Active Sourcing ist DSGVO-konform, wenn Sie nur rollenrelevante, beruflich zugängliche Daten erheben, das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO schriftlich abwägen und die Person spätestens in der ersten Nachricht nach Art. 14 DSGVO informieren. Speichern Sie ein Profil, ohne die Person je anzuschreiben, müssen Sie sie binnen eines Monats informieren oder den Datensatz löschen. Ein Widerspruch muss in allen Systemen sofort wirken. Für E-Mail und Telefon gilt zusätzlich eine eigene Prüfung nach § 7 UWG. Dieser Beitrag bietet Orientierung nach Quellenstand 30. Oktober 2026 und ersetzt keine Rechtsberatung.
DSGVO-Checkliste für Active Sourcing: acht Prüfpunkte vor der ersten Nachricht
Die Tabelle ist die kompakte Fassung. Jede Zeile nennt die Frage, den rechtlichen Anker und den einen Nachweis, den Sie aufbewahren sollten, falls eine Aufsichtsbehörde oder eine betroffene Person fragt. Die Abschnitte darunter erklären jeden Schritt.
| Prüfpunkt | Frage | Rechtsanker | Nachweis |
|---|---|---|---|
| 1. Zweck | Gibt es eine reale, konkrete Vakanz oder einen Auftrag? | Art. 5 Abs. 1 lit. b | Stellen-ID oder Mandatsnummer |
| 2. Rechtsgrundlage | Welches Interesse, ist es erforderlich, überwiegen die Interessen der Person? | Art. 6 Abs. 1 lit. f | Abwägungsvermerk (drei Zeilen) je Rolle |
| 3. Quelle | Sind die Daten beruflich, öffentlich und nachvollziehbar? | Art. 5 Abs. 1 lit. a, Art. 14 Abs. 2 lit. f | Quellenfeld an jedem Datensatz |
| 4. Datensparsamkeit | Speichern wir nur, was die Rolle braucht, und nichts Sensibles? | Art. 5 Abs. 1 lit. c, Art. 9 | Festgelegte Feldliste |
| 5. Information | Erhält die Person die Art.-14-Information rechtzeitig? | Art. 14 Abs. 1–3 | Mustertext, Versanddatum |
| 6. Speicherdauer | Wann wird gelöscht, und wer prüft das? | Art. 5 Abs. 1 lit. e, Art. 17 | Löschdatum am Datensatz |
| 7. Widerspruch | Ist das Widerspruchsrecht genannt, und stoppt ein „Nein“ alles? | Art. 21 | Sperrvermerk mit Datum |
| 8. Kanal | Sind E-Mail, Telefon oder Plattformnachricht für die Erstansprache zulässig? | § 7 UWG, nationales Recht | Kanalfreigabe je Kampagne |
Was Active Sourcing datenschutzrechtlich bedeutet
Active Sourcing ist die gezielte Suche nach geeigneten Personen und ihre persönliche Ansprache, bevor sie sich beworben haben. Anders als bei einer eingehenden Bewerbung erhebt das Unternehmen die Daten aus einer Drittquelle. Der Hub zu KI-gestütztem Active Sourcing und People Search beschreibt den Prozess; rechtlich beginnt er bereits beim Erfassen eines Profils, nicht erst beim Versenden einer Nachricht.
Drei Fragen müssen getrennt beantwortet werden: Darf das Unternehmen die Daten verarbeiten? Muss die Person darüber informiert werden? Und ist der gewählte Kontaktkanal wettbewerbsrechtlich zulässig? Eine positive Antwort auf die DSGVO-Frage beantwortet die UWG-Frage nicht automatisch.
Welche Rechtsgrundlage gilt für Active Sourcing?
Für die erste Recherche und eine eng begrenzte Ansprache kommt regelmäßig das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO (EUR-Lex) in Betracht: Ein Arbeitgeber oder Personalvermittler hat ein nachvollziehbares Interesse, eine offene Rolle zu besetzen. Der Europäische Gerichtshof hat am 4. Oktober 2024 bestätigt, dass auch ein rein wirtschaftliches Interesse berechtigt sein kann, sofern es rechtmäßig ist und die übrigen Voraussetzungen erfüllt sind (Rechtssache C-621/22). Die Norm erlaubt die Verarbeitung aber nur, wenn die Interessen oder Grundrechte der betroffenen Person nicht überwiegen.
Diese Abwägung braucht mehr als den Satz „Recruiting ist unser Interesse“. Der Europäische Datenschutzausschuss gliedert sie in seinen Leitlinien 1/2024 zum berechtigten Interesse (Konsultationsfassung, Oktober 2024) in drei Schritte. Dokumentieren Sie erstens den konkreten Zweck, etwa die Besetzung einer bestimmten Fachrolle. Prüfen Sie zweitens, ob die Daten dafür wirklich nötig sind oder ob weniger genügt. Bewerten Sie drittens die vernünftige Erwartung der Person: Wer Qualifikation und berufliche Kontaktdaten in einem beruflichen Kontext sichtbar veröffentlicht, muss eher mit einer passenden Kontaktaufnahme rechnen als jemand, dessen Profil nur privat genutzt wird. Der Hessische Datenschutzbeauftragte nennt den beruflichen Zweck und die allgemeine Zugänglichkeit als zentrale Faktoren seiner Einordnung zu Active Sourcing.
Eine Einwilligung ist für die Erstansprache selten der bessere Weg: Sie bräuchten sie vor dem ersten Kontakt, also dann, wenn Sie noch gar nicht fragen können. Realistisch ist das berechtigte Interesse mit sauberer Dokumentation. Die Einwilligung wird nützlich, sobald jemand geantwortet hat und für künftige Rollen vorgemerkt werden möchte.
Welche Datenquellen sind unbedenklich, welche nicht?
Relativ tragfähig sind öffentlich sichtbare, berufsbezogene Quellen: ein öffentliches Profil in einem beruflichen Netzwerk wie LinkedIn oder XING, eine eigene Fachwebsite oder ein öffentlich zugänglicher Lebenslauf, sofern die Daten zur Rolle passen. Auch eine Bewerberdatenbank kann denkbar sein, wenn die Herkunft nachvollziehbar ist und die Nutzungsbedingungen die vorgesehene Nutzung nicht ausschließen. Nehmen Sie nur Name, berufliche Station, fachliche Qualifikation und den für die Ansprache nötigen Kontaktweg auf.
Heikel sind Informationen aus privaten sozialen Netzwerken, geschlossenen Gruppen, Profilen hinter Kontakt- oder Privatsphäre-Einstellungen sowie aus undurchsichtigen Datenhändlerlisten. „Technisch auffindbar“ bedeutet nicht „für Recruiting frei verwendbar“. Bei einem nur für vernetzte Kontakte sichtbaren beruflichen Profil bewertet die hessische Aufsicht die offene Offenlegung der Recruiterrolle bereits bei der Kontaktanfrage als wesentlich; private Inhalte sollen nicht zum Sourcing-Material werden. Prüfen Sie außerdem die Nutzungsbedingungen der Plattform: Auslesen oder Massenexport kann dagegen verstoßen, auch wenn die DSGVO-Prüfung günstig ausfällt.
Besonders sensible Angaben zu Gesundheit, Religion, Gewerkschaftszugehörigkeit, politischer Haltung, sexueller Orientierung oder ethnischer Herkunft gehören nicht in Suchfelder, Notizen oder Rankings. Für diese besonderen Kategorien gilt grundsätzlich das Verbot aus Art. 9 DSGVO. Selbst wenn ein Profil mehr verrät, ist „nicht lesen, nicht speichern, nicht verwerten“ die belastbarere Recruiting-Regel.
Was muss die Art.-14-Information enthalten, und wann ist sie fällig?
Stammen Daten nicht von der Person selbst, verlangt Art. 14 DSGVO unter anderem Angaben zu: Verantwortlichem und gegebenenfalls Datenschutzbeauftragtem, Zweck und Rechtsgrundlage (bei Art. 6 Abs. 1 lit. f auch das konkrete berechtigte Interesse), Datenkategorien, Empfängern und Drittlandtransfers, Speicherdauer oder deren Kriterien, Rechten und Beschwerderecht sowie der Datenquelle, einschließlich der Frage, ob sie öffentlich zugänglich war. Kommen Profiling oder automatisierte Entscheidungen hinzu, erweitert sich die Information.
Die Frist regelt Art. 14 Abs. 3, mit drei Auslösern. Angemessene Frist, spätestens ein Monat nach Erhalt der Daten. Spätestens bei der ersten Kommunikation, wenn Sie die Daten zur Kontaktaufnahme nutzen. Spätestens bei der ersten Offenlegung gegenüber einem anderen Empfänger. Maßgeblich ist der früheste zutreffende Zeitpunkt. In der Praxis heißt das: ein kurzer Hinweis samt Link zur ausführlichen Datenschutzinformation gehört in die erste Nachricht, und Sie müssen auf Nachfrage die konkrete Quelle jedes Datensatzes nennen können.
Eine Regel wird leicht übersehen: Nach Art. 21 Abs. 4 DSGVO muss das Widerspruchsrecht spätestens bei der ersten Kommunikation ausdrücklich, verständlich und getrennt von anderen Informationen hervorgehoben werden. Ein Satz, der in einem Datenschutz-Link untergeht, genügt dafür nicht.
Was gilt, wenn Sie die Person nie ansprechen?
Hier rutschen viele Teams durch. Die Monatsfrist gilt auch für Profile, die Sie gespeichert, aber nie angeschrieben haben. Art. 14 Abs. 5 lit. b lässt eine Ausnahme zu, wenn die Information unmöglich ist oder unverhältnismäßigen Aufwand erfordert. Sie ist eng auszulegen und braucht Schutzmaßnahmen; eine Liste mit einigen hundert namentlich bekannten Personen zu informieren ist selten „unmöglich“. Die sauberere Regel: Speichern Sie kein Profil, das Sie nicht ansprechen wollen, und löschen Sie vorgemerkte, aber verworfene Profile innerhalb des Monats.
Einmal ansprechen oder Talent Pool aufbauen?
Bei einer einmaligen Ansprache für eine konkrete Vakanz ist der Zweck eng: passende Person finden, Kontakt aufnehmen, Rückmeldung verarbeiten, Vorgang beenden. Das spricht für wenige Daten, eine kurze operative Frist und keine automatische Weiterverwendung. Ausbleibende Antwort ist keine Einwilligung, das Profil für künftige Rollen auf Vorrat zu speichern.
Ein Talent Pool verfolgt dagegen einen weitergehenden und länger dauernden Zweck. Wer Profile in einen Pool übernimmt, sollte Zweck, Zugriffsberechtigte, Überprüfungs- und Löschfrist sowie die Rechtsgrundlage gesondert bewerten und transparent erklären. Ein freiwilliges, dokumentiertes Opt-in nach Interesse an künftigen Rollen ist oft die klarere Lösung; bei Berufung auf berechtigtes Interesse ist eine deutlich strengere, dokumentierte Abwägung nötig. Für die Prozessgestaltung sind ein Leitfaden zur Talent-Pool-Reaktivierung und ein Kandidatenportal für die selbstbestimmte Profilpflege hilfreiche Ausgangspunkte – sie ersetzen aber keine Rechtsgrundlage.
Wie lange dürfen Sourcing-Daten bleiben?
Die DSGVO nennt keine allgemeine Frist für Active Sourcing. Die Speicherbegrenzung in Art. 5 Abs. 1 lit. e verlangt, Daten nur so lange identifizierbar zu halten, wie es für den Zweck erforderlich ist. Legen Sie vor dem Start der Suche eine kurze, begründete Frist fest, tragen Sie das Löschdatum am Datensatz ein und halten Sie es ein. Als Planungsannahme sind einige Wochen nach Abschluss der Rolle für Personen üblich, die nie geantwortet haben; das ist eine je Suche zu begründende Annahme, kein gesetzlicher Wert.
Antwortet jemand und bewirbt sich, greifen die Bewerberregeln. Nach § 15 Abs. 4 AGG müssen Ansprüche wegen Benachteiligung innerhalb von zwei Monaten schriftlich geltend gemacht werden, beginnend mit dem Zugang der Ablehnung. Deshalb bewahren viele Arbeitgeber abgelehnte Bewerbungen einige Monate auf. Diese Begründung gilt für Bewerberinnen und Bewerber, nicht für Personen, die Sie nur gefunden und nie gehört haben.
Ein schmaler Sperrvermerk kann nötig sein, damit ein späterer Import einen Widerspruch nicht übergeht. Begrenzen Sie ihn auf das Nötigste: Identifier, Datum, Umfang des Widerspruchs und Zugriffsschutz – kein vollständiges Kandidatenprofil. Art. 17 DSGVO verlangt die Löschung, wenn Daten nicht mehr nötig sind oder einem Widerspruch keine überwiegenden Gründe entgegenstehen.
Wie gehen Sie mit einem Widerspruch um?
Auf das Widerspruchsrecht muss bei einer Verarbeitung nach Art. 6 Abs. 1 lit. f hingewiesen werden. Geht ein Widerspruch ein, dokumentieren Sie Zeitpunkt, Kanal, Reichweite und Maßnahmen und sperren weitere Sourcing- und Outreach-Aktionen in allen verbundenen Systemen. Nach Art. 21 Abs. 1 DSGVO darf die Verarbeitung nur fortgesetzt werden, wenn zwingende schutzwürdige Gründe überwiegen. Für Direktwerbung ist der Widerspruch nach Art. 21 Abs. 2 und 3 strenger: Die Verarbeitung für diesen Zweck muss enden. Behandeln Sie ein ausdrückliches „bitte nicht mehr kontaktieren“ als klaren Stopp für Recruiting-Ansprache, auch für andere Rollen und andere Recruiter im Unternehmen.
Dürfen Sie Kandidaten in Deutschland per E-Mail oder Telefon ansprechen?
Die DSGVO legitimiert Datenverarbeitung, nicht jede Kontaktform. § 7 UWG verbietet unzumutbare Belästigung. Telefonwerbung gegenüber Verbrauchern setzt vorherige ausdrückliche Einwilligung voraus, gegenüber sonstigen Marktteilnehmern mindestens eine mutmaßliche. Werbung per E-Mail erfordert grundsätzlich vorherige ausdrückliche Einwilligung (§ 7 Abs. 2 Nr. 2); die Ausnahme für Bestandskunden in Abs. 3 passt selten zur Erstansprache einer unbekannten Kandidatin oder eines unbekannten Kandidaten. Ob eine individuelle Recruiting-Nachricht im Einzelfall Werbung ist, ist rechtlich anspruchsvoll; das berechtigte Interesse aus der DSGVO löst diese Frage nicht. Eine Nachricht im beruflichen Netzwerk ist ein anderer Kanal als eine Mail an eine private Adresse, und jeder Kanal hat eigene Plattformregeln. Für EU- und US-Kampagnen prüfen Sie zusätzlich das jeweilige E-Privacy-, Direktmarketing- und Arbeitsrecht.
Typische Fehler in der Praxis
- Erst speichern, später entscheiden: Profile sammeln sich ohne Rolle, Information und Löschdatum an.
- Keine Quelle am Datensatz: Auf die Frage „Woher haben Sie meine Daten?“ gibt es keine Antwort.
- Information ohne Widerspruchshinweis: Der Art.-14-Link steht da, der getrennte Hinweis auf das Widerspruchsrecht fehlt.
- Notizen mit privaten Details: Bemerkungen zu Gesundheit, Familie oder Religion landen im CRM und in Auskunftsantworten.
- Widerspruch nur in einem Tool umgesetzt: Die Person fliegt aus der Sequenz und kommt mit der nächsten Suche wieder rein.
- Schweigen als Pool-Opt-in gewertet: Dauerhafte Speicherung ohne Zweck und Information.
Wo Tools helfen und wo nicht
Ein Tool kann Recherche, Freigaben, Hinweise und Sperrlisten strukturieren, aber weder eine Rechtsgrundlage schaffen noch einen ungeeigneten Kanal rechtmäßig machen. Bei den obigen Prüfpunkten zählt die Werkzeugseite vor allem für die Quellenerfassung, einen einzigen Datensatz je Person und den Widerspruch über alle Kanäle. Dafür ist Sprad gebaut: eine Suche über LinkedIn, XING, GitHub und Ihren eigenen Talent Pool, Ansprache per LinkedIn und E-Mail in einem Postfach je Person (ein früherer Kontakt ist sichtbar, bevor eine Kollegin oder ein Kollege erneut schreibt), Hosting in der EU und ein vollständiger Export Ihrer Daten. Formulierung der Information, Interessenabwägung und Speicherdauer bleiben Ihre Entscheidungen; den Art.-14-Hinweis nehmen Sie in Ihre Nachrichtenvorlagen auf.
Wer People Search für Active Sourcing einsetzt, sollte Quellenerfassung, Freigabe, Art.-14-Hinweis, Löschläufe und Widerspruchssperren im Prozess verankern. Bei der Auswahl hilft die Übersicht zu KI-Sourcing-Tools; entscheidend bleibt die tatsächliche Konfiguration in Ihrem Unternehmen.
Eine offen benannte Grenze
Dieser Rahmen beantwortet nicht, ob jede einzelne Ansprache, Plattformklausel oder internationale Datenübermittlung zulässig ist. Konzernstrukturen, Personalvermittlungsmandate, Betriebsvereinbarungen, Übermittlungen außerhalb des EWR und die genaue Einordnung einer Nachricht nach UWG können das Ergebnis verändern. Vor einem skalierenden Outreach oder dem Aufbau eines langfristigen Pools sollte der Datenschutzbeauftragte oder spezialisierter Rechtsrat den konkreten Prozess prüfen.
Zum Kanal E-Mail im Detail, einschließlich Informationshinweis für die erste E-Mail, siehe Kandidaten per E-Mail ansprechen.
FAQ
Brauche ich eine Einwilligung, um einen online gefundenen Kandidaten anzusprechen?
Für die Erstansprache meist nicht. Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f kann eine enge, dokumentierte Ansprache für eine reale Vakanz tragen. Eine Einwilligung wird relevant, wenn Sie jemanden für künftige Rollen behalten möchten.
Darf ich ein öffentliches LinkedIn- oder XING-Profil für Active Sourcing nutzen?
Ein öffentlich sichtbares, berufsbezogenes Profil kann die Interessenabwägung zugunsten einer passenden Ansprache stützen. Zweckbindung, Datenminimierung und Transparenz bleiben bestehen. Privat wirkende Inhalte oder nur für Kontakte sichtbare Angaben sollten Sie nicht auswerten.
Wann muss die Art.-14-Information erfolgen?
Nutzen Sie die Daten zur Kontaktaufnahme, spätestens bei der ersten Nachricht. Speichern Sie die Daten, ohne zu schreiben, innerhalb einer angemessenen Frist und spätestens einen Monat nach Erhalt. Die Information sollte die Quelle nennen und den Widerspruchsweg leicht auffindbar machen.
Wie lange darf ich Kandidatendaten nach dem Sourcing behalten?
So lange, wie der festgelegte Zweck es erfordert, und nicht länger. Legen Sie je Suche eine kurze Frist fest und tragen Sie das Löschdatum am Datensatz ein. Für Bewerberinnen und Bewerber gelten eigene Regeln.
Darf ich Personen ohne Antwort im Pool behalten?
Schweigen ist kein Pool-Opt-in. Für fortgesetzte Speicherung brauchen Sie einen klaren Zweck, eine dokumentierte Rechtsgrundlage, eine angemessene Frist und die Art.-14-Information. Ein freiwilliges Einverständnis für künftige Rollen schafft meist mehr Klarheit als unbestimmte Vorratshaltung.
Reicht ein Abmeldelink, wenn jemand nicht mehr kontaktiert werden will?
Er hilft nur, wenn der Wunsch systemübergreifend umgesetzt wird. Der Widerspruch muss in Recruiting-, CRM- und Outreach-Systemen wirksam dokumentiert sein. Bewahren Sie dafür höchstens die minimal nötigen Sperrinformationen auf.
Wird eine LinkedIn-Nachricht anders behandelt als eine E-Mail?
Nach der DSGVO gelten dieselben Pflichten. Nach dem deutschen Wettbewerbsrecht wird der Kanal eigens bewertet, dazu kommen die Regeln der Plattform. Prüfen Sie den Kanal je Kampagne, nicht je Tool.
Weiterlesen: Recruiting ohne Agenturen: Was Sie selbst übernehmen können
Jürgen Ulbrich
Jürgen Ulbrich verfügt über mehr als ein Jahrzehnt Erfahrung in der Entwicklung und Führung leistungsstarker Teams und Unternehmen. Als Experte für Mitarbeiterempfehlungsprogramme sowie Feedback- und Performance-Prozesse hat Jürgen über 100 Organisationen dabei unterstützt, ihre Talent Acquisition und Devlopment Strategie zu optimieren.
