden des Zoho Recruit Widgets werden Erst und Drittanbieter Cookies auf den Domains zoho.com, zoho.eu und zohopublic.com gesetzt, darunter CSRF Tokens, JSESSIONID, ZCAMPAIGN_CSRF_TOKEN und der Authentifizierungs Cookie iamcsr. Die Plattform liest außerdem die IP Adresse, den User Agent und den Referrer der Besucherin. Bei einer Bewerbung verarbeitet Zoho den vollständigen Lebenslauf, die Kontaktdaten, den beruflichen Werdegang, Referenzen und alle hochgeladenen Dateien. Dokumente wie Pass oder Aufenthaltstitel können besondere Datenkategorien im Sinne von Art. 9 DSGVO enthalten.

Ja. Die Cookies und Remote Ressourcen von Zoho Recruit sind für die Unternehmenswebsite nicht unbedingt erforderlich. § 25 TDDDG, Art. 5(3) ePrivacy Richtlinie sowie die Orientierungshilfe der DSK verlangen daher eine vorherige, informierte und freiwillige Einwilligung. Das script Tag muss blockiert bleiben, bis die Besucherin aktiv die Kategorie Recruiting oder Funktional bestätigt. Vorangekreuzte Felder oder die bloße Weiternutzung gelten nicht als wirksame Einwilligung. Der Widerruf muss genauso einfach möglich sein wie die Erteilung.

Die Cookie und Tracking Ebene stützt sich auf Art. 6(1)(a) DSGVO (Einwilligung) in Verbindung mit Art. 5(3) ePrivacy. Die eigentliche Bewerbungsverarbeitung beruht meist auf Art. 6(1)(b) DSGVO (vorvertragliche Maßnahmen). Im Beschäftigungskontext erlauben Art. 88 DSGVO und § 26 BDSG zusätzliche Garantien. Art. 9 greift, wenn Bewerbende Gesundheits oder biometrische Daten hochladen. Soll der Lebenslauf über die konkrete Stelle hinaus in einem Talent Pool bleiben, ist die ausdrückliche Einwilligung die belastbarste Grundlage.

Ja, potenziell. Die Zoho Corporation hat ihren Sitz in Indien und betreibt Rechenzentren in den USA, Indien, Australien und der EU (Dublin und Amsterdam). Der Tenant Administrator wählt die Region bei der Registrierung. Selbst bei EU Region können Supportingenieure außerhalb des EWR auf Mandantendaten zugreifen, was nach Schrems II als Folgeübermittlung gilt. Schließen Sie das Zoho Datenverarbeitungsabkommen ab, nutzen Sie die EU Standardvertragsklauseln 2021 und führen Sie ein Transfer Impact Assessment durch, das Verschlüsselung, Zugriffsbeschränkungen und Audit Logging dokumentiert.

Eine DSFA ist empfehlenswert, sobald Zoho Recruit in großem Umfang eingesetzt wird, automatisiertes Screening, Scoring oder KI gestütztes Matching erfolgt, sensible Dokumente hochgeladen werden oder Bewerberdaten den EWR verlassen. Die DSK Muss Liste und die EDSA Kriterien stufen automatisierte Bewertung von Personen, umfangreiche Verarbeitung und innovative Technologien als Auslöser ein. Die DSFA dokumentiert Datenflüsse, Rechtsgrundlage, Aufbewahrungsfristen, Empfängerkategorien, den Anteil menschlicher Kontrolle und die Schutzmaßnahmen bei internationalen Übermittlungen.

Blockieren Sie das Widget standardmäßig in Ihrem Consent Management Tool unter einer Kategorie Recruiting. Laden Sie das script Tag erst nach aktiver Zustimmung. Veröffentlichen Sie auf jeder Stellenanzeige eine Bewerberinformation, die Zoho als Auftragsverarbeiter, die Rechenzentrumsregion, die Aufbewahrungsfrist abgelehnter Bewerbungen und die Logik einer automatisierten Vorauswahl benennt. Aktivieren Sie in Zoho Zwei Faktor Authentifizierung für jedes Recruiter Konto, schränken Sie Exportrechte ein und konfigurieren Sie automatische Löschregeln.

In Europa gehostete Bewerbermanagementsysteme sind unter anderem Teamtailor (Schweden), Recruitee (Niederlande), SmartRecruiters EU Instanz, Greenhouse mit EU Datenresidenz, Personio (Deutschland) und das Welcome to the Jungle ATS (Frankreich). Alle speichern Bewerbungen im EWR, schließen ein DSGVO konformes Auftragsverarbeitungsverhältnis ab und bieten rollenbasierte Zugriffe. Der Compliance Gewinn hängt vor allem davon ab, einen Anbieter mit EU Speicherung, transparenter Subunternehmerliste und einem Schrems II tauglichen Übermittlungsmechanismus für Supportzugriffe außerhalb des EWR zu wählen.

Fügen Sie einen Abschnitt ein, der Zoho Corporation als Drittanbieter benennt, die auf zoho.com, zoho.eu und zohopublic.com gesetzten Cookie Familien mit Zweck und Laufzeit auflistet und darauf hinweist, dass das Widget bis zur Einwilligung blockiert bleibt. Die Bewerberinformation muss zusätzlich Rechtsgrundlage (Art. 6(1)(b) und Art. 88 DSGVO, § 26 BDSG), Empfängerkategorien bei Zoho, Rechenzentrumsregion, Aufbewahrungsfrist, Übermittlungsmechanismus (SCC und ergänzende Maßnahmen) sowie die Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch enthalten.