DSGVO im Recruiting: Leitfaden für Selbstständige

Wenn du als Solo-Recruiter oder kleine Agentur Bewerbungen entgegennimmst, verarbeitest du ab der ersten Sekunde personenbezogene Daten: Name, Lebenslauf, Zeugnisse, manchmal Gehaltsvorstellungen oder Angaben zur Verfügbarkeit. Datenschutz ist dabei kein lästiges Extra. Er ist die Grundlage dafür, dass Kandidaten dir ihre Unterlagen überhaupt anvertrauen. Die DSGVO gilt für dich genauso wie für einen Konzern mit eigener Rechtsabteilung, bloß ohne dass dir jemand die Arbeit abnimmt. Für viele Selbstständige fühlt sich das Gesetz trotzdem wie ein Paragrafendschungel an. Ein falscher Umgang mit Bewerberdaten kostet Vertrauen und kann Bußgelder nach sich ziehen. Was folgt, sind die Punkte, auf die es wirklich ankommt.

Rechtsgrundlage: Warum du Bewerberdaten nur zweckgebunden verarbeiten darfst

Der wichtigste Grundsatz der DSGVO ist die Zweckbindung. Du darfst Daten nur erheben, wenn dies für die Entscheidung über ein Beschäftigungsverhältnis erforderlich ist. Die Rechtsgrundlage dafür liefert Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 BDSG, der die Datenverarbeitung im Beschäftigungskontext konkretisiert.

Praktisch heißt das: Ein Lebenslauf, ein Anschreiben, Zeugnisse und die Kontaktdaten eines Kandidaten sind in aller Regel gedeckt. Sobald du aber Informationen abfragst, die über die reine Eignungsprüfung hinausgehen, etwa Familienstand, Religionszugehörigkeit oder ein Foto, das du nicht angefordert hast, bewegst du dich auf dünnem Eis. Und sobald du ein Profil über das eigentliche Bewerbungsverfahren hinaus aufheben willst, zum Beispiel um den Kandidaten später für eine andere Vakanz zu kontaktieren, brauchst du dafür eine separate, explizite Einwilligung. Diese ist rechtlich von der Zweckbindung der ursprünglichen Bewerbung zu trennen.

Informationspflicht: Was Kandidaten bei der Datenerhebung erfahren müssen

Kandidaten haben das Recht zu erfahren, was mit ihren Daten passiert. Nach Art. 13 DSGVO musst du bereits zum Zeitpunkt der Datenerhebung informieren, üblicherweise auf deiner Website oder per Bestätigungs-E-Mail direkt nach Eingang der Bewerbung. Eine vollständige Information enthält mindestens:

• Wer die Daten verarbeitet (Name, Anschrift, Kontaktdaten des Verantwortlichen).
• Zu welchem Zweck die Daten gespeichert werden (etwa: Bewerbungsverfahren für eine konkrete Stelle).
• Auf welcher Rechtsgrundlage die Verarbeitung erfolgt.
• Wie lange die Daten gespeichert werden.
• An wen die Daten gegebenenfalls weitergegeben werden, etwa an ein Kundenunternehmen, für das du als Personalvermittler eine Stelle besetzt.
• Dass der Kandidat jederzeit ein Recht auf Auskunft, Berichtigung, Löschung und Widerspruch hat.

Ein Beispiel aus dem Alltag: Bekommst du über ein Kontaktformular auf deiner Website regelmäßig Initiativbewerbungen, ohne dass dort ein Hinweistext zur Datenverarbeitung steht, fehlt die Information nach Art. 13 DSGVO komplett. Genau das prüft eine Landesdatenschutzbehörde zuerst, wenn sich ein Kandidat beschwert. Es lässt sich mit einem Blick auf die Website nachvollziehen.

Löschfristen: Wie lange du Bewerberdaten aufbewahren darfst

Einer der häufigsten Fehler ist das dauerhafte Aufbewahren von Lebensläufen „auf Vorrat“. Die Grundregel ist einfach: Sobald der Zweck der Speicherung entfällt, etwa nach einer Absage, müssen die Daten gelöscht werden.

Wie lange du eine Absage im System behalten darfst, legt das Gesetz nicht auf den Tag genau fest. Viele Aufsichtsbehörden orientieren sich an den Fristen des Allgemeinen Gleichbehandlungsgesetzes: Ein abgelehnter Kandidat muss einen Diskriminierungsvorwurf innerhalb von zwei Monaten schriftlich geltend machen (§ 15 Abs. 4 AGG), bevor er gegebenenfalls klagen könnte. Deshalb empfehlen Aufsichtsbehörden und Fachliteratur, Bewerberdaten nach Abschluss des Verfahrens noch für eine begrenzte Zeit als Sicherheitspuffer vorzuhalten. Eine bundesweit einheitliche, exakte Monatszahl schreibt die DSGVO selbst nicht vor. Wichtig ist vor allem, dass du danach ohne erneute Einwilligung löschst, statt Profile unbegrenzt zu speichern.

Der Talentpool als Sonderfall: Einwilligung statt automatischer Löschung

Ein strukturierter Talentpool, also eine Sammlung von Kandidatenprofilen, die du über einzelne Bewerbungsverfahren hinaus für künftige Vakanzen vorhältst, ist datenschutzrechtlich kein Automatismus. Er erfordert eine eigene, freiwillige und jederzeit widerrufbare Einwilligung des Kandidaten. Du kannst diese Einwilligung direkt im Absage-Prozess einholen, etwa mit der Frage, ob du das Profil für zukünftige, passende Stellen vormerken darfst. Wichtig ist, dass du sie dokumentierst und dem Kandidaten die Möglichkeit gibst, sie jederzeit zu widerrufen. Wie du einen solchen Pool sauber strukturierst, ohne den Überblick zu verlieren, beschreiben wir ausführlich in unserem Beitrag dazu, wie du Kandidaten in einem strukturierten Talentpool organisierst.

Datensicherheit und Hosting: Worauf du bei Cloud-Diensten achten musst

Neben den organisatorischen Pflichten verlangt die DSGVO auch technische Maßnahmen „nach dem Stand der Technik“ (Art. 32 DSGVO). Das umfasst sichere Passwörter und eine Zwei-Faktor-Anmeldung, vor allem aber den Speicherort deiner Daten. Cloud-Dienste mit Servern außerhalb der EU, allen voran in den USA, sind ohne zusätzliche vertragliche Garantien rechtlich riskant, weil dort andere Zugriffsregeln für Behörden gelten können. Für Solo-Recruiter ist dieser Punkt oft am schwersten selbst zu bewerten. Wir erklären in einem eigenen Beitrag, warum wir bei Purrcruit auf deutsches Hosting und strikte Datentrennung setzen.

Auskunftsersuchen: Was passiert, wenn ein Kandidat fragt

Art. 15 DSGVO gibt jedem Kandidaten das Recht zu erfahren, welche Daten du über ihn gespeichert hast. Das passiert selten. Aber wenn, dann meist von jemandem, der sich gerade geärgert hat, und mit Nachdruck. Du hast grundsätzlich einen Monat Zeit für die Antwort.

Was du herausgeben musst, ist mehr, als die meisten erwarten. Dazu zählen der Lebenslauf, die Verarbeitungszwecke, die Empfänger (also etwa der Kunde, dem du das Profil vorgestellt hast), die geplante Speicherdauer und die Herkunft der Daten, falls du sie nicht direkt beim Kandidaten erhoben hast. Auch deine internen Notizen können darunterfallen, soweit sie sich auf die Person beziehen.

Der praktische Rat daraus: Schreib in Notizfelder grundsätzlich nur das, was du der betroffenen Person vorlesen könntest. Ein „wirkte unsympathisch“ in einem Freitextfeld ist im Auskunftsfall unangenehm und sagt fachlich ohnehin nichts aus. Sachliche, auf die Vakanz bezogene Einschätzungen sind zulässig und im Zweifel auch gut begründbar.

Ein zweiter Punkt, der oft übersehen wird: Wenn du Daten aus Quellen wie beruflichen Netzwerken erhoben hast, musst du den Kandidaten laut Art. 14 DSGVO in der Regel innerhalb eines Monats darüber informieren, auch dann, wenn er sich nie bei dir beworben hat. Das ist beim aktiven Sourcing das größte praktische Risiko.

Typische Fehler im Alltag von Solo-Recruitern

Die meisten DSGVO-Probleme entstehen nicht aus bösem Willen, sondern aus Zeitdruck. Ein paar Muster tauchen immer wieder auf:

• Lebensläufe per WhatsApp oder privatem E-Mail-Postfach weiterleiten. Sobald ein Kundenunternehmen ein Profil sehen soll, landet es schnell in einem unverschlüsselten Chat statt in einem dokumentierten, zugriffsgeschützten System.
• Die „Vielleicht-später“-Tabelle: eine lokale Excel-Liste mit abgelehnten Kandidaten „für den Fall der Fälle“. Genau der unstrukturierte Talentpool ohne Einwilligung, den die DSGVO nicht vorsieht.
• Fehlende Auftragsverarbeitungsverträge. Wenn du Tools von Drittanbietern nutzt, die Bewerberdaten verarbeiten, brauchst du für jeden Anbieter einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, auch wenn das Tool kostenlos ist.
• Keine Reaktion auf Auskunftsanfragen. Ein Kandidat, der wissen will, welche Daten du über ihn gespeichert hast, hat nach Art. 15 DSGVO einen Anspruch auf Antwort, üblicherweise innerhalb eines Monats.

Wie Purrcruit dir die DSGVO-Arbeit abnimmt

Die manuelle Einhaltung all dieser Punkte kostet Zeit, die dir für das eigentliche Recruiting fehlt. Deshalb haben wir Purrcruit so gebaut, dass die DSGVO-Konformität nicht an dir hängen bleibt: Einwilligungen werden automatisiert direkt nach Bewerbungseingang eingeholt, Löschfristen laufen im Hintergrund ab, ohne dass du dafür einen Kalendereintrag brauchst, und deine Daten liegen ausschließlich in deutschen Rechenzentren. Wenn du generell wissen willst, welche Eigenschaften eine gute Recruiting-Software wirklich braucht, findest du dort eine Einordnung, die über den reinen Datenschutz hinausgeht.

Konzentriere dich auf das Finden der besten Talente, nicht auf das Wälzen von Gesetzestexten. Einen Überblick über Preise und Pakete von Purrcruit findest du auf der Startseite. DSGVO-Konformität ist dabei in jedem Paket enthalten, nicht als kostenpflichtiges Extra.