DSGVO Personalvermittlung: Zeitarbeit 2026

In einem Satz. Personalvermittler und Zeitarbeitsfirmen verarbeiten besonders sensible Beschäftigtendaten — von Bewerbungsdokumenten über Gesundheitsdaten bis zu Kundeneinsätzen — und unterliegen DSGVO, BDSG § 26, AÜG sowie der Spezialregelung des AGG; KI-basierte Bewerberauswahl löst nach 2026 zusätzliche AI-Act-Pflichten aus.

In Deutschland gibt es ca. 11.000 Zeitarbeitsfirmen mit 700.000 Arbeitnehmern. Häufige Bußgelder. Siehe BfDI und DSGVO Sanktionen 2025. Die allgemeinen Grundlagen des Beschäftigtendatenschutzes fasst DSGVO in der Personalabteilung zusammen.

Wichtige Punkte

• Bewerber-Daten: Aufbewahrung max. 6 Monate nach Absage (AGG).
• Gesundheitsdaten nur mit ausdrücklicher Einwilligung.
• Kundeneinsätze: AVV oder gemeinsame Verantwortung prüfen.
• KI-Bewerberauswahl ab 2026 Hochrisiko nach AI Act.
• AÜG-Erlaubnis und Datenschutz koppeln.

1. Rechtsgrundlagen

Verarbeitung	Rechtsgrundlage
Bewerbung	Art. 6 Abs. 1 lit. b (Anbahnung)
Arbeitsvertrag Zeitarbeitnehmer	BDSG § 26
Datenfluss zu Kundenbetrieb	Art. 6 lit. f oder AVV
Lohnabrechnung	BDSG § 26 + AO/HGB
Gesundheitsdaten	Art. 9 Abs. 2 lit. h + Einwilligung
Background-Check	Strenge Grenzen § 26

2. Bewerberdaten

• Speicherung erlaubt bis Stellenbesetzung.
• Bei Absage: 6 Monate Aufbewahrung wegen AGG-Klagefrist.
• Längere Speicherung nur mit Einwilligung (Talent Pool).
• Lösch- und Auskunftsanfragen nach Art. 15-17.

3. Sensible Bewerber-Daten

• Foto: nicht Pflicht, sollte nicht angefordert werden.
• Familienstand, Religion, Schwerbehinderung: AGG-relevant, nicht erfragen.
• Strafregister: nur bei berechtigtem Anlass (z.B. Geldtransport).
• Gesundheitstests: nur arbeitsplatzspezifisch und einwilligungsbasiert.

4. Datenfluss zum Kundenbetrieb

• Übermittlung Zeitarbeitnehmer-Daten an Kunde: Art. 6 lit. f.
• Standardumfang: Name, Qualifikation, Kontakt.
• Sozialdaten (Krankenkasse, Steuer): nicht an Kunde.
• Vertrag mit Kunde sollte Datenfluss regeln.

5. KI-Bewerberauswahl

AI Act 2026 stuft KI-Bewerbermanagement als Hochrisiko ein:

• Verzeichnis nach AI Act.
• DSFA + AI-Impact-Assessment.
• Menschliche Letztentscheidung Pflicht.
• Diskriminierungsfreie Trainingsdaten.
• Information Bewerber über KI-Einsatz.

6. Hintergrundüberprüfungen

• SCHUFA: nur bei finanzieller Verantwortung.
• Google-Recherche: nur öffentlich zugängliche Quellen.
• Social Media (LinkedIn): beruflich OK; private (Facebook, Instagram) heikel.
• Referenzen: Einwilligung Bewerber erforderlich.

7. AVV vs. eigene Verantwortung

• Kundenbetrieb gibt Weisungen zum Einsatz = oft gemeinsame Verantwortung nach Art. 26.
• Verarbeitung Lohnabrechnung beim Vermittler = eigene Verantwortung.
• Datenweitergabe zur Personaleinsatzplanung = AVV mit Plattform.

8. Equal-Pay-Daten

Nach AÜG § 8 müssen Zeitarbeitnehmer nach 9 Monaten Equal Pay erhalten. Datenabgleich mit Kundenbetrieb erforderlich — DSGVO-Rechtsgrundlage: gesetzliche Pflicht (Art. 6 lit. c).

9. Beschäftigtenüberwachung

• GPS-Tracking Außendienst: Mitbestimmung + Datenminimierung.
• Mitarbeiter-App: keine Verhaltensanalyse ohne Information.
• Schichtplanung-Tools: AVV mit Anbieter.
• Schlüsselübergabe digital: Klare Zwecke und Löschfristen.

10. Häufige Bußgeldgründe

• Aufbewahrung Bewerberdaten weit über 6 Monate.
• Bewerberfotos in Cloud-Diensten ohne AVV.
• Mitarbeiter-Datentransfer ohne Information.
• Fehlende AVVs mit ATS-Anbietern.
• Typische Sanktionen: 10.000-100.000 €.

11. Tool-Unterstützung

Legiscope liefert ATS- und Personalvermittler-Vorlagen für Verzeichnis, Einwilligungstexte und DSFA für KI-Bewerbermanagement.

11. Sektor-spezifische Enforcement-Fälle

Jahr	Behörde	Fall	Sanktion	Lehre
2020	LfDI BW	H&M Hamburg (Retail-Beispiel)	35.300.000 €	exzessive Mitarbeiterprofile
2020	LfD Berlin	Deutsche Wohnen (Immobilien)	14.500.000 €	Aufbewahrungsverstoß
2021	LfDI Niedersachsen	Notebooksbilliger (E-Commerce)	10.400.000 €	dauerhafte Videoüberwachung
2022	LDA Bayern	VW (Industrie)	1.100.000 €	unzureichende AVV-Kontrolle
2023	HmbBfDI	Vattenfall (Energie)	900.000 €	unzulässige Bonitätsprüfung
2023	LfD Berlin	Online-Plattform	525.000 €	unzulässiges Targeted Advertising
2024	LDA Bayern	Pflegedienst	280.000 €	Patientenakten ungesichert

Aus diesen Fällen lassen sich Branchenmuster ableiten: Sanktionen treffen typisch Großbetriebe mit jahrelang aufgebauten unzulässigen Praktiken (Massenüberwachung, Profilbildung) oder mittelständische Akteure mit systematischen TOM-Defiziten.

12. Sektor-Standards und Codes of Conduct

Branchenspezifische Standards reduzieren das Compliance-Risiko:

• B3S (Branchenspezifische Sicherheitsstandards) nach § 8a BSI-Gesetz / NIS2UmsuCG.
• ISO 27001:2022 für ISMS-Zertifizierung.
• ISO 27701:2019 für Privacy Information Management (PIMS).
• BSI IT-Grundschutz Bausteine pro Sektor (siehe BSI-Grundschutz).
• TISAX für Automotive-Lieferketten.
• C5 (Cloud Computing Compliance Criteria Catalogue) für Cloud-Anbieter.
• Branchenkodizes nach Art. 40 DSGVO (Verband akkreditiert).

Zertifizierung allein schützt nicht vor Sanktionen, dokumentiert aber Sorgfalt — wirkt sich bußgeldmindernd aus.

13. AVV-Anforderungen im Sektor

Auftragsverarbeitungsverträge nach Art. 28 DSGVO sind sektorkritisch. Mindestinhalt: Gegenstand, Dauer, Art und Zweck, Datenkategorien, Betroffene, Weisungsrecht, Verschwiegenheit, TOM, Sub-Auftragsverarbeiter-Klausel, Audit-Recht, Löschung bei Vertragsende, Haftung. Mustervorlage: Auftragsverarbeitungsvertrag AVV.

Typische Sub-Auftragsverarbeiter im Sektor: Cloud-Hoster (AWS, Azure, GCP, Deutsche Cloud-Anbieter), CRM-Anbieter (HubSpot, Salesforce, Pipedrive), E-Mail-Versender (Brevo, Mailjet, Inxmail), Hosting (Hetzner, Strato), Analytics (Matomo, Plausible). Jeder benötigt eigenen AVV plus TIA bei Drittlandstransfer.

14. 5-Schritte-Compliance-Plan für den Sektor

1. Bestandsaufnahme (Datenkartierung, Datenkategorien, Empfänger, Aufbewahrungsfristen, Sub-Prozessoren).
2. Risikoanalyse pro Verarbeitungstätigkeit nach Standard-Datenschutzmodell (SDM), mit Schwellenwertanalyse für DSFA-Pflicht nach Art. 35.
3. Rechtsgrundlagen-Mapping: Art. 6 Abs. 1 (a-f) pro Tätigkeit, bei besonderen Kategorien Art. 9 Abs. 2.
4. TOM und AVV nach DSGVO Art. 32 Sicherheit und Art. 28.
5. Wirksamkeitsprüfung mindestens jährlich, DSB-Bericht an Geschäftsleitung, Re-Audit nach Vorfällen.

15. Häufige Audit-Befunde im Sektor

• Verarbeitungsverzeichnis unvollständig oder veraltet (häufigster Befund, 70 % der Audits).
• AVV-Lücken bei IT-Dienstleistern, Druckerei, Lohnbüro.
• Fehlende oder unvollständige DSFA bei Hochrisiko-Verarbeitungen.
• Cookie-Banner ohne TTDSG-konforme Reject-Option.
• Bewerberdaten länger als 6 Monate gespeichert (Verstoß Art. 5 Abs. 1 lit. e).
• Newsletter ohne dokumentierten Double-Opt-In-Nachweis.
• Kameraüberwachung ohne Beschilderung und Interessensabwägung.
• Mitarbeiterüberwachung (Bossware) ohne Information / Betriebsvereinbarung.
• Backups unverschlüsselt oder offen erreichbar.
• Verspätete Datenpannenmeldung — siehe Datenpanne melden.

16. Branchenvergleich Sanktionsrisiko

Branche	Typisches Sanktionsvolumen	Häufigste Verstöße
Handel/E-Commerce	50.000 - 10 Mio. €	Marketing-Tracking, AVV-Lücken
Industrie	100.000 - 35 Mio. €	Beschäftigtendatenschutz
Gesundheit/Pflege	30.000 - 1 Mio. €	TOM-Defizite, Akten ungesichert
Energie/Versorger	50.000 - 900.000 €	SCHUFA-Abfragen, Smart-Meter
Bildung	5.000 - 100.000 €	MS 365 ohne TIA, Schülerdaten
Vereine/NGO	1.000 - 50.000 €	fehlender DSB, AVV-Lücken
Influencer/Creator	5.000 - 200.000 €	Cookie-Banner, Tracking-Pixel

Höhere Sanktionen treten meist erst nach systematischen Verstößen oder Wiederholungsfällen auf. Erstverfahren enden in 60-70 % der Fälle mit Verwarnung oder Anordnung.

18. DSFA-Pflicht im Sektor

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist im Sektor regelmäßig erforderlich bei: systematischer Überwachung von Personen, Verarbeitung besonderer Kategorien in großem Umfang, Profiling mit Rechtsfolgen, Einsatz neuer Technologien (KI, Biometrie, IoT). Die DSK-Liste “Muss-DSFA” gibt verbindliche Beispiele. Ablauf: (1) Schwellenwertanalyse, (2) systematische Beschreibung, (3) Notwendigkeits- und Verhältnismäßigkeitsprüfung, (4) Risikobewertung, (5) Schutzmaßnahmen, (6) DSB-Stellungnahme, ggf. Konsultation Aufsichtsbehörde nach Art. 36.

Praxis-Tipp: DSFA-Templates der DSK oder der CNIL (PIA-Tool) verwenden — beide werden von deutschen Aufsichten anerkannt.

19. Branchenkodex und Zertifizierung

Branchenspezifische Verhaltensregeln nach Art. 40 DSGVO können bei akkreditiertem Verband bindende Wirkung entfalten. Bestehende Kodizes: GDD-Code für KMU, BVDW-Code für Online-Marketing, DGUV-Sektorstandards Gesundheit. Zertifizierung nach Art. 42 DSGVO durch akkreditierte Stellen (z.B. TÜV, DEKRA, EuroPriSe) dokumentiert Sorgfalt, wirkt bußgeldmindernd. Kosten Erstzertifizierung 15.000-80.000 €, Re-Audit alle 3 Jahre.

20. Schnittstelle zu NIS2 und DORA

Sektoren mit KRITIS- oder NIS2-Pflicht müssen ihr Datenschutz-Compliance-System mit dem Cybersecurity-Programm integrieren. Doppelmeldepflichten beachten: Datenpannenmeldung an Datenschutzbehörde nach Art. 33 (Datenpanne melden) UND Cyber-Vorfallmeldung ans BSI nach § 35 NIS2UmsuCG (NIS2 Deutschland) — Fristen 72 h bzw. 24 h. Finanzinstitute zusätzlich DORA-Meldung an BaFin.

21. Häufige strategische Fehler im Sektor

• Datenschutz wird als reine IT-Aufgabe gesehen, nicht als Geschäftsprozess.
• DSB ohne Direktzugang zur Geschäftsleitung — Verstoß Art. 38 Abs. 3.
• Kein Budget für Schulungen — Risiko über Mitarbeiterfehler.
• Cloud-Migration ohne TIA und ohne Vertragsanpassung.
• Marketing-Tracking ohne TTDSG-konforme Einwilligung.
• Keine dokumentierte Schwellenwertanalyse für DSFA-Pflicht.
• Vorhandene AVV werden nicht regelmäßig auf Aktualität geprüft.

Fazit

Personalvermittlung verarbeitet besonders sensible Daten — Bewerber und Beschäftigte. Mit klarem Löschkonzept (6 Monate AGG), AVVs für alle Plattformen und DSFA für KI-Tools ist die Branche beherrschbar.

FAQ

Wie lange dürfen Bewerberdaten gespeichert werden?

Bei Einstellung: Personalakte. Bei Absage: 6 Monate (AGG-Klagefrist), danach Löschung. Längere Speicherung nur mit Einwilligung.

Ist KI in der Bewerberauswahl erlaubt?

Ja, aber als Hochrisiko nach AI Act 2026 mit umfangreichen Pflichten: DSFA, menschliche Letztentscheidung, Information.

Brauche ich AVV mit Kundenbetrieb?

Häufig gemeinsame Verantwortung nach Art. 26. AVV nur wenn Kunde reiner Verarbeiter ist.

Darf ich SCHUFA-Auskunft bei Bewerbung verlangen?

Nur bei berechtigtem Anlass (z.B. Buchhaltung, Geldtransport) und mit Einwilligung.

Wie umgehe ich Diskriminierungsrisiken bei KI?

Diskriminierungsfreie Trainingsdaten, regelmäßige Bias-Audits, dokumentierte menschliche Letztentscheidung.

Welche Behörde ist für meinen Sektor zuständig?

Grundsätzlich die Landesdatenschutzbehörde am Sitz des Verantwortlichen — siehe etwa BayLDA für Bayern. Bei mehreren Niederlassungen greift One-Stop-Shop nach Art. 56 DSGVO mit Federführung der Hauptniederlassungs-Behörde. Telekommunikation, Post und Bundesbehörden unterliegen dem BfDI. Bei grenzüberschreitenden EU-Verfahren koordiniert der EDSA über das Konsistenzverfahren nach Art. 63 ff.

Brauche ich einen Datenschutzbeauftragten?

Nach § 38 BDSG ab 20 mit der automatisierten Verarbeitung beschäftigten Personen, unabhängig vom Sektor. Zusätzlich Pflicht nach Art. 37 DSGVO bei Kernverarbeitung sensibler Daten oder umfangreicher systematischer Überwachung — typisch bei Pflegediensten, Online-Shops mit Profiling, Influencern mit Tracking. Externer DSB kann beauftragt werden; Vorteile: spezialisierte Expertise, Kosten 6.000-30.000 €/Jahr je nach Unternehmensgröße.

Wie hoch sind realistische Bußgelder im Mittelstand?

Erstverfahren ohne Vorsatz typisch 5.000-50.000 €. Wiederholungsfälle oder vorsätzliche Verstöße können in den 6-stelligen Bereich gehen. Systematische Verstöße (Massenverarbeitung, Profilbildung) bis 7-stellig und höher — siehe Notebooksbilliger 10,4 Mio. €. Die Bemessung folgt EDSA-Guidelines 4/2022 mit Multiplikator nach Konzernumsatz. Kooperation und Mitwirkung senken den Betrag deutlich.

Welche TOM sind im Sektor Pflicht?

Mindestens: Zugangs-, Zutritts-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle nach Anlage zu § 9 BDSG a.F. (gilt fort als Auslegungshilfe). Konkret nach DSGVO Art. 32 Sicherheit: Pseudonymisierung, Verschlüsselung (BSI TR-02102), Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, regelmäßige Wirksamkeitsprüfung. Bei besonderen Kategorien (Art. 9) zusätzlich erweiterte Maßnahmen.

Wie läuft ein Audit der Behörde ab?

Ankündigung (in der Regel 2-6 Wochen vor Ort), Unterlagenanforderung (Art. 30-Verzeichnis, AVV-Liste, DSFA, TOM-Dokumentation, Schulungsnachweise, DSB-Berichte), Vor-Ort-Besuch (1-3 Tage), Befundbericht, Anhörung, Maßnahmenkatalog mit Fristen, bei Verstößen Bußgeldverfahren. Vorbereitung: dokumentierte Compliance, klare Verantwortlichkeiten, geübter DSB als Single Point of Contact.