Ich kenne kaum eine Personalberatung, die nicht von ihrer Datenbank schwärmt. „Über 4.000 qualifizierte Profile." „Wir haben fast alle Branchen abgedeckt." „Die Datenbank ist unser wichtigstes Asset." Und dann sitzt du beim nächsten Auftrag vor einer Stelle, die perfekt auf eine Kandidatin passt, die du vor 14 Monaten interviewt hast — und merkst, dass du sie nicht anrufen darfst.
Weil die Einwilligung abgelaufen ist.
Das ist das Kühlschrank-Problem. Deine Datenbank ist voll. Schön sortiert, gut strukturiert, voller vielversprechender Profile. Aber ein Großteil der Inhalte ist abgelaufen. Du weißt nur nicht, welche.
Der Kühlschrank, den alle kennen — aber niemand ausräumt
Stell dir vor, du öffnest deinen Kühlschrank und zählst: 40 Einträge. Joghurt, Käse, Reste vom Montag, eine angebrochene Flasche Orangensaft. Voll. Theoretisch könntest du damit morgen kochen. Aber wenn du anfängst, die Mindesthaltbarkeitsdaten zu prüfen, stellst du fest: 60% davon ist schon weg. Der Käse hat seit drei Wochen Schimmel. Der Joghurt war bis November gut. Der Orangensaft riecht komisch.
Was tust du? Entweder du räumst alles raus und fängst neu an — oder du entwickelst ein System, das dir sagt, was noch gut ist und was reaktiviert werden kann, bevor es kippt.
Kandidatendaten funktionieren genauso. Nach der DSGVO (Datenschutz-Grundverordnung, Artikel 5 und 17) gilt: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der ursprüngliche Zweck erfordert. Im Recruiting-Kontext bedeutet das: Wenn du jemanden für eine konkrete Stelle gesammelt hast und die Stelle besetzt ist — tickt die Uhr. Die gängige Praxis in Deutschland geht von 12 bis 24 Monaten aus, je nach Branche und Zweck der Datenspeicherung.
Was das in der Praxis heißt: Wer 2022 Kandidaten aufgenommen hat und seitdem nicht mehr mit ihnen in Kontakt war, sitzt 2026 auf einem Kühlschrank voller abgelaufener Profile.
Was die DSGVO wirklich verlangt — ohne Juristendeutsch
Ich bin kein Anwalt. Aber ich habe in den letzten Jahren mit genug Personalberatungen gesprochen, um zu verstehen, wo die echten Risiken liegen. Drei Dinge sind entscheidend:
1. Zweckbindung: Daten dürfen nur für den ursprünglichen Zweck genutzt werden
Wenn jemand sich auf eine Stelle als „Senior Controller bei einem Maschinenbauer in Bayern" beworben hat und du ihn jetzt für eine völlig andere Position in Berlin anfragst — bist du rechtlich in einer Grauzone. Die Einwilligung, die er damals gegeben hat, bezog sich auf einen konkreten Kontext. Das nennt sich Zweckbindung (Artikel 5 Abs. 1 lit. b DSGVO).
Die meisten Personalberatungen lösen das mit einer allgemeinen Einwilligungserklärung für den Talent Pool: „Ich stimme zu, dass meine Daten für künftige Stellenvermittlungen genutzt werden dürfen." Das ist rechtlich solide — wenn die Einwilligung aktuell ist und der Kandidat jederzeit widersprechen kann.
2. Speicherbegrenzung: Daten dürfen nicht ewig liegen
Artikel 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nicht länger gespeichert werden als notwendig. Was „notwendig" bedeutet, ist nicht konkret definiert — aber die Datenschutzkonferenz (DSK) empfiehlt für nicht vermittelte Bewerber eine Löschfrist von 6 Monaten nach Abschluss des Bewerbungsverfahrens. Mit aktiver Einwilligung für den Talent Pool: bis zu 2 Jahre.
Das bedeutet praktisch: Profil aus dem Jahr 2023, keine Reaktivierungsmail geschickt, kein Kontakt seit 24 Monaten → das Profil hätte längst gelöscht oder reaktiviert werden müssen.
3. Betroffenenrechte: Löschung auf Anfrage ist Pflicht
Jeder Kandidat hat das Recht auf Löschung seiner Daten (Artikel 17 DSGVO). Wenn du diese Anfrage bekommst und noch Daten hast — musst du löschen. Innerhalb von 30 Tagen. Ohne Ausrede. Und du musst nachweisen können, dass du gelöscht hast.
Das ist der Punkt, an dem Excel zum echten Problem wird. In einer Tabelle mit 4.000 Zeilen das Profil von „Thomas Bauer" zu finden, alle Vorkommen zu identifizieren, zu löschen und den Nachweis zu dokumentieren — das dauert Stunden.
Was die meisten Personalberatungen falsch machen
Ich sehe drei immer wiederkehrende Muster:
Fehler 1: Die „haben wir schon immer so gemacht"-Einwilligung
Viele Beratungen haben noch Einwilligungserklärungen aus 2018 im Einsatz — dem Jahr, in dem die DSGVO in Kraft trat. Das war vor acht Jahren. Seitdem hat sich die Rechtsprechung präzisiert. Die DSK hat Empfehlungen herausgegeben. Datenschutzbehörden haben Bußgelder verhängt.
Eine Einwilligungserklärung aus 2018 ist nicht automatisch ungültig. Aber wenn sie nicht deutlich macht, dass der Kandidat jederzeit widersprechen kann, dass er weiß, welche Daten gespeichert werden und wofür — dann ist sie angreifbar.
Fehler 2: Kein System für Ablaufdaten
Das ist der Kühlschrank, der nie ausgeräumt wird. Kandidat wird angelegt, Datum der Einwilligung wird nirgendwo notiert, nach 18 Monaten weiß niemand mehr, ob das Profil noch aktuell ist. Das Profil liegt still in der Datenbank — weder gelöscht noch reaktiviert.
In einer funktionierenden Kandidatendatenbank hat jedes Profil ein „Haltbarkeitsdatum": das Datum der letzten Einwilligung plus die vereinbarte Aufbewahrungsfrist. Läuft das Datum ab, wird automatisch eine Reaktivierungsmail ausgelöst — oder das Profil wird zur Löschung markiert.
Ohne dieses System räuchst du blind in einem Kühlschrank voller Fragezeichen.
Fehler 3: Kandidaten reaktivieren, ohne neu einzuwilligen
Das ist der teuerste Fehler. Du schickst einer Kandidatin aus 2023 eine LinkedIn-Nachricht oder ruft sie an — ohne vorher geprüft zu haben, ob ihre Einwilligung noch gültig ist. Wenn sie daraufhin Beschwerde bei der Datenschutzbehörde einreicht, hast du ein Problem.
Das Argument „ich hab sie ja nur angerufen" trägt nicht. Unaufgeforderter Kontakt zu Personen, die nicht mehr zugestimmt haben, kontaktiert zu werden, kann als Verstoß gegen Artikel 6 DSGVO gewertet werden.
Bußgelder für solche Verstöße gehen in Deutschland selten in die Millionen — aber selbst ein Bußgeld von €5.000–€50.000 für eine Personalberatung mit 10 Mitarbeitern ist schmerzhaft. Und die Reputationsschäden sind noch teurer.
Wie viele Profile in deiner Datenbank sind eigentlich noch verwertbar?
Ich habe in den letzten Monaten mit Personalberatern aus dem DACH-Raum gesprochen und eine einfache Frage gestellt: „Wenn du heute deine Kandidatendatenbank durchleuchtest — wie viel Prozent hättest du laut DSGVO überhaupt noch kontaktieren dürfen?"
Die Schätzungen lagen zwischen 20 und 40 Prozent.
Das bedeutet: 60 bis 80 Prozent der Profile in einer durchschnittlichen deutschen Personalberatung sind entweder abgelaufen, nicht einwilligungskonform gespeichert, oder beides. Das ist kein Schwarzmalerei — das ist der logische Effekt davon, dass kaum jemand ein System für Einwilligungsmanagement hat.
Der Kühlschrank ist voll. Aber von was?
Der Reaktivierungs-Prozess: So gehst du es richtig an
Die gute Nachricht: Du musst nicht alles löschen. Du kannst große Teile deiner Datenbank reaktivieren — wenn du es richtig machst. Hier ist der Prozess, der funktioniert:
Schritt 1: Datenbankaudit — den Kühlschrank ausräumen
Zuerst musst du wissen, was du hast. Segmentiere deine Profile nach Datum des letzten Kontakts:
- Kontakt in den letzten 6 Monaten: Aktiv, kein sofortiger Handlungsbedarf
- Kontakt vor 6–12 Monaten: Reaktivierung empfohlen, aber noch innerhalb des üblichen Rahmens
- Kein Kontakt seit >12 Monaten: Dringende Reaktivierung oder Löschung
- Keine Einwilligungsdokumentation vorhanden: Profil darf nur mit neuer Einwilligung genutzt werden
Wer das in Excel macht, verbringt Tage. Wer ein gutes ATS hat, filtert das in Minuten.
Schritt 2: Die Reaktivierungsmail — kurz, ehrlich, konkret
Für alle Profile der Kategorien 2 und 3: schick eine kurze, transparente Nachricht. Kein Marketing. Keine Pitch. Nur: „Wir haben deine Daten, du bist uns wichtig, wir würden gerne weitermachen — wenn du das auch möchtest."
Eine Vorlage, die funktioniert:
Hallo [Vorname],
du warst vor einiger Zeit in Kontakt mit uns. Seitdem hat sich einiges verändert — und wir möchten sicherstellen, dass wir deine Daten nur dann weiterhin nutzen, wenn du das auch möchtest.
Klick hier, wenn wir dein Profil weiterhin für passende Möglichkeiten nutzen dürfen. Wenn du das nicht möchtest, löschen wir deine Daten innerhalb von 48 Stunden.
[Button: Ja, bleibt in meiner Akte] [Button: Bitte löschen]
Diese E-Mail ist keine Schwäche. Sie ist ein Signal an den Kandidaten: Wir nehmen dich ernst. Wir kennen die Regeln. Wir sind professionell. In der Realität antworten auf solche Mails 30–60% der aktiven Kandidaten positiv — weil sie die Transparenz schätzen. Und die anderen 40–70%? Die hätten sich sowieso nicht gemeldet.
Schritt 3: Profil-Aktualisierung kombinieren
Nutze die Reaktivierungsmail gleichzeitig als Profil-Update. Füge einen kurzen Fragebogen an: neue Gehaltsvorstellung, aktueller Jobstatus, bevorzugte Regionen. Du bekommst damit nicht nur die Einwilligung — du bekommst frische Daten.
Das ist der Unterschied zwischen einem Kühlschrank, der ausgeräumt wird, und einem, der neu eingeräumt wird.
Schritt 4: Systeme aufsetzen, die das in Zukunft automatisch machen
Die Reaktivierungskampagne ist der Notausgang. Was du wirklich brauchst, ist ein System, das dir sagt, bevor das Verfallsdatum eintritt: „Dieses Profil läuft in 30 Tagen ab. Handeln oder löschen."
Das kann nur ein ATS leisten, das Einwilligungsdaten strukturiert speichert. Nicht eine Excel-Tabelle mit einer Spalte „Datum des letzten Kontakts" — sondern ein System, das diese Daten auswertet und automatisch Erinnerungen auslöst.
Was ein modernes ATS hier leistet — und was nicht
Ich sehe in Demos immer wieder die gleiche Frage: „Kann das ATS automatisch DSGVO-konform löschen?" Die ehrliche Antwort: Das System kann es — aber die Entscheidung treffe ich als Personalberater.
Kein Tool kann dir die Verantwortung abnehmen. Was ein gutes Bewerbermanagementsystem leisten kann:
- Einwilligungsdatum pro Kandidat dokumentieren — wann hat er zugestimmt, für welchen Zweck, mit welcher Frist
- Automatische Fristen berechnen — Erinnerung 30 Tage vor Ablauf
- Batch-Löschungen ermöglichen — alle Profile, die seit 24 Monaten keinen Kontakt hatten, in einem Schritt löschen oder zur Reaktivierung markieren
- Audit-Trail führen — Dokumentation, wann was gelöscht wurde. Das ist dein Nachweis, wenn die Datenschutzbehörde fragt.
- Betroffenenrechte umsetzen — Löschanfrage eingeht → Profil findet sich sofort in allen verbundenen Stellen (Jobs, Pipelines, Aktivitäten) und wird entfernt
Wer das mit Excel löst, löst es nicht. Der Aufwand ist zu groß, die Fehlerquote zu hoch.
Der Business Case: Reaktivierung lohnt sich
Es gibt eine Zahl, die Personalberater oft unterschätzen: Die Kosten eines Neusourcings. Wenn du einen Kandidaten für eine Stelle findest, der schon in deiner Datenbank war — aber wegen fehlender Einwilligung oder schlechter Datenbankpflege nicht gefunden wurde — hast du doppelt verloren. Du hast Zeit und LinkedIn-Credits für jemanden ausgegeben, den du schon hattest.
Laut einer Analyse von Bullhorn kostet die Neusourcierung eines Kandidaten, der sich bereits in der Datenbank befindet, im Schnitt 3–5 Stunden Recruiter-Zeit plus externe Sourcing-Kosten. Multipliziert mit der Anzahl der Placements pro Jahr ergibt sich schnell ein fünfstelliger Betrag, der jährlich für Arbeit verschwendet wird, die eigentlich schon erledigt war.
Das ist der Kühlschrank-Effekt im Umkehrschluss: Wer seinen Kühlschrank pflegt, kocht schneller, besser und günstiger.
DSGVO und KI-Matching: Das wird wichtiger, nicht kleiner
Mit dem EU AI Act, der ab August 2026 für KI-Systeme in HR-Prozessen gilt, kommt eine neue Dimension dazu. KI-Matching-Systeme, die Kandidaten für Jobs ranken, fallen unter die Kategorie „hochriskante KI" — mit entsprechenden Transparenz- und Dokumentationspflichten.
Das bedeutet: Wenn du ein ATS mit KI-Matching nutzt, musst du nicht nur dokumentieren, welche Daten du speicherst — sondern auch, welche Entscheidungen die KI getroffen hat und auf welcher Basis. Ein Kandidat hat das Recht zu erfahren, warum er für eine Stelle nicht vorgeschlagen wurde.
Für Personalberatungen ist das keine abstrakte Compliance-Frage. Es ist eine konkrete Anforderung an die Tools, die du ab Herbst 2026 einsetzt. Wer jetzt auf ein System setzt, das keine Entscheidungspfade dokumentiert, kauft sich ein Problem — nicht nur eine Software.
Die DSGVO-Prozesse in deiner Personalberatung und der EU AI Act sind keine getrennten Baustellen. Sie sind zwei Seiten derselben Anforderung: transparente, dokumentierte, widerrufbare Datennutzung.
Reaktivierung in der Praxis: Ein konkretes Beispiel
Eine mittelgroße Personalberatung in Frankfurt — zwölf Recruiter, Fokus Finanzdienstleistungen — hat Anfang 2025 eine Datenbankbereinigung durchgeführt. 6.200 Profile, gesammelt über acht Jahre.
Ergebnis nach dem Audit:
- 1.800 Profile: Aktiv, Kontakt in letzten 12 Monaten, DSGVO-konform
- 2.400 Profile: Letzter Kontakt 12–36 Monate her, keine aktuelle Einwilligung dokumentiert
- 2.000 Profile: Kein Kontakt seit über 36 Monaten — direktes Löschrisiko
Sie haben eine Reaktivierungskampagne an die 2.400 Profile geschickt. Rücklauf: 38% positive Einwilligungen, 22% explizite Löschungsanfragen, 40% keine Antwort (automatisch gelöscht nach 4 Wochen).
Ergebnis: rund 900 aktive, einwilligungskonforme Profile aus der Reaktivierung. Und für die ersten drei Monate danach kamen 2 von 5 erfolgreichen Placements aus diesem reaktivierten Pool. Kandidaten, die man kennt, reagieren besser auf Ansprache als kalte Kontakte.
Kühlschrank ausgeräumt, neu eingeräumt, besser kochen.
Was du diese Woche konkret tun kannst
Drei Schritte, die du sofort angehen kannst — ohne Anwalt und ohne großes IT-Projekt:
1. Schnellaudit deiner Datenbank
Filtere deine Kandidatenliste nach Datum des letzten Kontakts. Alles, was vor mehr als 12 Monaten war und keine dokumentierte Einwilligung hat, landet auf deiner Reaktivierungsliste. Wenn du das in Excel nicht in 30 Minuten erledigen kannst, ist das ein klares Signal.
2. Reaktivierungsvorlage erstellen
Schreib eine kurze E-Mail — transparent, ohne Verkaufsdruck. „Du warst bei uns, wir würden gerne bleiben in Kontakt — wenn du das willst." Drei Sätze. Kein Marketing.
3. Löschroutine etablieren
Entscheide jetzt: Profile, auf die nach 4 Wochen keine Reaktion kommt, werden gelöscht. Schreib das auf. Setz dir eine Kalender-Erinnerung. Oder nutz ein ATS, das das automatisch macht.
Du brauchst kein perfektes System ab Tag eins. Du brauchst einen funktionierenden Prozess, den du dokumentieren kannst. Das ist der Unterschied zwischen einer Personalberatung, die DSGVO ernst nimmt, und einer, die bei der nächsten Prüfung erklärt, dass sie „schon immer aufgepasst haben".
Das eigentliche Problem ist nicht die DSGVO
Die DSGVO ist kein Hindernis für gutes Recruiting. Sie ist ein Spiegel, der zeigt, wie ernst du deine Kandidaten nimmst.
Wer Kandidaten 36 Monate lang ungefragt in einer Datenbank parkt, behandelt sie wie Bestand — nicht wie Menschen. Wer sie regelmäßig reaktiviert, transparent kommuniziert und veraltete Profile bereinigt, baut eine Datenbank auf, die wirklich werthaltig ist. Nicht 6.200 Profile, von denen 60% Schimmel angesetzt haben. Sondern 2.000 Profile, von denen 90% antworten, wenn du anrufst.
Das ist der Kühlschrank, den du willst. Nicht groß. Frisch.
Wenn du wissen möchtest, wie ein modernes ATS dir dabei hilft — Einwilligungsmanagement, automatische Fristen, Batch-Löschungen, Audit-Trail — dann schau dir Yenas Features an. Oder buch direkt eine 14-Tage-Demo. Keine Kreditkarte, kein Vertrag. Nur ein frischer Kühlschrank.
Janis Kolomenskis ist Gründer von Yena und Personalberater mit über einem Jahrzehnt Erfahrung im Executive Search. Er hat selbst jahrelang für ein Legacy-ATS bezahlt — und Yena gebaut, weil es das nicht geben sollte.