Benutzerrollen und Zugriffsrechte in Ihrem Applicant Tracking System einrichten

Ein internes Recruiting-Team gibt einer Führungskraft einen Login, damit sie ihre offene Stelle verfolgen kann. Weil niemand Rollen eingerichtet hat, erhält sie dasselbe Konto wie die Recruiter. Eine Woche später erwähnt sie beiläufig, dass sie gesehen hat, dass sich ein Mitglied ihres eigenen Teams auf eine Stelle in einer anderen Abteilung beworben hat, samt Gesprächsnotizen. Niemand wurde gehackt und niemand hat gegen eine Regel verstoßen; das System hat einfach allen alles gezeigt. Dieser Artikel erklärt, wie Sie Benutzerrollen und Zugriffsrechte in Ihrem Applicant Tracking System einrichten: warum Zugriffe unbemerkt wachsen, welche kleine Auswahl an Rollen die meisten Teams brauchen, welche Felder und Aktionen besondere Sorgfalt verdienen, wie Sie mit Eintritten, internen Wechseln und Austritten umgehen und wie Sie mit Ihren eigenen Daten prüfen, ob die Einrichtung noch passt.

Die richtige Einrichtung unterscheidet sich je nach Segment. Recruitment-Agenturen möchten, dass Recruiter frei über alle Stellen hinweg arbeiten, während Honorarvereinbarungen und manche Kundennotizen beim Account Manager bleiben. Zeitarbeit-Unternehmen haben oft Disponenten, Backoffice und Niederlassungsteams, die jeweils einen anderen Teil desselben Kandidatenprofils brauchen. Entsendungsunternehmen teilen Profile mit Endkunden und wollen genau steuern, was das Haus verlässt. Executive-Search-Beratungen führen vertrauliche Mandate, die nur das Mandatsteam sehen darf. Interne Recruiting-Teams arbeiten mit Führungskräften und internen Bewerbern, wobei Vertraulichkeit gegenüber Kollegen am schwersten wiegt.

Warum Zugriffsrechte unbemerkt wachsen

• Alle haben in der ersten Woche ein Administratorkonto bekommen, weil das am schnellsten ging, und niemand hat es danach geändert
• Neue Benutzer werden angelegt, indem das Konto eines Kollegen kopiert wird, einschließlich Rechten, die dieser nur für ein Projekt brauchte
• Führungskräfte und externe Sourcer erhalten ein vollständiges Konto, weil eine eingeschränkte Ansicht nie festgelegt wurde
• Personen, die das Unternehmen verlassen oder das Team gewechselt haben, haben Monate später noch einen aktiven Login
• Export und Massenaktionen stehen jedem Benutzer offen, sodass ein vollständiger Download der Kandidatendatenbank nur einen Klick entfernt ist

Nichts davon ist böse Absicht. Zugriffe werden meist einmal unter Zeitdruck eingerichtet und danach nicht mehr angesehen, während sich Team, Kunden und die Art der Daten weiter verändern.

Was Rollen und Zugriffsrechte sind, und was nicht

Eine Rolle ist ein benannter Satz von Berechtigungen, der beschreibt, was eine Art von Benutzer im Applicant Tracking System sehen und tun darf. Zugriffsrechte sind die Regeln dahinter: welche Datensätze, welche Felder und welche Aktionen. Der Grundsatz ist einfach: Menschen sehen, was sie für ihre eigene Arbeit brauchen, und nichts, was nur für jemand anderen wichtig ist.

Rollen sind kein Zeichen von Misstrauen. Ein Recruiter, der die Honorarvereinbarung mit einem Kunden nicht sieht, wird nicht ausgeschlossen; diese Information hilft einfach nicht beim Telefonieren mit Kandidaten. Rollen ersetzen auch keine Vereinbarungen mit Ihrem Team oder Ihren Kunden über Vertraulichkeit. Datenschutzregeln wie die DSGVO verlangen geeignete Maßnahmen, damit personenbezogene Daten auf die Personen beschränkt bleiben, die sie brauchen, und sinnvolle Rollen gehören dazu. Dieser Artikel ist keine Rechtsberatung; maßgeblich ist, was Ihre eigenen Richtlinien und Verträge festlegen.

Eine kleine Auswahl an Rollen, die die meisten Teams brauchen

Beginnen Sie mit so wenigen Rollen wie möglich. Fünf oder sechs reichen meist aus:

• Administrator — verwaltet Benutzer, Rollen, Pipeline-Phasen und gemeinsame Listen; beschränkt auf zwei benannte Personen, damit es immer eine Vertretung gibt, aber nie eine Menge
• Recruiter oder Berater — arbeitet an Kandidaten und Stellen, bewegt Kandidaten durch die Pipeline und erfasst Notizen, Ergebnisse und Vorstellungen
• Account Manager oder Teamleitung — alles, was ein Recruiter tut, dazu Kundenprofile, vereinbarte Konditionen und die Freigabe von Ausnahmen für die eigenen Kunden oder das eigene Team
• Sourcer oder Researcher — legt Kandidatenprofile und Longlists an und ergänzt sie, ohne Zugriff auf Kundenkonditionen oder Angebotsdetails
• Führungskraft oder Ansprechpartner beim Kunden — sieht nur die eigenen Stellen und die dafür vorgestellten Kandidaten, gibt Feedback und Bewertungen und blättert nicht durch die übrige Datenbank
• Backoffice oder Geschäftsleitung — Besetzungen, Starttermine und Berichte, ohne Gesprächsnotizen oder Assessment-Details

Benennen Sie Rollen nach der Arbeit, nicht nach Personen. „Account Manager“ passt auch nächstes Jahr noch; „wie Julia“ nicht.

Felder und Datensätze, die besondere Sorgfalt verdienen

Der größte Teil eines Kandidatenprofils darf für das ganze Team sichtbar sein. Einige Teile gehören in einen kleineren Kreis:

• Gehaltsangaben — die erfasste Gehaltsvorstellung und Angebotsdetails, sichtbar für die Personen, die die Stelle betreuen
• Gesprächsnotizen und Bewertungsbögen — der gemeinsame Bewertungsbogen ist für das Gesprächsgremium und den Recruiter gedacht, nicht für jeden Benutzer
• Identitäts- und Arbeitserlaubnisdokumente — die Prüfung der Arbeitsberechtigung vor Arbeitsbeginn verlangt einen Vermerk, dass die Prüfung erfolgt ist, während Kopien der Dokumente bei den wenigen Personen bleiben, die sie bearbeiten müssen
• Kundenkonditionen — Honorare und vereinbarte Konditionen gehören zu Account Management und Backoffice
• Vertrauliche Stellen und interne Bewerber — eine Nachfolgesuche oder ein Mitarbeitender, der sich intern bewirbt, ist nur für das benannte Team dieser Stelle sichtbar

Lassen Sie den Rest offen, wo es geht. Die Kandidaten- und Kundenbeziehungsansicht neben der Pipeline funktioniert nur, wenn Recruiter frühere Kontakte, Vorstellungen und Off-Limits-Vereinbarungen sehen, bevor sie zum Telefon greifen.

Aktionen zählen ebenso wie Sichtbarkeit

Was jemand tun kann, ist oft riskanter als das, was jemand sehen kann. Legen Sie pro Rolle fest, wer darf:

• Kandidatenlisten exportieren oder Dateien in großen Mengen herunterladen
• Massen-E-Mails aus dem System versenden
• Datensätze löschen oder doppelte Kandidaten zusammenführen
• Pipeline-Phasen, Eintrittskriterien oder die gemeinsame Liste mit Fähigkeiten und Schlagworten ändern
• Automatisierte Schritte wie Erinnerungen und Status-E-Mails ändern oder abschalten

Für die meisten davon genügt eine kurze Liste benannter Personen. Ein Recruiter, der einmalig einen Export braucht, kann danach fragen; Anfrage und Freigabe sind dann dokumentiert.

Eintritte, interne Wechsel und Austritte

Die meisten Zugriffsprobleme entstehen, wenn Menschen wechseln. Vereinbaren Sie eine einfache Routine. Neue Mitarbeitende erhalten am ersten Tag eine Rolle, keine Kopie des Kontos eines Kollegen. Wer in ein anderes Team oder eine andere Niederlassung wechselt, erhält am Tag des Wechsels eine andere Rolle, und offene Kandidaten und Stellen werden an einen benannten Kollegen übergeben. Das Konto ausscheidender Mitarbeitender wird am letzten Arbeitstag deaktiviert statt gelöscht, damit die Historie und die Erfassung, wer welchen Kandidaten verschoben hat, erhalten bleiben. Externe Sourcer und befristete Kräfte erhalten von Anfang an ein Enddatum für ihr Konto.

Festhalten, wer was getan hat

Rollen verringern das Risiko, zeigen aber nicht, was passiert ist. Das Applicant Tracking System sollte festhalten, wer sensible Felder angesehen, wer Daten exportiert und wer Rollen oder Einstellungen geändert hat. Dieses Protokoll hilft, wenn ein Kunde fragt, wie mit seinen Daten umgegangen wird, und wenn ein Kandidat ein Auskunftsersuchen stellt und wissen möchte, wer seine Daten verarbeitet hat. Bewahren Sie das Protokoll für einen festgelegten Zeitraum auf, passend zu den Aufbewahrungsfristen, die Sie für Kandidatenprofile verwenden.

Häufige Fehler, die Sie vermeiden sollten

• Eine Rolle pro Person — zwanzig leicht unterschiedliche Rollen lassen sich nicht prüfen; gruppieren Sie Menschen nach ihrer Arbeit
• Alles sperren — Recruiter, die den Kontaktverlauf nicht sehen, führen eigene Listen in Tabellenkalkulationen, und das ist schlimmer
• Gemeinsame Logins — ein Konto für „die Niederlassung“ oder „den Kunden“ macht es unmöglich zu wissen, wer was getan hat
• Vollständige Konten für Führungskräfte — geben Sie ihnen eine Ansicht ihrer eigenen Stellen und vorgestellten Kandidaten, mehr nicht
• Keine Überprüfung — Rollen, die einmal eingerichtet und nie geprüft werden, führen langsam wieder dazu, dass alle alles dürfen

Fragen, die Teams stellen

• Wir sind zu viert. Brauchen wir Rollen? — Weniger, aber ja: Trennen Sie mindestens Administratoren von Benutzern, schließen Sie Konten ausgeschiedener Mitarbeitender und legen Sie fest, wer exportieren darf
• Sollen Recruiter die Kandidaten der Kollegen sehen? — Meist ja; gemeinsame Sichtbarkeit verhindert doppelte Arbeit und doppelte Vorstellungen, während vertrauliche Stellen auf ihr Team beschränkt bleiben
• Können sich Kunden anmelden? — Nur mit einer eingeschränkten Rolle für die eigenen Stellen und die ihnen vorgestellten Kandidaten, und erst nachdem der Kandidat der Vorstellung zugestimmt hat
• Wer entscheidet über Ausnahmen? — Benennen Sie einen Verantwortlichen, oft die Teamleitung oder den Administrator, und erfassen Sie jedes befristete Zusatzrecht mit Enddatum

Prüfen Sie es mit Ihren eigenen Daten

Zählen Sie in Ihren eigenen Daten: wie viele Benutzer Administratorrechte haben, wie viele aktive Konten Personen gehören, die ausgeschieden sind oder sich seit neunzig Tagen nicht angemeldet haben, wie viele Benutzer exportieren dürfen, wie viele Exporte im letzten Monat erstellt wurden und von wem, wie viele Führungskräfte oder Ansprechpartner beim Kunden mehr als eine eingeschränkte Rolle haben und wie viele vertrauliche Stellen für Benutzer außerhalb des eigenen Teams sichtbar sind. Nennen Sie bei jeder Zahl die Anzahl der Benutzer, auf der sie beruht. Vergleichen Sie sich nicht mit Branchendurchschnitten; Ihre eigenen Zahlen zeigen, wo sich Zugriffe von der tatsächlichen Arbeit entfernt haben.

Ein praktischer Einstieg

• Erstellen Sie eine Liste aller aktiven Benutzer und der Rolle, die jeder heute hat
• Legen Sie fünf oder sechs Rollen anhand der Arbeit fest und ordnen Sie jeden Benutzer einer davon zu
• Reduzieren Sie die Administratoren auf zwei benannte Personen und beschränken Sie Export- und Löschrechte
• Deaktivieren Sie Konten ausgeschiedener Mitarbeitender und setzen Sie Enddaten für externe und befristete Benutzer
• Prüfen Sie die Benutzerliste einmal pro Quartal, zum Beispiel im Rahmen Ihres wöchentlichen Pipeline-Reviews in der letzten Woche des Quartals

Zugriff, der der Arbeit folgt

Gute Rollen lassen Recruiter schnell arbeiten und halten sensible Informationen bei den Personen, die sie brauchen. Halten Sie die Zahl der Rollen klein, schützen Sie Gehalt, Notizen, Dokumente und Kundenkonditionen, beschränken Sie Exporte und Löschungen, regeln Sie Eintritte, Wechsel und Austritte am selben Tag und halten Sie fest, wer was getan hat. Sehen Sie sich das Produkt an oder buchen Sie eine Demo — wir zeigen Ihnen, wie Benutzer, Rollen, Feldzugriffe und Protokollierung in BoldATS für Ihr Segment eingerichtet werden.