Top-Themen im Datenschutz:
Bewerberdaten unterliegen der DSGVO ab der ersten E-Mail. Nach einer Absage werden Unterlagen häufig bis zu sechs Monate aufbewahrt, eine gesetzliche Pauschalfrist gibt es nicht: Informationspflicht nach Art. 13 DSGVO.
Die DSGVO gilt für Bewerber vom ersten Kontakt an. Arbeitgeber dürfen nur Daten verarbeiten, die für die Auswahl erforderlich sind, müssen Bewerber über die Verarbeitung informieren und abgelehnte Unterlagen nach Ablauf einer begründeten Frist löschen. Bewerber gelten dabei datenschutzrechtlich als Beschäftigte (§ 26 Abs. 8 Satz 2 BDSG).
Für eine Bewerbung gilt Datenschutz damit in jeder Phase: bei der Anzeige, beim Eingang der Unterlagen, im Gespräch und bei der Löschung. Die folgenden Abschnitte erklären jede Phase Schritt für Schritt.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenLange galt § 26 Abs. 1 Satz 1 BDSG als zentrale Rechtsgrundlage für Beschäftigtendaten. Der EuGH hat im Urteil vom 30.03.2023 (C-34/21) Anforderungen an nationale Regeln zum Beschäftigtendatenschutz nach Art. 88 DSGVO formuliert. Das Urteil betraf unmittelbar hessisches Landesrecht und erklärte § 26 BDSG nicht für unwirksam. Es wirft aber Fragen zur Anwendbarkeit der Vorschrift auf.
Arbeitgeber sollten deshalb für jeden Verarbeitungsschritt die passende Grundlage benennen. Für die Durchführung des Bewerbungsverfahrens ist Art. 6 Abs. 1 lit. b DSGVO regelmäßig tragfähig. Die Abwehr möglicher Ansprüche stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen), gesetzliche Pflichten auf Art. 6 Abs. 1 lit. c DSGVO. Datenschutzhinweise, die pauschal nur § 26 BDSG nennen, sollten überprüft werden.
Maßstab ist die Erforderlichkeit für die konkrete Stelle. Qualifikationen, einschlägige Berufserfahrung und Verfügbarkeit sind regelmäßig relevant. Fragen nach Schwangerschaft, allgemeinen Erkrankungen, Religion oder Parteizugehörigkeit sind grundsätzlich unzulässig. Eng begrenzte Ausnahmen können sich aus den Anforderungen der Tätigkeit oder aus Gesetzen ergeben. Auch freiwillig mitgeteilte Angaben dürfen nicht beliebig weiterverarbeitet werden.
Gesundheitsangaben, Schwerbehinderung, Religion, Gewerkschaftszugehörigkeit und biometrische Daten gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Neben einer Rechtsgrundlage nach Art. 6 DSGVO muss zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Eine pauschale Einwilligung im Bewerbungsformular ist wegen Zweifeln an der Freiwilligkeit kein Allheilmittel.
Angaben zu Straftaten fallen unter Art. 10 DSGVO. Ein Führungszeugnis darf deshalb nicht routinemäßig von allen Bewerbern verlangt werden. Entscheidend sind besondere gesetzliche Anforderungen und die Eignungsrelevanz für die Stelle.
Die Aufbewahrungsfristen für Bewerbungsunterlagen sind gesetzlich nicht festgelegt. In der Praxis werden Unterlagen abgelehnter Bewerber häufig bis zu sechs Monate nach der Absage aufbewahrt, um sich gegen mögliche Ansprüche zu verteidigen. Auch die Berliner Datenschutzbeauftragte hält eine Speicherung von höchstens sechs Monaten nach der Absage für vertretbar. Diese Dauer muss im Einzelfall begründet und im Löschkonzept dokumentiert werden. Danach sind die Daten zu löschen.
Nach einer Absage entfällt der Zweck der Stellenbesetzung. Eine begrenzte weitere Speicherung kann aber erforderlich sein, um Ansprüche wegen Benachteiligung abzuwehren. Abgelehnte Bewerber müssen solche Ansprüche nach § 15 Abs. 4 AGG grundsätzlich innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend machen. Wer den Anspruch geltend macht, muss innerhalb von drei Monaten nach der schriftlichen Geltendmachung klagen (§ 61b Abs. 1 ArbGG).
Zusammen mit einem Puffer für Zustellung und Verfahrensbeginn ergeben sich daraus die häufig genannten drei bis sechs Monate. Sechs Monate sind keine Pauschalfrist, sondern eine Obergrenze, die sich begründen lassen muss. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Art. 17 Abs. 3 lit. e DSGVO ist nur eine Ausnahme vom Löschanspruch und keine eigene Rechtsgrundlage.
Ein Löschkonzept erfasst alle Ablagen: Bewerbermanagement-System, Postfächer von HR und Führungskräften, Downloads, Gesprächsnotizen, geteilte Ordner und Backups. Eine Bewerbung, die bei einer Führungskraft statt bei HR landet, bleibt sonst unbemerkt ohne Löschfrist liegen.
Nur mit freiwilliger, dokumentierter Einwilligung. Ein Talentpool setzt voraus, dass die Einwilligung freiwillig erfolgt, dokumentiert ist und Zweck, Datenumfang, Speicherdauer und Widerrufsmöglichkeit nennt. Läuft die Frist ab, kann erneut gefragt werden. Bleibt eine Antwort aus, werden die Daten gelöscht.
Wer Daten direkt bei einer Person erhebt, muss sie nach Art. 13 DSGVO informieren. Im Recruiting ist das der Normalfall. Die Datenschutzhinweise für Bewerber enthalten folgende Angaben:
Ja. Art. 13 DSGVO knüpft an die Erhebung der Daten an, nicht an eine Stellenanzeige. Eine unaufgeforderte Bewerbung per E-Mail, über LinkedIn oder per Post löst dieselben Pflichten aus. Das gilt auch, wenn die Bewerbung direkt bei einer Führungskraft landet. Gerade dort fehlt oft ein Prozess.
Die Information erfolgt grundsätzlich zum Zeitpunkt der Datenerhebung. Bei einer unangekündigten Initiativbewerbung sollten Unternehmen die Hinweise unverzüglich mit der Eingangsbestätigung nachreichen. Zwei Maßnahmen helfen dabei:
Verstöße gegen die Informationspflichten können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis beginnen Konflikte häufiger mit dem Auskunftsersuchen eines abgelehnten Bewerbers.
Vermeiden Sie Bußgelder bis 20 Millionen Euro – mit der ausfüllbaren Vorlage für Ihre Datenschutzerklärung nach Art. 13 DSGVO. Alle Pflichtangaben, Formulierungshilfen und Umsetzungs-Checkliste, kostenlos als Download.
Background-Checks sollen Angaben im Lebenslauf oder die berufliche Eignung prüfen. Sie sind nicht grundsätzlich verboten, brauchen aber einen konkreten Bezug zur Stelle und müssen verhältnismäßig bleiben. Ungezielte Recherchen zu privaten Lebensumständen sind unzulässig.
Nicht ohne Weiteres. Eine Kontaktaufnahme mit früheren Arbeitgebern oder Referenzpersonen sollte vorab mit dem Bewerber abgestimmt werden. Die bloße Nennung einer früheren Station im Lebenslauf rechtfertigt keine Nachfrage. Werden Daten bei Dritten erhoben, sind Rechtsgrundlage und Informationspflichten nach Art. 14 DSGVO zu prüfen. Bonitätsauskünfte sind kein Recruiting-Standard.
Berufsbezogene, für die Stelle relevante Informationen aus Business-Netzwerken wie LinkedIn oder Xing können unter Voraussetzungen berücksichtigt werden. Private soziale Netzwerke und private Inhalte sind grundsätzlich tabu. Für jede Recherche sind Umfang, Zweck, Quelle und Erforderlichkeit zu prüfen.
Beim Active Sourcing spricht das Unternehmen Kandidaten selbst an. Dafür ist eine Rechtsgrundlage nötig, in Betracht kommt nach dokumentierter Interessenabwägung Art. 6 Abs. 1 lit. f DSGVO. Da die Daten nicht direkt bei der Person erhoben werden, gilt Art. 14 DSGVO. Die Information erfolgt bei der ersten Kontaktaufnahme, spätestens innerhalb der Grenzen des Art. 14 Abs. 3 DSGVO. Dazu gehören Datenkategorien und Quellen der Angaben.
Auch im Vorstellungsgespräch dürfen Arbeitgeber nur Daten erheben, die für die Beurteilung der Eignung erforderlich sind. Gesprächsnotizen sollten sachlich und stellenbezogen sein. Private Wertungen und Informationen über Familienplanung gehören nicht in die Bewerberakte.
Nicht routinemäßig. Eine Audio- oder Videoaufzeichnung ist keine notwendige Nebenfolge des Gesprächs und braucht einen eigenen Zweck und eine Rechtsgrundlage. Dasselbe gilt für automatische Transkripte und KI-Zusammenfassungen. Videointerviews sind nicht automatisch problematischer als Gespräche vor Ort, das Tool muss aber datenschutzkonform konfiguriert sein. Aufzeichnungen sollten nie als Standardfunktion aktiv sein.
Viele KMU nutzen Bewerbermanagement-Systeme statt Sammelpostfächern. Das kann Datenschutz und Löschroutinen verbessern. Verarbeitet der Anbieter die Daten nur nach Weisung des Arbeitgebers, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Bei Zugriffen aus Staaten außerhalb des EWR sind zusätzlich die Vorgaben des Kapitels V DSGVO zu prüfen. Der Recruiting-Prozess gehört zudem ins Verzeichnis der Verarbeitungstätigkeiten.
Zugriff erhalten nur Personen, die ihn für die konkrete Auswahl benötigen: regelmäßig HR, zuständige Führungskräfte und gegebenenfalls der Betriebsrat. Eine Weiterleitung an das gesamte Team ist nicht erforderlich. Nach Art. 32 DSGVO sind dem Risiko angemessene Schutzmaßnahmen nötig, etwa rollenbasierte Zugriffsrechte, Mehrfaktor-Authentisierung, verschlüsselte Übermittlung und verbindliche Löschroutinen. Unternehmen sollten zusätzlich einen sicheren Upload-Kanal anbieten. Eine Datenschutzschulung für HR sorgt dafür, dass alle Beteiligten diese Regeln im Alltag kennen.
Nicht allein.
KI-Verordnung:
Vor dem Einsatz algorithmischer Auswahlverfahren:
Bewerber können ihre Rechte aus Art. 15 bis 22 DSGVO ausüben. Besonders häufig sind Auskunftsanträge nach einer Absage. Der Arbeitgeber muss grundsätzlich innerhalb eines Monats antworten. Bei komplexen Anträgen kann die Frist nach Art. 12 Abs. 3 DSGVO um bis zu zwei weitere Monate verlängert werden. Die Verlängerung ist rechtzeitig mitzuteilen und zu begründen.
Das Auskunftsrecht nach Art. 15 DSGVO kann auch personenbezogene Bewertungen und Gesprächsnotizen erfassen. Es bedeutet aber nicht, dass sämtliche internen Dokumente im Original offengelegt werden müssen. Rechte anderer Personen sind bei Kopien zu berücksichtigen (Art. 15 Abs. 4 DSGVO). Klare Zuständigkeiten sorgen für eine fristgerechte Bearbeitung.
Unrichtige Angaben sind nach Art. 16 DSGVO zu berichtigen. Löschwünsche nach Art. 17 DSGVO sind unter Berücksichtigung notwendiger Anspruchssicherung zu prüfen, gegebenenfalls kommt zunächst eine Einschränkung nach Art. 18 DSGVO in Betracht. Bei Verarbeitungen auf Grundlage berechtigter Interessen kann ein Widerspruch nach Art. 21 DSGVO relevant sein.
Die folgende Checkliste fasst die wichtigsten Punkte für den Datenschutz bei Bewerbungen zusammen:
Setzen Sie die DSGVO-Anforderungen rechtssicher um – mit der strukturierten Vorlage nach Art. 28 DSGVO inkl. allen Pflichtbestandteilen und praxiserprobten Formulierungen für typische Verarbeitungstätigkeiten, kostenlos als Download.
Häufig bis zu sechs Monate ab Absage, um mögliche Ansprüche nach dem AGG abwehren zu können. Diese Aufbewahrungsfrist ist nicht pauschal gesetzlich festgelegt, sondern muss im Einzelfall begründet und im Löschkonzept dokumentiert werden. Danach sind die Daten zu löschen, sofern kein anderer zulässiger Zweck fortbesteht.
Das EuGH-Urteil C-34/21 betraf unmittelbar eine hessische Regelung, stellt aber Anforderungen an nationale Beschäftigtendatenschutzvorschriften. Für erforderliche Verarbeitungen im Bewerbungsverfahren kommt regelmäßig Art. 6 Abs. 1 lit. b DSGVO in Betracht. Weitere Zwecke wie Talentpool oder Active Sourcing sind gesondert zu beurteilen.
Ja. Art. 13 DSGVO gilt für jede Erhebung personenbezogener Daten, unabhängig davon, ob eine Stelle ausgeschrieben ist. Am einfachsten erfolgt die Information über die Eingangsbestätigung mit einem Link auf die Bewerber-Datenschutzhinweise.
Nur mit freiwilliger, dokumentierter Einwilligung des Bewerbers. Sie sollte eine feste Laufzeit haben und jederzeit widerrufbar sein. Ohne Einwilligung werden die Unterlagen nach Ablauf der begründeten Aufbewahrungsfrist gelöscht.
Nicht ohne Weiteres. Eine Referenzauskunft erfordert einen konkreten Bezug zur Stelle und eine tragfähige Rechtsgrundlage. Im Regelfall sollten Bewerber zuvor einbezogen werden. Bei Daten von Dritten ist außerdem Art. 14 DSGVO zu beachten.
Bewerberdaten sind zu löschen, sobald der Zweck entfällt und keine begründete Aufbewahrung mehr nötig ist. Das ist bei Rücknahme der Bewerbung sofort der Fall, bei einer Absage nach Ablauf der dokumentierten Aufbewahrungsfrist. Bei einer Einstellung werden nur erforderliche Unterlagen in die Personalakte übernommen.
Eine ausschließlich automatisierte Ablehnung mit erheblicher Wirkung unterliegt Art. 22 DSGVO. Eine echte menschliche Prüfung ist der datenschutzfreundlichere Weg. Für Hochrisiko-KI im Recruiting nach Anhang III der KI-Verordnung gelten die zentralen Pflichten grundsätzlich ab dem 02.12.2027.
Verstöße gegen die Informationspflichten können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern belegt werden. Hinzu kommen Auskunftsersuchen und mögliche Schadensersatzforderungen nach Art. 82 DSGVO.
Nutzen Sie unsere Schulung und lernen Sie, wie Sie in Ihrem HR-Bereich Mitarbeiterdaten sicher und DSGVO-konform verwalten.
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen