Stellen Sie sich vor: Ein Bewerber füllt das Kontaktformular auf Ihrer Website aus, sendet seinen Lebenslauf und seine Kontaktdaten ab, und vertraut darauf, dass Sie sorgfältig mit seinen Informationen umgehen. Dieses Vertrauen ist keine Selbstverständlichkeit. Bewerberdaten schützen ist nicht nur eine rechtliche Pflicht, sondern auch ein echtes Signal an potenzielle Mitarbeitende: Hier wird man ernst genommen.
Gerade für kleine Unternehmen stellt der Datenschutz beim Recruiting oft eine unterschätzte Herausforderung dar. Wer kein eigenes Datenschutz-Team hat, tappt schnell in Fallen, die teuer werden können. Dieser Artikel zeigt, worauf es beim Datenschutz für Bewerbungen wirklich ankommt, und wie Sie Ihr Bewerbungsformular rechtssicher gestalten.
Welche Bewerberdaten als besonders sensibel gelten
Nicht alle Informationen, die Bewerber·innen übermitteln, sind gleich schutzbedürftig. Grundsätzlich gelten alle personenbezogenen Daten als schutzwürdig, also Name, Adresse, Telefonnummer und E-Mail-Adresse. Doch einige Kategorien verlangen besonders hohe Sorgfalt.
Die DSGVO stuft bestimmte Datenkategorien als besonders sensibel ein. Dazu gehören Angaben zur Gesundheit, zur ethnischen Herkunft, zur Religion, zu politischen Überzeugungen oder zur sexuellen Orientierung. Solche Informationen tauchen in Bewerbungsunterlagen manchmal indirekt auf, etwa durch Lücken im Lebenslauf, Fotos oder Angaben zu Schwerbehinderungen. Wer diese Daten erhebt, braucht eine klare Rechtsgrundlage dafür.
Auch Gehaltsvorstellungen, Referenzen und frühere Arbeitgeber fallen unter personenbezogene Bewerberdaten. Sie dürfen nur so lange gespeichert werden, wie es für den Zweck der Stellenbesetzung nötig ist.
Rechtliche Pflichten nach DSGVO beim Bewerbungseingang
Mit dem Eingang einer Bewerbung beginnen klare rechtliche Pflichten. Die DSGVO-Regelungen zu Bewerberdaten verlangen, dass Unternehmen Bewerber·innen transparent darüber informieren, welche Daten sie erheben, zu welchem Zweck und wie lange diese gespeichert werden.
Konkret bedeutet das: Ihr Bewerbungsformular braucht einen gut sichtbaren Link zur Datenschutzerklärung. Diese muss erklären, auf welcher Rechtsgrundlage Sie die Daten verarbeiten. Im Bewerbungskontext ist das in der Regel Art. 6 Abs. 1 lit. b DSGVO, also die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen.
Außerdem gilt eine klare Löschfrist. Nach Abschluss des Bewerbungsverfahrens sollten Daten abgelehnter Bewerber·innen in der Regel spätestens nach sechs Monaten gelöscht werden. Nur mit ausdrücklicher Einwilligung darf ein Talent länger im Pool bleiben.
- Datenschutzerklärung im Formular verlinken
- Zweck der Datenerhebung klar benennen
- Speicherdauer angeben
- Löschfristen einhalten und dokumentieren
- Einwilligung für Talent-Pools einholen
Technische Schutzmaßnahmen für Bewerbungsformulare
Ein Bewerbungsformular ohne technische Absicherung ist wie eine offene Akte im Eingangsbereich. Die gute Nachricht: Die wichtigsten Maßnahmen lassen sich auch ohne große IT-Abteilung umsetzen.
An erster Stelle steht die SSL-Verschlüsselung. Jede Website, die Formulardaten empfängt, muss über HTTPS laufen. Das erkennt man am Schloss-Symbol im Browser. Ohne diese Verschlüsselung werden Daten im Klartext übertragen, was ein erhebliches Sicherheitsrisiko darstellt.
Darüber hinaus sollten Bewerbungsformulare nur die Daten abfragen, die wirklich nötig sind. Dieses Prinzip nennt sich Datensparsamkeit und ist ein Kerngebot der DSGVO. Wer für eine Stelle als Buchhalter·in kein Foto braucht, sollte keines anfordern.
- SSL-Zertifikat: Pflicht für jede Website mit Formularen
- Zugriffsrechte einschränken: Nur berechtigte Personen dürfen Bewerbungen einsehen
- Sichere Dateiübertragung: Uploads nur in verschlüsselten Systemen speichern
- Keine unsicheren E-Mail-Weiterleitungen: Bewerbungen nicht unverschlüsselt per E-Mail weiterleiten
- Regelmäßige Software-Updates: Sicherheitslücken im CMS oder Formular-Plugin schließen
Organisatorische Maßnahmen im Umgang mit Bewerberdaten
Technik allein reicht nicht. Datenschutz im Recruiting funktioniert nur, wenn auch die internen Abläufe stimmen. Gerade in kleinen Unternehmen, wo eine Person viele Rollen übernimmt, ist das besonders wichtig.
Legen Sie intern fest, wer Zugang zu Bewerbungsunterlagen hat. Nicht jede Führungskraft muss alle Bewerbungen sehen. Ein klares Rollen- und Rechtekonzept verhindert, dass Daten unkontrolliert kursieren. Gleichzeitig sollten alle Beteiligten wissen, wie sie mit Bewerberdaten umzugehen haben.
Dokumentieren Sie außerdem, welche Daten Sie wann erhalten, wo sie gespeichert sind und wann sie gelöscht werden. Das klingt aufwendig, lässt sich aber mit einer einfachen Tabelle oder einem Verzeichnis der Verarbeitungstätigkeiten abbilden, das die DSGVO ohnehin vorschreibt.
Ein weiterer Punkt: Wenn Sie externe Dienstleister einbinden, zum Beispiel einen Website-Anbieter oder ein Bewerbermanagement-Tool, brauchen Sie einen Auftragsverarbeitungsvertrag. Ohne diesen Vertrag verstoßen Sie gegen die DSGVO, selbst wenn der Dienstleister technisch sicher ist.
Häufige Datenschutzfehler kleiner Unternehmen beim Recruiting
Viele Datenschutzverstöße im Recruiting passieren nicht aus böser Absicht, sondern aus Unwissenheit oder Zeitmangel. Hier sind die häufigsten Fehler, die kleine Unternehmen machen:
- Bewerbungen per normaler E-Mail empfangen: Unverschlüsselte E-Mails sind kein sicherer Übertragungsweg für sensible Daten.
- Keine Datenschutzerklärung im Formular: Fehlt der Hinweis, ist das Formular nicht DSGVO-konform.
- Daten zu lange speichern: Abgelehnte Bewerbungen liegen oft jahrelang auf dem Server, ohne dass jemand daran denkt, sie zu löschen.
- Bewerbungen an Dritte weitergeben: Wer Unterlagen ohne Einwilligung an Geschäftspartner oder Headhunter weiterleitet, verstößt gegen den Datenschutz.
- Kein Auftragsverarbeitungsvertrag mit dem Website-Anbieter: Dieser Vertrag wird häufig vergessen, ist aber Pflicht.
- Unnötige Datenabfrage: Geburtsdatum, Familienstand oder Foto sind für die meisten Stellen nicht relevant und sollten nicht abgefragt werden.
Diese Fehler lassen sich mit etwas Vorbereitung leicht vermeiden. Oft genügt eine einmalige Überprüfung der bestehenden Prozesse, um die größten Lücken zu schließen.
Digitale Recruiting-Plattformen als datenschutzkonforme Alternative
Wer den Aufwand rund um das Bewerbungsformular Datenschutz reduzieren möchte, findet in spezialisierten Recruiting-Plattformen eine praktische Lösung. Diese Plattformen übernehmen viele der technischen und organisatorischen Anforderungen bereits von Haus aus.
Professionelle Recruiting-Lösungen sind so konzipiert, dass sie DSGVO-konform arbeiten. Datenschutzerklärungen, sichere Datenübertragung, Zugriffskontrollen und Löschfristen sind bereits integriert. Das entlastet kleine Unternehmen erheblich, denn sie müssen diese Infrastruktur nicht selbst aufbauen und pflegen.
Mit XING Stellenanzeigen erhalten Unternehmen nicht nur eine reichweitenstarke Plattform mit über 21 Millionen Mitgliedern, sondern auch ein integriertes Bewerbermanagement, das datenschutzkonforme Prozesse von Anfang an mitdenkt. Die XING Sofort-Bewerbung ermöglicht eine einfache Candidate Journey, während die Datenverarbeitung auf einer sicheren, geprüften Infrastruktur läuft. Gerade für kleine Unternehmen, die keine eigene IT-Abteilung haben, ist das ein echter Vorteil.
Datenschutz beim Recruiting muss kein Hindernis sein. Mit den richtigen Tools und klaren internen Regeln schützen Sie die Daten Ihrer Bewerber·innen zuverlässig, bauen Vertrauen auf und positionieren sich als seriöser Arbeitgeber. Und das zahlt sich langfristig aus, nicht nur rechtlich, sondern auch bei der Gewinnung von Talenten.
