DSGVO-konforme Personalvermittlung bedeutet, Bewerberdaten auf Basis von Art. 6 Abs. 1 lit. b DSGVO und §26 BDSG zu verarbeiten, ohne dass für Standardbewerbungen eine gesonderte Einwilligung erforderlich ist. Wer Personalvermittlung betreibt, verarbeitet täglich sensible personenbezogene Daten: Lebensläufe, Gehaltsvorstellungen, Qualifikationsnachweise. Fehler dabei sind teuer. Die Datenschutzbehörden verhängen Bußgelder, und Bewerber können Schadensersatz fordern. Personalvermittlung Datenschutz DSGVO einhalten ist kein bürokratischer Selbstzweck, sondern Grundvoraussetzung für rechtssicheres Arbeiten. Dieser Leitfaden zeigt, welche Regeln konkret gelten, wie KI-gestütztes Recruiting die Pflichten verschärft und wo Personalvermittler erfahrungsgemäß die meisten Fehler machen.
Welche Datenschutzvorgaben gelten bei der Verarbeitung von Bewerberdaten?
Die Rechtsgrundlage für die Verarbeitung von Bewerberdaten ist Art. 6 Abs. 1 lit. b DSGVO und §26 BDSG. Das bedeutet: Daten dürfen verarbeitet werden, soweit es für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Keine Einwilligung nötig, solange der Zweck klar ist.
Aber “erforderlich” ist enger gefasst, als viele denken. Religionszugehörigkeit und Familienstand sind für eine Stellenentscheidung irrelevant und dürfen schlicht nicht verarbeitet werden. Wer solche Angaben trotzdem abfragt oder speichert, verstößt gegen das Prinzip der Datensparsamkeit aus Art. 5 Abs. 1 lit. c DSGVO.
Besonders häufig übersehen: die Informationspflicht nach Art. 13 DSGVO. Transparenzpflichten greifen bereits bei erster Kontaktaufnahme, nicht erst wenn ein Vertrag unterschrieben wird. Wer Kandidaten über LinkedIn anschreibt oder per Headhunting kontaktiert, muss schon in dieser ersten Nachricht auf die Datenverarbeitung hinweisen. Das wird regelmäßig vergessen.
Für abgelehnte Bewerber gilt eine klare Frist: Bewerberdaten sind nach 6 Monaten zu löschen, sofern keine andere Rechtsgrundlage besteht. Die 6 Monate orientieren sich an der Frist für AGG-Klagen. Danach müssen die Daten weg, oder es braucht eine ausdrückliche Einwilligung für den Talentpool.
Die wichtigsten Pflichten im Überblick:
- Rechtsgrundlage dokumentieren: Für jede Verarbeitungsaktivität muss festgehalten sein, auf welcher Grundlage (§26 BDSG, Art. 6 lit. b oder lit. f DSGVO) die Daten verarbeitet werden.
- Datensparsamkeit einhalten: Nur Daten erheben, die für die konkrete Stelle tatsächlich gebraucht werden.
- Transparenz von Anfang an: Datenschutzhinweise bereits beim ersten Kontakt bereitstellen, nicht erst im Bewerbungsformular.
- Löschfristen überwachen: Abgelehnte Bewerbungen nach 6 Monaten löschen oder sperren, sofern keine Einwilligung für den Talentpool vorliegt.
- Verarbeitungsverzeichnis führen: Art. 30 DSGVO verpflichtet zur Dokumentation aller Verarbeitungstätigkeiten.
Profi-Tipp: Legen Sie für jede Stelle eine kurze Notiz an, welche Datenkategorien Sie erheben und warum. Das dauert zwei Minuten und schützt Sie im Prüfungsfall erheblich.
Wie integriert man den EU AI Act in die Personalvermittlung?
Ab August 2026 gelten für KI-Systeme im HR-Bereich verbindliche Pflichten nach dem EU AI Act. KI-Systeme im Recruiting gelten als “High-Risk”, wenn sie Bewerber bewerten, filtern oder ranken. Das betrifft Lebenslauf-Screening-Tools genauso wie automatisierte Vorauswahl-Algorithmen.
Was das konkret bedeutet:
- Dokumentationspflicht: Jedes eingesetzte KI-System muss dokumentiert sein. Welche Daten fließen ein? Wie trifft das System Entscheidungen? Wer hat die Aufsicht?
- Menschliche Kontrolle: Finale Auswahlentscheidungen dürfen nicht allein durch ein KI-System getroffen werden. Art. 22 DSGVO verbietet vollautomatisierte Entscheidungen mit rechtlicher Wirkung bereits heute.
- Transparenz gegenüber Bewerbern: Bewerber müssen wissen, dass KI im Prozess eingesetzt wird, und haben das Recht auf menschliche Überprüfung.
- Datenschutz-Folgenabschätzung (DPIA): Bei KI-gestütztem Recruiting ist eine DPIA Pflicht, nicht Option. Sie muss Antidiskriminierungsaspekte explizit adressieren.
Achtung: Das Zusammenspiel von §26 BDSG, dem Allgemeinen Gleichbehandlungsgesetz (AGG) und dem EU AI Act macht HR-Daten zu einer der sensibelsten Datenkategorien überhaupt. Ein Algorithmus, der Bewerber nach Alter oder Herkunft benachteiligt, löst gleichzeitig DSGVO-Verstöße und AGG-Haftung aus.
Datenschutz-Folgenabschätzungen mit Antidiskriminierungsfokus sind kein theoretisches Konstrukt. Wer heute ein KI-Tool kauft und morgen einsetzt, ohne diese Prüfung gemacht zu haben, sitzt auf einem Haftungsrisiko. Den Datenschutz-Check für Recruiting-Tools sollte jeder Personalvermittler kennen, bevor er neue Software einführt.
Welche praktischen Schritte helfen Personalvermittlern, Datenschutzverstöße zu vermeiden?
Der erste organisatorische Schritt ist die Frage: Brauchen wir einen Datenschutzbeauftragten? Ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, ist die Benennung nach §38 BDSG Pflicht. Und hier liegt ein klassischer Fehler: Viele Agenturen zählen interne Mitarbeiter nicht korrekt, weil sie Recruiting, Disposition und Lohnbüro getrennt betrachten. Zusammengerechnet überschreiten sie die Schwelle, ohne es zu merken.
Ein Datenschutzbeauftragter ist kein Papiertiger. Er prüft Prozesse, schult Mitarbeiter und ist Ansprechpartner für Behörden. Wer keinen hat, obwohl er einen bräuchte, riskiert Bußgelder allein wegen dieser Pflichtverletzung.
| Maßnahme | Wann erforderlich | Typischer Fehler |
|---|---|---|
| Datenschutzbeauftragter benennen | Ab 20 datenverarbeitenden Personen (§38 BDSG) | Mitarbeiterzahl wird falsch berechnet |
| Einwilligung für Talentpool | Immer, wenn Daten über Ablehnung hinaus gespeichert werden | Sammel-Einwilligung statt getrennter Erklärung |
| Interessenabwägung dokumentieren | Bei Verarbeitung auf Basis Art. 6 lit. f DSGVO | Abwägung fehlt oder ist nicht schriftlich |
| Löschfristen überwachen | Abgelehnte Bewerber nach 6 Monaten | Keine automatisierten Löschroutinen |
| DPIA durchführen | Bei KI-gestütztem Recruiting | Wird als optional betrachtet |
Einwilligungen für Talentpools sind ein eigenes Kapitel. Eine wirksame Einwilligung muss getrennt, explizit und dokumentiert sein. Wer eine Sammel-Einwilligung verwendet (“Ich stimme der Verarbeitung meiner Daten zu”), hat rechtlich nichts in der Hand. Die Einwilligung für den Talentpool muss separat von der Einwilligung für den laufenden Bewerbungsprozess eingeholt werden.
Dazu kommt das Thema Widerruf. Widerrufe müssen technisch sauber umsetzbar sein, ohne die Daten des laufenden Bewerbungsprozesses zu beeinträchtigen. Das klingt selbstverständlich, ist aber technisch anspruchsvoller als gedacht, wenn Bewerberdaten in mehreren Systemen gespeichert sind.
Profi-Tipp: Führen Sie regelmäßige interne Audits durch, bei denen Sie prüfen, wie viele Personen in Ihrem Unternehmen tatsächlich personenbezogene Daten verarbeiten. Zählen Sie Recruiting, Disposition, Lohnbüro und Assistenz zusammen. Das Ergebnis überrascht oft.
Wie geht man mit schwierigen Datenschutzsituationen im Recruiting um?
Manche Situationen sind rechtlich knifflig, auch wenn man grundsätzlich alles richtig macht. Ein aktuelles Beispiel: Das LG Köln hat im November 2025 entschieden, dass Personalvermittler ein legitimes Interesse haben, Gehaltsinformationen anzufordern, selbst wenn der Kandidat widerspricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Aber: Eine dokumentierte Interessenabwägung ist zwingend erforderlich. Ohne Dokumentation ist das Urteil wertlos als Schutzschild.
Zu den weiteren Problemfeldern gehören:
- Sensible Datenkategorien: Gesundheitsdaten, Behinderungen oder Schwangerschaften dürfen grundsätzlich nicht erfragt werden. Wenn ein Bewerber solche Informationen freiwillig mitteilt, muss der Personalvermittler besonders sorgfältig mit der Speicherung umgehen.
- Sammel-Einwilligungen und Consent-Fatigue: Bewerber, die im Prozess mit Einwilligungserklärungen überhäuft werden, klicken irgendwann alles weg. Das führt zu unwirksamen Einwilligungen, weil die Freiwilligkeit fehlt.
- Internationale Bewerbungen: Wer Kandidaten aus Drittländern außerhalb der EU rekrutiert oder Daten in Drittländer überträgt, braucht zusätzliche Schutzmaßnahmen. Standardvertragsklauseln (SCC) der EU-Kommission sind hier das gängige Instrument.
Die arbeitsrechtlichen Neuerungen 2026 zeigen, dass die Rechtsprechung zu Gehaltsdaten und Datenweitergabe weiter in Bewegung ist. Wer sich auf veraltete Muster verlässt, gerät schnell in Haftungsrisiken.
Ein Punkt, der oft unterschätzt wird: Kandidaten sind als potenzielle Beschäftigte besonders zu schützen. Das bedeutet, dass der Datenschutz nicht kontextfrei angewendet werden darf. Was für einen Kunden zulässig ist, kann gegenüber einem Bewerber unzulässig sein. Personalvermittler sitzen zwischen zwei Parteien und müssen die Interessen beider im Blick behalten.
DSGVO-konforme Personalvermittlung erfordert klare Rechtsgrundlagen, lückenlose Dokumentation und technische Maßnahmen, die Löschfristen und Widerrufsprozesse automatisch abbilden.
| Thema | Details |
|---|---|
| Rechtsgrundlage Bewerberdaten | Art. 6 Abs. 1 lit. b DSGVO und §26 BDSG erlauben Verarbeitung ohne gesonderte Einwilligung. |
| Speicherfrist abgelehnter Bewerber | Daten sind nach 6 Monaten zu löschen, sofern keine Talentpool-Einwilligung vorliegt. |
| Datenschutzbeauftragter | Ab 20 datenverarbeitenden Personen nach §38 BDSG Pflicht, Mitarbeiterzahl korrekt zählen. |
| KI im Recruiting | Ab August 2026 gelten EU AI Act-Pflichten: DPIA, menschliche Kontrolle, Transparenz zwingend. |
| Einwilligung Talentpool | Muss getrennt, explizit und widerrufbar sein, Sammel-Einwilligungen sind unwirksam. |
Datenschutz in der Personalvermittlung: Was ich nach Jahren wirklich gelernt habe
Ich erlebe es regelmäßig: Personalvermittler, die grundsätzlich sorgfältig arbeiten, aber an einer Stelle stolpern, die sie nie auf dem Radar hatten. Nicht bei den großen Themen wie Löschfristen oder Rechtsgrundlagen. Sondern beim ersten Kontakt mit einem Kandidaten, bei einer LinkedIn-Nachricht ohne Datenschutzhinweis, oder bei einem KI-Tool, das jemand “mal eben” eingeführt hat.
Meine ehrliche Einschätzung: Datenschutz in der Recruitingbranche wird noch immer als Compliance-Pflicht behandelt, nicht als Qualitätsmerkmal. Dabei ist es genau andersherum. Wer Bewerbern von Anfang an transparent erklärt, wie ihre Daten verarbeitet werden, schafft Vertrauen. Und Vertrauen ist im Recruiting das knappste Gut.
Der EU AI Act ab August 2026 wird die Branche stärker verändern, als viele ahnen. Wer heute noch kein KI-Tool einsetzt, wird es bald tun. Und dann gelten Dokumentationspflichten, DPIA-Anforderungen und Transparenzregeln, die ohne Vorbereitung kaum zu erfüllen sind. Ich rate dazu, jetzt die Prozesse zu dokumentieren, bevor der Druck von außen kommt.
Was mich am meisten überrascht: Wie viele Agenturen die Schwelle für den Datenschutzbeauftragten falsch berechnen. 20 Personen klingt nach viel. Aber wenn man Recruiting, Disposition, Lohnbüro und Assistenz zusammenzählt, ist die Grenze schneller erreicht als gedacht. Und dann ist die Benennung Pflicht, nicht Kür.
— Ole Bödeker
Rechtssichere Personalvermittlung: Unterstützung von Nanzka & Bödeker
Personalvermittlung und Zeitarbeit überschneiden sich rechtlich an vielen Stellen. Wer Zeitarbeitnehmer einsetzt oder vermittelt, braucht nicht nur DSGVO-konforme Prozesse, sondern auch eine rechtssichere Grundlage nach dem Arbeitnehmerüberlassungsgesetz (AÜG).
Nanzka & Bödeker berät Personalvermittler und Unternehmen seit über 20 Jahren zu arbeitsrechtlichen Fragen rund um Zeitarbeit und Arbeitnehmerüberlassung. Von der Schritt-für-Schritt-Anleitung zum Zeitarbeitseinsatz bis zur rechtlichen Absicherung bei Behördenprüfungen: Die Kanzlei bietet konkrete Unterstützung, die über allgemeine Hinweise hinausgeht. Wer Fragen zu Compliance, Vertragsgestaltung oder dem Umgang mit der Bundesagentur für Arbeit hat, findet bei Nanzka & Bödeker einen erfahrenen Ansprechpartner.
FAQ
Was ist die Rechtsgrundlage für die Verarbeitung von Bewerberdaten?
Die Verarbeitung von Bewerberdaten basiert auf Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit §26 BDSG. Eine gesonderte Einwilligung ist für Standardbewerbungen nicht erforderlich.
Wie lange dürfen Daten abgelehnter Bewerber gespeichert werden?
Abgelehnte Bewerbungen dürfen grundsätzlich nur 6 Monate gespeichert werden. Danach besteht Löschpflicht, sofern keine ausdrückliche Einwilligung für einen Talentpool vorliegt.
Ab wann braucht ein Personaldienstleister einen Datenschutzbeauftragten?
Ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, ist die Benennung eines Datenschutzbeauftragten nach §38 BDSG Pflicht. Dabei zählen alle datenverarbeitenden Mitarbeiter, also auch Lohnbüro und Disposition.
Was gilt für KI-gestütztes Recruiting ab 2026?
Ab August 2026 gelten für KI-Systeme im HR-Bereich Pflichten nach dem EU AI Act: Dokumentation, menschliche Kontrolle und Transparenz sind zwingend. Vollautomatisierte Auswahlentscheidungen sind bereits nach Art. 22 DSGVO verboten.
Müssen Bewerber aus Drittländern besonders behandelt werden?
Bei Datentransfers in Länder außerhalb der EU sind zusätzliche Schutzmaßnahmen erforderlich. Standardvertragsklauseln (SCC) der EU-Kommission sind das gängige Instrument, um solche Transfers DSGVO-konform zu gestalten.
