Wir wollen alles wissen! – Datenschutz bei der Bewerbung

Zuletzt aktualisiert am 2. August 2026

In jeder HR-/Personalabteilung werden Unmengen personenbezogene Daten verarbeitet. Betroffen sind dabei nicht nur Mitarbeiter des Unternehmens, sondern auch Bewerber im Bewerbungsverfahren.

Wo verlaufen hier die Grenzen des Datenschutzes?

Einwilligung in die Verarbeitung personenbezogener Daten bei der Bewerbung

Die erste große Frage zum Thema Datenschutz im Bewerbungsverfahren ist: Müssen Bewerber in die Verarbeitung ihrer Daten einwilligen oder dürfen ihre Daten auch aufgrund einer anderen Rechtsgrundlage verarbeitet werden?

Wie so häufig antwortet der Jurist hier mit: „Es kommt darauf an!“

Die Verarbeitung von personenbezogenen Daten im Bewerbungsverfahren kann nach § 26 I 1 BDSG rechtmäßig sein, wenn es sich um solche Daten handelt, die für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich sind. Dann ist keine gesonderte Einwilligung nötig.

Für alle anderen Daten ist eine entsprechende Einwilligung nach der DSGVO einzuholen. Hierbei ist zu beachten, dass diese Einwilligung vom Bewerber jederzeit widerrufen werden kann.

Löschung personenbezogener Daten nach der Bewerbung

Wenn die Daten erstmal vorliegen, ist eine weitere wichtige datenschutzrechtliche Frage, wann diese wieder zu löschen sind.

Wird ein Bewerber abgelehnt, sind die entsprechenden personenbezogenen Daten unverzüglich zu löschen, Art. 17 I lit. a DSGVO. Eine Ausnahme besteht nur, wenn die Daten zur Verteidigung von Rechtsansprüchen benötigt werden (z.B. wenn abzusehen ist, dass der Bewerber geltend machen will, dass seine Ablehnung nicht mit dem AGG vereinbar ist). Auf diese Ausnahme kann sich der Verantwortliche regelmäßig nach Ablauf von sechs Monaten seit der Ablehnung nicht mehr berufen.

Information über die Verarbeitung personenbezogener Daten bei der Bewerbung

Nach Art. 12 ff DSGVO muss der Verantwortliche den Bewerber über die Verarbeitung der personenbezogenen Daten informieren. Grundsätzlich sind diese Informationen im Zeitpunkt der Erhebung zur Verfügung zu stellen. Es sind je nach Bewerbungskanal entsprechende Datenschutzhinweise zur Verfügung zu stellen.

Was passiert bei rechtswidriger Verarbeitung?

Liegt bei der Verarbeitung personenbezogenen Daten im Bewerbungsverfahren ein Verstoß gegen die DSGVO vor, können die Aufsichtsbehörden entsprechende Maßnahmen einleiten und Bußgelder verhängen. Außerdem können betroffene Bewerber einen Schadensersatzanspruch nach Art. 82 DSGVO geltend machen. Zudem entstehen dem Unternehmen womöglich große Image-Schäden.

Um solche Schäden zu vermeiden, ist es besonders wichtig, das Personal in der HR-/Personalabteilung entsprechend zu schulen.

Sie benötigen Beratung oder Hilfestellungen zum Thema Datenschutz im Unternehmen? Unser Team an Experten hilft Ihnen gerne weiter! Wir bieten auch entsprechende Mitarbeiterschulungen zugeschnitten auf ihr Unternehmen an. Nehmen Sie mit uns Kontakt auf!

Bewerbung per E-Mail und Online-Portal

Bei der Übermittlung von Bewerbungsunterlagen per E-Mail bestehen besondere datenschutzrechtliche Risiken. Unverschlüsselte E-Mails sind vergleichbar mit einer Postkarte und können auf dem Transportweg von Dritten eingesehen werden. Arbeitgeber sollten daher sichere Übermittlungswege anbieten, etwa verschlüsselte E-Mail-Kommunikation oder ein eigenes Bewerbungsportal mit SSL/TLS-Verschlüsselung.

Online-Bewerbungsportale bieten den Vorteil, dass der Datenfluss kontrollierter abläuft und die Datenschutzinformationen direkt im Bewerbungsprozess bereitgestellt werden können. Allerdings müssen auch hier die Anforderungen der DSGVO beachtet werden. Das Portal muss technisch sicher sein, die Daten dürfen nur zweckgebunden verarbeitet werden und die Bewerberdaten müssen nach Abschluss des Verfahrens fristgerecht gelöscht werden.

Besondere Kategorien personenbezogener Daten im Bewerbungsverfahren

Im Bewerbungsverfahren können auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden. Dazu gehören beispielsweise Gesundheitsdaten (etwa bei einer ärztlichen Eignungsuntersuchung), Angaben zur Gewerkschaftszugehörigkeit oder religiöse Überzeugungen, die sich aus einem Bewerbungsfoto mit religiöser Kopfbedeckung ergeben können.

Die Verarbeitung solcher Daten ist nur unter strengen Voraussetzungen zulässig. Im Beschäftigungskontext greift § 26 Abs. 3 BDSG, wonach besondere Kategorien personenbezogener Daten verarbeitet werden dürfen, wenn dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist. Arbeitgeber sollten die Erhebung solcher Daten auf das absolut Notwendige beschränken und in ihren Bewerbungsformularen keine Angaben zu sensiblen Merkmalen abfragen.

Hintergrundüberprüfungen und Social-Media-Screening

In der Praxis führen immer mehr Arbeitgeber Hintergrundüberprüfungen von Bewerbern durch, indem sie deren Social-Media-Profile durchsuchen. Datenschutzrechtlich ist dies in den meisten Fällen problematisch. Die Auswertung öffentlich zugänglicher Social-Media-Profile kann zwar auf das berechtigte Interesse des Arbeitgebers nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden, allerdings nur, wenn die Informationen einen direkten Bezug zur ausgeschriebenen Stelle haben.

Private Informationen über Freizeitaktivitäten, politische Einstellungen oder familiäre Verhältnisse dürfen grundsätzlich nicht berücksichtigt werden. Die Datenschutzkonferenz (DSK) hat in einem Beschluss klargestellt, dass die systematische Durchsuchung von Social-Media-Profilen im Bewerbungsverfahren in der Regel unverhältnismäßig ist. Arbeitgeber, die dennoch solche Überprüfungen durchführen, riskieren Bußgelder und Schadensersatzansprüche der betroffenen Bewerber.

Talentpools und Bewerberdatenbanken

Viele Unternehmen möchten vielversprechende Bewerber, die für eine aktuelle Stelle nicht ausgewählt wurden, für künftige Vakanzen vormerken. Die Aufnahme in einen Talentpool oder eine Bewerberdatenbank ist datenschutzrechtlich nur mit ausdrücklicher Einwilligung des Bewerbers nach Art. 6 Abs. 1 lit. a DSGVO zulässig. Diese Einwilligung muss freiwillig sein und kann jederzeit widerrufen werden.

Zudem muss eine angemessene Speicherfrist definiert werden. Eine unbegrenzte Speicherung von Bewerberdaten in einem Talentpool ist mit dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO nicht vereinbar. In der Praxis werden Fristen von sechs Monaten bis zu einem Jahr als angemessen angesehen. Nach Ablauf der Frist sollte der Bewerber erneut gefragt werden, ob er im Talentpool verbleiben möchte. Eine Schulung der Personalabteilung zu diesen Themen ist daher dringend zu empfehlen.

Datenschutz-Folgenabschätzung bei automatisierten Bewerbungsverfahren

Setzt ein Unternehmen KI-gestützte Tools zur automatisierten Vorauswahl von Bewerbern ein, kann eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich sein. Automatisierte Bewertungssysteme, die Bewerbungsunterlagen scannen und Bewerber anhand von Algorithmen bewerten, stellen eine systematische und vollständige Bewertung persönlicher Aspekte dar, die zu rechtlichen Auswirkungen für die betroffenen Personen führen kann.

Die DSFA muss die Risiken der automatisierten Verarbeitung bewerten und geeignete Maßnahmen zur Risikominderung festlegen. Dazu gehören Transparenz über den Einsatz automatisierter Verfahren, die Möglichkeit einer menschlichen Überprüfung der Ergebnisse und der Schutz vor diskriminierenden Algorithmen. Ein externer Datenschutzbeauftragter kann bei der Durchführung einer solchen Folgenabschätzung wertvolle Unterstützung leisten.

Videointerviews und Remote-Bewerbungen

Spätestens seit der Corona-Pandemie sind Videointerviews und Remote-Bewerbungsverfahren zum Standard geworden. Dabei entstehen besondere datenschutzrechtliche Anforderungen. Die Aufzeichnung von Videointerviews ist nur mit ausdrücklicher Einwilligung des Bewerbers zulässig. Der Bewerber muss vorab darüber informiert werden, ob das Gespräch aufgezeichnet wird, wer Zugang zur Aufzeichnung erhält und wann sie gelöscht wird.

Bei der Nutzung von Videokonferenz-Tools wie Zoom, Microsoft Teams oder Google Meet ist zudem zu prüfen, ob die Datenverarbeitung durch den Tool-Anbieter DSGVO-konform erfolgt. Da viele dieser Dienste Daten in die USA übertragen, ist seit dem Schrems-II-Urteil besondere Vorsicht geboten. Unternehmen sollten Auftragsverarbeitungsverträge mit den Anbietern abschließen und gegebenenfalls auf europäische Alternativen zurückgreifen. Die Entscheidung für ein bestimmtes Tool sollte auch die datenschutzrechtlichen Implikationen berücksichtigen.

Auskunfts- und Löschungsrechte der Bewerber

Bewerber haben nach der DSGVO vollständige Rechte in Bezug auf ihre personenbezogenen Daten. Das Auskunftsrecht nach Art. 15 DSGVO ermöglicht es ihnen, Informationen darüber zu verlangen, welche Daten über sie gespeichert sind und wie diese verarbeitet werden. Das Recht auf Löschung nach Art. 17 DSGVO gibt ihnen die Möglichkeit, die Löschung ihrer Daten zu verlangen, wenn der Zweck der Verarbeitung entfallen ist.

Für Unternehmen bedeutet dies, dass sie in der Lage sein müssen, Auskunftsanfragen von Bewerbern zeitnah und vollständig zu beantworten. Dies erfordert eine strukturierte Datenhaltung und klare Prozesse. Die Frist für die Beantwortung beträgt nach Art. 12 Abs. 3 DSGVO grundsätzlich einen Monat. Eine gut organisierte Personalabteilung und ein implementierter Datenschutzprozess sind daher nötig, um den gesetzlichen Anforderungen gerecht zu werden.

Internationale Bewerbungen und Datentransfer

Bei internationalen Bewerbungsverfahren, insbesondere wenn Bewerberdaten an Konzerngesellschaften oder Personaldienstleister außerhalb der EU übermittelt werden, gelten die strengen Regelungen der DSGVO zum internationalen Datentransfer. Eine Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn ein angemessenes Datenschutzniveau gewährleistet ist, etwa durch einen Angemessenheitsbeschluss der EU-Kommission, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules).

Seit dem Inkrafttreten des EU-US Data Privacy Framework im Juli 2023 ist der Datentransfer an zertifizierte US-Unternehmen wieder auf einer soliden rechtlichen Grundlage möglich. Allerdings ist die langfristige Beständigkeit dieses Frameworks noch ungewiss, da es bereits Ankündigungen für eine mögliche dritte Schrems-Klage gibt. Unternehmen mit internationalen Bewerbungsverfahren sollten daher vorsorglich alternative Transfermechanismen implementieren und die rechtliche Entwicklung aufmerksam verfolgen.