Wie formuliert man den Datenschutzhinweis auf der Karriereseite rechtskonform?

Stellen Sie sich vor, ein Bewerber reicht seine Unterlagen über Ihre Karriereseite ein und fragt kurz darauf: „Was passiert eigentlich mit meinen Daten?” Eine berechtigte Frage. Und wenn Ihre Antwort darauf fehlt oder lückenhaft ist, drohen nicht nur Abmahnungen, sondern auch ein Vertrauensverlust, den Sie sich im Wettbewerb um Talente schlicht nicht leisten können. Der Datenschutzhinweis auf der Karriereseite ist kein bürokratisches Beiwerk, sondern ein rechtliches Muss und gleichzeitig ein Signal an Bewerber·innen: Hier gehen wir sorgfältig mit Ihren Daten um.

Gerade kleine Unternehmen unterschätzen den Aufwand, der hinter einem rechtskonformen Recruiting-Prozess steckt. Die DSGVO gilt seit 2018 und ihre Anforderungen an den Datenschutz bei Bewerbungen sind klar. Trotzdem finden sich auf vielen Karriereseiten immer noch veraltete oder unvollständige Datenschutzerklärungen. Dieser Artikel zeigt, was hineingehört, welche Fehler häufig passieren und wie Sie Ihre Karriereseite schnell auf den richtigen Stand bringen.

Pflichtangaben im Datenschutzhinweis für Bewerber

Ein Datenschutzhinweis auf der Karriereseite muss bestimmte Mindestinhalte enthalten, die die DSGVO in den Artikeln 13 und 14 vorschreibt. Wer diese Angaben weglässt, handelt nicht nur fahrlässig, sondern riskiert Bußgelder und Beschwerden bei der Aufsichtsbehörde.

Folgende Informationen gehören in jeden Datenschutzhinweis für Bewerber·innen:

• Name und Kontaktdaten des Verantwortlichen: Also Ihr Unternehmen mit vollständiger Adresse und Erreichbarkeit.
• Kontaktdaten des Datenschutzbeauftragten: Sofern Sie einen benannt haben oder benennen müssen.
• Zweck der Datenverarbeitung: Konkret: die Durchführung des Bewerbungsverfahrens.
• Rechtsgrundlage: Zum Beispiel Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) oder § 26 BDSG.
• Empfänger oder Kategorien von Empfängern: Zum Beispiel externe Dienstleister oder Recruiting-Plattformen.
• Speicherdauer: Wie lange werden die Bewerbungsunterlagen aufbewahrt?
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.
• Beschwerderecht: Hinweis auf die zuständige Datenschutz-Aufsichtsbehörde.

Diese Angaben müssen verständlich, leicht zugänglich und in klarer Sprache formuliert sein. Ein Link im Footer reicht, sofern er eindeutig als „Datenschutz für Bewerber·innen” oder ähnlich gekennzeichnet ist und nicht in der allgemeinen Website-Datenschutzerklärung untergeht.

Rechtsgrundlagen der Bewerberdatenverarbeitung

Die Verarbeitung von Bewerberdaten braucht immer eine rechtliche Basis. Ohne diese Grundlage ist jede Verarbeitung unzulässig, egal wie gut gemeint sie ist.

Die wichtigsten Rechtsgrundlagen im Überblick:

• § 26 BDSG (Bundesdatenschutzgesetz): Die zentrale Norm für das Beschäftigungsverhältnis in Deutschland. Sie erlaubt die Verarbeitung personenbezogener Daten, wenn diese für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Das gilt auch für die Bewerbungsphase.
• Art. 6 Abs. 1 lit. b DSGVO: Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person. Bewerbungen sind vorvertragliche Maßnahmen.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Relevant, wenn Sie Daten über den eigentlichen Zweck hinaus verarbeiten möchten, etwa für einen Talent-Pool. Hier brauchen Sie eine freiwillige, informierte und dokumentierte Einwilligung.

Wichtig: Die Einwilligung ist kein Allheilmittel. Sie muss wirklich freiwillig sein. Im Bewerbungskontext ist Freiwilligkeit kritisch zu prüfen, weil ein Machtgefälle zwischen Bewerber·in und Arbeitgeber besteht. Nutzen Sie die Einwilligung daher nur dort, wo sie wirklich passt, und nicht als Standardbegründung.

Speicherdauer und Löschfristen korrekt kommunizieren

Wie lange dürfen und müssen Sie Bewerbungsunterlagen aufbewahren? Diese Frage ist für den Datenschutz bei Bewerbungen zentral und in der Praxis oft unklar geregelt.

Als Faustregel gilt: Nach Abschluss des Bewerbungsverfahrens dürfen die Daten in der Regel noch bis zu sechs Monate gespeichert bleiben. Dieser Zeitraum orientiert sich an der Frist für Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). So können Sie sich gegen mögliche Diskriminierungsvorwürfe absichern.

Was Sie im Datenschutzhinweis konkret angeben sollten:

• Den genauen Zeitraum oder zumindest die Kriterien, nach denen die Speicherdauer festgelegt wird.
• Was danach passiert: Werden die Daten gelöscht oder anonymisiert?
• Ob und unter welchen Bedingungen eine längere Speicherung möglich ist, zum Beispiel bei Aufnahme in einen Talent-Pool.

Vage Formulierungen wie „Wir speichern Ihre Daten so lange wie nötig” genügen nicht. Bewerber·innen haben ein Recht auf konkrete Informationen.

Talent-Pool und Active Sourcing datenschutzkonform gestalten

Viele Unternehmen möchten vielversprechende Talente auch dann im Blick behalten, wenn aktuell keine passende Stelle frei ist. Das ist sinnvoll, aber datenschutzrechtlich heikel, wenn es ohne die richtige Grundlage passiert.

Talent-Pool: Einwilligung ist Pflicht

Wer abgelehnte Bewerber·innen in einem Talent-Pool speichern möchte, braucht deren ausdrückliche Einwilligung. Diese muss freiwillig, informiert und spezifisch sein. Das bedeutet: Sie müssen erklären, wofür die Daten genutzt werden, wie lange sie gespeichert bleiben und wie die Einwilligung widerrufen werden kann. Am besten holen Sie die Einwilligung am Ende des Bewerbungsprozesses ein, zum Beispiel über eine separate Checkbox mit erklärendem Text.

Active Sourcing: Transparenz von Anfang an

Beim Active Sourcing sprechen Sie Talente aktiv an, die sich nicht beworben haben. Auch hier greift die DSGVO. Wenn Sie Profile auf Plattformen wie XING recherchieren und Kontakt aufnehmen, müssen Sie die betroffene Person spätestens bei der ersten Kontaktaufnahme über die Verarbeitung ihrer Daten informieren. Das kann in der Ansprache selbst geschehen, zum Beispiel mit einem kurzen Hinweis auf Ihre Datenschutzerklärung.

Transparenz ist hier keine Formalität. Sie zeigt Professionalität und schafft Vertrauen, gerade bei Talenten, die nicht aktiv auf Jobsuche sind.

Häufige Fehler kleiner Unternehmen beim Datenschutzhinweis

Kleine Unternehmen machen beim Thema DSGVO auf der Karriereseite oft dieselben Fehler. Nicht aus böser Absicht, sondern weil das Thema komplex ist und die Ressourcen fehlen, um es gründlich anzugehen.

Diese Fehler sehen wir besonders häufig:

• Kein separater Datenschutzhinweis für Bewerber·innen: Die allgemeine Website-Datenschutzerklärung deckt die spezifischen Anforderungen des Bewerbungsverfahrens nicht ab.
• Fehlende oder falsche Rechtsgrundlage: Viele Hinweise nennen keine oder die falsche Rechtsgrundlage für die Bewerberdatenverarbeitung.
• Unkonkrete Speicherfristen: „Wir löschen Ihre Daten, wenn sie nicht mehr benötigt werden” ist keine ausreichende Angabe.
• Kein Hinweis auf Betroffenenrechte: Bewerber·innen wissen oft nicht, dass sie Auskunft verlangen oder der Verarbeitung widersprechen können.
• Veraltete Datenschutzerklärungen: Einmal erstellt und nie wieder angefasst. Dabei ändern sich Prozesse, Tools und rechtliche Anforderungen.
• Datenschutzhinweis nicht auffindbar: Ein Link, der im Footer versteckt ist und denselben Text wie die Website-Datenschutzerklärung zeigt, erfüllt die Informationspflicht nicht.

Die gute Nachricht: Diese Fehler lassen sich mit überschaubarem Aufwand beheben. Ein klarer Blick auf die eigenen Prozesse und eine strukturierte Überarbeitung des Datenschutzhinweises reichen oft aus.

Praktische Checkliste für einen rechtskonformen Datenschutzhinweis

Mit dieser Checkliste können Sie Ihren bestehenden Datenschutzhinweis schnell prüfen oder einen neuen strukturiert aufsetzen. Haken Sie jeden Punkt ab, bevor Sie Ihre Karriereseite live schalten oder aktualisieren.

1. Verantwortlicher benannt: Name, Adresse und Kontakt des Unternehmens sind vollständig angegeben.
2. Datenschutzbeauftragte·r genannt: Falls vorhanden oder gesetzlich vorgeschrieben.
3. Zweck klar formuliert: Durchführung des Bewerbungsverfahrens und ggf. weitere Zwecke wie Talent-Pool.
4. Rechtsgrundlage angegeben: § 26 BDSG und/oder Art. 6 DSGVO, je nach Verarbeitungszweck.
5. Empfänger aufgelistet: Externe Dienstleister, Recruiting-Plattformen oder andere Stellen, an die Daten weitergegeben werden.
6. Speicherdauer konkret benannt: Zum Beispiel sechs Monate nach Abschluss des Verfahrens.
7. Betroffenenrechte vollständig: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit.
8. Beschwerderecht erwähnt: Hinweis auf die zuständige Datenschutz-Aufsichtsbehörde.
9. Talent-Pool geregelt: Falls zutreffend, Einwilligungstext und Widerrufsmöglichkeit vorhanden.
10. Hinweis gut auffindbar: Direkt auf der Karriereseite oder als deutlich gekennzeichneter Link.
11. Sprache verständlich: Kein Juristendeutsch, klare und direkte Formulierungen.
12. Regelmäßige Aktualisierung geplant: Mindestens einmal jährlich prüfen, ob der Hinweis noch aktuell ist.

Ein rechtssicherer Datenschutzhinweis ist keine einmalige Aufgabe. Er gehört zum laufenden Betrieb Ihrer Karriereseite. Wer seine Recruiting-Prozesse modernisiert, etwa durch den Einsatz von Plattformen mit integriertem Bewerbermanagement, sollte dabei immer auch prüfen, ob der Datenschutzhinweis die neuen Prozesse und Datenflüsse korrekt abbildet. So bleiben Sie nicht nur rechtskonform, sondern zeigen Bewerber·innen, dass Sie professionell und vertrauenswürdig mit ihren Daten umgehen. Ein starkes Signal in Zeiten, in denen Talente genau hinschauen, wo sie sich bewerben.