Recruiter machen sich auf LinkedIn strafbar, wenn…

Ihr kennt die oft standardisierten oder nicht ganz passgenauen Anfragen von Recruiter, die man auf LinkedIn erhält, bei denen man sich manchmal fragt, ob das eigene Profil überhaupt genau angeschaut wurde. Diese Anfragen sind oft der erste Aufschlag eines Recruiters, der eine Vakanz hat und schnell eine Longlist potenzieller Kandidaten erstellen möchte.

Darin liesst man Texte wie z.B.:

„Aktuell besetze ich eine spannende Senior Bäcker Rolle im Bereich Massenteighefe & Hitzerisiken für eine renommierte Grossbäckerei in Musterstadt“ oder
„Ein Kunde von mir mit Top-Kununu-Score sucht einen Senior Cybersecurity Consultant, der folgende Aufgaben…..“ oder
„Wir suchen gerade einen IT Security Consultant für folgende Aufgaben: ……“
usw.

Diese Vorgehensweise ist in der Recruiting-Branche durchaus bekannt und kommt vor. Man spricht hier manchmal von „Floating Candidates“ oder „spekulativen Kandidatenvorschlägen“. Es gibt verschiedene Gründe und Abstufungen dafür.

Die Gründe, auf die ich explizit eingehen will sind:

Marktanalyse/Kandidaten-Mapping: Einige Recruiter nutzen Anfragen auch, um ein Gefühl für den Kandidatenmarkt zu bekommen, Verfügbarkeiten zu prüfen oder ihre Datenbank mit wechselwilligen Kandidaten zu füllen, um bei zukünftigen, echten Mandaten schneller reagieren zu können.
„Türöffner“: Ein starkes Kandidatenprofil kann für einen Recruiter ein Weg sein, bei einem Wunscharbeitgeber ins Gespräch zu kommen und seine Dienstleistung anzubieten.
Weniger seriöse Praktiken: Im schlimmsten Fall gibt es auch Akteure, die Profile sammeln, ohne eine konkrete Stelle oder ein echtes Interesse des potenziellen Unternehmens zu haben.

Warum ich mir gerade diese Gründe ausgesucht habe lässt sich aus dem Titel dieses Artikels erahnen

Wenn Recruiter, wie in den obigen Gründen (Marktanalyse/Kandidaten-Mapping, ‚Türöffner‘ und weniger seriöse Praktiken) beschrieben, Kandidatendaten sammeln und dabei eine Geschäftsbeziehung zu einem Unternehmen oder einen konkreten Auftrag suggerieren, der so gar nicht existiert, handelt es sich dabei nicht um eine rechtswidrige Datenverarbeitung gemäss DSGVO?

Insbesondere stellt sich die Frage, ob ein solcher Recruiter nicht als Auftragsverarbeiter ohne gültigen Auftrag agieren und somit gegen die DSGVO verstossen würde, da er die Rolle und Verantwortlichkeiten eines Datenverantwortlichen bzw. Auftragsverarbeiters missachtet.

Meine Einschätzung

In meinen Überlegungen zur Bewertung der beschriebenen Recruiter-Praktiken waren die zentralen Aspekte,

die korrekte Einordnung der Rolle des Recruiters (als Verantwortlicher oder potenzieller Auftragsverarbeiter) und
die fundamentalen Grundsätze der Rechtmässigkeit und Transparenz der Datenverarbeitung.

Diese Elemente sind entscheidend, um zu beurteilen, ob die Erhebung und Verarbeitung von Kandidatendaten im Einklang mit den Datenschutzbestimmungen steht.

1.) Rolle des Recruiters (Verantwortlicher vs. Auftragsdatenverarbeiter):

Ein Recruiter, der Kandidatendaten für den eigenen Pool sammelt, um sie „potenziellen“, aber noch nicht feststehenden Firmenkunden anzubieten (obige Szenarien), agiert in Bezug auf diese Datenbank in der Regel als eigener Verantwortlicher (Data Controller). Er legt Zwecke und Mittel der Datenverarbeitung für seine Datenbank selbst fest.
Ein Auftragsverarbeiter (Data Processor) hingegen verarbeitet Daten streng nach Weisung und im Auftrag eines Verantwortlichen (z.B. eines Unternehmens mit einem konkreten Suchmandat). Ohne Auftrag kann er logischerweise nicht Auftragsverarbeiter für dieses spezifische, nicht-existente Mandat sein. Grundsätzlich muss ein „Mandat“ jedoch in den meisten Rechtsordnungen, einschliesslich der Schweiz und Deutschlands, einer Rechtsgrundlage unterliegen.

2.) Rechtmässigkeit und Transparenz:

Rechtmässige Grundlage (Art. 6 DSGVO): Für die Verarbeitung personenbezogener Daten benötigt der Recruiter eine Rechtsgrundlage. Dies kann die Einwilligung des Kandidaten sein oder ein „berechtigtes Interesse“ des Recruiters (z.B. Aufbau eines Kandidatenpools).
Problem der Täuschung: Wenn ein Recruiter ein Verhältnis zu einem Unternehmen oder einen konkreten Auftrag für eine Stelle vortäuscht, die nicht existiert, um an Kandidatendaten zu gelangen:
Verstoss gegen Transparenz (Art. 5 Abs. 1 lit. a, Art. 13, 14 DSGVO): Der Kandidat wird über den wahren Zweck der Datenerhebung und den potenziellen Empfänger seiner Daten getäuscht. Die Informationspflichten werden verletzt.
Untergrabung der Rechtsgrundlage: Ein auf Täuschung basierendes „berechtigtes Interesse“ ist kaum haltbar. Auch eine Einwilligung wäre unter diesen Umständen wahrscheinlich nicht „informiert“ und somit ungültig.
Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Wenn der angegebene Zweck (Besetzung einer konkreten, aber nicht-existenten Stelle bei Firma X) falsch ist, ist die Verarbeitung für diesen vorgetäuschten Zweck nicht legitim.

Was bedeutet das alles nun für Recruiter?

Das Sammeln von Daten für einen allgemeinen Kandidatenpool kann unter bestimmten Bedingungen (z.B. berechtigtes Interesse und volle Transparenz gegenüber dem Kandidaten) DSGVO-konform sein.

Wenn der Recruiter jedoch aktiv ein nicht existentes Mandatsverhältnis oder eine nicht existente Stelle bei einem bestimmten Unternehmen vortäuscht, um an Daten zu gelangen (wie in Teilen von obigen Szenarien und insbesondere im letzten Szenario angedeutet), ist dies ein schwerwiegender Verstoss gegen die Grundprinzipien der DSGVO (insbesondere Transparenz und Fairness).

Eine solche Datenverarbeitung wäre mit hoher Wahrscheinlichkeit rechtswidrig. Es handelt sich dann nicht um einen „Auftragsverarbeiter ohne Auftrag“, sondern um einen Verantwortlichen, der Daten auf unlautere und intransparente Weise erhebt.

Dies kann nicht nur DSGVO-Sanktionen nach sich ziehen, sondern auch wettbewerbsrechtliche Konsequenzen haben.

Was das für Sie als möglichen Kandidat bedeutet

Unsicherheit: Es ist nicht immer klar, ob die Stelle wirklich vakant ist und ob der Recruiter einen direkten Draht und ein offizielles Mandat vom Unternehmen hat. Fragen sie explizit über die Verhältnisse zum angeblichen Mandaten und bitten sie ggf.um entsprechende Nachweise.
Möglicher Zeitaufwand: Sie investieren Zeit und teilen Informationen, ohne Gewissheit über die Ernsthaftigkeit der Anfrage. Überlegen sie sich, ob sie zu Beginn wirklich bereit sind ihre Daten zu teilen, oder allenfalls ihr CV beim ersten Gespräch lediglich anreisen.
Kontrollverlust: Im schlimmsten Fall könnte ihr Profil ohne ihr Wissen oder ihre explizite Zustimmung für eine bestimmte Rolle bei Unternehmen eingereicht werden. Fragen sie ggf. bei dem betroffenen Unternehmen selbst nach, ob der entsprechende Recruiter dem Unternehmen bekannt ist.