DSGVO-Checkliste Social Recruiting

Das steckt in der DSGVO-Checkliste für Social Recruiting

Eine Stellenanzeige auf Instagram oder Facebook wirkt wie eine Marketingaufgabe. Datenschutzrechtlich und im Gleichbehandlungsrecht löst sie aber mehrere Fragen aus, bevor die erste Bewerbung eintrifft: ein Pixel, das Besucher erfasst, ein Lead-Formular, das personenbezogene Daten erhebt, ein WhatsApp-Chat, der Gespräche speichert, und eine Zielgruppe, die Meta für Sie zusammenstellt. Diese Word-Checkliste führt Sie in acht Blöcken und 46 Prüfpunkten durch alle diese Stellen, damit nichts erst auffällt, wenn die Kampagne läuft.

Zu jedem Prüfpunkt gehören eine Rechtsgrundlage und eine Spalte für „erledigt von und am“. Die acht Blöcke:

1. Pixel, Conversions API und Einwilligung. Wann Tracking laden darf, was eine wirksame Einwilligung ausmacht und wie die gemeinsame Verantwortlichkeit mit Meta zu behandeln ist.
2. Lead-Formulare (Instant Forms). Informationspflichten, Datensparsamkeit, Rechtsgrundlage und getrennte Einwilligungen.
3. WhatsApp: Business-App oder Business-Plattform (API). Warum die Wahl zählt, Erstkontakt, KI-Kennzeichnung und automatisierte Entscheidungen.
4. Auftragsverarbeitung und Dienstleister. Wer einen Vertrag braucht, was darin stehen muss und wie die Rollen mit einer Agentur verteilt sind.
5. Speicherfristen und Löschkonzept. Wie lange Bewerberdaten bleiben dürfen und wie sich die Löschung nachweisen lässt.
6. Talentpool und Einwilligung. Warum das Aufbewahren für spätere Stellen eine eigene Einwilligung braucht und wie Sie das organisieren.
7. AGG-konforme Anzeigen und Targeting. Neutrale Formulierungen, Bilder, Zielgruppenauswahl und Fristen für Ansprüche.
8. Meta-Werbekategorie Beschäftigung. Was die Sonderkategorie für die Planung ändert und wie Sie den Stand der Meta-Regeln festhalten.

Das Dokument enthält außerdem eine kurze Anleitung, eine Seite für offene Punkte mit Verantwortlichem und Termin und einen Schlusshinweis dazu, was die Checkliste leistet und was nicht. Sie ist auf Deutschland und die EU ausgerichtet und nennt zu jedem Punkt die Rechtsgrundlage.

Funktionen, die Ihnen Zeit sparen

• Rechtsgrundlage je Prüfpunkt. Statt „Datenschutz prüfen“ steht dort der Artikel, der Paragraf oder das Urteil, zum Beispiel Art. 28 DSGVO für den Auftragsverarbeitungsvertrag oder § 25 TDDDG für das Pixel. So weiß Ihre Datenschutzbeauftragte sofort, worum es geht.
• Entlang der Social-Recruiting-Kette. Die Liste folgt dem Weg einer Bewerberin: Anzeige, Klick, Formular oder Chat, Speicherung, Talentpool, Löschung. Sie können Stufe für Stufe prüfen.
• Offen bei unklarer Rechtslage. Wo die Rechtslage umstritten ist oder kein fester Wert existiert, sagt die Liste das. Die Löschfrist von sechs Monaten ist zum Beispiel ein Praxiswert und kein Gesetzestext. Die Reichweite von § 26 BDSG ist seit einem Urteil des EuGH von 2023 umstritten, deshalb wird Art. 6 DSGVO parallel genannt.
• Kästchen und Abzeichnungsspalte. Jeder Punkt hat ein Kästchen und ein Feld für „erledigt von und am“. Die ausgefüllte Liste dient damit zugleich als Nachweis für Ihre Unterlagen.
• Seite für offene Punkte. Alles, was Sie nicht selbst bestätigen können, tragen Sie mit Namen und Termin in eine Tabelle ein.

So nutzen Sie die Checkliste

1. Vor dem Briefing öffnen. Gehen Sie die Liste bei der Planung der Kampagne durch, nicht erst, wenn die erste Anzeige freigegeben wird.
2. Abhaken, was Sie belegen können. Ein Punkt ist erledigt, wenn ein Dokument, eine Einstellung oder ein Vertrag ihn zeigt. „Wir glauben, ja“ bleibt offen.
3. Offene Punkte mit Namen und Datum versehen. Nutzen Sie dafür die letzte Spalte und die Seite für offene Punkte am Ende.
4. Offene Punkte zur Datenschutzbeauftragten oder Rechtsvertretung bringen. Die Spalte Rechtsgrundlage zeigt, worum es bei der Frage geht.
5. Kampagne starten, wenn alle Punkte geschlossen oder bewusst akzeptiert sind. Akzeptierte Risiken halten Sie mit Namen fest.
6. Alle sechs Monate prüfen. Meta, WhatsApp und das KI-Recht ändern sich. Notieren Sie den Prüftermin im Dokument.

Diese Checkliste ist eine Orientierung und keine Rechtsberatung. Sie ersetzt nicht die Prüfung Ihres Einzelfalls. Stand des Dokuments: Oktober 2026.

Warum diese Checkliste funktioniert

Sie deckt die ganze Kette ab, nicht nur ein Werkzeug. Viele Datenschutz-Ratgeber zum Social Recruiting enden beim Cookie-Banner. Das eigentliche Risiko liegt oft woanders: im Lead-Formular, das zu viel abfragt, im WhatsApp-Konto mit Adressbuch-Abgleich oder in einer Bewerberdatenbank, die niemand leert.

Sie trennt Gesetz von Gewohnheit. Eine Liste, die gesetzliche Pflichten und übliche Praxis vermischt, führt zu zu viel oder zu wenig Aufwand. Hier zeigt jeder Punkt, was er ist, damit Sie bewusst entscheiden, wo Sie Spielraum haben.

Sie verbindet Datenschutz und Gleichbehandlung. Stellenanzeigen unterliegen auch dem Allgemeinen Gleichbehandlungsgesetz (AGG), und Meta beschränkt das Targeting für Stellenanzeigen über die Kategorie Beschäftigung. Wer beides zusammen betrachtet, vermeidet eine Kampagne, die datenschutzrechtlich sauber, aber in der Zielgruppe diskriminierend ist, oder umgekehrt.

Sie macht die Arbeit sichtbar. Eine abgehakte, datierte Liste zeigt Prüfern, Betriebsrat oder Kunden, dass Sie die richtigen Fragen gestellt haben, auch wenn einzelne Punkte nach Abwägung offen bleiben.

Für wen die Checkliste gedacht ist

• HR- und Recruiting-Teams, die ihre erste oder nächste Kampagne auf Instagram und Facebook planen.
• Datenschutzbeauftragte, die ein Social-Recruiting-Setup prüfen sollen und einen strukturierten Einstieg suchen.
• Inhaber und Geschäftsführer aus Pflege, Handwerk, Logistik, Gastronomie und Handel, die ohne Rechtsabteilung einstellen.
• Agenturen und Freelancer, die Stellenanzeigen für Kunden schalten und Rollen und Verträge früh klären müssen.

Wenn Bewerbungen in einem Pool landen sollen, den Sie kontrollieren: Sprad Social Recruiting schaltet Stellenanzeigen auf Instagram und Facebook (Google und TikTok folgen). Ein KI-Recruiter-Agent qualifiziert jede Bewerbung per WhatsApp, Telefon oder Web vor, und alle Bewerber landen im eigenen Talentpool Ihres Unternehmens, also bleiben die Kontakte bei Ihnen statt bei einer Plattform. Abgerechnet wird das Werbebudget plus 5–20 % Service je nach Volumen, ab 1.000 € Budget, das sich auf mehrere Stellen verteilen lässt. Empfohlen sind drei Monate Laufzeit. Eine Garantie für eine bestimmte Zahl an Bewerbungen gibt es nicht. Sprad Social Recruiting ansehen.

FAQs

Brauche ich für das Meta Pixel auf der Karriereseite eine Einwilligung?

In aller Regel ja. Das Auslesen von Informationen auf dem Endgerät, das das Pixel tut, braucht nach § 25 TDDDG eine Einwilligung, und für die spätere Verarbeitung braucht es eine Rechtsgrundlage nach DSGVO, meist ebenfalls die Einwilligung. Das Pixel sollte erst laden, nachdem der Besucher zugestimmt hat. Die Checkliste nennt die Punkte, die Sie prüfen sollten, auch dazu, wie die Conversions API einzuordnen ist.

Reicht die WhatsApp Business-App für die Bewerberkommunikation?

Oft nicht. Die Business-App kann Kontakte aus dem Adressbuch des Geräts mit WhatsApp abgleichen, was sich nur schwer mit der Datensparsamkeit vereinbaren lässt. Die Business-Plattform (API) läuft über einen Anbieter und erlaubt einen Auftragsverarbeitungsvertrag und einen kontrollierten Einsatz. Die Checkliste behandelt beide Wege und die Punkte, die vor der ersten Nachricht geklärt sein sollten.

Wie lange darf ich Bewerberdaten aufbewahren?

Das Gesetz nennt keine feste Frist. Viele Arbeitgeber löschen abgelehnte Bewerbungen etwa sechs Monate nach Abschluss des Verfahrens, orientiert an den Fristen für Ansprüche nach dem AGG. Wer länger speichern will, zum Beispiel in einem Talentpool, braucht dafür die gesonderte Einwilligung der Bewerberin. Die Checkliste deckt beides ab.

Darf ich Stellenanzeigen nach Alter oder Geschlecht ausspielen?

In der Regel nicht. Die Meta-Sonderkategorie Beschäftigung schränkt solche Optionen je nach Region ein, und nach dem AGG kann eine Auswahl nach Alter oder Geschlecht ein Indiz für Diskriminierung sein. Steuern Sie die Reichweite stattdessen über Region, Radius, Rolle und Anzeigeninhalt. Prüfen Sie vor der Planung die aktuellen Richtlinien von Meta, denn sie ändern sich.

Ersetzt die Checkliste eine Rechtsberatung?

Nein. Sie ordnet die üblichen Prüfpunkte, nennt die Rechtsgrundlagen und gibt Ihnen bessere Fragen an Ihre Datenschutzbeauftragte oder Rechtsvertretung. Ihren Einzelfall beurteilt sie nicht.

Mehr zum Thema: unsere Ratgeber zu Social Recruiting und das Social-Recruiting-Glossar.