Bewerbungen kommen per E-Mail, über Kontaktformulare oder direkt über die Karriereseite herein. Schnell sammeln sich Lebensläufe, Anschreiben und Zeugnisse auf dem Server. Was viele kleine Unternehmen dabei vergessen: Bewerberdaten zu speichern ist kein Selbstläufer. Die DSGVO macht klare Vorgaben, wie lange diese Daten aufbewahrt werden dürfen und wann sie gelöscht werden müssen. Wer das ignoriert, riskiert Bußgelder und Vertrauensverlust.
Dieser Artikel zeigt Ihnen, was beim Datenschutz im Recruiting gilt, welche Fristen Sie kennen müssen und wie Sie Ihre Prozesse rechtssicher gestalten, ohne dafür eine eigene Rechtsabteilung zu brauchen.
Gesetzliche Grundlagen für die Speicherung von Bewerberdaten
Die rechtliche Basis ist klar: Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) regeln gemeinsam, wie Unternehmen mit Bewerberdaten umgehen dürfen. Bewerberdaten gelten als personenbezogene Daten im Sinne der DSGVO. Das bedeutet: Sie dürfen nur für einen festgelegten Zweck erhoben, verarbeitet und gespeichert werden.
Der Zweck ist beim Recruiting eindeutig: die Prüfung, ob jemand für eine offene Stelle geeignet ist. Sobald dieser Zweck entfällt, also die Stelle besetzt ist oder die Absage verschickt wurde, verliert die weitere Speicherung ihre Rechtsgrundlage. Wer Bewerberdaten ohne Grund vorhält, verstößt gegen den Grundsatz der Datensparsamkeit.
Zusätzlich greift § 26 BDSG, der speziell den Beschäftigtendatenschutz regelt und auch auf Bewerber·innen angewendet wird. Er erlaubt die Verarbeitung von Bewerberdaten, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist.
Konkrete Aufbewahrungsfristen im Überblick
Eine gesetzlich festgelegte Aufbewahrungsfrist für Bewerberdaten gibt es nicht. Was es aber gibt, ist eine anerkannte Praxis, die sich an anderen Fristen orientiert. Die wichtigste Orientierungsgröße ist das Allgemeine Gleichbehandlungsgesetz (AGG).
Bewerber·innen haben nach einer Absage zwei Monate Zeit, Klage wegen Diskriminierung einzureichen. Deshalb empfiehlt es sich, Bewerberdaten für mindestens zwei bis drei Monate nach Abschluss des Bewerbungsverfahrens aufzubewahren. So können Sie sich im Streitfall rechtlich absichern.
- Aktive Bewerbungsphase: Speicherung ist zulässig, solange das Verfahren läuft
- Nach der Absage: Aufbewahrung für zwei bis drei Monate empfohlen
- Nach Ablauf der Frist: Daten müssen vollständig gelöscht werden
- Eingestellte Mitarbeitende: Andere Fristen gelten, da das Arbeitsverhältnis beginnt
Wichtig: Diese Fristen gelten unabhängig davon, über welchen Kanal die Bewerbung eingegangen ist.
Besonderheiten bei Bewerbungen über die eigene Website
Wer Bewerbungen über die eigene Karriereseite oder ein Kontaktformular entgegennimmt, trägt eine besondere Verantwortung. Denn hier erheben Sie aktiv Daten. Das verpflichtet Sie zu zusätzlichen Maßnahmen.
Erstens brauchen Sie eine Datenschutzerklärung, die speziell auf den Bewerbungsprozess eingeht. Bewerber·innen müssen vor der Übermittlung ihrer Daten informiert werden, zu welchem Zweck die Daten gespeichert werden, wie lange sie aufbewahrt werden und wer Zugriff hat.
Zweitens müssen technische Schutzmaßnahmen vorhanden sein. Das Bewerbungsformular sollte per SSL verschlüsselt sein, Zugriffsrechte auf die Daten müssen auf das notwendige Minimum beschränkt werden und Daten dürfen nicht ungesichert in E-Mail-Postfächern lagern.
Drittens sollten Sie prüfen, ob Ihr Hosting-Anbieter oder Ihr Bewerbermanagementsystem eine Auftragsverarbeitungsvereinbarung (AVV) anbietet. Ohne diesen Vertrag kann die Nutzung externer Tools bereits ein Datenschutzverstoß sein.
Einwilligung und Talentpool: Daten länger nutzen
Manchmal passt eine Bewerberin oder ein Bewerber nicht zur aktuellen Stelle, könnte aber für eine zukünftige Rolle interessant sein. In diesem Fall ist es möglich, die Daten länger zu speichern. Voraussetzung ist eine ausdrückliche, freiwillige Einwilligung der betreffenden Person. Wer gezielt nach geeigneten Kandidat·innen sucht, kann ergänzend auf Passive Sourcing setzen, um auch nicht aktiv suchende Talente datenschutzkonform anzusprechen.
Diese Einwilligung muss aktiv erteilt werden, zum Beispiel über eine Checkbox im Bewerbungsformular. Ein vorab angekreuztes Feld reicht nicht aus. Die Person muss klar verstehen, wofür sie ihre Einwilligung gibt, wie lange die Daten gespeichert werden und dass sie die Einwilligung jederzeit widerrufen kann.
Ein gut gepflegter Talentpool kann für kleine Unternehmen ein echter Vorteil sein. Statt bei jeder neuen Stelle von vorne zu beginnen, greifen Sie auf bereits geprüfte Talente zurück. Aber: Ohne dokumentierte Einwilligung ist der Talentpool rechtlich ein Risiko. Holen Sie die Zustimmung schriftlich ein und legen Sie eine maximale Speicherdauer fest, zum Beispiel zwölf Monate.
Typische Fehler kleiner Unternehmen beim Datenschutz im Recruiting
Gerade in kleineren Betrieben passieren beim Umgang mit Bewerberdaten immer wieder die gleichen Fehler. Nicht aus böser Absicht, sondern weil das Thema Datenschutz im Recruiting oft untergeht, wenn eine Person gleichzeitig für HR, Buchhaltung und Officemanagement zuständig ist.
- Bewerbungen liegen jahrelang im E-Mail-Postfach: Ohne aktives Löschmanagement sammeln sich Daten an, die längst hätten entfernt werden müssen.
- Keine Datenschutzhinweise im Bewerbungsformular: Fehlen die Pflichtinformationen, ist die Datenerhebung von Anfang an rechtswidrig.
- Weitergabe von Bewerberdaten ohne Einwilligung: Lebensläufe per E-Mail an Fachabteilungen weiterzuleiten, ist nur erlaubt, wenn diese Weitergabe für das Verfahren notwendig ist.
- Kein Löschprozess definiert: Viele Unternehmen wissen nicht, wer wann für die Löschung verantwortlich ist.
- Talentpool ohne Einwilligung: Daten einfach „für später” aufzubewahren, ist ohne ausdrückliche Zustimmung nicht zulässig.
Diese Fehler lassen sich mit ein bisschen Struktur vermeiden. Es braucht keine großen Systeme, sondern klare Abläufe.
Datenschutzkonforme Prozesse einfach umsetzen
Datenschutz im Recruiting muss kein bürokratisches Monster sein. Mit ein paar konkreten Maßnahmen bringen Sie Ihre Prozesse schnell auf einen sicheren Stand.
Starten Sie mit einer einfachen Checkliste:
- Datenschutzerklärung prüfen: Enthält Ihre Website einen Abschnitt zum Bewerbungsverfahren? Wenn nicht, ergänzen Sie ihn.
- Löschfristen festlegen: Definieren Sie schriftlich, wann Bewerberdaten gelöscht werden, und benennen Sie eine verantwortliche Person.
- Einwilligungstext für den Talentpool erstellen: Nutzen Sie eine klare, einfache Formulierung im Bewerbungsformular.
- Zugriffsrechte einschränken: Nur die Personen, die am Auswahlprozess beteiligt sind, sollten Zugriff auf Bewerberdaten haben.
- AVV mit Tools abschließen: Nutzen Sie ein digitales Bewerbermanagementsystem, prüfen Sie, ob ein Auftragsverarbeitungsvertrag vorliegt.
Ein digitales Bewerbermanagementsystem hilft dabei, diese Prozesse zu automatisieren. Wer zum Beispiel XING Stellenanzeigen nutzt, profitiert von einer integrierten Recruiting-Infrastruktur, die strukturiertes Bewerbermanagement von Anfang an mitdenkt. Moderne Stellenanzeigen-Funktionen unterstützen dabei, Bewerbungsprozesse datenschutzkonform und effizient zu gestalten. So sparen Sie Zeit und behalten gleichzeitig den Überblick über Ihre Datenschutzpflichten.
Datenschutz ist kein einmaliges Projekt, sondern ein laufender Prozess. Überprüfen Sie Ihre Abläufe mindestens einmal im Jahr, besonders wenn sich Gesetze ändern oder neue Tools im Einsatz sind. Wer das Thema ernst nimmt, schützt nicht nur sich selbst, sondern signalisiert auch Bewerber·innen: Hier wird sorgfältig gearbeitet. Das ist ein Vertrauenssignal, das gerade für kleine Unternehmen im Wettbewerb um Talente einen Unterschied machen kann.
