Social Recruiting ist DSGVO-konform möglich, wenn Sie für jeden Schritt eine Rechtsgrundlage und eine Information haben: Das Pixel auf Ihrer Karriereseite braucht eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG), die Bewerbung selbst stützen Sie auf Art. 6 Abs. 1 lit. b DSGVO, die Aufnahme in einen Talent Pool braucht eine gesonderte, befristete Einwilligung. WhatsApp setzen Sie über die Business Platform mit Opt-in ein, nicht über ein privates Handy. Stand: Oktober 2026. Dieser Beitrag ist keine Rechtsberatung.
Wer ist verantwortlich, und welche Daten fließen?
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Arbeitgeber, der die Stelle ausschreibt, auch wenn er die Kampagne über eine Agentur oder Software steuert. Im Social Recruiting entstehen Daten an fünf Stellen: bei der Anzeigenauslieferung und Messung (Pixel, Conversions API), im Lead-Formular, im Chat (WhatsApp), bei der Vorqualifizierung und in der Bewerberverwaltung (ATS, Talent Pool). Für jede Stelle gilt eine andere Regel.
| Schritt | Rechtsgrundlage | Pflicht |
|---|---|---|
| Meta-Pixel, Conversions API, Retargeting | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG | Consent-Banner vor dem Laden, Vereinbarung nach Art. 26 DSGVO |
| Lead-Formular | Art. 6 Abs. 1 lit. b DSGVO (Bewerbung) | Datenschutzhinweis nach Art. 13, nur nötige Felder |
| WhatsApp-Chat | Art. 6 Abs. 1 lit. b, für Werbliches lit. a | Business Platform, Opt-in, AV-Vertrag nach Art. 28, Drittlandtransfer prüfen |
| KI-Vorqualifizierung | Art. 6 Abs. 1 lit. b oder f | Keine rein automatisierte Absage (Art. 22), Information über die Logik |
| Bewerberakte | Art. 6 Abs. 1 lit. b, § 26 BDSG | Löschkonzept, etwa sechs Monate nach Absage |
| Talent Pool | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO | Gesonderte Einwilligung, Befristung, Widerruf |
Rechtsrahmen: Art. 6, Art. 88 DSGVO und § 26 BDSG
Art. 88 DSGVO erlaubt den Mitgliedstaaten, für die Verarbeitung von Beschäftigtendaten „einschließlich der Zwecke der Einstellung“ spezifischere Regeln zu schaffen. Deutschland hat das in § 26 BDSG getan. Der EuGH hat mit Urteil vom 30. März 2023 (C-34/21) zu einer nahezu gleichlautenden hessischen Vorschrift entschieden, dass eine solche nationale Regel nur anwendbar ist, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt. Für die Praxis heißt das: Stützen Sie die Bewerberverarbeitung vorsorglich zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Anfrage der betroffenen Person vor Vertragsschluss) und dokumentieren Sie die Erforderlichkeit je Datenfeld.
Die Folgen eines Verstoßes sind real: Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO), dazu Schadensersatzansprüche nach Art. 82.
Anzeigen und Meta-Pixel
Wer ein Meta-Pixel in seine Karriereseite einbindet, ist gemeinsam mit Meta für die Erhebung und Übermittlung der Daten verantwortlich. Das hat der EuGH im Fashion-ID-Urteil (C-40/17, 29. Juli 2019) für ein Social-Plugin entschieden, und die Betreiber müssen die Einwilligung der Besucher einholen. Aus der Rolle folgen eine Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, bei Meta über das „Controller Addendum“ geregelt, und die Informationspflicht gegenüber den Besuchern.
- Einwilligung vor dem Laden: Das Pixel setzt Daten im Endgerät, deshalb braucht es zusätzlich zur DSGVO eine Einwilligung nach § 25 Abs. 1 TDDDG. Ein Banner mit gleichwertigen Schaltflächen „Ablehnen“ und „Zustimmen“, ohne vorangekreuzte Felder.
- Conversions API ist kein Schlupfloch: Auch serverseitig übermittelte Ereignisse stammen von Personen und dürfen ohne deren Einwilligung nicht an Meta gehen.
- Retargeting von Bewerbern: Wer die Karriereseite besucht hat, wird nur mit Einwilligung in Zielgruppen aufgenommen. Ohne Einwilligung arbeiten Sie mit Radius und Anzeigentext, wie es die Meta-Werbekategorie „Beschäftigung“ ohnehin vorsieht.
- Fanpages: Auch für Seiten-Statistiken besteht eine gemeinsame Verantwortlichkeit (EuGH C-210/16, 5. Juni 2018).
Lead-Formulare und Landingpages
Im Formular stehen Daten, die der Bewerber freiwillig angibt, aber Sie müssen ihn vorher informieren (Art. 13 DSGVO): wer verantwortlich ist, wofür die Daten dienen, wie lange sie gespeichert werden, an wen sie gehen und welche Rechte bestehen. Verlinken Sie den Datenschutzhinweis direkt im Formular. Dazu gelten drei Regeln:
- Datenminimierung (Art. 5 Abs. 1 lit. c): Name, Kontaktweg, Ort und zwei bis vier Muss-Kriterien genügen. Kein Lebenslauf-Zwang, kein Geburtsdatum, kein Foto.
- Keine besonderen Kategorien (Art. 9): Fragen nach Gesundheit, Religion, Gewerkschaftszugehörigkeit oder Schwerbehinderung gehören nicht in die Erstansprache.
- Rollen klären: Prüfen Sie anhand der aktuellen Meta-Bedingungen, wer die Formulardaten in welcher Rolle verarbeitet, und exportieren Sie die Leads zeitnah in Ihr System, statt sie dauerhaft im Werbekonto zu lassen.
WhatsApp: Business App oder Business Platform?
| WhatsApp Business App | WhatsApp Business Platform (API) | |
|---|---|---|
| Adressbuch | Wird wie bei der normalen App abgeglichen | Kein Abgleich |
| AV-Vertrag | Praktisch nicht möglich | Über einen Business Solution Provider, Art. 28 DSGVO |
| Eignung für Bewerber | Nur für einzelne Chats, problematisch | Für Volumen und automatisierte Abläufe |
Der Adressbuchabgleich der normalen und der Business-App ist der Hauptgrund, warum Praxisleitfäden von der privaten Nutzung abraten: Nummern von Personen, die nie eingewilligt haben, werden an Meta übermittelt. Für Bewerber-Chats gilt deshalb die Business Platform über einen Anbieter. Zusätzlich:
- Opt-in in der ersten Nachricht und freiwillig (Art. 7 DSGVO), mit Hinweis auf Zweck, Dauer und Widerruf. Werbliche Folgenachrichten brauchen eine eigene Einwilligung.
- Drittlandtransfer: Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework gilt seit dem 10. Juli 2023. Das Gericht der EU hat die Klage Latombe (T-553/23) am 3. September 2025 abgewiesen, Latombe hat am 31. Oktober 2025 Rechtsmittel eingelegt (C-703/25 P). Halten Sie deshalb für den Fall einer Aufhebung eine Alternative bereit, etwa Standardvertragsklauseln.
- Praxis: Den vollen Ablauf mit Einwilligungstext und Fragenliste zeigt unser Beitrag Kandidaten per WhatsApp kontaktieren.
KI-Vorqualifizierung: Art. 22 DSGVO und AI Act
Qualifiziert eine KI Bewerber vor, greift Art. 22 DSGVO: Eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung darf nicht ausschließlich automatisiert fallen. Der EuGH hat im SCHUFA-Urteil (C-634/21, 7. Dezember 2023) klargestellt, dass schon ein Score als Entscheidung zählen kann, wenn der Empfänger sich maßgeblich darauf stützt. Für Recruiting gilt daher:
- Ein Mensch entscheidet über Einladung und Absage und kann vom Ergebnis abweichen.
- Bewerber erfahren nach Art. 13 Abs. 2 lit. f, dass und in welcher Logik eine automatisierte Vorqualifizierung erfolgt.
- Bei hohem Risiko prüfen Sie eine Datenschutz-Folgenabschätzung (Art. 35).
- AI Act: KI-Systeme für Einstellung und Auswahl sind Hochrisiko-Systeme (Anhang III). Die Pflichten gelten nach dem Digital Omnibus, in Kraft seit 27. Juli 2026, erst ab 2. Dezember 2027. Fragen Sie Ihren Anbieter heute nach seinem Plan.
Bewerberakte, Talent Pool und Löschfristen
Bewerberdaten dienen dem Auswahlverfahren und nicht anderen Zwecken. Nach einer Absage ist eine Speicherung für etwa sechs Monate verbreitet, weil Bewerber nach § 15 Abs. 4 AGG ihre Ansprüche binnen zwei Monaten schriftlich geltend machen müssen und danach drei Monate für die Klage bleiben (§ 61b ArbGG). Das ist eine Praxisfrist, keine gesetzliche Zahl: Dokumentieren Sie Ihre Begründung.
Wer Bewerber darüber hinaus für künftige Stellen behalten will, braucht eine gesonderte, freiwillige, dokumentierte Einwilligung, die jederzeit widerrufbar ist (Art. 7 Abs. 3). Gängige Leitfäden nennen sechs bis zwölf Monate als angemessene Dauer für einen Pool, danach fragen Sie erneut an oder löschen. Der Vorteil eines eigenen Talent Pools ist, dass Einwilligung, Frist und Löschung an einer Stelle liegen und nicht bei einer Plattform, auf die Sie keinen Zugriff haben.
Betroffene können Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Widerspruch (Art. 21) verlangen. Antworten müssen Sie nach Art. 12 Abs. 3 unverzüglich geben, spätestens innerhalb eines Monats.
Checkliste: 10 Punkte vor dem Start der Kampagne
| # | Prüfpunkt | Erledigt, wenn |
|---|---|---|
| 1 | Consent-Banner | Pixel lädt erst nach Zustimmung |
| 2 | Vereinbarung mit Meta | Art. 26 / Controller Addendum geprüft |
| 3 | Datenschutzhinweis im Formular | Art.-13-Angaben verlinkt |
| 4 | Datenminimierung | Nur Felder, die die Auswahl braucht |
| 5 | WhatsApp Business Platform | Anbieter, AV-Vertrag, Opt-in-Text |
| 6 | Drittlandtransfer | DPF-Zertifizierung oder SCC dokumentiert |
| 7 | Menschliche Entscheidung | Keine rein automatisierte Absage |
| 8 | Löschkonzept | Frist je Datenart festgelegt, technisch umgesetzt |
| 9 | Talent-Pool-Einwilligung | Gesondert, befristet, widerrufbar |
| 10 | Verarbeitungsverzeichnis | Social Recruiting als Tätigkeit eingetragen (Art. 30) |
Wie Sprad dazu passt
Sprad Social Recruiting schaltet Ihre Stellenanzeigen auf Instagram und Facebook, ein KI-Talent-Agent qualifiziert jede Bewerbung per WhatsApp, Telefon oder Web vor, und alle Bewerber landen in Ihrem eigenen Talent Pool. Die Kontakte liegen damit bei Ihnen statt bei einer Plattform, und Fristen und Einwilligungen lassen sich an einer Stelle steuern. Abgerechnet wird das Werbebudget plus 10 %, ab 1.000 € Budget. Die rechtliche Bewertung Ihres Einsatzes übernimmt Ihr Datenschutzbeauftragter, den Sie vor dem Start einbinden sollten.
Häufige Fragen
Ist Social Recruiting mit Meta-Anzeigen DSGVO-konform?
Ja, wenn Sie Einwilligung für Pixel und Retargeting einholen, die Vereinbarung nach Art. 26 DSGVO prüfen, im Formular nach Art. 13 informieren und Löschfristen festlegen.
Brauche ich für das Meta-Pixel eine Einwilligung?
Ja. Das Pixel setzt Daten im Endgerät und übermittelt sie an Meta. Dafür braucht es die Einwilligung nach § 25 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, vor dem Laden.
Darf ich Bewerber per WhatsApp anschreiben?
Ja, über die WhatsApp Business Platform mit Opt-in und Datenschutzhinweis. Die normale Business-App ist wegen des Adressbuchabgleichs problematisch.
Wie lange darf ich Bewerberdaten speichern?
Üblich sind etwa sechs Monate nach der Absage. Für einen Talent Pool brauchen Sie eine Einwilligung, gängig sind sechs bis zwölf Monate.
Ist eine KI-Vorqualifizierung erlaubt?
Ja, solange nicht ausschließlich die KI über Absage oder Einladung entscheidet (Art. 22 DSGVO) und Bewerber informiert werden.
Gilt Art. 88 DSGVO für Bewerber?
Ja, er erfasst ausdrücklich die Einstellung. Nach dem EuGH-Urteil C-34/21 sollten Sie sich zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO stützen.
Jürgen Ulbrich
Jürgen Ulbrich verfügt über mehr als ein Jahrzehnt Erfahrung in der Entwicklung und Führung leistungsstarker Teams und Unternehmen. Als Experte für Mitarbeiterempfehlungsprogramme sowie Feedback- und Performance-Prozesse hat Jürgen über 100 Organisationen dabei unterstützt, ihre Talent Acquisition und Devlopment Strategie zu optimieren.
