DSGVO im Bewerbungsfunnel und AGG in der Stellenanzeige klingen nach Bürokratie – im Social Recruiting sind sie aber handfeste Risiken. Ein Bewerber, der wegen einer Formulierung in der Anzeige eine Entschädigung fordert, oder eine Datenschutzbehörde, die nach Löschfristen fragt: Beides trifft zuerst deinen Kunden, den Arbeitgeber. Und dann die Agentur, die den Funnel gebaut hat. Mit den folgenden Regeln und Textbausteinen senkst du dieses Risiko deutlich.
Wer ist im Bewerber-Funnel für den Datenschutz verantwortlich?
Verantwortlicher im Sinne der DSGVO ist der Arbeitgeber, denn er entscheidet über Zweck und Mittel der Verarbeitung – er will die Stelle besetzen. Die Recruiting-Agentur, die Bewerbungsseite und Bewerbermanagement betreibt, ist in der Regel Auftragsverarbeiter. Software-Anbieter, die die Agentur nutzt, sind Unterauftragsverarbeiter.
| Rolle | Wer | Pflichten |
|---|---|---|
| Verantwortlicher | Arbeitgeber (dein Kunde) | Rechtsgrundlage, Datenschutzhinweis, Löschung, Auskunft an Bewerber |
| Auftragsverarbeiter | Recruiting-Agentur | nur auf Weisung verarbeiten, AV-Vertrag, Sicherheit, Unterauftragnehmer offenlegen |
| Unterauftragsverarbeiter | Software (z. B. Funnel-Tool, Hosting, E-Mail-Versand) | AV-Vertrag mit der Agentur, Sicherheit, eigene Unterauftragnehmer offenlegen |
Für dich heißt das konkret:
- AV-Vertrag mit jedem Kunden abschließen, bevor die erste Bewerbung eingeht.
- AV-Verträge mit deinen Werkzeugen abschließen (Funnel-Software, E-Mail, Hosting) und im AV-Vertrag mit dem Kunden als Unterauftragnehmer nennen. Doneforyou stellt dafür einen AV-Vertrag bereit.
- Datenschutzhinweis im Namen des Kunden – nicht im Namen der Agentur. Auf der Bewerbungsseite steht der Arbeitgeber als Verantwortlicher.
Welche Rechtsgrundlage gilt für Bewerberdaten?
Für Daten, die zur Durchführung des Bewerbungsverfahrens nötig sind, ist Art. 6 Abs. 1 lit. b DSGVO die übliche Rechtsgrundlage – die Verarbeitung dient der Anbahnung eines Arbeitsvertrags auf Anfrage des Bewerbers. Früher wurde vor allem § 26 BDSG genannt. Seit einem Urteil des EuGH von 2023 gilt diese Norm als europarechtlich problematisch und wird nur noch eingeschränkt herangezogen.
Was das praktisch bedeutet:
- Nötige Daten (Name, Kontakt, Antworten auf die Qualifizierungsfragen, Lebenslauf): Art. 6 Abs. 1 lit. b DSGVO.
- Längere Speicherung für andere Stellen (Talentpool): nur mit Einwilligung, Art. 6 Abs. 1 lit. a und Art. 7 DSGVO.
- Besondere Kategorien (Gesundheit, Religion, Herkunft, Gewerkschaft, sexuelle Orientierung – Art. 9 DSGVO): gar nicht abfragen, wenn es nicht ausnahmsweise für die Stelle zwingend ist.
- Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO): Nur fragen, was für die Entscheidung über diese Stelle nötig ist. Das ist auch gut für die Conversion-Rate.
Zum EuGH-Urteil: Der Gerichtshof hat am 30.03.2023 (C-34/21) entschieden, dass eine nationale Regel zum Beschäftigtendatenschutz nur dann eine eigene Rechtsgrundlage sein kann, wenn sie die Anforderungen von Art. 88 Abs. 2 DSGVO erfüllt. Für die inhaltlich fast gleiche Regel in § 26 Abs. 1 Satz 1 BDSG wird das überwiegend bezweifelt; ob und wie weit sie daneben noch anwendbar ist, ist umstritten. Deshalb stützen viele Datenschutzhinweise die Bewerberdaten inzwischen direkt auf die DSGVO. Bewerber gelten übrigens auch nach dem BDSG als Beschäftigte (§ 26 Abs. 8 Satz 2 BDSG).
Was muss im Datenschutzhinweis der Bewerbungsseite stehen?
Der Datenschutzhinweis einer Bewerbungsseite muss die Informationen nach Art. 13 DSGVO enthalten: Name und Kontakt des Arbeitgebers als Verantwortlichen, gegebenenfalls Datenschutzbeauftragter, Zweck und Rechtsgrundlage, Empfänger (z. B. Agentur und Software-Anbieter), Übermittlungen in Drittländer, Speicherdauer, Rechte der Bewerber und das Beschwerderecht bei einer Aufsichtsbehörde.
Unter dem Formular reicht ein kurzer Hinweis mit Link auf die vollständige Datenschutzerklärung des Arbeitgebers. Die vollständige Erklärung sollte einen eigenen Abschnitt zu Bewerbungen haben. Wichtig: Der Hinweis informiert, er ist keine Einwilligung – ein Pflicht-Häkchen „Ich habe die Datenschutzerklärung gelesen“ ist für die Bewerbung selbst nicht nötig und kostet nur Conversion.
Mit dem Absenden schickst du deine Angaben an [Arbeitgeber], damit wir deine Bewerbung prüfen und dich kontaktieren können. Die Bewerbungsseite betreibt in unserem Auftrag [Agentur]. Mehr dazu, wie lange wir deine Daten speichern und welche Rechte du hast, in unserer [Datenschutzerklärung].
Verantwortlicher: [Firma, Anschrift, E-Mail, Telefon] Datenschutzbeauftragter: [Name/Kontakt, falls benannt] Zweck und Rechtsgrundlage: Wir verarbeiten Ihre Angaben aus der Bewerbung (Name, Kontaktdaten, Antworten auf unsere Fragen, freiwillig hochgeladene Unterlagen), um Ihre Bewerbung zu prüfen, Sie zu kontaktieren und über eine Einstellung zu entscheiden (Art. 6 Abs. 1 lit. b DSGVO). Empfänger: Die Bewerbungsseite und das Bewerbermanagement betreibt in unserem Auftrag [Agentur, Ort]. Dabei werden Dienstleister für Software, Hosting und E-Mail-Versand eingesetzt. Mit allen besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). [Falls genutzt: Wenn Sie zugestimmt haben, kontaktieren wir Sie auch über WhatsApp; Anbieter ist WhatsApp Ireland Limited, eine Übermittlung in die USA ist möglich (Grundlage: EU-US Data Privacy Framework).] Speicherdauer: Kommt kein Arbeitsverhältnis zustande, löschen wir Ihre Daten spätestens 6 Monate nach Abschluss des Bewerbungsverfahrens. Haben Sie in die Aufnahme in unseren Talentpool eingewilligt, speichern wir sie bis zum Widerruf, längstens [x] Jahre. Ihre Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf einer Einwilligung (Art. 7 Abs. 3) und Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).
Wie lange darf man Bewerberdaten speichern?
Ein Gesetz mit fester Frist für Bewerberdaten gibt es nicht. In der Praxis werden Daten abgelehnter Bewerber meist bis zu 6 Monate nach der Absage aufbewahrt. Die Frist leitet sich aus dem AGG ab: Bewerber können Ansprüche wegen Diskriminierung innerhalb von 2 Monaten nach der Absage geltend machen und danach innerhalb von 3 Monaten klagen.
Die Herleitung Schritt für Schritt:
| Schritt | Frist | Grundlage |
|---|---|---|
| Absage geht dem Bewerber zu | Start | – |
| Bewerber macht Anspruch schriftlich geltend | bis 2 Monate nach Zugang der Absage | § 15 Abs. 4 AGG |
| Bewerber reicht Klage ein | bis 3 Monate nach schriftlicher Geltendmachung | § 61b Abs. 1 ArbGG |
| Zustellung der Klage, Puffer | einige Wochen | Praxis |
| Löschung in der Praxis | rund 6 Monate nach Absage | Empfehlung u. a. von Haufe, keine gesetzliche Frist |
Zwei Punkte, die in der Praxis oft übersehen werden:
- Ohne Absage keine Frist: Die 2-Monats-Frist des § 15 Abs. 4 AGG beginnt erst mit dem Zugang der Ablehnung. Wer abgelehnten Bewerbern nie absagt, kann sich nicht auf „6 Monate“ berufen. Deshalb gehört eine Absage zu jeder Kampagne. In Doneforyou gehören Absagen neben Eingangsbestätigung und Einladung zu den automatischen Nachrichten – per E-Mail, mit der in Pro und Ultra zubuchbaren WhatsApp-Nummer je Kunde auch per WhatsApp.
- Läuft ein Verfahren, wird nicht gelöscht: Hat ein Bewerber Ansprüche geltend gemacht, bleiben seine Unterlagen bis zum Ende des Streits gespeichert. Die Löschung danach nicht vergessen.
Wann brauche ich eine Einwilligung für den Talentpool?
Eine Einwilligung brauchst du immer, wenn Bewerberdaten über das konkrete Verfahren hinaus gespeichert werden sollen – etwa um Bewerber später für andere Stellen anzusprechen. Die Einwilligung muss freiwillig, informiert, eindeutig und jederzeit widerrufbar sein, darf nicht vorausgewählt sein und darf nicht Bedingung für die Bewerbung sein.
☐ Ja, [Arbeitgeber] darf meine Angaben bis zu [2] Jahre speichern, um mich über weitere passende Stellen zu informieren. Ich kann diese Einwilligung jederzeit ohne Angabe von Gründen per E-Mail an [Adresse] widerrufen. Meine Bewerbung für diese Stelle hängt nicht von dieser Einwilligung ab.
Wichtig: Die Einwilligung wird dokumentiert (wer, wann, welcher Text, nach Art. 7 Abs. 1 DSGVO muss der Arbeitgeber sie nachweisen können). Gibt es sie nicht, gilt die normale Löschfrist. Eine feste Höchstdauer für den Talentpool nennt das Gesetz nicht; üblich sind 1–2 Jahre. Wer länger speichern will, holt die Einwilligung neu ein.
Darf ich Bewerber per WhatsApp anschreiben?
Ja, wenn der Bewerber der Kontaktaufnahme über WhatsApp zugestimmt hat – das verlangen schon die Regeln von WhatsApp für Unternehmen. Praktisch heißt das: ein eigenes, nicht vorausgewähltes Kästchen auf der Bewerbungsseite und WhatsApp als Empfänger im Datenschutzhinweis. So ist der Kanal für Bewerber transparent und für den Arbeitgeber nachweisbar.
☐ Ja, [Arbeitgeber] darf mich zu meiner Bewerbung auch per WhatsApp kontaktieren. Ich kann dem jederzeit per Nachricht im Chat oder per E-Mail an [Adresse] widersprechen.
In Doneforyou ist in Pro und Ultra für jeden Kunden eine eigene WhatsApp-Nummer zubuchbar; dann gehen die automatischen Nachrichten zusätzlich zu E-Mail und SMS auch per WhatsApp raus. Die Zustimmung der Bewerber und den Hinweis im Datenschutztext musst du trotzdem selbst einplanen.
Welche Regeln gelten nach dem AGG für Stellenanzeigen und Funnels?
Nach dem AGG dürfen Stellenanzeigen und Bewerbungsseiten niemanden wegen Rasse oder ethnischer Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter oder sexueller Identität benachteiligen (§ 1, § 7, § 11 AGG). Schon eine einzige diskriminierende Formulierung in der Anzeige kann als Indiz reichen, damit ein abgelehnter Bewerber erfolgreich eine Entschädigung verlangt.
| Bereich | Riskant | AGG-sicher |
|---|---|---|
| Berufsbezeichnung | „Elektriker gesucht“ | „Elektriker (m/w/d)“ oder „Elektrikerin oder Elektriker“ |
| Alter | „bis 35“, „junges Team“, „junge Kollegen“, „Berufseinsteiger gesucht“ | „motiviertes Team“, „Berufserfahrung ist keine Voraussetzung“ |
| Herkunft / Sprache | „Deutsch als Muttersprache“ | „sehr gute Deutschkenntnisse“ – nur wenn für die Arbeit nötig |
| Behinderung / Gesundheit | „körperlich voll belastbar“ | „regelmäßiges Heben bis 20 kg“ (konkrete Anforderung) |
| Geschlecht | „Wir suchen eine Kollegin“ | „Wir suchen eine Kollegin oder einen Kollegen (m/w/d)“ |
| Fragen im Funnel | Alter, Familienstand, Kinder, Religion, Gesundheit, Schwangerschaft | Ausbildung, Erfahrung, Führerschein, Arbeitszeit, Starttermin |
| Zielgruppe der Anzeige | nur Männer oder nur 18–30 Jahre ausspielen | alle Geschlechter und Altersgruppen, Eingrenzung nur über Region |
Auch wenn die Agentur die Anzeige textet: Gegenüber dem Bewerber haftet in der Regel der Arbeitgeber, weil er sich eine Ausschreibung durch Dritte zurechnen lassen muss. Für dich heißt das: Ein Fehler in deinem Werbetext kostet deinen Kunden Geld – und dich unter Umständen den Kunden und einen Regress. Wie Meta Stellenanzeigen über die Sonderkategorie „Beschäftigung“ einschränkt, steht in Meta-Ads für Recruiting.
Was droht bei Verstößen?
Wird ein Bewerber wegen eines AGG-Merkmals benachteiligt, kann er nach § 15 AGG Schadensersatz und eine angemessene Entschädigung verlangen. Wäre er auch ohne Benachteiligung nicht eingestellt worden, ist die Entschädigung auf drei Monatsgehälter begrenzt (§ 15 Abs. 2 AGG). Weil nach § 22 AGG schon Indizien die Beweislast umkehren, sind saubere Formulierungen der beste Schutz.
Was gilt für Meta Pixel und Conversions API im Bewerber-Funnel?
Das Meta Pixel setzt Cookies bzw. greift auf das Endgerät zu und braucht deshalb nach § 25 TDDDG eine Einwilligung im Cookie-Banner. Auch die Conversions API überträgt personenbezogene Daten an Meta und braucht eine Rechtsgrundlage, in der Praxis ebenfalls die Einwilligung. Bewerberangaben wie Antworten oder Lebenslauf haben bei Meta nichts zu suchen.
So setzt du es sauber um:
- Cookie-Banner mit gleichwertigem „Ablehnen“, Pixel lädt erst nach Zustimmung.
- Nur das Ereignis „Lead“ melden – keine Antworten aus den Qualifizierungsfragen, keine Freitexte, keine Dokumente.
- Conversions API nur mit Einwilligung und so datensparsam wie möglich (keine Antworten, keine sensiblen Merkmale).
- Im Datenschutzhinweis Meta als Empfänger nennen, inklusive Hinweis auf eine mögliche Datenübermittlung in die USA und deren Grundlage (derzeit das EU-US Data Privacy Framework).
- Gemeinsame Verantwortlichkeit: Für das Pixel sind Websitebetreiber und Meta nach Rechtsprechung des EuGH (Fashion ID, C-40/17) gemeinsam verantwortlich – Meta stellt dafür eigene Bedingungen bereit.
Prüfliste: DSGVO und AGG im Bewerber-Funnel
Mit dieser Liste prüfst du jede Kampagne vor dem Start. Hake sie zusammen mit dem Kunden ab – das zeigt Professionalität und schützt euch beide.
Betreff: Ihre Bewerbung als [Stelle] bei [Arbeitgeber] Guten Tag [Vorname Nachname], vielen Dank für Ihr Interesse an der Stelle als [Stelle] und die Zeit, die Sie sich für Ihre Bewerbung genommen haben. Nach sorgfältiger Prüfung haben wir uns für andere Bewerberinnen und Bewerber entschieden. Diese Entscheidung ist keine Bewertung Ihrer Person. Ihre Daten löschen wir spätestens 6 Monate nach dieser Nachricht, sofern Sie nicht in die Aufnahme in unseren Talentpool eingewilligt haben. Wir wünschen Ihnen für Ihren weiteren Weg alles Gute. Freundliche Grüße [Name, Arbeitgeber]
Beachte: In Mails an Bewerber ist „Sie“ meist die richtige Anrede, auch wenn Anzeige und Bewerbungsseite duzen. Absagen sollten keine Gründe nennen, die als Indiz für eine Benachteiligung gelesen werden könnten – also kein „Wir suchen jemanden mit mehr Lebenserfahrung“ oder „Das Team ist sehr jung“. Eine Pflicht, Absagen zu begründen, gibt es nicht.
Fazit: DSGVO und AGG im Bewerber-Funnel
Ein sauberer Bewerber-Funnel folgt wenigen Regeln: Der Arbeitgeber ist Verantwortlicher, die Agentur meist Auftragsverarbeiter mit AV-Vertrag. Bewerberdaten stützen sich auf Art. 6 Abs. 1 lit. b DSGVO und werden ohne Einwilligung rund 6 Monate nach der Absage gelöscht. Der Talentpool braucht eine eigene Einwilligung, das Meta Pixel eine Einwilligung im Cookie-Banner. Anzeigen und Fragen bleiben AGG-neutral.
Am einfachsten ist es, wenn das Werkzeug die Regeln mitdenkt. Doneforyou speichert alle Daten ausschließlich in der EU, lässt Bewerbungsseiten nur mit Impressum und Datenschutzerklärung des Arbeitgebers live gehen, verschickt Eingangsbestätigungen und Absagen automatisch, stellt einen AV-Vertrag nach Art. 28 DSGVO bereit und gibt deinem Kunden ein Kundenportal statt Excel-Listen. Die Texte im Datenschutzhinweis und die Prüfung durch einen Anwalt nimmt dir keine Software ab. Wie die Seite selbst aufgebaut sein sollte, steht in Bewerbungsseite erstellen, AGG-sichere Werbetexte in Recruiting-Anzeigen: 30 Hooks.
Quellen
- Datenschutz-Grundverordnung (Art. 4, 5, 6, 7, 9, 13, 22, 26, 28, 88): eur-lex.europa.eu
- EuGH, Urteil vom 30.03.2023, C-34/21 (Beschäftigtendatenschutz): curia.europa.eu
- EuGH, Urteil vom 29.07.2019, C-40/17 (Fashion ID, gemeinsame Verantwortlichkeit): curia.europa.eu
- Bundesdatenschutzgesetz, § 26: gesetze-im-internet.de/bdsg_2018/__26.html
- KI-Verordnung (EU) 2024/1689, Anhang III Nr. 4 (Beschäftigung): eur-lex.europa.eu
- Allgemeines Gleichbehandlungsgesetz (§§ 1, 7, 11, 15, 22): gesetze-im-internet.de/agg
- Arbeitsgerichtsgesetz, § 61b: gesetze-im-internet.de/arbgg/__61b.html
- TDDDG, § 25: gesetze-im-internet.de/ttdsg/__25.html
- Haufe – Wie lange dürfen Bewerberdaten gespeichert werden?: haufe.de
- gruender.de – Bewerberdaten: gruender.de/recht/bewerberdaten
Häufige Fragen
Wie lange darf ich Bewerberdaten nach einer Absage speichern?
Eine feste gesetzliche Frist gibt es nicht. In der Praxis sind bis zu 6 Monate nach der Absage üblich. Die Frist ergibt sich aus § 15 Abs. 4 AGG (2 Monate zur Geltendmachung) und § 61b ArbGG (3 Monate zur Klage) plus Puffer. Für eine längere Speicherung brauchst du eine Einwilligung.
Wer ist bei einem Bewerbungsfunnel der Verantwortliche nach DSGVO?
In der Regel der Arbeitgeber, denn er entscheidet über Zweck und Mittel der Verarbeitung. Die Agentur, die Funnel und Bewerbermanagement betreibt, ist meist Auftragsverarbeiter und braucht einen AV-Vertrag nach Art. 28 DSGVO. Bei Personalvermittlung kann die Agentur selbst verantwortlich sein.
Brauche ich für Bewerbungen eine Einwilligung?
Für die Bearbeitung der Bewerbung selbst nicht – Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung brauchst du, wenn du Daten länger speichern willst, etwa für einen Talentpool, oder für Tracking wie das Meta Pixel.
Ist (m/w/d) in Stellenanzeigen Pflicht?
Ein ausdrückliches Gesetz, das genau „(m/w/d)“ vorschreibt, gibt es nicht. Das AGG verbietet aber, Stellen unter Verstoß gegen das Benachteiligungsverbot auszuschreiben (§ 11 AGG). Eine nur männliche oder weibliche Bezeichnung kann als Indiz für eine Diskriminierung gelten. Deshalb ist „(m/w/d)“ oder eine geschlechtsneutrale Formulierung Standard.
Darf ich nach dem Alter fragen?
Nein, in aller Regel nicht. Die Frage nach dem Alter kann als Indiz für eine Benachteiligung wegen des Alters gewertet werden (§§ 1, 7, 22 AGG). Ausnahmen gibt es nur, wenn ein Mindestalter gesetzlich vorgeschrieben ist, etwa beim Jugendarbeitsschutz – dann fragst du „Bist du mindestens 18?“ statt nach dem Geburtsdatum. Frag stattdessen nach dem, was für die Stelle wirklich wichtig ist – etwa nach Ausbildung, Berufserfahrung oder Führerschein.
Darf das Meta Pixel auf einer Bewerbungsseite laufen?
Ja, aber nur mit Einwilligung im Cookie-Banner (§ 25 TDDDG) und ohne Bewerberangaben an Meta. Melde nur das Ereignis „Lead“, keine Antworten, Freitexte oder Dokumente. Meta gehört als Empfänger in den Datenschutzhinweis.
