Datenschutz in der Bewerbung: Pflichten, Löschfrist und Talentpool

Jede Bewerbung ist ein kleines Datenpaket mit großem Inhalt: Lebenslauf, Zeugnisse, Foto, manchmal Gesundheitsangaben oder eine Schwerbehinderung. In vielen Unternehmen landet dieses Paket in einem geteilten Postfach, wird an drei Führungskräfte weitergeleitet und liegt nach der Absage noch Jahre im Archiv. Genau dort entstehen die meisten Datenschutzverstöße im Recruiting. Dieser Beitrag zeigt, was vom Eingang der Bewerbung bis zur Löschung gilt und welche Punkte Aufsichtsbehörden und abgelehnte Bewerber typischerweise aufgreifen.

Rechtsgrundlage: Art. 6 DSGVO statt § 26 BDSG

Lange galt § 26 Abs. 1 BDSG als die zentrale Norm für Beschäftigten- und Bewerberdaten. Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) ist diese Vorschrift nach überwiegender Auffassung nicht mehr anwendbar, weil sie im Wesentlichen nur die DSGVO wiederholt. In der Praxis stützen Arbeitgeber die Verarbeitung deshalb direkt auf die DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO für alles, was zur Entscheidung über die Einstellung nötig ist: Unterlagen sichten, Gespräche führen, Rückfragen stellen.
• Art. 6 Abs. 1 lit. c DSGVO, wenn ein Gesetz die Verarbeitung verlangt, zum Beispiel die Unterrichtung des Betriebsrats nach § 99 BetrVG.
• Art. 6 Abs. 1 lit. f DSGVO für das Aufbewahren nach der Absage, um sich gegen Ansprüche nach dem AGG verteidigen zu können.
• Art. 9 Abs. 2 lit. b DSGVO für besondere Kategorien wie Angaben zur Schwerbehinderung, soweit arbeitsrechtlich erforderlich.

Ein eigenes Beschäftigtendatengesetz ist angekündigt, ein neuer Entwurf liegt aber (Stand Oktober 2026) nicht vor. Mehr zum Gesamtbild finden Sie in unserem Beitrag zum Beschäftigtendatenschutz.

Die sechs Pflichten im Bewerbungsprozess

Wie lange dürfen Sie Bewerbungsunterlagen aufbewahren?

Die DSGVO nennt keine feste Zahl. Die übliche Frist von sechs Monaten nach der Absage ergibt sich aus dem Allgemeinen Gleichbehandlungsgesetz: Ein abgelehnter Bewerber muss einen Entschädigungsanspruch innerhalb von zwei Monaten nach Zugang der Absage schriftlich geltend machen (§ 15 Abs. 4 AGG) und danach innerhalb von drei Monaten klagen (§ 61b ArbGG). Rechnet man Postlauf und Zustellung hinzu, landen die meisten Unternehmen bei sechs Monaten. Ein Fristauslöser, den Sie dokumentieren sollten, ist das Datum der Absage.

Wichtig ist, was nach Ablauf passiert: Gelöscht werden muss überall, also im Bewerbermanagement-System, im Postfach der Personalabteilung, in weitergeleiteten E-Mails der Fachabteilung und auf ausgedruckten Unterlagen. Sicherungen dürfen im regulären Überschreibzyklus auslaufen. Läuft tatsächlich ein AGG-Verfahren, dürfen Sie die betroffenen Unterlagen bis zu dessen Abschluss behalten. Alle weiteren Fristen sammelt unser Aufbewahrungsfristen-Rechner.

Talentpool: nur mit Einwilligung

Viele Unternehmen möchten gute Bewerbungen für spätere Stellen behalten. Das ist mit der Begründung aus dem AGG nicht gedeckt, denn der Zweck des Verfahrens ist mit der Absage erledigt. Für einen Talentpool brauchen Sie eine Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO. Holen Sie sie freiwillig und getrennt vom Bewerbungsformular ein, nennen Sie eine konkrete Speicherdauer und weisen Sie auf das jederzeitige Widerrufsrecht hin. Ein vorausgefülltes Häkchen reicht nicht.

Recherche im Netz und Hintergrundprüfung

Ein Blick in berufliche Netzwerke wie LinkedIn oder XING ist bei vielen Stellen vertretbar, soweit es um beruflich relevante Informationen geht. Private Social-Media-Profile gezielt auszuwerten, geht in der Regel zu weit. Wenn Sie Daten aus anderen Quellen als vom Bewerber selbst erheben, müssen Sie ihn darüber nach Art. 14 DSGVO informieren. Ein Führungszeugnis dürfen Sie nur verlangen, wenn die Stelle es rechtfertigt, etwa bei Tätigkeiten mit Kindern und Jugendlichen oder bei besonderer Vertrauensstellung, und auch dann nur einsehen statt kopieren.

KI in der Vorauswahl

Tools, die Lebensläufe automatisch bewerten oder Rankings erstellen, sind für Bewerber besonders riskant. Trifft das System die Entscheidung allein, greift das Verbot automatisierter Einzelentscheidungen nach Art. 22 DSGVO. Eine Vorauswahl per KI ist zudem häufig DSFA-pflichtig, und dann wird nach § 38 Abs. 1 Satz 2 BDSG auch ein Datenschutzbeauftragter Pflicht, unabhängig von der Zahl der Beschäftigten. Warum das so ist, erklären wir im Beitrag DSFA bei KI: Wann ein Datenschutzbeauftragter Pflicht wird. Nach der KI-Verordnung zählen KI-Systeme für die Auswahl von Bewerbern zu den Hochrisiko-Anwendungen; diese Pflichten gelten nach dem KI-Omnibus ab dem 2. Dezember 2027.

Checkliste für Ihr Bewerbungsverfahren

Häufige Fragen

Muss ich Bewerbern eine Datenschutzerklärung geben?

Ja. Nach Art. 13 DSGVO müssen Bewerber bei der Erhebung ihrer Daten informiert werden, unter anderem über Zweck, Rechtsgrundlage, Speicherdauer und ihre Rechte. Üblich ist ein eigener Abschnitt für Bewerber in der Datenschutzerklärung oder ein Hinweis im Stellenportal und in der Eingangsbestätigung.

Wie lange darf ich Bewerbungsunterlagen nach einer Absage aufbewahren?

In der Regel bis zu sechs Monate. Die Frist leitet sich aus § 15 Abs. 4 AGG und § 61b ArbGG ab, weil abgelehnte Bewerber innerhalb dieser Zeit Entschädigungsansprüche geltend machen können. Danach sind die Unterlagen zu löschen, sofern kein Verfahren läuft und keine Einwilligung für einen Talentpool vorliegt.

Darf ich Initiativbewerbungen speichern?

Ja, solange Sie prüfen, ob eine passende Stelle frei ist. Gibt es keine, gelten dieselben Regeln wie bei einer Absage. Für eine längere Speicherung brauchen Sie die Einwilligung des Bewerbers.

Darf der Betriebsrat Bewerbungsunterlagen sehen?

Ja. In Unternehmen mit in der Regel mehr als 20 wahlberechtigten Arbeitnehmern muss der Arbeitgeber den Betriebsrat vor jeder Einstellung unterrichten und ihm die erforderlichen Bewerbungsunterlagen vorlegen (§ 99 BetrVG). Rechtsgrundlage für die Weitergabe ist Art. 6 Abs. 1 lit. c DSGVO.

Dürfen Bewerbungen per E-Mail an mehrere Kollegen weitergeleitet werden?

Nur an die Personen, die tatsächlich über die Stelle entscheiden. Besser ist ein Bewerbermanagement-System mit Rechtevergabe, weil sich weitergeleitete E-Mails nach der Absage kaum vollständig löschen lassen.