Active Sourcing bedeutet, dass Unternehmen potenzielle Bewerber gezielt suchen und ansprechen, häufig über berufliche Netzwerke wie LinkedIn und Xing. Datenschutzrechtlich ist das nicht verboten, unterliegt aber der Datenschutz-Grundverordnung (DSGVO). Wer Profildaten speichert oder auswertet, muss die Betroffenen nach Art. 14 DSGVO informieren, spätestens bei der ersten Kontaktaufnahme. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit betont zudem, dass zwischen beruflichen und privaten Netzwerken zu unterscheiden ist.

Was versteht die Aufsicht unter Active Sourcing?

Der Hamburgische Datenschutzbeauftragte beschreibt Active Sourcing in einer Information zum Bewerberdatenschutz als proaktive Personalbeschaffung, mit der Unternehmen potenzielle Bewerber identifizieren, gerade auch Personen, die nicht aktiv nach einer Stelle suchen. Er empfiehlt, jede Phase des Recruitings gesondert rechtlich zu bewerten, von der ersten Kaltansprache bis zur Auswahlentscheidung. Eine Übersicht über alle Verarbeitungsvorgänge erleichtert auch das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Lesen Sie auch Bewerberdaten und DSGVO: Speicherfristen und Löschung

Auf welche Rechtsgrundlage kann sich ein Unternehmen stützen?

Abschließend geklärt ist die Frage nicht. Die Hamburger Aufsicht stellt auf das Kriterium der Erforderlichkeit nach Art. 6 Abs. 1 lit. b DSGVO ab, und zwar unabhängig davon, ob die Person bereits Bewerber ist. Daneben kommt für die Erstansprache das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Es erfordert eine Abwägung: Das Interesse des Unternehmens an der Besetzung einer Stelle muss die Interessen der betroffenen Person überwiegen. Bei beruflichen Profilen, die erkennbar für berufliche Kontakte veröffentlicht wurden, dürfte diese Abwägung eher zugunsten des Unternehmens ausfallen als bei privaten Inhalten. Die Grundsätze der Zweckbindung und der Datenminimierung aus Art. 5 DSGVO gelten in jedem Fall: Gespeichert werden sollte nur, was für die konkrete Ansprache nötig ist.

Wann müssen Kandidaten informiert werden?

Werden Daten nicht bei der betroffenen Person selbst erhoben, sondern etwa aus einem Netzwerkprofil übernommen, gelten die Informationspflichten nach Art. 14 DSGVO. Die Informationen sind nach Art. 14 Abs. 3 DSGVO innerhalb einer angemessenen Frist zu geben, spätestens innerhalb eines Monats. Werden die Daten zur Kommunikation mit der Person genutzt, muss die Information spätestens bei der ersten Kontaktaufnahme erfolgen. Dazu gehören unter anderem der Verantwortliche, der Zweck, die Rechtsgrundlage, die Herkunft der Daten und die Speicherdauer.

Stützt sich das Unternehmen auf berechtigte Interessen, steht der Person nach Art. 21 DSGVO ein Widerspruchsrecht zu. Auf dieses Recht muss sie spätestens bei der ersten Kommunikation ausdrücklich, verständlich und getrennt von anderen Informationen hingewiesen werden. In der Praxis bietet sich ein kurzer Hinweis in der ersten Nachricht mit Verweis auf eine vollständige Datenschutzinformation an.

Wo liegen die Grenzen der Recherche?

Die Hamburger Aufsicht zieht eine klare Linie: Private Netzwerke dürfen nicht für Hintergrundprüfungen herangezogen werden. Als Beispiel für ein überwiegend privates Netzwerk nennt sie Facebook, als überwiegend beruflich genutztes LinkedIn. Auch in beruflichen Netzwerken können Nutzer jedoch private Informationen preisgeben. Entscheidend ist nach Auffassung der Behörde der Zweck, zu dem eine Information veröffentlicht wurde. Informationen, die über das zulässige Fragerecht im Bewerbungsgespräch hinausgehen, etwa zu Schwangerschaft, Gesundheit oder politischer Zugehörigkeit, müssen unberücksichtigt bleiben, auch wenn sie zufällig bekannt werden.

Unabhängig vom Datenschutz gilt das Allgemeine Gleichbehandlungsgesetz (AGG). Auswahl- und Ansprachekriterien dürfen nicht an geschützte Merkmale wie Alter, Geschlecht oder Herkunft anknüpfen.

Was Arbeitgeber jetzt wissen sollten

  • Für Active Sourcing sollte eine eigene Datenschutzinformation nach Art. 14 DSGVO bereitstehen, auf die schon die erste Nachricht verweist, einschließlich des Hinweises auf das Widerspruchsrecht.
  • Gespeichert werden sollten nur die für die Ansprache nötigen beruflichen Daten. Reagiert eine Person nicht oder lehnt ab, sollten die Daten nach einer festgelegten kurzen Frist gelöscht werden.
  • Private Netzwerke und private Inhalte sind für Recherchen tabu. Für beauftragte Personalberater sollten entsprechende Vorgaben vertraglich festgehalten werden.
  • Wer Kandidaten in einen Talentpool übernehmen will, benötigt nach Auffassung der Aufsichtsbehörden eine gesonderte Einwilligung.
  • Bei Zweifeln im Einzelfall sollte der betriebliche Datenschutzbeauftragte einbezogen werden.