Das Wichtigste in Kürze
- Bewerberdaten dürfen nach einer Absage maximal sechs Monate aufbewahrt werden, da nach dieser Frist keine AGG-Klagen mehr möglich sind und der Verarbeitungszweck entfällt.
- Die Aufnahme von Kandidaten in einen Talent-Pool ist ohne ausdrückliche, dokumentierte und jederzeit widerrufbare Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO nicht zulässig.
- Unternehmen, die externe Personaldienstleister oder ATS-Systeme einsetzen, müssen zwingend einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen, da sie andernfalls für Datenschutzverstöße des Dienstleisters haften.
Inhaltsverzeichnis
Rechtliche Sicherheit im Recruiting beginnt mit einer konsequenten DSGVO-konformen Handhabung von Bewerberdaten – von der ersten Kontaktaufnahme bis zur Löschung nach Ablauf der gesetzlichen Fristen. Unternehmen, die Einwilligung, Datenspeicherung und Löschfristen nicht korrekt dokumentieren, riskieren empfindliche Bußgelder und Abmahnungen. Dieser Artikel zeigt, worauf es ankommt und wie Sie Ihren Recruiting-Prozess rechtssicher gestalten.
Seit Inkrafttreten der DSGVO im Mai 2018 hat sich die Datenschutzlandschaft im Personalwesen grundlegend verändert. Trotzdem begegnen wir in der täglichen Praxis immer wieder denselben Fehlern: unklare Einwilligungen, fehlende Datenschutzhinweise in Stellenanzeigen, Bewerberdaten, die jahrelang in irgendwelchen E-Mail-Ordnern schlummern. Das ist kein Kavaliersdelikt. Die Aufsichtsbehörden sind aktiver als je zuvor.
Was Sie in diesem Artikel erwartet: eine praxisnahe Übersicht der wichtigsten DSGVO-Pflichten im Recruiting, konkrete Handlungsempfehlungen zu Löschfristen und Datenspeicherung sowie eine klare Einordnung, wo die häufigsten rechtlichen Risiken lauern.
Was bedeutet rechtliche Sicherheit im Recruiting konkret?
Rechtliche Sicherheit im Recruiting bedeutet, dass jeder Schritt im Bewerberprozess – von der Stellenausschreibung über das Vorstellungsgespräch bis zur Absage – den Anforderungen der DSGVO und des Bundesdatenschutzgesetzes (BDSG) entspricht. Der Rechtsrahmen ist klar: § 26 BDSG erlaubt die Verarbeitung von Bewerberdaten, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Alles, was darüber hinausgeht, bedarf einer ausdrücklichen Einwilligung.
Was bedeutet das in der Praxis? Es bedeutet, dass Sie nur die Daten erheben dürfen, die Sie tatsächlich für die Besetzungsentscheidung benötigen. Geburtsort, Konfessionszugehörigkeit, Familienstand – all das hat in einem Standardbewerbungsverfahren nichts zu suchen. Wir haben die Erfahrung gemacht, dass gerade im gehobenen kaufmännischen Umfeld, wo Profile detaillierter geprüft werden, die Versuchung groß ist, möglichst viele Informationen zu sammeln. Doch dieser Ansatz widerspricht dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.
„Wer nur die Daten erhebt, die er wirklich braucht, reduziert sein Haftungsrisiko um ein Vielfaches – und schafft gleichzeitig Vertrauen bei Bewerbern.“
Das A-TEAM arbeitet in seinen Recruiting-Prozessen deshalb konsequent nach dem Prinzip: so viel wie nötig, so wenig wie möglich. Nicht nur, weil es rechtlich geboten ist, sondern weil es die Qualität des Auswahlverfahrens erhöht.
Welche Daten dürfen im Recruiting gespeichert werden – und wie lange?
Die zulässige Datenspeicherung von Bewerberdaten ist zeitlich strikt begrenzt und endet spätestens dann, wenn der Zweck der Verarbeitung entfallen ist. Im Klartext: Ist die Stelle besetzt und der Bewerber abgesagt worden, dürfen seine Daten in der Regel nicht länger als sechs Monate aufbewahrt werden.
Diese Frist von sechs Monaten orientiert sich an der Verjährungsfrist für Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). Ein abgelehnter Bewerber hat drei Monate Zeit, Schadensersatzansprüche geltend zu machen – nach herrschender Meinung rechtfertigt das eine Aufbewahrungsfrist von bis zu sechs Monaten nach Absendung der Absage.
Was gilt für Kandidaten-Pools und Talent-Pipelines?
Der Aufbau eines Kandidaten-Pools ist eine sinnvolle Recruiting-Strategie, aber datenschutzrechtlich einer der heikelsten Bereiche überhaupt. Bewerberdaten in einem Talent-Pool zu speichern, ohne dass eine aktuelle Vakanz vorliegt, ist auf Basis von § 26 BDSG allein nicht zulässig. Hier greift die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Das bedeutet konkret:
- Die Einwilligung muss freiwillig, informiert und unmissverständlich erteilt werden
- Sie muss den konkreten Zweck benennen (z.B. „Aufnahme in den Kandidatenpool für zukünftige kaufmännische Positionen“)
- Sie muss jederzeit widerrufbar sein
- Die Speicherdauer muss benannt werden – üblich sind 12 bis 24 Monate, danach ist eine erneute Einwilligung einzuholen oder die Daten sind zu löschen
„Ein Talent-Pool ohne dokumentierte Einwilligung ist kein strategischer Vorteil – er ist ein rechtliches Risiko.“
Wir sind davon überzeugt, dass ein gut gepflegter, DSGVO-konformer Talent-Pool zu den wertvollsten Instrumenten im modernen Recruiting gehört. Aber er muss sauber aufgebaut sein. Der administrative Aufwand lohnt sich, weil die Reaktionsgeschwindigkeit bei neuen Vakanzen erheblich steigt – ein Vorteil, den wir unseren Kunden im Rahmen unseres Recruiting as a Service-Modells direkt zugutekommen lassen.
Wo lauern die häufigsten Fehler bei der Einwilligung im Bewerbungsprozess?
Die Einwilligung im Recruiting scheitert in der Praxis fast immer an denselben drei Fehlern: fehlende Freiwilligkeit, unklarer Zweck und mangelhafte Dokumentation. Ein Bewerber, der seine Einwilligung im Rahmen einer Bewerbung erteilt, tut dies selten vollständig frei – er steht unter dem impliziten Druck, die Stelle zu erhalten. Die Aufsichtsbehörden bewerten diese Konstellation kritisch.
Was folgt daraus? Für viele Verarbeitungszwecke im Bewerbungsprozess ist die Einwilligung gar nicht das richtige Instrument. § 26 BDSG ist der sachgerechtere Erlaubnistatbestand für alle Verarbeitungen, die unmittelbar der Besetzungsentscheidung dienen. Die Einwilligung bleibt dem vorbehalten, was über diesen Zweck hinausgeht – also dem Talent-Pool, dem Weiterleiten an Schwestergesellschaften oder dem Einsatz für zukünftige Vakanzen
Datenschutzhinweise in der Stellenanzeige – eine unterschätzte Pflicht
Die DSGVO verpflichtet Unternehmen, Bewerber bereits zu Beginn der Datenerhebung transparent zu informieren (Art. 13 DSGVO). Das bedeutet:
- In jeder Stellenanzeige oder zumindest im Bewerbungsformular muss ein Hinweis auf die Datenschutzerklärung enthalten sein
- Die Datenschutzerklärung selbst muss die Zwecke der Verarbeitung, die Rechtsgrundlage, die Speicherdauer sowie die Betroffenenrechte (Auskunft, Löschung, Widerspruch) klar benennen
- Bei Nutzung von Active Sourcing über Plattformen wie LinkedIn oder XING greift Art. 14 DSGVO – der Bewerber muss spätestens bei der ersten Kontaktaufnahme informiert werden
„Wer Bewerbern bei der ersten Kontaktaufnahme keine Datenschutzinformation zukommen lässt, verstößt gegen Art. 14 DSGVO – unabhängig davon, ob jemals eine formale Bewerbung eingeht.“
Das A-TEAM berücksichtigt bei der aktiven Kandidatenansprache die Informationspflichten nach Art. 14 DSGVO von Beginn an und stellt die entsprechenden Datenschutzhinweise bereits bei der ersten Kontaktaufnahme zur Verfügung.
Löschfristen, Datenspeicherung und interne Prozesse: Wie organisieren Sie das im Alltag?
Ein funktionierendes Löschkonzept für Bewerberdaten ist die Grundvoraussetzung für DSGVO-Konformität und lässt sich mit klaren Regeln und technischen Maßnahmen in jeden Recruiting-Prozess integrieren. Das klingt nach Aufwand. Ist es zunächst auch. Aber ein einmal implementiertes System läuft nahezu automatisch.
Empfehlungen für ein praxistaugliches Löschkonzept
- Zentrales Bewerbermanagementsystem (ATS): Alle Bewerberdaten sollten in einem einzigen System verwaltet werden. E-Mail-Postfächer, geteilte Laufwerke oder Excel-Listen sind datenschutzrechtliche Schwachstellen.
- Automatisierte Löschfristen: Ein gutes ATS ermöglicht es, Löschfristen automatisiert zu hinterlegen. Nach Ablauf werden die Daten entweder automatisch gelöscht oder zur manuellen Prüfung markiert.
- Zugriffsrechte dokumentieren: Nur Personen, die unmittelbar am Besetzungsprozess beteiligt sind, dürfen Zugriff auf Bewerberdaten haben. Das ist nicht nur eine Frage der DSGVO, sondern auch des internen Vertrauensschutzes.
- Auftragsverarbeitungsvertrag (AVV): Wer externe Personaldienstleister, ATS-Anbieter oder Interviewplattformen einsetzt, ist verpflichtet, einen AVV nach Art. 28 DSGVO abzuschließen. Fehlt dieser Vertrag, haftet das Unternehmen für die Verarbeitung durch den Dienstleister.
- Verzeichnis von Verarbeitungstätigkeiten (VVT): Alle Verarbeitungstätigkeiten im Recruiting müssen im VVT dokumentiert sein – inklusive Zweck, Rechtsgrundlage, Datenkategorien und Löschfristen.
Wir sind davon überzeugt, dass dieser strukturelle Aufwand sich mehrfach auszahlt – nicht nur durch vermiedene Bußgelder, sondern durch einen professionelleren Auftritt gegenüber Bewerbern. Wer sauber mit Daten umgeht, signalisiert: Hier wird der Mensch ernst genommen.
Fazit
Datenschutz im Recruiting ist kein Thema, das man einmal abarbeitet und dann abhaken kann. Es ist ein fortlaufender Prozess, der in die DNA des Unternehmens übergehen muss. Die DSGVO gibt den Rahmen vor – wie Sie ihn mit Leben füllen, entscheidet über Ihre rechtliche Sicherheit und Ihre Arbeitgeberattraktivität gleichermaßen.
Die wichtigsten Stellschrauben sind bekannt: klare Einwilligungen nur dort, wo sie wirklich greifen, konsequente Datenspeicherung in zentralen Systemen, dokumentierte Löschfristen und eine transparente Kommunikation gegenüber Bewerbern von der ersten Sekunde an. Kein dieser Punkte ist technisch unlösbar. Alle erfordern aber Entscheidungen und Prozesse, die aktiv gestaltet werden müssen.
Was Sie mitnehmen sollten
- Rechtliche Sicherheit im Recruiting erfordert, dass Bewerberdaten ausschließlich auf Basis von § 26 BDSG oder einer ausdrücklichen, dokumentierten Einwilligung verarbeitet werden.
- Die Löschfrist für Bewerberdaten beträgt in der Regel sechs Monate nach Absage – alles darüber hinaus bedarf einer Einwilligung und muss in einem Löschkonzept hinterlegt sein.
- Wer Bewerberdaten in einem Talent-Pool speichert, benötigt zwingend eine freiwillige, zweckgebundene und widerrufbare Einwilligung mit klar benannter Speicherdauer.
- Beim Active Sourcing über Plattformen wie LinkedIn greift Art. 14 DSGVO – die Datenschutzinformation muss spätestens bei der ersten Kontaktaufnahme übermittelt werden.
- Ein zentrales Bewerbermanagementsystem mit automatisierten Löschfristen ist keine Kür, sondern die technische Mindestanforderung für einen DSGVO-konformen Recruiting-Prozess.
Fragen und Antworten (FAQ)
Über die Autorin
Esther ist Head of Marketing & Sales beim A-TEAM und beschäftigt sich täglich mit den Herausforderungen rund um Recruiting, Employer Branding und strategische Personalgewinnung. Mit über 20 Jahren Erfahrung in der Personalvermittlung sowie in Projekten im Rahmen der Arbeitnehmerüberlassung und der Personalentwicklung kennt sie den Markt aus unterschiedlichen Perspektiven. In ihren Blogartikeln teilt sie ehrliche Einblicke, aktuelle Trends und erprobte Strategien – praxisnah, direkt und mit einem Blick für das, was wirklich funktioniert
Esther ist Head of Marketing & Sales beim A-TEAM und beschäftigt sich täglich mit den Herausforderungen rund um Recruiting, Employer Branding und strategische Personalgewinnung. Mit über 20 Jahren Erfahrung in der Personalvermittlung sowie in Projekten im Rahmen der Arbeitnehmerüberlassung und der Personalentwicklung kennt sie den Markt aus unterschiedlichen Perspektiven. In ihren Blogartikeln teilt sie ehrliche Einblicke, aktuelle Trends und erprobte Strategien – praxisnah, direkt und mit einem Blick für das, was wirklich funktioniert