Der Talentpool braucht eine eigene Einwilligung

Die Absage ist raus, die Unterlagen bleiben. Zwischen diesen beiden Sätzen liegt ein Zweckwechsel, und in den meisten Bewerbermanagementsystemen trägt ihn ein einziges Häkchen am Ende des Bewerbungsformulars.

Der Pool ist ein anderer Zweck als das Verfahren

Die DSGVO definiert die Einwilligung in Artikel 4 Nummer 11 als Willensbekundung, die „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich“ abgegeben wird. Der bestimmte Fall ist die Bewerbung auf eine konkrete Stelle. Die Aufbewahrung für künftige Vakanzen ist ein anderer, und Artikel 5 Absatz 1 Buchstabe b bindet die Verarbeitung an „festgelegte, eindeutige und legitime Zwecke“.

Daraus folgt eine Pflicht, die selten umgesetzt wird: Artikel 13 Absatz 3 verlangt die Information über einen neuen Zweck „vor dieser Weiterverarbeitung“. Eine Datenschutzerklärung, die Monate früher beim Upload weggeklickt wurde, erfüllt das nicht.

Erwägungsgrund 43 wird noch deutlicher: Die Einwilligung gilt nicht als freiwillig, „wenn zu verschiedenen Verarbeitungsvorgängen von personenbezogenen Daten nicht gesondert eine Einwilligung erteilt werden kann, obwohl dies im Einzelfall angebracht ist“. Genau das beschreibt das eine Häkchen. Der Landesbeauftragte in Baden-Württemberg macht es in eigener Sache vor: „Eine Einwilligung holen wir in diesem Fall gesondert von Ihnen ein.“

Die sechs Monate sind Aufsichtspraxis, kein Gesetz

Das BayLDA formuliert die verbreitete Regel mit Stand 10. Februar 2026 so, dass Unterlagen „noch maximal sechs Monate aufgehoben werden“ dürfen, „um bei Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) reagieren zu können“, und dass darüber hinaus „die weitere Speicherung (nur) mit Einwilligung der Bewerber zulässig“ ist. Die BfDI rechnet ab Zugang der Absage.

Die Zahl steht in keinem Gesetz. § 15 Absatz 4 AGG gibt zwei Monate zur schriftlichen Geltendmachung, § 61b Absatz 1 ArbGG drei Monate zur Klageerhebung. Das sind fünf. Die sechs sind ein gerundeter Puffer der Aufsichtspraxis. Artikel 5 Absatz 1 Buchstabe e DSGVO, der Grundsatz der Speicherbegrenzung, enthält überhaupt keine Frist.

Einig ist die Aufsicht beim Wert ohnehin nicht. Der LfD Niedersachsen schreibt mit Stand Juli 2026, es gebe „weder gesetzlich festgelegte Aufbewahrungs- noch Löschfristen für Bewerbungsdaten“, und verweist auf die Erforderlichkeitsprüfung statt auf eine Monatszahl. Baden-Württemberg löscht in eigener Sache nach zwei Monaten. Wer im Löschkonzept eine Zahl führt, braucht daneben die Begründung, nicht die Quelle.

Was in der Pooleinwilligung stehen muss

Die Datenschutzkonferenz hat zu Bewerberdaten keine Orientierungshilfe veröffentlicht; die einschlägige Leitlinie kommt aus Hamburg. Der HmbBfDI hat am 6. Juni 2024 die Information „Bewerberdatenschutz und Recruiting im Fokus“ vorgelegt, deren Abschnitt 5 „Talentpools – Aufnahme nur mit Einwilligung“ heißt und Mindestinhalte auflistet:

• Zweck der Datenspeicherung im Talentpool
• welche Daten werden verarbeitet
• Dauer der Speicherung
• Möglichkeit zum Widerruf der Einwilligung
• Information gemäß Artikel 13 DSGVO
• gegebenenfalls Information gemäß Artikel 14 DSGVO

Der Praxisbefund derselben Behörde: „In der Praxis kommt es vor, dass zwar eine Einwilligung eingeholt, jedoch kein Zeitraum für die Speicherdauer festgelegt wird. In den allermeisten Fällen hat dies zur Folge, dass die Daten unbegrenzt gespeichert werden.“ Eine Quote nennt niemand, und niemand erhebt eine. Ihre Empfehlung ist operativ brauchbar: für einen begrenzten Zeitraum einholen, nach Ablauf erneut fragen, bei Nichtreaktion „unverzüglich und unwiederbringlich“ löschen.

Artikel 14 ist kein Beiwerk. Wer Profile über Active Sourcing oder aus zugekauften Beständen in den Pool legt, hat nicht bei der Person erhoben und schuldet die Information längstens innerhalb eines Monats. Das LAG Düsseldorf hat am 10. April 2024 entschieden, dass schon eine Google-Recherche diese Pflicht auslöst.

Form und Widerruf: zwei Stufen in einer Vorschrift

• 26 Absatz 2 BDSG verlangt zweierlei auf zwei verschiedenen Stufen. Satz 3: Die Einwilligung „hat schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist“. Satz 4: Über Zweck und Widerrufsrecht ist „in Textform“ aufzuklären. Der HmbBfDI schreibt für die Einwilligung selbst „in Textform“, also praxisnäher als der Normtext. Und Absatz 8 Satz 2 stellt klar, dass Bewerber „als Beschäftigte“ gelten, also auch nach der Absage.

Der Widerruf ist die Stelle, an der Systeme regelmäßig scheitern. Artikel 7 Absatz 3 Satz 4 DSGVO: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.“ Ein Häkchen beim Upload gegen eine E-Mail an eine Sammeladresse erfüllt das nicht. Die Datenschutzkonferenz verlangt im Kurzpapier Nr. 20 außerdem, dass eine elektronisch erteilte Einwilligung protokolliert wird; es genüge nicht, „wenn lediglich auf die ordnungsgemäße Gestaltung der entsprechenden Webseite verwiesen wird“. Dieselbe Quelle nimmt der beliebtesten Reparatur die Grundlage: Eine unwirksame Einwilligung auf berechtigte Interessen umzustellen, ist „grundsätzlich unzulässig“.

Der Rechtsstand, genau

• 26 BDSG steht unverändert im Gesetzblatt; die beiden BDSG-Änderungen des Jahres 2026 betreffen ihn nicht. Sein Absatz 1 Satz 1 bleibt nach dem Beschluss des BAG vom 9. Mai 2023 (1 ABR 14/22) unangewendet, weil es „an Schutzmaßnahmen iSv. Art. 88 Abs. 2 DSGVO fehlt“; der Erste Senat hat seine frühere gegenteilige Auffassung dort aufgegeben. Im Urteil vom 8. Mai 2025 (8 AZR 209/21) heißt es knapp: „§ 26 Abs. 1 BDSG hat unangewendet zu bleiben.“

Über Absatz 2 hat weder der Gerichtshof noch das Bundesarbeitsgericht entschieden. Die Zeichenfolge „§ 26 Abs. 2″ kommt im Urteil vom 8. Mai 2025 nicht vor, und der Gerichtshof hat in C-34/21 hessisches Landesrecht geprüft. Die Aufsicht rechnet mit Absatz 2 weiter, zuletzt Niedersachsen mit Stand Juli 2026. Praktisch ändert der Streit wenig: Artikel 4 Nummer 11, Artikel 6 Absatz 1 Buchstabe a und Artikel 7 DSGVO sind ohnehin zu erfüllen. Wer nach dem strengeren Raster des Absatzes 2 baut, ist in beiden Lesarten sauber.

Wenn der Pool durchsucht und sortiert wird

Anhang III Nummer 4 Buchstabe a der KI-Verordnung erfasst Systeme, die dazu dienen, „Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten“. Artikel 6 Absatz 3 enthält eine Ausnahme für eng gefasste oder vorbereitende Aufgaben, endet aber mit dem Satz, dass ein solches System „immer dann als hochriskant“ gilt, „wenn es ein Profiling natürlicher Personen vornimmt“. Ein Pool-Ranking, das Kandidatenprofile bewertet, tut das im Regelfall, und die Dokumentation der Ausnahme schuldet nach Absatz 4 der Anbieter.

Ein Datum dazu, weil es sich geändert hat: Die Pflichten für Anhang-III-Hochrisikosysteme gelten nicht ab dem 2. August 2026. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 hat Kapitel III Abschnitte 1 bis 3 auf den 2. Dezember 2027 verschoben. Unreguliert ist der Bereich damit nicht: Die Verbote des Artikels 5 gelten seit dem 2. Februar 2025, darunter das Verbot von Systemen „zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz“.

Der Zeitpunkt entscheidet

Zu Talentpools gibt es bislang keine veröffentlichte deutsche Entscheidung und kein Bußgeld. Der Bereich ist ungeprüft, nicht abgesegnet.

Ohne Projekt ändern lässt sich der Zeitpunkt der Frage. Nach der Absage ist das Verfahren beendet, und wer dann nicht einwilligt, verliert nichts. Der Europäische Datenschutzausschuss beschreibt in seinen Leitlinien 05/2020 genau diese Konstellation als die Ausnahme, in der eine Einwilligung im Beschäftigungskontext freiwillig sein kann: wenn sie „no adverse consequences at all“ hat. Im laufenden Verfahren ist das schwer zu behaupten, danach ist es leicht.