Stellen Sie sich vor, Sie haben gerade eine vielversprechende Bewerbung erhalten. Doch dann die unangenehme Frage: Haben Sie bei der Datenerhebung alles richtig gemacht? Das DSGVO Bewerbungsformular auf Ihrer Website ist rechtlich gesehen ein heikles Pflaster. Gerade für kleinere Unternehmen ohne eigene Rechtsabteilung kann hier schnell etwas schiefgehen. Die gute Nachricht: Mit dem richtigen Wissen lässt sich Datenschutz im Bewerbungsprozess klar und ohne großen Aufwand umsetzen.
Dieser Artikel zeigt Ihnen, welche DSGVO Anforderungen für Ihre Website konkret gelten, wo typische Fehler passieren und wie Sie Ihr Bewerbungsformular sicher und rechtskonform gestalten.
Welche Daten dürfen im Bewerbungsformular abgefragt werden?
Beim Datenschutz für Bewerbungen gilt ein klares Prinzip: Nur das abfragen, was für die Stellenbesetzung wirklich notwendig ist. Die DSGVO spricht hier vom Grundsatz der Datensparsamkeit. Das bedeutet konkret, dass Sie nur Daten erheben dürfen, die einen direkten Bezug zur ausgeschriebenen Stelle haben.
Folgende Angaben sind in einem Bewerbungsformular in der Regel zulässig:
- Name und Kontaktdaten (E-Mail-Adresse, Telefonnummer)
- Lebenslauf und beruflicher Werdegang
- Ausbildung und Qualifikationen
- Motivationsschreiben oder Anschreiben
- Gehaltsvorstellung und frühestmöglicher Eintrittstermin
Was Sie hingegen nicht abfragen dürfen, sind sogenannte besondere Kategorien personenbezogener Daten. Dazu gehören der Gesundheitszustand, die Religionszugehörigkeit, politische Überzeugungen oder Informationen zur Familienplanung. Auch Fragen nach Schwangerschaft oder Behinderungen sind grundsätzlich unzulässig, sofern sie keinen nachweisbaren Bezug zur Tätigkeit haben.
Ein praktischer Tipp: Gehen Sie Ihr Formular Feld für Feld durch und fragen Sie sich bei jedem Punkt, warum Sie diese Information benötigen. Wenn Sie keine klare Antwort haben, streichen Sie das Feld.
Datenschutzerklärung und Einwilligung richtig einbinden
Jedes Bewerbungsformular auf Ihrer Website braucht eine verknüpfte Datenschutzerklärung. Das ist keine optionale Empfehlung, sondern eine klare DSGVO Anforderung für Ihre Website. Bewerbende müssen vor dem Absenden ihrer Unterlagen wissen, wie ihre Daten verwendet, gespeichert und wann sie wieder gelöscht werden.
Die Datenschutzerklärung muss dabei folgende Punkte abdecken:
- Wer ist verantwortlich für die Datenverarbeitung?
- Welche Daten werden zu welchem Zweck erhoben?
- Wie lange werden die Daten gespeichert?
- Welche Rechte haben die Bewerbenden (Auskunft, Löschung, Widerspruch)?
- An wen werden die Daten weitergegeben, zum Beispiel an externe Dienstleister?
Ein häufiger Streitpunkt ist die Frage der Einwilligung. Für die eigentliche Bewerbung brauchen Sie in der Regel keine aktive Einwilligung per Checkbox, weil die Verarbeitung auf Basis eines berechtigten Interesses im Rahmen eines vorvertraglichen Verhältnisses erfolgt. Anders sieht es aus, wenn Sie die Bewerberdaten für einen Talent-Pool speichern möchten. Dann ist eine ausdrückliche, freiwillige Einwilligung Pflicht. Diese muss klar formuliert, separat eingeholt und jederzeit widerrufbar sein.
Platzieren Sie den Hinweis auf die Datenschutzerklärung direkt beim Absende-Button, gut sichtbar und verlinkt. Versteckte Hinweise im Footer reichen hier nicht aus.
Technische und organisatorische Maßnahmen für sichere Formulare
Gute Datenschutz-Praxis im Bewerbungsprozess endet nicht bei den rechtlichen Texten. Auch die technische Seite Ihres Formulars muss stimmen. Die DSGVO verlangt sogenannte technische und organisatorische Maßnahmen, kurz TOMs, um personenbezogene Daten zu schützen.
Technische Mindestanforderungen
Ihr Bewerbungsformular sollte ausschließlich über eine verschlüsselte HTTPS-Verbindung erreichbar sein. Ohne SSL-Zertifikat übertragen Bewerbende ihre Daten im Klartext, was ein erhebliches Sicherheitsrisiko darstellt. Prüfen Sie außerdem, ob Ihr Formular-Plugin oder Ihre Webentwicklung Daten serverseitig sicher speichert und ob Zugriffe protokolliert werden.
Weitere wichtige Punkte auf der technischen Seite:
- Zugriff auf Bewerberdaten nur für berechtigte Personen (Rollen- und Rechteverwaltung)
- Regelmäßige Sicherheitsupdates für verwendete Software und Plugins
- Datensparsamkeit auch beim Speichern: Keine unnötigen Kopien oder E-Mail-Weiterleitungen an private Postfächer
- Verarbeitungsverzeichnis führen, in dem das Bewerbungsformular als Verarbeitungstätigkeit eingetragen ist
Organisatorische Maßnahmen
Auf der organisatorischen Seite sollten Sie intern klären, wer Zugriff auf eingehende Bewerbungen hat. Wenn externe Dienstleister eingebunden sind, zum Beispiel ein Webhosting-Anbieter oder ein Bewerbermanagement-Tool, brauchen Sie mit diesen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wer zusätzlich auf Passive Sourcing setzt, um geeignete Kandidaten aktiv anzusprechen, sollte auch dabei sicherstellen, dass alle eingesetzten Plattformen und Tools datenschutzkonform betrieben werden.
Aufbewahrungsfristen und Löschpflichten für Bewerberdaten
Bewerberdaten Datenschutz bedeutet auch: Daten nicht länger aufbewahren als nötig. Nach Abschluss des Bewerbungsprozesses, also nach einer Zu- oder Absage, dürfen Sie die Unterlagen nicht unbegrenzt speichern.
Als Faustregel gilt in Deutschland eine Aufbewahrungsfrist von sechs Monaten nach Abschluss des Verfahrens. Diese Frist orientiert sich an der Verjährungsfrist für Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). So können Sie sich im Fall einer Diskriminierungsklage noch verteidigen, ohne die Daten länger als nötig aufzubewahren.
Für Bewerbende, die Sie in einen Talent-Pool aufnehmen möchten, gelten andere Regeln. Hier brauchen Sie eine ausdrückliche Einwilligung und sollten die Daten spätestens nach ein bis zwei Jahren erneut bestätigen lassen oder löschen. Richten Sie am besten einen festen Prozess ein, der Sie regelmäßig an fällige Löschungen erinnert. Das kann eine einfache Kalender-Erinnerung sein oder ein automatisierter Prozess im Bewerbermanagement-System.
Typische DSGVO-Fehler bei Bewerbungsformularen vermeiden
Viele kleine Unternehmen machen beim DSGVO Recruiting dieselben Fehler. Nicht aus böser Absicht, sondern weil die Zeit fehlt, sich tief in die Materie einzuarbeiten. Hier sind die häufigsten Stolperfallen und wie Sie sie umgehen:
- Kein Hinweis auf die Datenschutzerklärung beim Formular: Der Link zur Datenschutzerklärung muss direkt am Formular sichtbar sein, nicht nur irgendwo auf der Website.
- Bewerbungen landen in privaten E-Mail-Postfächern: Wenn Bewerbungen an persönliche Adressen weitergeleitet werden, verlieren Sie die Kontrolle über die Daten. Nutzen Sie eine dedizierte, gesicherte Adresse oder ein Bewerbermanagement-Tool.
- Kein Auftragsverarbeitungsvertrag mit Dienstleistern: Wer ein externes Tool oder einen Hosting-Anbieter nutzt, muss diesen Vertrag zwingend abschließen.
- Zu viele Pflichtfelder: Wenn Sie Felder wie Geburtsdatum oder Foto als Pflichtangabe setzen, verstoßen Sie gegen den Grundsatz der Datensparsamkeit.
- Fehlende Löschprozesse: Bewerberdaten, die jahrelang auf einem Server schlummern, sind ein Risiko. Ohne definierten Löschprozess passiert hier schnell nichts.
Der einfachste Weg, diese Fehler zu vermeiden: Legen Sie intern fest, wer für das Thema Datenschutz im Recruiting zuständig ist. Selbst in kleinen Teams reicht eine Person, die den Überblick behält und einmal im Jahr prüft, ob die Prozesse noch stimmen.
Wer seinen Recruiting-Prozess grundsätzlich modernisieren möchte, kann auch auf Plattformen setzen, die Bewerbermanagement und Datenschutz-Anforderungen bereits integriert haben. XING Stellenanzeigen bietet zum Beispiel eine integrierte Recruiting-Infrastruktur, die viele dieser organisatorischen Fragen von Haus aus mitdenkt und dabei auch die Funktionen moderner Stellenanzeigen mit datenschutzkonformen Abläufen verbindet. So bleibt mehr Zeit für das, was wirklich zählt: die richtigen Talente finden.
