Sie holen nachträgliche DSGVO-Einwilligungen ein, indem Sie Bestandsdaten im ATS und CRM systematisch segmentieren, einen rechtssicheren Einwilligungstext mit klaren Zwecken bereitstellen, die Zustimmung über nachvollziehbare Kanäle mit Double-Opt-in einholen, alles revisionssicher protokollieren, Fristen definieren und bei ausbleibender oder verweigerter Zustimmung die Daten löschen oder zumindest die Verarbeitung einschränken.
Wann brauchen Sie eine nachträgliche Einwilligung, und wann genügt ein anderer Rechtsgrund?
Einwilligung ist nicht der einzige Rechtsgrund. Für die punktuelle Kontaktaufnahme zu einem Kandidaten kann je nach Konstellation ein berechtigtes Interesse in Betracht kommen, etwa wenn Sie einen fachlich passenden Lead aus einer seriösen Quelle ansprechen. Für die längerfristige Speicherung im Talentpool, das regelmäßige Zusenden von passenden Vakanzen oder Recruiting-News ist Einwilligung in der Regel die sauberste, transparenteste Basis.
Prüfen Sie also zweistufig: Erstens, welche Zwecke verfolgen Sie mit den bereits gespeicherten Daten. Zweitens, ob diese Zwecke ohne Einwilligung zulässig sind oder ob Sie für Transparenz, Freiwilligkeit und Widerrufbarkeit besser auf Einwilligung setzen. Wo Sie sich auf berechtigtes Interesse stützen, braucht es eine dokumentierte Interessenabwägung und die Möglichkeit zum Widerspruch. Wo Sie einwilligungsbasiert arbeiten wollen, holen Sie die Zustimmung strukturiert nach.
Ein weiterer Sonderfall: Daten aus laufenden Vermittlungsprojekten, die zur Vertragserfüllung erforderlich sind, benötigen nicht zwingend eine Einwilligung. Für jede darüber hinausgehende Nutzung, zum Beispiel spätere Wiederansprache für andere Projekte, ist sie jedoch ratsam. Wer hier trennscharf arbeitet, vermeidet graue Zonen.
Bestandsdaten im ATS und CRM: Wie segmentieren Sie sinnvoll für die Nachholung?
Starten Sie mit einer Dateninventur. Exportieren oder filtern Sie im ATS und CRM alle Kandidaten, Leads und Kundenkontakte nach Quelle, Alter des Datensatzes, Kontaktstatus, Zweck und geplanter Nutzung. In ShortSelect sind diese Dimensionen typischerweise über Felder, Pipelines und Tags abbildbar, die Sie für eine zielgenaue Segmentierung kombinieren. Wer seine Daten bereits in Talentpools gruppiert, hat einen Vorteil.
Priorisieren Sie anschließend drei Gruppen: erstens alle Datensätze, die Sie aktiv weiterverwenden möchten, zum Beispiel für einen Fachbereich oder Standort. Zweitens sensible Altdaten ohne klare Herkunft oder Dokumentation, die Sie eher löschen oder vorerst sperren. Drittens laufende Fälle, bei denen Sie vorerst auf andere Rechtsgrundlagen gestützt arbeiten und die Einwilligung nach Projektabschluss einholen.
Definieren Sie pro Segment eine klare Maßnahme: Einwilligung jetzt nachholen, Datensatz sperren bis zur Zustimmung, oder Datensatz vorläufig löschen beziehungsweise anonymisieren. Je sauberer die Segmente, desto präziser die Ansprache. Das senkt Rückfragen und verbessert die Akzeptanz.
Rechtskonformes Einwilligungsdesign: Was muss drinstehen, und wie gestalten Sie es?
Die Einwilligung muss freiwillig, informiert, eindeutig und nachweisbar sein. Das bedeutet in der Praxis: klare Benennung der Verantwortlichen Stelle, präzise Zwecke, Beispiele zur Art der Kontaktaufnahme, Hinweise auf Datenkategorien und Empfänger, Speicherdauer oder Kriterien dafür, Widerrufsmöglichkeit mit einfachem Mechanismus sowie Verweis auf die Datenschutzerklärung. Vermeiden Sie Koppelungen, die die Freiwilligkeit in Frage stellen.
Arbeiten Sie mit granularen Optionen statt einer Allzweck-Zustimmung. Typische Bausteine sind: Aufnahme in einen oder mehrere Talentpools, Kontakt per E-Mail, Telefon oder Messenger, Weitergabe an konkrete Kunden nach vorheriger Rücksprache, Versand passender Stellen. So können Kandidaten differenziert zustimmen. Jede Auswahl muss separat protokolliert und später auch respektiert werden.
Setzen Sie auf Double-Opt-in, vor allem bei E-Mail. Die erste Nachricht erklärt Zweck und Optionen, der Bestätigungslink führt auf eine Seite mit Checkboxen und einem Bestätigen-Button. Ihr System protokolliert Zeitpunkt, Inhalt der Erklärung, genutzten Kanal, IP beziehungsweise Systemkennung und den Textstand der Datenschutzhinweise. In ShortSelect erfolgt diese Dokumentation zentral im Kandidatenprofil über das Modul Compliance.
Welche Kanäle und Touchpoints eignen sich für die Nachholung, ohne zu nerven?
E-Mail ist der Standard für skalierbare Nachholung, da sich Double-Opt-in und granulare Auswahl gut umsetzen lassen. Nutzen Sie eine kurze, prägnante Betreffzeile, nennen Sie klar den Anlass und reduzieren Sie die Hürden. Eine erste Erinnerung nach einigen Tagen ist sinnvoll, eine zweite nach ein paar Wochen optional. Mehr Stufen wirken schnell wie Druck.
LinkedIn oder Xing eignen sich, wenn Sie dort initialen Kontakt hatten oder Profile passgenau ansprechen. Vermeiden Sie Copy-Paste-Botschaften. Ein kurzes persönliches Intro mit Verweis auf den Zweck, dann der Link zur Einwilligungsseite. Telefonische Nachfassgespräche sind in Executive-Search-Setups effektiv, ersetzen aber nicht die schriftliche Bestätigung. Senden Sie im Anschluss immer die Bestätigungs-E-Mail.
Für SMS oder Messenger gilt: nur nutzen, wenn der Kandidat schon über diesen Kanal erreichbar ist und das erwartbar findet. Halten Sie Nachrichten extrem knapp und leiten Sie auf die Bestätigungsseite. In ShortSelect lassen sich kanalübergreifende Sequenzen mit dem Modul Automatisierung orchestrieren, die Zustimmungen landen direkt am Datensatz, was den manuellen Aufwand senkt.
Prozess, Fristen und Governance: Wie bauen Sie eine wiederholbare Routine?
Definieren Sie einen klaren Ablauf: Segmentauswahl, Versand der Einladungen, Wartefenster, Erinnerungen, Auswertung, Konsequenzen. Halten Sie Fristen fest, etwa 30 bis 60 Tage für die Nachholung pro Batch. Dokumentieren Sie pro Kampagne, welche Texte genutzt wurden, welche Zielgruppe angeschrieben wurde und welche Ergebnisse vorliegen. Das ist später bei Prüfungen Gold wert.
Verankern Sie Lösch- und Überprüfungszyklen. Wer keine Einwilligung gibt, wandert nach Ablauf der Frist in die Sperrliste oder wird gelöscht, abhängig vom Zweck und von gesetzlichen Aufbewahrungspflichten. Für Talentpools definieren Sie Sunset-Perioden mit aktiver Verlängerungsabfrage. Ein kurzer „Bitte bestätigen Sie weiter die Aufnahme“-Workflow reicht, alles mit eindeutiger Protokollierung.
Rollen und Berechtigungen sind Teil der Governance. Nicht jeder Berater soll Einwilligungstexte ändern dürfen, nicht jeder braucht Löschrechte. In ShortSelect steuern Sie dies über Rollenprofile, und Sie behalten in Recruiting-CRM und DSGVO stets die Übersicht über Einwilligungsstände, Widerrufe und Sperrlisten.
Wie gehen Sie mit Nicht-Einwilligung, Widerspruch oder Schweigen um?
Es gibt drei Fälle: ausdrückliche Ablehnung, Schweigen oder späterer Widerruf. Bei Ablehnung beenden Sie die Ansprache für die betreffenden Zwecke, setzen den Datensatz auf gesperrt und dokumentieren den Widerspruch. Einzig eine Unterdrückungs- oder Blacklist-Verarbeitung ist weiter zulässig, damit Sie die Person künftig nicht erneut anschreiben. Alle anderen Nutzungen unterbleiben.
Bei Schweigen nach Ablauf Ihrer definierten Frist sollten Sie die Speicherung auf die unbedingt erforderlichen Informationen für die Unterdrückung reduzieren oder den Datensatz löschen beziehungsweise anonymisieren, je nach Rechtsgrundlage und Historie. Widerruft eine Person später, löschen oder sperren Sie ab diesem Zeitpunkt sämtliche einwilligungsbasierten Nutzungen, Auftrags- und Abrechnungsdaten bewahren Sie nur im Rahmen gesetzlicher Pflichten auf.
Kommunizieren Sie knapp, respektvoll und ohne Druck. Eine klare Bestätigung der Auswahlmöglichkeiten, der Widerrufbarkeit und eine funktionierende Abmeldefunktion in jeder E-Mail sind Pflicht. In ShortSelect automatisieren Sie diese Reaktionen, zum Beispiel das Sperrlisten-Flag und die Prozessschritte, über Workflows und das E-Mail-Integrationsmodul.
Drittquellen, Kundenprojekte und internationale Besonderheiten: Was ist zu beachten?
Profile aus Jobbörsen und Netzwerken bringen eigene Regeln mit. Prüfen Sie die Nutzungsbedingungen der Quelle, ob die Ansprache für Recruiting-Zwecke gedeckt ist. Die weitere Verarbeitung im eigenen Talentpool braucht in der Regel die eigene Einwilligung der betroffenen Person. Bei Empfehlungen durch Dritte informieren Sie die Person bei der ersten Kontaktaufnahme transparent über die Quelle.
In Kundenprojekten darf der Kundenname nur nach ausdrücklicher Freigabe des Kandidaten geteilt werden, außer die Offenlegung ist für die konkrete Vertragsanknüpfung unbedingt erforderlich. Deshalb trennt eine gute Einwilligung „Aufnahme in den Talentpool“ und „Weitergabe an konkrete Kunden nach vorheriger Rücksprache“. So sichern Sie die notwendige Kontrolle der Kandidaten über ihre Daten.
Arbeiten Sie grenzüberschreitend, bleiben die Grundprinzipien gleich. Achten Sie zusätzlich auf Datenübermittlungen in Drittländer und die entsprechenden Garantien. Internationale Kandidaten erwarten teils andere Kommunikationsgepflogenheiten, rechtlich maßgeblich ist jedoch der Sitz des Verantwortlichen und der Ort der Verarbeitung. Halten Sie Ihre Hinweise dazu in der Datenschutzerklärung aktuell.
Texte, UI und Timing: Wie erhöhen Sie die Zustimmungsrate ohne Druck?
Formulieren Sie knapp, konkret und nutzenorientiert. Kandidaten wollen wissen, was sie davon haben: relevante Vakanzen, saubere Diskretion, klare Abmeldemöglichkeit. Vermeiden Sie juristische Schachtelsätze in der initialen Nachricht. Den vollständigen Informationstext verlinken Sie klar sichtbar, die Auswahlfelder platzieren Sie prominent über dem Bestätigen-Button.
Wählen Sie gutes Timing. Direkt nach einem erfolgreichen Interview ist die Bereitschaft zur Zustimmung höher als Monate später ohne Kontext. Für Altdaten funktionieren thematische Batches besser als Massenaussendungen. Wer auf eine Zielgruppe und Disziplin fokussiert, formuliert präziser, das steigert die Relevanz.
Testen Sie Betreffzeilen, Einstiege und die Granularität der Optionen in kleinen Gruppen. Messen Sie Öffnungen, Klicks, Bestätigungen und Widerrufe. In ShortSelect sehen Sie diese Kennzahlen in Analytics segmentiert nach Pipeline, Pool und Beraterteam, sodass Sie Ihre Ansprache iterativ verbessern können.
Dokumentation, Audit-Trail und Nachweisführung: So machen Sie es prüffest
Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen. Sie benötigen eine lückenlose Historie je Kontakt: Zeitpunkt der Einwilligung und Widerrufe, genutzter Kanal, Textversion, Zwecke, Double-Opt-in-Status, wer intern ausgelöst hat, und welche Systeme beteiligt waren. Bewahren Sie Snapshots der Einwilligungstexte auf, damit Sie den Wortlaut einer früheren Zustimmung belegen können.
Stellen Sie sicher, dass alle Folgeprozesse die Einwilligungsstände respektieren: Sourcing, Multiposting, Versand von Profilen an Kunden, Automationen. Führen Sie regelmäßige Stichprobenprüfungen durch und lassen Sie sich die Kette im System zeigen. In ShortSelect sind diese Beziehungen zentral verknüpft, und Einwilligungen steuern automatisch Sichtbarkeit und Nutzbarkeit in Talentpools sowie in der Pipeline.
Schulen Sie das Team auf die wesentlichen Prinzipien, halten Sie kurze Playbooks bereit und definieren Sie Eskalationspfade, falls Unsicherheiten auftauchen. Ein klarer Owner für Datenschutzfragen im Recruiting-Alltag beschleunigt Entscheidungen und verhindert Stillstand. Die Technik hilft, Verantwortung bleibt aber immer beim Verantwortlichen im Unternehmen.
Praktischer Ablaufplan: in vier Schritten zur sauberen Nachholung
Erstens: Dateninventur und Segmentierung, inklusive Entscheidung je Segment, ob Einwilligung eingeholt, die Nutzung eingeschränkt oder gelöscht wird. Zweitens: Einwilligungstexte finalisieren, Double-Opt-in-Strecke prüfen, Datenschutzerklärung verlinken, Testläufe durchführen. Drittens: Kampagne starten, Erinnerungen timen, Rückläufe verarbeiten, Widersprüche respektieren und dokumentieren.
Viertens: Aufräumen und Verstetigen. Nicht bestätigte Datensätze nach Frist sperren oder löschen, Unterdrückungslisten pflegen, Sunset-Reminder für bestätigte Pools planen. Legen Sie einen wiederkehrenden Task an, um neue Leads zeitnah in den Einwilligungsprozess zu bringen. In ShortSelect können Sie diese Routine als Vorlage im Bereich Automatisierung speichern und bei Bedarf für neue Segmente ausrollen.
Wenn Sie von einem anderen System kommen und unklare Alteinträge mitbringen, prüfen Sie vor dem Import, welche Daten wirklich erforderlich sind, und gewinnen Sie fehlende Zustimmungen früh. Hinweise zum geordneten Wechsel und zur Mitnahme von Einwilligungsständen finden Sie unter Systemwechsel. Je weniger Legacy-Ballast, desto schneller sind Sie compliant arbeitsfähig.
Häufige Fragen
Reicht ein allgemeiner Hinweis in der E-Mail-Signatur als Einwilligung?
Nein. Ein allgemeiner Hinweis ersetzt keine aktive, informierte und dokumentierte Zustimmung. Sie benötigen eine eindeutige Handlung der betroffenen Person, etwa das Anklicken eines Bestätigungslinks mit nachgelagerter Auswahl der Zwecke. Diese Zustimmung muss mit Zeitstempel und Textversion nachweisbar sein.
Darf ich Kandidaten ohne Einwilligung zum ersten Mal kontaktieren, um die Einwilligung zu erfragen?
Eine einmalige, zweckgebundene Kontaktaufnahme kann je nach Konstellation auf berechtigtes Interesse gestützt werden, wenn sie verhältnismäßig ist und die Person mit einer solchen Ansprache rechnen kann. Für fortlaufende Speicherung und wiederholte Ansprache sollten Sie die Einwilligung einholen. Dokumentieren Sie die Interessenabwägung und bieten Sie klar den Widerspruch an.
Wie lange ist eine Einwilligung gültig, und brauche ich regelmäßige Erneuerungen?
Eine Einwilligung gilt, bis sie widerrufen wird oder der Zweck entfällt. Für Talentpools hat sich in der Praxis eine regelmäßige Bestätigung bewährt, zum Beispiel nach einer definierten Inaktivitätsphase. Nutzen Sie kurze, klare Verlängerungsabfragen und protokollieren Sie jede Verlängerung mit Zeitstempel und Textstand.