Wer als kleines Unternehmen auf Social Media nach Talenten sucht, steht schnell vor einer unbequemen Frage: Wie sammle ich Bewerberdaten, ohne gegen die DSGVO zu verstoßen? Die gute Nachricht ist, dass DSGVO-konforme Bewerbungsformulare in Social-Media-Stellenanzeigen kein Hexenwerk sind. Mit dem richtigen Aufbau, klaren Einwilligungstexten und ein paar technischen Grundlagen können auch KMU datenschutzkonform und effizient rekrutieren.
Gerade beim Social Media Recruiting für KMU ist das Thema Datenschutz besonders relevant. Denn wer Bewerberdaten über Plattformen wie LinkedIn, Facebook oder XING erhebt, muss die Anforderungen der Datenschutz-Grundverordnung von Anfang an mitdenken. Dieser Artikel zeigt, worauf es ankommt und wie Sie typische Fehler vermeiden.
DSGVO-Anforderungen für Bewerberdaten in sozialen Netzwerken
Sobald ein Unternehmen Bewerberdaten über ein Social-Media-Formular erhebt, greift die DSGVO vollständig. Das gilt unabhängig davon, ob die Bewerbung über ein natives Formular auf LinkedIn, ein eingebettetes Tool oder einen externen Link läuft. Entscheidend ist, dass personenbezogene Daten verarbeitet werden.
Folgende Grundsätze gelten dabei immer:
- Zweckbindung: Bewerberdaten dürfen nur für den Bewerbungsprozess genutzt werden, nicht für andere Zwecke wie Newsletter oder Marketing.
- Datensparsamkeit: Nur die Daten erheben, die für die Stellenbesetzung wirklich notwendig sind.
- Transparenz: Bewerber·innen müssen klar informiert werden, wer ihre Daten verarbeitet, zu welchem Zweck und wie lange.
- Löschfristen: Bewerberdaten müssen nach Abschluss des Prozesses gelöscht werden, in der Regel nach sechs Monaten.
Besondere Vorsicht ist geboten, wenn Social-Media-Plattformen eigene Formulare anbieten, sogenannte Lead-Ads oder native Bewerbungsformulare. Hier ist zu prüfen, wo die Daten gespeichert werden und ob der Plattformbetreiber als Auftragsverarbeiter gilt. Ohne einen entsprechenden Auftragsverarbeitungsvertrag (AVV) ist das eine klare Datenschutzverletzung.
Technische Einbindung datenschutzkonformer Formulare
Die technische Umsetzung einer datenschutzkonformen Bewerbung über Social Media ist einfacher als viele denken. Wichtig ist, dass die Daten nicht unkontrolliert auf fremden Servern landen.
Bewährt haben sich drei Ansätze:
- Eigene Karriereseite mit Bewerbungsformular: Die Stellenanzeige auf Social Media verlinkt auf eine eigene Seite. Das Formular läuft auf dem eigenen Server oder über ein datenschutzkonformes Tool. Hier behält das Unternehmen die volle Kontrolle.
- Recruiting-Plattformen mit integriertem Bewerbermanagement: Plattformen wie XING bieten eine eigene Bewerbungsinfrastruktur, die bereits auf DSGVO-Konformität ausgelegt ist. Die XING Stellenanzeigen Funktionen umfassen unter anderem ein digitales Bewerbermanagement, das den Datenschutz direkt mitdenkt.
- Bewerbermanagement-Software (ATS): Viele Anbieter stellen zertifizierte Lösungen bereit, die DSGVO-konform betrieben werden. Achten Sie auf einen gültigen AVV und Server-Standorte in der EU.
Was Sie unbedingt vermeiden sollten: Bewerbungen, die direkt in ein Social-Media-Postfach oder eine private E-Mail-Adresse eingehen, ohne dass der Bewerber oder die Bewerberin darüber informiert wurde. Das ist weder transparent noch kontrollierbar und entspricht nicht den Anforderungen der DSGVO.
Pflichtangaben und Einwilligungstexte richtig formulieren
Ein DSGVO-konformes Bewerbungsformular braucht mehr als ein einfaches Kontaktfeld. Bestimmte Angaben sind Pflicht, und die Einwilligung muss aktiv und informiert erfolgen.
Was in jeden Einwilligungstext gehört
Der Einwilligungstext muss klar und verständlich formuliert sein. Juristische Floskeln helfen niemandem. Folgende Punkte müssen enthalten sein:
- Name und Kontaktdaten des Unternehmens als Verantwortlicher
- Zweck der Datenverarbeitung (Bewerbungsverfahren für die genannte Stelle)
- Rechtsgrundlage der Verarbeitung (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung)
- Speicherdauer der Daten
- Hinweis auf das Recht auf Auskunft, Löschung und Widerspruch
- Kontakt zum Datenschutzbeauftragten, falls vorhanden
Einwilligung oder Vertragsgrundlage?
Viele Unternehmen fragen sich, ob sie für eine Bewerbung überhaupt eine aktive Einwilligung benötigen. Die Antwort: nicht immer. Die Verarbeitung von Bewerberdaten ist in der Regel auf Basis von Art. 6 Abs. 1 lit. b DSGVO zulässig, weil sie zur Durchführung vorvertraglicher Maßnahmen notwendig ist. Eine separate Einwilligung brauchen Sie jedoch, wenn Sie Daten über den eigentlichen Bewerbungsprozess hinaus nutzen möchten, zum Beispiel für einen Talent-Pool für spätere Stellen.
In diesem Fall muss die Einwilligung freiwillig, spezifisch und dokumentiert sein. Ein einfaches Häkchen mit dem Text „Ich stimme zu” reicht nicht aus.
Häufige Fehler kleiner Unternehmen beim DSGVO-konformen Recruiting
Beim DSGVO Recruiting machen viele KMU ähnliche Fehler, oft aus Unwissenheit oder Zeitmangel. Wer diese kennt, kann sie leicht vermeiden.
Fehler 1: Kein Auftragsverarbeitungsvertrag mit dem Plattformbetreiber. Wer native Lead-Formulare auf Facebook oder LinkedIn nutzt, muss prüfen, ob ein AVV vorliegt. Ohne diesen Vertrag ist die Datenübertragung nicht rechtssicher.
Fehler 2: Fehlende oder unvollständige Datenschutzerklärung. Viele Unternehmen verlinken auf eine allgemeine Datenschutzseite, die keine spezifischen Angaben zum Bewerbungsprozess enthält. Das reicht nicht aus.
Fehler 3: Zu viele Datenfelder im Formular. Geburtsdatum, Familienstand oder ein Foto sind für die meisten Stellen nicht notwendig. Je mehr Daten erhoben werden, desto höher das Risiko und desto größer die Hürde für Bewerber·innen.
Fehler 4: Keine definierten Löschfristen. Bewerberdaten, die nach Abschluss des Prozesses nicht gelöscht werden, verstoßen gegen den Grundsatz der Datensparsamkeit. Legen Sie intern fest, wer für die Löschung verantwortlich ist und wann sie erfolgt.
Fehler 5: Daten in privaten E-Mail-Postfächern. Wenn Bewerbungen an persönliche E-Mail-Adressen von Mitarbeiter·innen gehen, fehlt jede Kontrolle über Zugriff, Speicherung und Löschung.
Effizientes DSGVO-konformes Recruiting mit der richtigen Plattform
Für kleine Unternehmen ist Zeit die knappste Ressource im Recruiting. DSGVO-Anforderungen manuell umzusetzen, kostet zusätzlich Kapazitäten, die oft nicht vorhanden sind. Die Lösung liegt in Plattformen, die Datenschutz von Anfang an mitdenken.
XING Stellenanzeigen bietet genau das: eine integrierte Recruiting-Infrastruktur, die datenschutzkonforme Bewerbung und Bewerbermanagement direkt verbindet. Die XING Sofort-Bewerbung ermöglicht es Talenten, sich mit wenigen Klicks zu bewerben, ohne dass Unternehmen eigene Formulare bauen müssen. Die Datenverarbeitung erfolgt innerhalb des XING Ökosystems, das auf DSGVO-Konformität ausgelegt ist.
Wer zusätzlich aktiv nach passenden Talenten suchen möchte, findet mit dem Passive Sourcing auf XING eine Möglichkeit, gezielt Fachkräfte anzusprechen, die nicht aktiv suchen, aber offen für neue Möglichkeiten sind. Auch hier sind die Datenschutzanforderungen bereits in die Plattform integriert.
DSGVO-konformes Recruiting muss kein Hindernis sein. Mit der richtigen Plattform sparen Sie Zeit, reduzieren Risiken und können sich auf das konzentrieren, was wirklich zählt: die besten Talente für Ihr Unternehmen zu gewinnen.
