Datenschutzverstoß beim Online-Recruiting

Informationspflicht bei Datenerhebung aus Drittquellen

Werden personenbezogene Daten nicht direkt bei der betroffenen Person erhoben, sondern aus Drittquellen wie öffentlich einsehbaren Profilen, greift die strengere Informationspflicht des Art. 14 DS-GVO statt der milderen Regelung des Art. 13 DS-GVO. Verantwortliche müssen der betroffenen Person dann von sich aus mitteilen, woher die Daten stammen, zu welchem Zweck sie verarbeitet werden und auf welcher Rechtsgrundlage dies geschieht – unabhängig davon, ob danach gefragt wird. Bei Nutzung der Daten zur Kontaktaufnahme muss dies gemäß Art. 14 Abs. 3 lit. b DS-GVO spätestens mit der ersten Mitteilung an die betroffene Person erfolgen. Die Vorschrift hat besonderes Gewicht, weil Betroffene bei Erhebung aus Drittquellen oft gar nichts von der Verarbeitung wissen und ihre Rechte erst wahrnehmen können, wenn sie überhaupt davon erfahren.

Öffentlich zugänglich heißt nicht frei verwendbar

Ein zweiter, häufig missverstandener Punkt betrifft die Reichweite öffentlich zugänglicher Daten: Die bloße Sichtbarkeit von Kontaktdaten auf einer Plattform begründet keine stillschweigende Zustimmung zu deren werblicher Nutzung. Die faktische Zugänglichkeit von Daten ist strikt von ihrer rechtmäßigen Verwendbarkeit zu trennen – Art. 6 Abs. 1 DS-GVO verlangt für jede Verarbeitung, auch zu Werbezwecken, eine eigenständige Rechtsgrundlage. Maßgeblich ist dabei der Kontext, in dem die Daten ursprünglich bereitgestellt wurden: Wer ein Profil zu einem klar umrissenen, nicht-kommerziellen Zweck veröffentlicht, muss nicht mit Kontaktaufnahmen zu fremden geschäftlichen Zwecken rechnen. Diese berechtigte Erwartungshaltung ist im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO zu berücksichtigen.

Konkreter Fall

Genau diese beiden Aspekte adressiert ein Fall aus dem Tätigkeitsbericht 2025 der LDA Brandenburg: Eine auf IT-Fachkräfte spezialisierte Personalvermittlungsagentur hatte Name und E-Mail-Adresse eines Nutzers von dessen Profil auf einer Plattform für den Austausch zu Softwareprojekten übernommen und ihn unaufgefordert mit Stellenangeboten kontaktiert. Die LDA stellte fest, dass weder eine Einwilligung noch überwiegende berechtigte Interessen des Verantwortlichen vorlagen, da der Nutzer die Plattform erkennbar privat nutzte. Zudem fehlten in den Werbe-E-Mails sämtliche nach Art. 14 DS-GVO erforderlichen Angaben zu Herkunft, Zweck und Rechtsgrundlage der Datenverarbeitung. Wegen dieser und weiterer Verstöße, unter anderem gegen die Frist zur Beantwortung eines Auskunftsersuchens nach Art. 12 Abs. 3 DS-GVO, sprach die Behörde gemäß Art. 58 Abs. 2 lit. b DS-GVO eine Verwarnung aus.

(Foto: InfiniteFlow – stock.adobe.com)