Active Sourcing und Datenschutz passen 2026 nur dann zusammen, wenn Recruiter wissen, welche Regeln konkret gelten. Die DSGVO ist seit Jahren in Kraft, aber neue nationale Ausführungsgesetze und verschärfte Auslegungen durch Aufsichtsbehörden haben die Spielregeln für die Direktansprache von Kandidatinnen und Kandidaten spürbar enger gemacht. In diesem Artikel beantworte ich die wichtigsten Fragen rund um DSGVO, Active Sourcing, Kandidatenansprache und datenschutzkonformes Recruiting.
Welche Datenschutzänderungen 2026 betreffen das Active Sourcing konkret?
2026 sind vor allem drei Entwicklungen für das Active Sourcing relevant: verschärfte Auslegungen des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO durch nationale Datenschutzbehörden, strengere Anforderungen an Transparenzpflichten bei der Erstansprache sowie neue Leitlinien des Europäischen Datenschutzausschusses zur Verarbeitung von Profildaten aus sozialen Netzwerken.
Was das im Alltag bedeutet: Wer Kandidatinnen und Kandidaten über LinkedIn, XING oder andere Plattformen anspricht, muss jetzt noch genauer dokumentieren, auf welcher Rechtsgrundlage er deren Daten verarbeitet. Die bloße Tatsache, dass ein Profil öffentlich sichtbar ist, reicht allein nicht mehr als Legitimation aus. Datenschutzbehörden prüfen zunehmend, ob Recruiter nachweisen können, dass sie die Betroffenen korrekt informiert und deren Daten nicht über den notwendigen Umfang hinaus gespeichert haben.
Für mittelständische Unternehmen ohne eigene Rechtsabteilung ist das eine echte Herausforderung: Die Anforderungen sind technisch und juristisch komplex, während der Druck, offene Stellen schnell zu besetzen, gleichzeitig wächst.
Welche Daten dürfen Recruiter bei der Direktansprache noch nutzen?
Recruiter dürfen bei der Direktansprache im Rahmen des Active Sourcing grundsätzlich jene Daten nutzen, die Kandidatinnen und Kandidaten selbst öffentlich zugänglich gemacht haben, also Name, Berufsbezeichnung, Qualifikationen, Berufserfahrung und Kontaktdaten auf beruflichen Netzwerken wie LinkedIn oder XING. Private Daten, Informationen aus nicht beruflichen Profilen oder Daten aus Drittquellen ohne klare Rechtsgrundlage sind tabu.
Wichtig ist dabei die Verhältnismäßigkeit: Nur die Daten, die für die konkrete Stellenbesetzung tatsächlich notwendig sind, dürfen verarbeitet werden. Das bedeutet in der Praxis:
- Berufliche Qualifikationen und Werdegang sind zulässig
- Kontaktdaten, die auf der Plattform für berufliche Anfragen freigegeben sind, sind zulässig
- Private Social-Media-Profile, Fotos aus nicht beruflichem Kontext oder Gesundheitsdaten sind nicht zulässig
- Daten, die über Aggregatoren oder Scraping-Tools ohne Einwilligung gesammelt wurden, sind in der Regel nicht zulässig
Wer Kandidatenprofile in einem ATS oder einer CRM-Software speichert, muss zusätzlich sicherstellen, dass die Daten nicht länger als notwendig aufbewahrt werden und dass ein Löschkonzept existiert.
Was ist der Unterschied zwischen einwilligungsbasierter und berechtigter Interessenansprache?
Der Unterschied liegt in der Rechtsgrundlage: Bei der einwilligungsbasierten Ansprache hat die Person aktiv zugestimmt, dass ihre Daten für Recruiting-Zwecke genutzt werden. Beim berechtigten Interesse stützt sich der Recruiter auf Art. 6 Abs. 1 lit. f DSGVO und argumentiert, dass ein legitimes geschäftliches Interesse an der Kontaktaufnahme besteht, das die Interessen der betroffenen Person nicht überwiegt.
Einwilligungsbasierte Ansprache
Diese Variante ist rechtlich am sichersten, in der Praxis beim Active Sourcing aber selten umsetzbar. Sie kommt vor allem dann vor, wenn Kandidatinnen und Kandidaten sich aktiv in einen Talent-Pool eingetragen haben oder einer Kontaktaufnahme im Rahmen eines Recruiting-Events explizit zugestimmt haben. Die Einwilligung muss freiwillig, informiert und widerrufbar sein.
Berechtigtes Interesse als Rechtsgrundlage
Das berechtigte Interesse ist die häufigste Rechtsgrundlage beim Active Sourcing über berufliche Netzwerke. Damit sie trägt, müssen Recruiter eine sogenannte Interessenabwägung dokumentieren: Das Interesse des Unternehmens an der Stellenbesetzung muss nachvollziehbar und das Ausmaß der Datenverarbeitung muss auf das Notwendige beschränkt sein. Außerdem müssen Kandidatinnen und Kandidaten klar über die Verarbeitung informiert werden und das Recht haben, der Nutzung zu widersprechen.
Wie müssen Kandidatinnen und Kandidaten über die Datenverarbeitung informiert werden?
Kandidatinnen und Kandidaten müssen bei der ersten Kontaktaufnahme über die Verarbeitung ihrer Daten informiert werden. Das bedeutet: Bereits in der Erstansprache oder spätestens in einer unmittelbaren Folgekommunikation muss klar sein, wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange die Daten gespeichert werden.
In der Praxis kann das so aussehen: Eine kurze, verständliche Datenschutzinformation wird direkt in die Ansprachenachricht integriert oder als Link zu einer Datenschutzerklärung beigefügt. Wichtig ist, dass diese Information nicht in langen Juristentexten versteckt wird, sondern tatsächlich lesbar und verständlich ist. Betroffene müssen zudem auf ihre Rechte hingewiesen werden, also das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch.
Wer diese Informationspflicht vernachlässigt, riskiert nicht nur Bußgelder, sondern auch, dass Kandidatinnen und Kandidaten das Vertrauen in das Unternehmen verlieren, bevor das erste echte Gespräch stattgefunden hat.
Welche Risiken drohen Unternehmen bei Datenschutzverstößen im Recruiting?
Bei Datenschutzverstößen im Recruiting drohen Unternehmen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Hinzu kommen Abmahnungen durch Mitbewerber oder Datenschutzverbände sowie Reputationsschäden, die gerade im Recruiting langfristig wirken können.
Besonders relevant für das Active Sourcing sind folgende Risikoszenarien:
- Fehlende Rechtsgrundlage: Daten werden ohne nachvollziehbare Legitimation gespeichert oder verarbeitet
- Verstoß gegen Informationspflichten: Kandidatinnen und Kandidaten werden nicht oder unzureichend über die Datenverarbeitung informiert
- Überlange Speicherung: Profile bleiben in Datenbanken, obwohl kein aktueller Bedarf mehr besteht
- Datenweitergabe an Dritte: Kandidatendaten werden ohne Einwilligung an andere Unternehmen oder Dienstleister weitergegeben
Gerade mittelständische Unternehmen unterschätzen das Risiko, weil Datenschutzbehörden lange Zeit vor allem große Konzerne im Fokus hatten. Das hat sich geändert. Auch kleinere Unternehmen erhalten Beschwerden und Prüfungen, insbesondere wenn Kandidatinnen und Kandidaten aktiv Beschwerde einlegen.
Wie lässt sich datenschutzkonformes Active Sourcing strukturiert umsetzen?
Datenschutzkonformes Active Sourcing lässt sich strukturiert umsetzen, indem Unternehmen vier Kernbereiche systematisch abarbeiten: Rechtsgrundlage klären, Informationspflichten erfüllen, Speicherfristen definieren und interne Prozesse dokumentieren. Wer diese vier Bereiche sauber aufgesetzt hat, kann Active Sourcing legal und effektiv betreiben.
Konkret empfiehlt sich folgendes Vorgehen:
- Rechtsgrundlage festlegen: Entscheide vor dem Start, ob Du auf berechtigtes Interesse oder Einwilligung setzt, und dokumentiere die Interessenabwägung schriftlich
- Datenschutzhinweis erstellen: Entwickle einen kurzen, verständlichen Datenschutztext speziell für die Kandidatenansprache, der alle Pflichtinformationen enthält
- Speicherfristen definieren: Lege fest, wie lange Kandidatenprofile gespeichert bleiben dürfen, und richte automatische Erinnerungen oder Löschroutinen ein
- Prozesse dokumentieren: Halte fest, wer im Unternehmen Daten verarbeitet, welche Tools genutzt werden und wie Widersprüche behandelt werden
- Schulungen durchführen: Stelle sicher, dass alle Personen, die Active Sourcing betreiben, die Grundlagen des Datenschutz-Recruitings kennen
Ein häufiger Fehler ist es, Datenschutz als einmaliges Projekt zu behandeln. Tatsächlich ist es ein laufender Prozess: Gesetze ändern sich, Plattformen ändern ihre Nutzungsbedingungen, und die eigenen Prozesse müssen regelmäßig überprüft werden. Wer das Active Sourcing legal und nachhaltig betreiben will, braucht keine Angst vor dem Thema, sondern klare Strukturen.
Für Unternehmen, die professionelle Unterstützung beim Recruiting suchen, kann es sinnvoll sein, das Thema Datenschutz von Anfang an in die Recruiting-Strategie zu integrieren, anstatt es nachträglich anzupassen.
Wie Ampersteg beim datenschutzkonformen Active Sourcing hilft
Active Sourcing Datenschutz ist kein Thema, das Du nebenbei lösen kannst, wenn ohnehin schon wenig Kapazität für das Recruiting vorhanden ist. Genau hier setzen wir an. Als Recruiting-Systemhaus übernehmen wir das operative Active Sourcing vollständig, inklusive der datenschutzkonformen Direktansprache, der Informationspflichten gegenüber Kandidatinnen und Kandidaten sowie der rechtssicheren Dokumentation aller Prozesse.
Was das in der Praxis bedeutet:
- Wir recherchieren und sprechen Kandidatinnen und Kandidaten auf Basis einer klaren Rechtsgrundlage an
- Wir informieren Betroffene transparent über die Datenverarbeitung, ohne dass Du Dich um Datenschutztexte kümmern musst
- Wir arbeiten ausschließlich mit Daten, die für die konkrete Stelle relevant sind, und geben Profile nur an Dich weiter
- Wir begleiten den gesamten Prozess nach unserem Sechs-Schritte-System bis zum Vertragsabschluss
- Wir sind fest angestellt und keine Freelancer, was rechtliche Risiken wie Scheinselbstständigkeit ausschließt
Du willst wissen, wie das konkret für Deine offenen Stellen aussehen kann? Buche ein unverbindliches Gespräch mit uns, und wir schauen gemeinsam, welcher Ansatz zu Deiner Situation passt.
Ähnliche Artikel
- Welche Fehler machen Recruiter beim ersten Kandidatenkontakt?
- Wie baut man langfristige Beziehungen zu passiven Kandidaten auf?
- Wie funktioniert Active Sourcing in der Praxis?
- Was versteht man unter Cost-per-Hire und wie berechnet man ihn?
- Wie wirkt sich ein schlechter Onboarding-Prozess auf die Mitarbeiterbindung aus?
