Jede eingehende Bewerbung ist eine Chance. Doch mit jeder Chance geht auch eine Verantwortung einher: der korrekte Umgang mit den sensiblen Daten Ihrer Bewerber. Seit Inkrafttreten der DSGVO ist der Bewerberdatenschutz zu einem kritischen Feld für Unternehmen geworden. Ein einziger Fehler im Prozess kostet nicht nur Vertrauen, sondern birgt auch das Risiko empfindlicher Bußgelder. Viele Personalabteilungen fühlen sich unsicher, welche Daten sie wie lange speichern dürfen.
Dieser Leitfaden gibt Ihnen die nötige Sicherheit. Sie erfahren, wie Sie Ihren Recruiting-Prozess von der Stellenausschreibung bis zur Absage datenschutzkonform gestalten, welche rechtlichen Grundlagen Sie kennen müssen und wie Sie die typischen Fallstricke elegant umschiffen.
[ads_custom_box title=“Auf einen Blick“ color_border=“#000000″] * Rechtsgrundlage: Die Verarbeitung von Bewerberdaten stützt sich auf Art. 88 DSGVO in Verbindung mit § 26 BDSG.* Datenminimierung: Erheben Sie nur Daten, die für die Entscheidung über die Einstellung zwingend erforderlich sind.
* Zweckbindung: Die Daten dürfen ausschließlich für den Zweck des Bewerbungsverfahrens verwendet werden.
* Löschfristen: In der Regel müssen Bewerberdaten spätestens sechs Monate nach Abschluss des Verfahrens gelöscht werden.
* Informationspflicht: Bewerber müssen transparent über die Datenverarbeitung informiert werden (Art. 13 DSGVO).
[/ads_custom_box]
Die Rechtsgrundlagen: Was sagt die DSGVO zum Bewerberdatenschutz?
Die zentrale Vorschrift für den Umgang mit Bewerberdaten ist nicht allein die DSGVO. Sie verweist in Art. 88 auf nationale Gesetze. In Deutschland ist das vor allem der § 26 des Bundesdatenschutzgesetzes (BDSG). Dieser Paragraph erlaubt die Verarbeitung von personenbezogenen Daten von Bewerbern, wenn sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses „erforderlich“ ist.
Genau dieses Wort – erforderlich – ist der Dreh- und Angelpunkt. Sie dürfen nicht einfach alle Daten sammeln, die interessant sein könnten. Sie müssen bei jeder Information begründen können, warum sie für die Eignungsprüfung für die konkrete Stelle notwendig ist. Aus meiner Sicht ist der Grundsatz der Erforderlichkeit der entscheidende Hebel. Fragen Sie sich bei jedem Datenfeld im Bewerbungsformular: „Brauchen wir diese Information wirklich, um über die Eignung zu entscheiden?“
Der Bewerbungsprozess Schritt für Schritt: Wo die Fallstricke lauern
Ein datenschutzkonformer Recruiting-Prozess erfordert Aufmerksamkeit in jeder Phase. Betrachten wir die drei kritischsten Abschnitte.
Phase 1: Stellenausschreibung und Datenerhebung
Alles beginnt mit der Stellenausschreibung. Schon hier stellen Sie die Weichen. Fordern Sie nur die Unterlagen an, die Sie wirklich benötigen: in der Regel Lebenslauf, Anschreiben und relevante Zeugnisse. Fragen nach Familienstand, Religion oder Herkunft sind tabu, da sie fast nie für die Eignung erforderlich sind. Laut der Datenschutzkonferenz (DSK) ist hier der Grundsatz der Datenminimierung streng anzuwenden.
Ein Detail, das Anfänger oft übersehen, ist die Informationspflicht nach Art. 13 DSGVO. Sobald Sie Daten erheben, müssen Sie den Bewerber informieren, was mit seinen Daten geschieht. Am besten verlinken Sie direkt in der Ausschreibung oder im Bewerbungsformular auf eine spezifische Datenschutzerklärung für Bewerber.
Phase 2: Sichtung und interne Weitergabe
Sobald die Bewerbungen eingehen, muss der Zugriff darauf streng reglementiert sein. Nur Personen, die direkt am Einstellungsprozess beteiligt sind, dürfen die Unterlagen einsehen. Das sind typischerweise die Personalabteilung, die zuständige Führungskraft und gegebenenfalls der Betriebsrat. Ein unkontrolliertes Weiterleiten von Lebensläufen per E-Mail an beliebige Kollegen ist ein klarer Verstoß.
Für eine sichere Verwaltung empfiehlt sich der Einsatz professioneller Bewerbermanagement-Systeme oder einer strukturierten digitale Personalakte, die klare Zugriffsrechte ermöglicht. Solche Systeme helfen auch dabei, ein transparentes Umfeld zu schaffen, das für den Aufbau von Vertrauen unerlässlich ist und an Regelungen wie den Whistleblowing-Datenschutz anknüpft.
Phase 3: Kommunikation und Entscheidung
Jede Kommunikation mit dem Bewerber, sei es eine Eingangsbestätigung, eine Einladung zum Gespräch oder eine Absage, muss professionell und sicher erfolgen. In der Praxis hat sich immer wieder gezeigt, dass eine transparente und leicht verständliche Kommunikation nicht nur eine rechtliche Pflicht ist, sondern auch das Vertrauen in Ihr Unternehmen als potenziellen Arbeitgeber enorm stärkt.
Bei besonders sicherheitsrelevanten Positionen kann zudem die Frage nach einem Background Check und dessen Zulässigkeit aufkommen. Solche tiefgreifenden Prüfungen sind nur in sehr engen Grenzen und mit einer klaren Rechtsgrundlage möglich und sollten nie zum Standard gehören.
Nach dem Prozess: Löschfristen und Talentpools meistern
Mit der Absage an einen Bewerber ist der Datenschutz nicht beendet. Jetzt beginnen die wichtigen Fristen für die Aufbewahrung und Löschung.
Die korrekte Löschung von Bewerberdaten
Abgelehnte Bewerbungen dürfen Sie nicht ewig aufbewahren. Gleichzeitig müssen Sie sich gegen mögliche Klagen wegen Diskriminierung (nach dem Allgemeinen Gleichbehandlungsgesetz, AGG) verteidigen können. Dafür hat sich in der Rechtsprechung eine Aufbewahrungsfrist von bis zu sechs Monaten nach Versand der Absage etabliert. Nach Ablauf dieser Frist müssen die Daten vollständig gelöscht werden.
Dieser Prozess muss systematisch und nachweisbar erfolgen. Die Prinzipien für die sichere Datenlöschung sind hier von zentraler Bedeutung, um die Konformität sicherzustellen.
Der Talentpool: Nur mit aktiver Einwilligung
Was aber, wenn ein Bewerber sehr interessant war, es aber für die aktuelle Stelle nicht ganz gepasst hat? Für solche Fälle gibt es den Talentpool. Um die Daten eines Bewerbers länger speichern zu dürfen, benötigen Sie dessen ausdrückliche, freiwillige und informierte Einwilligung. Diese muss aktiv erteilt werden (z.B. durch Setzen eines Hakens) und darf keine Voraussetzung für die eigentliche Bewerbung sein. Zudem müssen Sie den Bewerber darüber informieren, wie lange Sie die Daten speichern und dass er seine Einwilligung jederzeit widerrufen kann.
Fazit: Sicherheit und Professionalität Hand in Hand
Ein professioneller Umgang mit Bewerberdaten ist mehr als eine lästige Pflicht. Er ist ein klares Signal an potenzielle Mitarbeiter, dass Sie als Arbeitgeber Wert auf Vertrauen, Sicherheit und Respekt legen. Ein transparenter Prozess, strikte Zweckbindung und konsequente Löschung sind die drei Säulen eines soliden Bewerberdatenschutzes. Indem Sie diese Prinzipien verinnerlichen, schützen Sie nicht nur Ihr Unternehmen vor rechtlichen Risiken, sondern stärken auch nachhaltig Ihr Employer Branding.
Häufig gestellte Fragen (FAQ)
Wie lange dürfen Bewerberdaten gespeichert werden?
Nach einer Absage dürfen die Daten in der Regel für maximal sechs Monate aufbewahrt werden, um sich gegen AGG-Klagen zu verteidigen. Für eine längere Speicherung in einem Talentpool ist die ausdrückliche Einwilligung des Bewerbers erforderlich.
Benötige ich eine separate Datenschutzerklärung für Bewerber?
Ja, das ist dringend zu empfehlen. Sie müssen Bewerber gemäß Art. 13 DSGVO zum Zeitpunkt der Datenerhebung umfassend informieren. Eine spezielle, leicht zugängliche Datenschutzerklärung für das Bewerbungsverfahren ist hierfür die beste Lösung.
Was passiert mit den Daten nach einer erfolgreichen Einstellung?
Bei einer Einstellung werden die für das Arbeitsverhältnis relevanten Bewerbungsunterlagen Teil der Personalakte. Ab diesem Moment gelten die Regelungen für den Mitarbeiterdatenschutz. Nicht mehr benötigte Daten aus dem Bewerbungsprozess müssen auch in diesem Fall gelöscht werden.
Darf ich Bewerber googeln oder ihre Social-Media-Profile prüfen?
Das ist eine Grauzone. Die Prüfung von Profilen auf karrierebezogenen Netzwerken wie LinkedIn oder Xing ist meist zulässig, wenn es um die Verifizierung beruflicher Qualifikationen geht. Das Ausforschen privater Profile (z.B. bei Facebook oder Instagram) ist hingegen ein klarer Datenschutzverstoß.
Was ist bei Initiativbewerbungen zu beachten?
Für Initiativbewerbungen gelten dieselben datenschutzrechtlichen Grundsätze. Sie müssen den Bewerber ebenfalls über die Datenverarbeitung informieren und die Daten löschen, wenn absehbar ist, dass keine passende Stelle zur Verfügung steht und keine Einwilligung für einen Talentpool vorliegt.
