Mandantenfähigkeit im Recruiting bedeutet, dass eine Recruiting-Software die Daten mehrerer Mandanten in einem System verwaltet und dabei sauber trennt. Mandanten können Endkunden einer Personalvermittlung sein, Tochtergesellschaften eines Konzerns oder einzelne Geschäftsbereiche. Für Personalvermittlungen, RPO-Anbieter und Body-Leasing-Unternehmen ist diese Trennung keine technische Kleinigkeit. Sie entscheidet darüber, ob Stellenprofile, Konditionen und Kandidateneinreichungen eines Kunden für andere Kunden unsichtbar bleiben und ob Sie Ihre Datenverarbeitung gegenüber Kunden und Aufsichtsbehörden belegen können. Dieser Leitfaden erklärt, wie die Trennung funktioniert, welche Rollenkonzepte sich bewährt haben und welche Anforderungen deutsche Datenschutzbehörden formulieren.

Kurz gesagt

• Definition: Mandantenfähige Software verwaltet Daten verschiedener Mandanten auf gemeinsamer Infrastruktur, aber logisch getrennt. Unzulässige Zugriffe über Mandantengrenzen hinweg dürfen technisch nicht möglich sein.

• Vier Ebenen der Trennung: Daten, Verarbeitungsfunktionen, Zugriffsberechtigungen und Konfiguration müssen je Mandant eigenständig festgelegt werden können.

• Rollen statt Vertrauen: Rechte werden rollenbasiert und nach dem Prinzip der minimalen Berechtigung vergeben, Kundenprojekte erhalten eigene Sichtbereiche.

• Verantwortung bleibt: Wer eine Cloud-Software nutzt, bleibt für die Datenschutzkonformität verantwortlich. Prüfen Sie deshalb Trennung, Protokollierung und Auftragsverarbeitungsvertrag.

• Gemeinsamer Kandidatenpool: Er ist möglich, wenn Sie klar regeln, welche Daten mandantenübergreifend genutzt werden dürfen und welche nicht.

Inhaltsverzeichnis

• Was Mandantenfähigkeit im Recruiting genau bedeutet

• Für wen Mandantenfähigkeit im Recruiting wichtig ist

• Wie die Trennung technisch funktioniert

• Rollen- und Rechtekonzepte für Personalvermittlungen

• Datenschutzanforderungen in Deutschland

• Gemeinsamer Kandidatenpool und mandantenübergreifende Auswertungen

• Checkliste: So prüfen Sie die Mandantenfähigkeit einer Recruiting-Software

• Unsere Perspektive

• Recruitify für Agenturen und HR-Teams

• Häufige Fragen zur Mandantenfähigkeit im Recruiting

• Quellen

Was Mandantenfähigkeit im Recruiting genau bedeutet

Der Begriff stammt aus der Softwarearchitektur und wird im Englischen als Multi-Tenancy bezeichnet. Die deutschen Datenschutzaufsichtsbehörden haben ihn in der Orientierungshilfe Mandantenfähigkeit beschrieben: Eine Software ist mandantenfähig, wenn sie die Daten verschiedener Mandanten in einer gemeinsamen IT-Infrastruktur logisch getrennt verwalten kann. Die gemeinsame Nutzung spart Ressourcen, weil nicht für jeden Mandanten ein eigenes System betrieben werden muss.

Im Recruiting ist die Frage, wer überhaupt ein Mandant ist, weniger eindeutig als in der Buchhaltung. Typische Konstellationen sind:

1. Endkunden einer Personalvermittlung: Jeder Kunde hat eigene Vakanzen, Honorarvereinbarungen, Ansprechpartner und Einreichungen. Diese Informationen sind vertraulich gegenüber anderen Kunden.

2. Tochtergesellschaften oder Standorte eines Unternehmens: Die Konzern-HR arbeitet mit einem System, aber jede Gesellschaft soll nur ihre eigenen Bewerbungen sehen.

3. RPO-Mandate: Ein Dienstleister übernimmt das Recruiting für ein Unternehmen ganz oder teilweise und bearbeitet dabei Bewerberdaten, die rechtlich dem Kunden zuzuordnen sind.

4. Geschäftsbereiche einer Agentur: Festanstellungsvermittlung, Executive Search und IT-Contracting laufen in einem System, unterliegen aber unterschiedlichen Vertraulichkeitsstufen.

In der Praxis bedeutet Mandantenfähigkeit deshalb nicht nur getrennte Datenbanken. Gemeint ist die Fähigkeit, für jeden dieser Bereiche eigene Sichtbarkeiten, Prozesse, Vorlagen und Auswertungen festzulegen, ohne dass Informationen versehentlich die Grenze überschreiten.

Für wen Mandantenfähigkeit im Recruiting wichtig ist

Der Nutzen zeigt sich je nach Geschäftsmodell an unterschiedlichen Stellen. Die folgende Übersicht ordnet die wichtigsten Zielgruppen ein.

Für Agenturen kommt ein wirtschaftlicher Aspekt hinzu: Ein System für alle Kunden ist leichter zu pflegen als mehrere Insellösungen oder getrennte Tabellen. Neue Kundenmandate lassen sich anlegen, ohne die Infrastruktur neu aufzusetzen, und das Management behält trotzdem eine konsolidierte Sicht auf Pipeline und Umsatz. Wie stark sich ein zentral geführtes System auf Ihre Kennzahlen auswirken kann, beschreiben wir im Beitrag über den ROI einer Recruiting-Software.

Für interne HR-Abteilungen liegt der Vorteil vor allem in der Balance zwischen Zentralisierung und lokaler Autonomie. Die Gruppe definiert Standards, Bewerbungsprozesse und Berichte, während jede Gesellschaft nur auf ihre eigenen Vorgänge zugreift. Für RPO und Outsourcing wiederum ist die Trennung die Grundlage dafür, mehrere Auftraggeber parallel zu betreuen, ohne dass sich deren Bewerberdaten vermischen.

Wie die Trennung technisch funktioniert

Die Orientierungshilfe der Datenschutzkonferenz stellt klar, dass bei gemeinsamer Infrastruktur die Abgeschlossenheit eines Mandanten auch seine sicherheitstechnische Isolation einschließen muss. Unzulässige mandantenübergreifende Zugriffe dürfen nicht möglich sein. Eine bloße Anweisung an das Team, bestimmte Ordner nicht zu öffnen, erfüllt diese Anforderung nicht.

Nach derselben Orientierungshilfe setzt eine ausreichende Trennung voraus, dass Verarbeitungsfunktionen, Zugriffsberechtigungen und Konfigurationseinstellungen je Mandant eigenständig festgelegt werden können und die Datenverarbeitung technisch getrennt erfolgt. Das Standard-Datenschutzmodell, Baustein „Trennen“, führt die Unabhängigkeit der Konfigurationen unterschiedlicher Mandanten als eigenen Prüfschritt. Übertragen auf eine Recruiting-Software ergeben sich fünf Ebenen:

Datenebene

Jeder Datensatz ist eindeutig einem Mandanten zugeordnet: Stellenanzeigen, Projektbeschreibungen, Kundenkontakte, Notizen, Einreichungen und Dokumente. Abfragen, Suchen und Exporte liefern nur Datensätze des Mandanten, für den der Nutzer berechtigt ist.

Funktionsebene

Nicht jeder Mandant braucht dieselben Funktionen. Ein Kunde erhält anonymisierte Profile, ein anderer vollständige Lebensläufe. Ein Mandat nutzt Multiposting auf Jobportalen, ein anderes ist eine vertrauliche Direktansprache ohne öffentliche Ausschreibung.

Berechtigungsebene

Rollen und Rechte gelten je Mandant. Eine Recruiterin kann in Projekt A bearbeiten, in Projekt B nur lesen und Projekt C überhaupt nicht sehen.

Konfigurationsebene

Pipeline-Phasen, E-Mail-Vorlagen, Bewertungskriterien, Löschfristen und Karriereseiten lassen sich je Mandant einstellen, ohne andere Mandanten zu beeinflussen.

Protokollebene

Wer hat wann welchen Datensatz geöffnet, geändert oder exportiert? Die Orientierungshilfe Cloud Computing der Datenschutzkonferenz verlangt unter anderem, dass auch das Durchführen einer Auswertung zu einem Protokolleintrag führt und der Cloud-Anwender die Aufbewahrungszeit der Protokolldaten konfigurieren kann. Ein vollständiger Audit-Trail ist damit ein Kernbestandteil der Mandantentrennung, nicht ein Zusatz.

Rollen- und Rechtekonzepte für Personalvermittlungen

In einer Agentur mit mehreren Kundenprojekten entsteht die Mandantentrennung im Alltag vor allem über das Rollenkonzept. Bewährt hat sich ein rollenbasiertes Modell (Role-Based Access Control, RBAC), das nach dem Prinzip der minimalen Berechtigung aufgebaut ist: Jede Person erhält genau die Rechte, die sie für ihre Aufgabe benötigt.

Ein praxistaugliches Grundgerüst sieht so aus:

1. Geschäftsführung oder Administration: Vollzugriff auf Konfiguration, Nutzerverwaltung, Verträge und mandantenübergreifende Berichte.

2. Account Manager: Zugriff auf die eigenen Kunden im CRM, deren Vakanzen, Angebote und Konditionen, nicht aber auf Honorare anderer Accounts.

3. Recruiter: Bearbeitung der zugewiesenen Projekte, Suche im Kandidatenpool, Kommunikation mit Kandidaten. Keine Einsicht in Vertragsbedingungen.

4. Researcher oder Sourcer: Anlegen und Anreichern von Kandidatenprofilen, ohne Zugriff auf Kundenkonditionen oder Einreichungshistorie.

5. Externe Nutzer beim Kunden: Hiring Manager sehen ausschließlich die für sie freigegebenen, gegebenenfalls anonymisierten Profile ihres eigenen Projekts.

Wichtig ist der Lebenszyklus der Rechte. Wechselt ein Recruiter in ein anderes Team oder verlässt er die Agentur, müssen Zugänge sofort angepasst werden. Ebenso sollten temporäre Rechte, etwa für eine Urlaubsvertretung, automatisch auslaufen. Wie Sie Rollen, Freigaben und Überprüfungen strukturiert aufsetzen, erläutern wir ausführlich im Beitrag zum Rollenmanagement mit RBAC.

Besonders sensibel sind Executive-Search-Mandate. Hier ist oft schon die Tatsache vertraulich, dass eine Position neu besetzt wird. Solche Projekte sollten nur für das unmittelbar beteiligte Team sichtbar sein, auch innerhalb der eigenen Agentur. Unser System für Executive Search ist auf diese Anforderungen an diskrete, hochrangige Besetzungen ausgerichtet.

Datenschutzanforderungen in Deutschland

Für Recruiting-Systeme in Deutschland gelten die DSGVO und die Auslegung der deutschen Aufsichtsbehörden. Drei Punkte sind für die Mandantenfähigkeit besonders relevant.

Verantwortung lässt sich nicht auslagern

Der Europäische Datenschutzausschuss betont laut dem Tätigkeitsbericht 2024 des BayLDA, dass die Verantwortung für die Datenschutzkonformität der gesamten Verarbeitung durch den Einsatz von Auftragsverarbeitern oder Unterauftragsverarbeitern nicht gemindert wird. Wenn Sie eine Cloud-Recruiting-Software einsetzen, müssen Sie sich also selbst davon überzeugen, dass die Mandantentrennung technisch umgesetzt ist. Lassen Sie sich die technischen und organisatorischen Maßnahmen beschreiben und regeln Sie die Verarbeitung in einem Auftragsverarbeitungsvertrag.

Organisatorisch reicht nicht

Die Orientierungshilfe Mandantenfähigkeit nennt als Risiko ausdrücklich, wenn mandantenübergreifende Zugriffe ohne zulässige Übermittlung möglich sind oder die Trennung nur organisatorisch statt durch technische Maßnahmen sichergestellt wird. Bei sehr hohem Schutzbedarf kann sogar eine physische Trennung erforderlich sein. Für die meisten Recruiting-Daten genügt eine sauber umgesetzte logische Trennung. Bei besonders schutzwürdigen Daten, etwa Gesundheitsangaben im Rahmen von Eignungsprüfungen, sollten Sie die Einstufung mit Ihrem Datenschutzbeauftragten abstimmen.

Zweckbindung bei Daten aus Auftragsverhältnissen

Ein anschauliches Beispiel liefert die Bundesagentur für Arbeit. In ihrer VerBIS-Arbeitshilfe für Träger legt sie fest, dass Sozialdaten ausschließlich zur Erfüllung vertraglich geregelter Pflichten genutzt werden dürfen und jede zweckfremde, etwa gewerbliche Nutzung untersagt ist. Wer als Personaldienstleister sowohl im Auftrag der Arbeitsagentur als auch gewerblich vermittelt, muss diese Datenbestände also strikt getrennt halten. Ähnlich verhält es sich bei RPO-Mandaten, in denen Sie Bewerberdaten im Auftrag eines Kunden verarbeiten: Diese Daten gehören nicht ohne Weiteres in Ihren eigenen Talentpool. Die genaue rechtliche Einordnung Ihres Mandats sollten Sie mit Ihrem Datenschutzbeauftragten oder einer auf Datenschutzrecht spezialisierten Kanzlei klären.

Gemeinsamer Kandidatenpool und mandantenübergreifende Auswertungen

Hier liegt die eigentliche Gestaltungsaufgabe für Personalvermittlungen. Der Kandidatenpool ist ihr wichtigstes Kapital, und ein Kandidat, der für Kunde A nicht passte, kann für Kunde B ideal sein. Gleichzeitig darf Kunde B nie erfahren, dass derselbe Kandidat bei Kunde A im Prozess war, und schon gar nicht zu welchen Konditionen.

Die Lösung besteht darin, zwischen zwei Datenarten zu unterscheiden:

• Daten, die zur Agentur gehören: Das Kandidatenprofil mit Qualifikationen, Tech-Stack, Verfügbarkeit und Einwilligungen. Es darf, sofern die Rechtsgrundlage und die Information des Kandidaten das abdecken, für mehrere Projekte genutzt werden.

• Daten, die zum Mandanten gehören: Einreichungen, Kundenfeedback, Interviewnotizen des Kunden, Gehaltsangebote und Projektunterlagen. Sie bleiben im jeweiligen Projekt und sind für andere Mandanten unsichtbar.

Bei Auswertungen gilt Ähnliches. Agenturweite Kennzahlen wie Time-to-Fill, Placement-Quote oder Umsatz je Recruiter sind für die Steuerung unverzichtbar. Sie sollten aber aggregiert und nur für berechtigte Rollen sichtbar sein. Kundenportale und Reports, die an einen Mandanten gehen, enthalten ausschließlich dessen Daten. Weil auch Auswertungen protokolliert werden sollten, lässt sich jederzeit nachvollziehen, wer welche Berichte erstellt hat.

Ein weiteres Werkzeug ist die Anonymisierung. Wer Kandidaten beim Kunden mit anonymisierten Profilen vorstellt, gibt nur die für die Vorauswahl nötigen Informationen heraus. Das schützt den Kandidaten, erschwert Direktansprachen am Vermittler vorbei und reduziert die Menge personenbezogener Daten, die beim Kunden landen.

Checkliste: So prüfen Sie die Mandantenfähigkeit einer Recruiting-Software

Nutzen Sie bei Demos und Testphasen diese Fragen. Lassen Sie sich die Antworten am System zeigen, nicht nur auf Folien.

1. Sichtbarkeit: Kann ein Nutzer ohne Berechtigung für ein Projekt dieses über Suche, Filter, Export oder Berichte trotzdem finden? Testen Sie das mit einem Testnutzer.

2. Rollen: Lassen sich Rechte je Projekt oder Kunde vergeben, und gibt es Lese-, Bearbeitungs- und Exportrechte getrennt voneinander?

3. Konfiguration: Können Pipeline-Phasen, Vorlagen und Bewertungskriterien je Mandant angepasst werden, ohne andere Mandanten zu verändern?

4. Externe Zugänge: Wie sehen Hiring Manager beim Kunden die Kandidaten, und lassen sich anonymisierte Profile automatisch erzeugen?

5. Protokollierung: Gibt es einen vollständigen Audit-Trail für Zugriffe, Änderungen, Exporte und Auswertungen?

6. Löschung und Aufbewahrung: Können Löschfristen und Anonymisierung DSGVO-konform gesteuert werden, auch für einzelne Projekte?

7. Vertragsgrundlage: Liegt ein Auftragsverarbeitungsvertrag mit Beschreibung der technischen und organisatorischen Maßnahmen vor?

8. Verbindung zum Vertrieb: Sind CRM, Recruiting-Pipeline und gegebenenfalls Contracting so verbunden, dass die Trennung über alle Module hinweg gilt?

Der letzte Punkt wird oft übersehen. Wenn Vertrieb und Recruiting in getrennten Tools arbeiten, entsteht die Trennung zwar zufällig, aber jeder Datenaustausch über Tabellen oder E-Mails unterläuft sie wieder. Ein integriertes System mit durchgängigem Rechtekonzept ist deshalb meist die robustere Lösung. Wie eine Agentur den Weg von verstreuten Tabellen zu einem zentral gesteuerten System gegangen ist, zeigt unsere Fallstudie zur Kandidatendatenbank.

Unsere Perspektive

Aus unserer Sicht wird Mandantenfähigkeit im Recruiting zu oft als reine Infrastrukturfrage betrachtet. Für eine Personalvermittlung ist sie vor allem eine Frage der Prozessarchitektur: Wo endet der Kunde, wo beginnt der Talentpool der Agentur, und wie wird diese Grenze in jedem Arbeitsschritt eingehalten?

Wir haben Recruitify deshalb so aufgebaut, dass ATS, Sales CRM und IT-Contracting in einem System zusammenarbeiten. Kundendaten aus dem Vertrieb, Projekte im Recruiting und Verträge im Body Leasing folgen demselben Rollenmanagement, statt in getrennten Tools mit eigenen Zugängen zu liegen. Das verhindert genau die Medienbrüche, über die vertrauliche Informationen sonst zwischen Kunden wandern.

Gleichzeitig sind wir überzeugt, dass Trennung und Wertschöpfung kein Widerspruch sind. Mit intelligentem Indexieren und kontextuellem Matching lassen sich Kandidaten aus früheren Projekten für neue Mandate wiederfinden, während Einreichungen, Feedback und Konditionen im jeweiligen Kundenprojekt bleiben. Blind CV AI erzeugt anonymisierte Profile für die Präsentation beim Kunden, DSGVO-Anonymisierung und ein vollständiger Audit-Trail machen die Verarbeitung nachvollziehbar.

Unsere Empfehlung: Definieren Sie zuerst Ihr Rollen- und Mandantenmodell auf Papier und prüfen Sie dann, ob Ihre Software es ohne Umwege abbilden kann.

Recruitify Team

Recruitify für Agenturen und HR-Teams

Recruitify vereint Bewerbermanagement, Sales CRM und IT-Contracting in einer cloudbasierten Plattform mit Rollenmanagement, DSGVO-Anonymisierung, Blind-CV-Erstellung und Berichts- und Analytikmodulen. Für Agenturen gibt es den Tarif Agency ab 67 € pro Monat und Nutzer, für interne Personalabteilungen den Tarif HR Team zu 61 € pro Monat und Nutzer. Für größere Organisationen mit individuellen Anforderungen steht der Tarif Enterprise auf Anfrage zur Verfügung.

Alle Details und den aktuellen Funktionsumfang finden Sie auf unserer Preisübersicht für alle Tarife. Wenn Sie zusätzlich Kundenbeziehungen und Akquise in derselben Umgebung steuern möchten, lohnt ein Blick auf unser CRM für Vertrieb und Rekrutierung, für laufende Einsätze von IT-Spezialisten auf das Modul Contracting und Body Leasing.

Häufige Fragen zur Mandantenfähigkeit im Recruiting

Ist Mandantenfähigkeit dasselbe wie ein Rechtekonzept?

Nein, aber beide hängen eng zusammen. Das Rechtekonzept regelt, welche Person was darf. Mandantenfähigkeit sorgt zusätzlich dafür, dass Daten, Funktionen und Konfigurationen je Mandant getrennt sind, sodass auch Suchen, Exporte und Berichte die Grenze respektieren.

Braucht eine kleine Agentur überhaupt Mandantenfähigkeit?

Sobald Sie für mehr als einen Kunden arbeiten, sind Vakanzen, Honorare und Einreichungen gegenüber anderen Kunden vertraulich. Auch in einem kleinen Team schützt eine projektbezogene Trennung vor versehentlicher Weitergabe. Zudem wächst das System mit, wenn neue Recruiter oder Kunden hinzukommen.

Darf ich Kandidaten aus einem Kundenprojekt für andere Kunden nutzen?

Das hängt davon ab, wem die Daten rechtlich zuzuordnen sind. Kandidaten aus Ihrem eigenen Talentpool können Sie bei passender Rechtsgrundlage für mehrere Projekte nutzen, kundenbezogene Unterlagen wie Feedback und Angebote dagegen nicht. Bei RPO-Mandaten oder Aufträgen öffentlicher Stellen gelten oft strengere Zweckbindungen, die Sie mit Ihrem Datenschutzbeauftragten klären sollten.

Reicht eine logische Trennung in der Cloud aus?

Nach der Orientierungshilfe der Datenschutzkonferenz ist eine logische Trennung auf gemeinsamer Infrastruktur zulässig, wenn sie technisch durchgesetzt wird und mandantenübergreifende Zugriffe ausschließt. Nur bei sehr hohem Schutzbedarf kann eine physische Trennung erforderlich sein.

Quellen

• Orientierungshilfe Mandantenfähigkeit, Landesbeauftragter für den Datenschutz Sachsen-Anhalt

• Mandantenfähigkeit, Landesbeauftragter für den Datenschutz Baden-Württemberg

• Standard-Datenschutzmodell, Baustein 50 „Trennen“

• Orientierungshilfe Cloud Computing, Datenschutzkonferenz

• 14. Tätigkeitsbericht 2024, Bayerisches Landesamt für Datenschutzaufsicht

• VerBIS-Arbeitshilfe zur Bearbeitung von Bewerberdaten, Bundesagentur für Arbeit

Empfehlungen

• Rollenmanagement: RBAC, Lebenszyklus und Compliance im Überblick

• Aufbewahrungsfrist bei Bewerbungen: Was HR wirklich beachten muss

• Privacy by Design in HR: Pflichten und konkrete Maßnahmen

• DSGVO & CV-Anonymisierung | Sichere deine Agenturdaten