Stellenanzeigen auf LinkedIn, XING oder Instagram schalten und dabei DSGVO-konform bleiben: Das klingt nach einem bürokratischen Albtraum, ist es aber nicht. Wer die wichtigsten Regeln kennt, kann Social-Media-Recruiting rechtssicher gestalten und trotzdem effektiv neue Talente gewinnen. Gerade für kleine Unternehmen ohne eigene Rechtsabteilung lohnt es sich, die Datenschutzanforderungen bei Social-Media-Stellenanzeigen einmal klar zu verstehen. Denn Unwissenheit schützt nicht vor Bußgeldern.
Dieser Artikel zeigt, welche Daten im Social Recruiting anfallen, welche DSGVO-Grundsätze gelten und was Sie konkret tun müssen, um auf der sicheren Seite zu bleiben.
Welche Daten bei Social-Media-Stellenanzeigen anfallen
Sobald Sie eine Stellenanzeige auf einer Social-Media-Plattform veröffentlichen, beginnt die Datenverarbeitung. Das passiert oft unbewusst und in mehreren Schritten gleichzeitig.
Zunächst erfassen die Plattformen selbst Nutzungsdaten: Wer hat die Anzeige gesehen? Wer hat geklickt? Wer hat die Karriereseite besucht? Diese Tracking-Daten fließen in Ihr Unternehmenskonto ein. Dann kommen die Bewerbungsdaten hinzu: Name, Kontaktdaten, Lebenslauf, Foto, Gehaltsvorstellungen und manchmal sogar sensible Informationen wie Gesundheitszustand oder Familienstand. Und schließlich entstehen durch Direktansprache im Active Sourcing weitere Datensätze, wenn Sie Profile von Kandidierenden aufrufen und kontaktieren.
All diese Daten unterliegen der DSGVO. Das gilt unabhängig davon, ob die Plattform ihren Sitz in der EU hat oder nicht, solange Sie als Unternehmen in der EU tätig sind.
DSGVO-Grundsätze, die im Social-Media-Recruiting gelten
Die DSGVO kennt keine Sonderregeln für Recruiting. Die allgemeinen Grundsätze gelten vollständig auch im Social-Media-Recruiting-Datenschutz.
- Zweckbindung: Daten, die für eine Stelle erhoben werden, dürfen nur für diesen Zweck genutzt werden. Sie dürfen einen abgelehnten Kandidaten nicht einfach für eine andere Position kontaktieren, ohne eine neue Einwilligung.
- Datenminimierung: Erheben Sie nur, was wirklich notwendig ist. Ein Bewerbungsformular, das nach dem Geburtsort oder Familienstand fragt, ist problematisch.
- Speicherbegrenzung: Bewerbungsunterlagen dürfen nicht unbegrenzt aufbewahrt werden. Die übliche Frist nach Abschluss des Verfahrens beträgt sechs Monate, danach müssen die Daten gelöscht werden.
- Transparenz: Bewerbende müssen wissen, wer ihre Daten verarbeitet, zu welchem Zweck und wie lange.
- Integrität und Vertraulichkeit: Bewerbungsunterlagen müssen sicher gespeichert werden. Kein ungeschützter E-Mail-Versand, kein Zugriff durch Unbefugte.
Diese Grundsätze klingen abstrakt, haben aber sehr konkrete Konsequenzen für den Recruiting-Alltag.
Rechtliche Grundlagen für die Datenverarbeitung im Recruiting
Damit eine Datenverarbeitung im Rahmen von DSGVO-Stellenanzeigen legal ist, brauchen Sie immer eine Rechtsgrundlage. Im Recruiting kommen vor allem drei in Frage.
Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO)
Das ist die häufigste Grundlage. Wenn jemand sich bewirbt, ist die Verarbeitung seiner Daten zur Prüfung der Eignung für einen möglichen Vertrag erlaubt. Das gilt für alle Daten, die direkt zur Beurteilung der Bewerbung notwendig sind.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
Möchten Sie Bewerbungsunterlagen länger aufbewahren oder für zukünftige Stellen nutzen, brauchen Sie eine ausdrückliche Einwilligung. Diese muss freiwillig, informiert und jederzeit widerrufbar sein. Ein vorausgefülltes Kästchen reicht nicht.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
Diese Grundlage kann beim Active Sourcing relevant sein, wenn Sie Kandidierende aktiv ansprechen. Sie ist jedoch nicht automatisch anwendbar und muss sorgfältig gegen die Interessen der betroffenen Person abgewogen werden.
Informationspflichten gegenüber Bewerbenden
Wer Bewerberdaten verarbeitet, muss die betroffenen Personen darüber informieren. Das ist keine optionale Höflichkeit, sondern eine rechtliche Pflicht nach Art. 13 DSGVO.
Diese Datenschutzinformation muss folgende Punkte enthalten:
- Name und Kontaktdaten des Unternehmens als Verantwortlicher
- Zweck und Rechtsgrundlage der Datenverarbeitung
- Speicherdauer der Bewerbungsunterlagen
- Hinweis auf die Rechte der Bewerbenden (Auskunft, Löschung, Widerspruch)
- Kontaktdaten des Datenschutzbeauftragten, falls vorhanden
Diese Information muss spätestens zum Zeitpunkt der Datenerhebung vorliegen. Bei Online-Bewerbungen bedeutet das: vor dem Absenden des Formulars. Ein Link zur Datenschutzerklärung im Bewerbungsformular reicht in der Regel aus, solange die Erklärung vollständig und verständlich ist.
Wer über Active Sourcing auf XING Talente direkt anspricht, muss diese Information spätestens beim ersten Kontakt mitliefern.
Praktische Maßnahmen für DSGVO-konformes Social Recruiting
Gute Absichten reichen nicht. Datenschutz im Recruiting braucht klare Prozesse und konkrete Maßnahmen.
Bewerbungseingang strukturieren
Richten Sie ein zentrales, gesichertes System für den Bewerbungseingang ein. Bewerbungen, die per E-Mail in verschiedenen Postfächern landen, sind schwer zu kontrollieren und datenschutzrechtlich riskant. Ein digitales Bewerbermanagement-System schafft hier Abhilfe. XING Stellenanzeigen bietet genau das: eine integrierte Recruiting-Infrastruktur mit strukturiertem Bewerbermanagement.
Löschfristen einhalten
Legen Sie feste Löschfristen fest und kommunizieren Sie diese intern. Nach sechs Monaten müssen abgelehnte Bewerbungen in der Regel gelöscht werden. Wer Kandidaten in einen Talent-Pool aufnehmen möchte, braucht eine separate Einwilligung.
Auftragsverarbeitungsverträge abschließen
Wenn Sie externe Plattformen oder Tools nutzen, die Bewerberdaten verarbeiten, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) mit dem jeweiligen Anbieter. Das gilt für Job-Portale, Bewerbermanagement-Software und auch für Social-Media-Plattformen, soweit diese Daten in Ihrem Auftrag verarbeiten.
Datenschutzhinweis in der Stellenanzeige verlinken
Jede Stellenanzeige sollte einen gut sichtbaren Link zur Datenschutzerklärung enthalten. Das gilt für Anzeigen auf Social-Media-Plattformen genauso wie für die eigene Karriereseite.
Häufige Datenschutzfehler und wie man sie vermeidet
Viele Datenschutzprobleme im Recruiting entstehen nicht aus böser Absicht, sondern aus Unwissenheit oder Gewohnheit. Hier sind die häufigsten Fehler und wie Sie sie vermeiden.
Fehler 1: Bewerberdaten zu lange aufbewahren
Viele Unternehmen behalten Bewerbungsunterlagen „für alle Fälle” jahrelang. Das ist nicht erlaubt. Ohne Einwilligung gilt die Sechs-Monats-Frist. Legen Sie einen Prozess fest, der die Löschung automatisch anstößt.
Fehler 2: Keine Datenschutzerklärung für Bewerbende
Eine allgemeine Website-Datenschutzerklärung reicht nicht. Bewerbende brauchen spezifische Informationen über die Verarbeitung ihrer Bewerberdaten. Erstellen Sie eine separate Datenschutzinformation für den Recruiting-Prozess.
Fehler 3: Bewerbungen intern unkontrolliert weitergeben
Wenn Bewerbungsunterlagen per E-Mail an mehrere Führungskräfte weitergeleitet werden, verlieren Sie die Kontrolle über die Daten. Nutzen Sie stattdessen ein System, in dem alle Beteiligten zentral auf die Unterlagen zugreifen können.
Fehler 4: Keine Einwilligung beim Talent-Pool
Wer interessante Kandidaten für spätere Stellen vormerken möchte, braucht eine explizite Einwilligung. Diese muss freiwillig sein und den konkreten Zweck benennen. Ohne Einwilligung ist die Aufnahme in einen Talent-Pool nicht erlaubt.
Fehler 5: Kein AVV mit Recruiting-Plattformen
Viele kleine Unternehmen vergessen, mit ihren Recruiting-Plattformen einen Auftragsverarbeitungsvertrag abzuschließen. Ohne diesen Vertrag ist die Nutzung der Plattform datenschutzrechtlich problematisch. Prüfen Sie, ob Ihre Anbieter entsprechende Verträge anbieten.
Datenschutz im Social-Media-Recruiting ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Wer die Grundlagen kennt und klare interne Abläufe etabliert, schützt nicht nur sich selbst vor Bußgeldern, sondern signalisiert Bewerbenden auch: Hier wird professionell und vertrauenswürdig gearbeitet. Und das ist im Wettbewerb um gute Fachkräfte kein schlechtes Signal.
