Active Sourcing 2026: DSGVO-konform rekrutieren

Die Datenschutz-Grundverordnung (DSGVO) ist seit Jahren in Kraft, doch ab 2026 verschärfen nationale Ausführungsgesetze im DACH-Raum die Anforderungen an Active Sourcing. Deutschland, Österreich und die Schweiz passen ihre Regelwerke an, um die Verarbeitung personenbezogener Daten bei der Direktansprache von Kandidat:innen strenger zu kontrollieren. Besonders betroffen sind Recruiter, die Social-Media-Plattformen wie LinkedIn oder XING nutzen, um potenzielle Bewerber:innen zu identifizieren. Die Aufsichtsbehörden – etwa die Datenschutzkonferenz (DSK) in Deutschland oder der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) in der Schweiz – intensivieren ihre Prüfungen, insbesondere bei automatisierten Verfahren wie Profiling oder KI-gestützter Kandidatensuche. ^[1][4]

In Österreich gilt die DSGVO bereits seit 2018, doch das geplante Datenschutz-Anpassungsgesetz 2024 wird zusätzliche sektorspezifische Vorgaben einführen. Unternehmen müssen künftig nicht nur die Einhaltung der DSGVO dokumentieren, sondern auch nachweisen, dass sie nationale Ergänzungen – etwa zum Umgang mit Arbeitnehmerdaten – berücksichtigen. In der Schweiz trat das revidierte Datenschutzgesetz (DSG) bereits 2023 in Kraft, doch die Anpassungsfristen für Unternehmen laufen 2026 aus. Hier gelten strengere Meldepflichten bei Datenschutzverletzungen, die innerhalb von 72 Stunden zu erfüllen sind. Für Recruiter bedeutet dies, dass sie bei der Nutzung von Active-Sourcing-Tools besonders auf die rechtliche Grundlage der Datenverarbeitung achten müssen. ^[2][4]

Der Fachkräftemangel im DACH-Raum erhöht den Druck auf Unternehmen, gezielt nach Kandidat:innen zu suchen. Gleichzeitig steigen die Risiken, da Aufsichtsbehörden vermehrt gegen unzulässige Datenverarbeitungen vorgehen. Besonders kritisch sind KI-gestützte Tools wie CV-Parsing oder automatisierte Lebenslaufanalysen, die oft ohne explizite Einwilligung der Betroffenen arbeiten. Personaldienstleister und Interim-Recruiter müssen zudem sicherstellen, dass Auftragsverarbeitungsverträge (AVV) mit ihren Kunden vorliegen, wenn sie Daten im Auftrag verarbeiten. Fehlt diese Vereinbarung, drohen nicht nur Bußgelder, sondern auch Reputationsschäden. ^[3][6]

Kandidat:innen werden sich zunehmend ihrer Rechte bewusst – etwa auf Auskunft, Löschung oder Widerspruch gegen die Datenverarbeitung. Unternehmen, die diese Rechte ignorieren, riskieren nicht nur rechtliche Konsequenzen, sondern auch den Verlust von Vertrauen. Transparenz wird damit zum entscheidenden Faktor: Wer klar kommuniziert, welche Daten zu welchem Zweck erhoben werden, kann die Candidate Experience verbessern und sich als attraktiver Arbeitgeber positionieren. Besonders bei der Direktansprache über Social Media ist es wichtig, die Einwilligung der Kandidat:innen einzuholen und diese nachvollziehbar zu dokumentieren. ^[1][6]

Für Unternehmen, die Active Sourcing nutzen, wird die Durchführung einer Datenschutz-Folgenabschätzung (DPIA) ab 2026 zur Pflicht. Dies gilt insbesondere, wenn sie KI-Tools oder Scraping-Verfahren einsetzen, um Kandidat:innenprofile zu erstellen. Die DPIA hilft, Risiken frühzeitig zu identifizieren und Maßnahmen zur Minimierung zu ergreifen. Gleichzeitig sollten Recruiter und Personalverantwortliche regelmäßig geschult werden, um die neuen Vorgaben sicher umzusetzen. Schulungen sollten nicht nur rechtliche Grundlagen vermitteln, sondern auch praktische Beispiele für DSGVO-konforme Direktansprache enthalten. ^[1][2]

Die Anpassung der Prozesse an die neuen Datenschutzregeln ist nicht nur eine rechtliche Notwendigkeit, sondern auch eine strategische Chance. Unternehmen, die frühzeitig auf Compliance setzen, können sich als verantwortungsvolle Arbeitgeber profilieren und so im Wettbewerb um Fachkräfte punkten. Gleichzeitig minimieren sie das Risiko von Bußgeldern oder Imageschäden. Die Herausforderung liegt darin, die Balance zwischen effizientem Active Sourcing und datenschutzkonformer Praxis zu finden – ohne die Candidate Experience zu beeinträchtigen. ^[3][6]

Um die neuen Datenschutzanforderungen im Active Sourcing erfolgreich umzusetzen, sollten Unternehmen folgende Schritte priorisieren: Eine Bestandsaufnahme der aktuellen Prozesse durchführen, um Compliance-Lücken zu identifizieren. Schulungen für Recruiter und Personalverantwortliche anbieten, die sowohl rechtliche Grundlagen als auch praktische Anwendungsfälle abdecken. Zudem gilt es, transparente Kommunikationswege für Kandidat:innen zu schaffen, um deren Rechte auf Auskunft oder Löschung einfach und nachvollziehbar zu gestalten. Wer diese Maßnahmen konsequent umsetzt, kann nicht nur rechtliche Risiken minimieren, sondern auch das Vertrauen potenzieller Bewerber:innen stärken. ^[1][2]