Active Sourcing und DSGVO lassen sich vereinbaren, wenn Sie für eine konkrete Stelle nur erforderliche, beruflich öffentlich zugängliche Daten nutzen, Ihr berechtigtes Interesse sauber abwägen und transparent informieren. Die Rechtsgrundlage aus Art. 6 Abs. 1 lit. f DSGVO erlaubt jedoch weder verdeckte Recherche noch einen dauerhaften Kandidatenpool ohne eigenen Zweck. Für E-Mail und Telefon kommt außerdem das UWG als separates Regelwerk hinzu. Dieser Beitrag bietet Orientierung nach Rechtsstand 20. August 2026 und ersetzt keine Rechtsberatung im Einzelfall.

Was Active Sourcing datenschutzrechtlich bedeutet

Active Sourcing ist die gezielte Suche nach geeigneten Personen und ihre persönliche Ansprache, bevor sie sich beworben haben. Anders als bei einer eingehenden Bewerbung erhebt das Unternehmen die Daten oft selbst aus einer Drittquelle. Der Hub zu KI-gestütztem Active Sourcing und People Search beschreibt den Prozess; rechtlich beginnt er bereits beim Erfassen eines Profils, nicht erst beim Versenden einer Nachricht.

Drei Fragen müssen getrennt beantwortet werden: Darf das Unternehmen die Daten verarbeiten? Muss die Person darüber informiert werden? Und ist der gewählte Kontaktkanal wettbewerbsrechtlich zulässig? Eine positive Antwort auf die DSGVO-Frage beantwortet die UWG-Frage nicht automatisch.

Die Rechtsgrundlage ist meist das berechtigte Interesse

Für die erste Recherche und eine eng begrenzte Ansprache kommt regelmäßig das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO im EUR-Lex in Betracht: Ein Arbeitgeber oder Personalvermittler hat ein nachvollziehbares Interesse, eine offene Rolle zu besetzen. Die Norm erlaubt Verarbeitung aber nur, wenn die Interessen oder Grundrechte der betroffenen Person nicht überwiegen.

Diese Abwägung braucht mehr als den Satz „Recruiting ist unser Interesse“. Dokumentieren Sie erstens den konkreten Zweck, etwa die Besetzung einer bestimmten Fachrolle. Prüfen Sie zweitens, ob die verwendeten Daten dafür wirklich nötig sind. Bewerten Sie drittens die Erwartung der Person: Wer Qualifikation und berufliche Kontaktdaten sichtbar in einem beruflichen Kontext veröffentlicht, muss eher mit einer passenden Kontaktaufnahme rechnen als jemand, dessen Profil nur privat genutzt wird. Der Hessische Datenschutzbeauftragte nennt gerade den beruflichen Zweck und die allgemeine Zugänglichkeit als zentrale Faktoren seiner Einordnung zu Active Sourcing.

Welche Datenquellen tragen die Abwägung – und welche nicht?

Relativ tragfähig sind öffentlich sichtbare, berufsbezogene Quellen: eine eigene Fachwebsite, ein öffentliches Profil in einem beruflichen Netzwerk oder ein öffentlich zugänglicher Lebenslauf, sofern die Daten zur Rolle passen. Auch eine Bewerberdatenbank kann denkbar sein, wenn die Herkunft nachvollziehbar ist und die Nutzungsbedingungen der Quelle die vorgesehene Nutzung nicht ausschließen. Nehmen Sie nur Name, berufliche Station, fachliche Qualifikation und den für die Ansprache erforderlichen Kontaktweg auf.

Heikel sind dagegen Informationen aus privaten sozialen Netzwerken, aus geschlossenen Gruppen, aus Profilen hinter Kontakt- oder Privatsphäre-Einstellungen sowie aus undurchsichtigen Datenhändlerlisten. „Technisch auffindbar“ bedeutet nicht „für Recruiting frei verwendbar“. Bei einem nur für vernetzte Kontakte sichtbaren beruflichen Profil bewertet die hessische Aufsicht die offene Offenlegung der Recruiterrolle bereits bei der Kontaktanfrage als wesentlich; private Inhalte sollen nicht zum Sourcing-Material werden.

Besonders sensible Angaben zu Gesundheit, Religion, Gewerkschaftszugehörigkeit, politischer Haltung, sexueller Orientierung oder ethnischer Herkunft gehören nicht in Suchfelder, Notizen oder Rankings. Für solche besonderen Kategorien gilt grundsätzlich das Verbot aus Art. 9 DSGVO. Selbst wenn ein Profil mehr verrät, ist „nicht lesen, nicht speichern, nicht verwerten“ die belastbarere Recruiting-Regel.

Art. 14 DSGVO: Transparenz gehört in die erste Kommunikation

Stammen Daten nicht von der Person selbst, verlangt Art. 14 DSGVO unter anderem Angaben zum Verantwortlichen und gegebenenfalls Datenschutzbeauftragten, zum Zweck, zur Rechtsgrundlage, zu Datenkategorien, Empfängern, Drittlandtransfers, Speicherdauer oder deren Kriterien, Rechten, Beschwerderecht und Datenquelle. Bei einer Interessenabwägung muss auch das konkrete berechtigte Interesse benannt werden. Eine Datenschutzerklärung kann Details bündeln, doch der Hinweis in der Nachricht muss klar zugänglich sein und darf die Quelle nicht verschleiern.

Die Frist ist präzise: bei Kommunikation spätestens zum Zeitpunkt der ersten Kontaktaufnahme, sonst innerhalb eines angemessenen Zeitraums, spätestens innerhalb eines Monats nach Erhalt der Daten. Deshalb sollte das Outreach-Template einen verständlichen Art.-14-Hinweis, einen Link zu den Informationen und eine Möglichkeit zum Widerspruch enthalten. Halten Sie intern fest, aus welcher konkreten Quelle ein Datensatz kam; die Aufsicht betont, dass diese Quelle auf Nachfrage benannt werden können muss.

Einmal ansprechen ist nicht dasselbe wie einen Talent Pool aufbauen

Bei einer einmaligen Ansprache für eine konkrete Vakanz ist der Zweck eng: passende Person finden, Kontakt aufnehmen, Rückmeldung verarbeiten, Vorgang beenden. Das spricht für wenige Daten, eine kurze operative Frist und keine automatische Weiterverwendung. Ausbleibende Antwort ist keine Einwilligung, das Profil für künftige Rollen auf Vorrat zu speichern.

Ein Talent Pool verfolgt dagegen einen weitergehenden und länger dauernden Zweck. Wer Profile in einen Pool übernimmt, sollte Zweck, zugriffsberechtigte Personen, Überprüfungs- und Löschfrist sowie die Rechtsgrundlage gesondert bewerten und transparent erklären. Ein freiwilliges, gut dokumentiertes Opt-in nach Interesse an künftigen Rollen ist oft die klarere Lösung; bei einer Berufung auf berechtigtes Interesse ist eine deutlich strengere, dokumentierte Abwägung nötig. Für die praktische Prozessgestaltung sind ein Leitfaden zur Talent-Pool-Reaktivierung und ein Kandidatenportal für die selbstbestimmte Profilpflege hilfreiche Ausgangspunkte – sie ersetzen aber keine Rechtsgrundlage.

Wie lange dürfen Sourcing-Daten bleiben?

Die DSGVO nennt keine allgemeine Jahresfrist für Active Sourcing. Art. 5 verlangt vielmehr Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange identifizierbar bleiben, wie es für den Zweck erforderlich ist. Legen Sie deshalb vorab eine kurze, begründete Frist für die konkrete Suche fest und prüfen Sie sie tatsächlich. Sagt eine Person ab, zeigt kein Interesse oder entfällt die Rolle, löschen oder anonymisieren Sie das Profil und alle angereicherten Notizen, soweit kein anderer dokumentierter Grund zur Aufbewahrung besteht.

Ein schmaler Sperrvermerk kann sinnvoll sein, damit ein klarer Widerspruch nicht durch einen späteren Import übergangen wird. Er sollte auf das Nötigste begrenzt sein: eindeutiger Identifier, Datum, Umfang des Widerspruchs und Zugriffsschutz – kein vollständiges Kandidatenprofil. Die Löschpflicht greift insbesondere, wenn Daten nicht mehr nötig sind oder einem Widerspruch keine überwiegenden Gründe entgegenstehen, wie Art. 17 DSGVO festhält.

Ein Widerspruch ist ein operativer Stopp, kein lose abgelegter E-Mail-Anhang

Auf das Widerspruchsrecht muss bei einer Verarbeitung nach Art. 6 Abs. 1 lit. f hingewiesen werden. Geht ein Widerspruch ein, dokumentieren Sie Zeitpunkt, Kanal, Reichweite und die vorgenommenen Maßnahmen; sperren Sie weitere Sourcing- und Outreach-Aktionen in allen verbundenen Systemen. Nach Art. 21 DSGVO darf die Verarbeitung dann nur fortgesetzt werden, wenn zwingende schutzwürdige Gründe die Interessen der Person überwiegen. Für Direktmarketing ist der Widerspruch noch strenger: Die Verarbeitung für diesen Zweck muss enden. Praktisch sollte Recruiting einen ausdrücklichen „bitte nicht mehr kontaktieren“-Wunsch als klaren Stopp behandeln, statt über die Formulierung zu diskutieren.

E-Mail und Telefon: Das UWG ist ein eigener Gatekeeper

Die DSGVO legitimiert Datenverarbeitung, nicht jede Werbe- oder Kontaktform. § 7 UWG verbietet unzumutbare Belästigung. Bei Telefonwerbung gegenüber Verbrauchern verlangt das Gesetz vorherige ausdrückliche Einwilligung; gegenüber sonstigen Marktteilnehmern mindestens eine mutmaßliche Einwilligung. Elektronische Post setzt grundsätzlich vorherige ausdrückliche Einwilligung voraus; die Ausnahme für Bestandskunden passt typischerweise nicht zur ersten Ansprache einer noch unbekannten Kandidatin oder eines unbekannten Kandidaten. Den Wortlaut von § 7 UWG sollten Sie vor der Kanalauswahl prüfen. Ob eine individuelle Recruiting-Nachricht im konkreten Fall als Werbung einzuordnen ist, kann rechtlich anspruchsvoll sein – das berechtigte Interesse aus der DSGVO löst diese Frage nicht.

Active Sourcing DSGVO: ein belastbarer Prüfweg vor dem Versand

Die wirksamste Checkliste ist Teil des Workflows, nicht ein Dokument für die Schublade:

1. Rolle definieren: Gibt es eine reale, ausreichend konkrete Vakanz oder einen klar abgegrenzten Vermittlungsauftrag?
2. Quelle prüfen: Ist sie beruflich, öffentlich zugänglich, nachvollziehbar und nach den Plattformregeln nutzbar?
3. Daten reduzieren: Speichern Sie nur rollenrelevante Angaben und keine besonderen Kategorien oder privaten Beobachtungen.
4. Abwägung festhalten: Notieren Sie Interesse, Erforderlichkeit, Erwartung der Person, Risiken und Schutzmaßnahmen.
5. Transparenz vorbereiten: Art.-14-Information, konkrete Quelle, Frist, Löschlogik und Widerspruchsweg müssen vor der ersten Nachricht stehen.
6. Kanal separat freigeben: Prüfen Sie E-Mail, Telefon oder Plattformnachricht zusätzlich nach UWG und anwendbarem nationalem Recht.

Automatisierung verändert die Verantwortung nicht

Ein Tool kann Recherche, Dokumentation und Kontaktstrecken strukturieren, aber weder Interessenabwägung noch UWG-Prüfung automatisiert rechtmäßig machen. Wer People Search für Active Sourcing einsetzt, sollte daher Quellen, Freigaben, Art.-14-Hinweise, Löschläufe und Widerspruchssperren im Prozess verankern. Bei der Auswahl von Lösungen hilft auch die Übersicht zu KI-Sourcing-Tools; entscheidend bleibt die tatsächliche Konfiguration im eigenen Unternehmen.

Eine offen benannte Grenze

Dieser Rahmen beantwortet nicht, ob jede einzelne Ansprache, Plattformklausel oder internationale Datenübermittlung zulässig ist. Konzernstrukturen, Personalvermittlungsmandate, Betriebsvereinbarungen, Datenübermittlungen außerhalb des EWR und die genaue Einordnung einer Nachricht nach UWG können das Ergebnis verändern. Vor einem skalierenden Outreach oder dem Aufbau eines langfristigen Pools sollte der Datenschutzbeauftragte oder spezialisierter Rechtsrat den konkreten Prozess prüfen.

FAQ

Darf ich ein öffentliches LinkedIn-Profil für Active Sourcing nutzen?

Ein öffentlich sichtbares, berufsbezogenes Profil kann die Interessenabwägung zugunsten einer passenden Ansprache stützen. Es bleibt trotzdem bei Zweckbindung, Datenminimierung und Transparenz. Privat wirkende Inhalte oder nur für Kontakte sichtbare Angaben sollten Sie nicht für das Sourcing auswerten.

Muss die Art.-14-Information in die erste Nachricht?

Wenn Sie die Daten für die Kommunikation nutzen, ja: Art. 14 verlangt die Information spätestens bei der ersten Kommunikation. Ein klarer, erreichbarer Link kann Details aufnehmen, sofern die Ansprache selbst transparent macht, wer verarbeitet, warum und wie die Person widersprechen kann.

Darf ich Kandidatinnen und Kandidaten ohne Antwort im Pool behalten?

Schweigen ist kein Pool-Opt-in. Für eine fortgesetzte Speicherung brauchen Sie einen klaren Zweck, eine dokumentierte Rechtsgrundlage, eine angemessene Frist und die Art.-14-Information. Ein freiwilliges Einverständnis für künftige Rollen schafft meist mehr Klarheit als eine unbestimmte Vorratshaltung.

Reicht ein Abmeldelink, wenn jemand nicht mehr kontaktiert werden will?

Er hilft nur, wenn der Wunsch auch systemübergreifend umgesetzt wird. Der Widerspruch muss in den eingesetzten Recruiting-, CRM- und Outreach-Systemen wirksam dokumentiert sein. Bewahren Sie dafür höchstens die minimal nötigen Sperrinformationen auf.