Bewerberdaten löschen: DSGVO-Fristen und Automatisierung für HR

Bewerberdaten löschen: DSGVO-Fristen und Automatisierung für HR

Bewerberdaten Löschfrist nach DSGVO: Der Leitfaden für HR 2026

Inhaltsverzeichnis

Einleitung: Warum Löschfristen für Bewerberdaten im HR entscheidend sind

Für HR-Leiter, Recruiter und Personaljuristen ist das Management von Bewerberdaten eine tägliche Herausforderung. Einerseits sollen die besten Talente effizient identifiziert und gewonnen werden, andererseits müssen strenge rechtliche Vorgaben eingehalten werden. Ein zentraler Aspekt dabei ist die korrekte Handhabung der Aufbewahrungs- und Löschfristen. Die Einhaltung der korrekten Löschfrist für Bewerberdaten nach der DSGVO ist keine reine Formsache, sondern ein entscheidender Faktor zur Vermeidung empfindlicher Bußgelder und zur Abwehr von Klagen. Ein strukturiertes Vorgehen schützt nicht nur das Unternehmen, sondern stärkt auch das Vertrauen der Bewerber in Ihre Prozesse. In diesem Leitfaden erklärt MUNAS Consulting die rechtlichen Grundlagen, zeigt die gängige 6-Monats-Frist zur Abwehr von Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) auf und erläutert, wie Sie Löschprozesse automatisieren und Bewerberpools rechtssicher verwalten können.

Die DSGVO und Bewerberdaten: Rechtliche Grundlagen für HR

Die Verarbeitung personenbezogener Daten von Bewerbern unterliegt der Datenschutz-Grundverordnung (DSGVO). Die primäre Rechtsgrundlage für die Datenverarbeitung im Bewerbungskontext findet sich in Art. 88 DSGVO in Verbindung mit § 26 des Bundesdatenschutzgesetzes (BDSG). Diese Regelungen erlauben die Verarbeitung von Daten, die für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich sind.

Dabei sind die fundamentalen Grundsätze aus Art. 5 DSGVO zu beachten:

  • Zweckbindung: Die Daten dürfen nur für den Zweck des Bewerbungsverfahrens verarbeitet werden.
  • Datenminimierung: Es dürfen nur die Daten erhoben und gespeichert werden, die für diesen Zweck wirklich notwendig sind.
  • Speicherbegrenzung: Personenbezogene Daten müssen gelöscht werden, sobald der Zweck für ihre Speicherung entfallen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Genau hier setzt die Notwendigkeit eines klaren Löschkonzepts an. Sobald feststeht, dass ein Bewerber nicht eingestellt wird, entfällt der ursprüngliche Zweck der Datenspeicherung. Die Daten müssen also gelöscht werden – aber wann genau?

Standard-Löschfrist: 6 Monate zur Abwehr von AGG-Klagen

Obwohl die DSGVO selbst keine konkreten Fristen für Bewerberdaten nennt, hat sich in der Praxis eine Standardfrist von bis zu sechs Monaten nach Abschluss des Bewerbungsverfahrens etabliert. Diese Frist leitet sich nicht direkt aus der DSGVO ab, sondern aus der Notwendigkeit, sich gegen mögliche Ansprüche aus dem Allgemeinen Gleichbehandlungsgesetz (AGG) verteidigen zu können.

Ein abgelehnter Bewerber kann nach § 15 AGG Schadensersatz oder Entschädigung fordern, wenn er sich diskriminiert fühlt. Die Frist zur Geltendmachung dieser Ansprüche beträgt gemäß § 15 Abs. 4 AGG zwei Monate nach Zugang der Ablehnung. Da der Bewerber anschließend noch drei Monate Zeit hat, seine Ansprüche gerichtlich durchzusetzen, und weitere Zeit für die Zustellung der Klage einkalkuliert werden muss, hat die Rechtsprechung eine Aufbewahrung der Bewerbungsunterlagen von bis zu sechs Monaten als zulässig erachtet. Dies gibt dem Unternehmen die Möglichkeit, im Falle einer Klage nachzuweisen, dass die Auswahlentscheidung diskriminierungsfrei getroffen wurde.

Was bedeutet die 6-Monats-Frist konkret?

Die Frist beginnt mit dem Zugang der Absage beim Bewerber. Es ist entscheidend, diesen Zeitpunkt nachvollziehbar zu dokumentieren. Nach Ablauf dieser sechs Monate überwiegt in der Regel das schutzwürdige Interesse des Bewerbers an der Löschung seiner Daten das Interesse des Unternehmens an einer weiteren Speicherung. Die Daten sind dann unverzüglich zu löschen, es sei denn, es liegt eine explizite Einwilligung zur längeren Speicherung vor oder ein Rechtsstreit ist bereits anhängig.

Dokumentation und Nachweispflichten

Gemäß der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) müssen Unternehmen nachweisen können, dass sie die Datenschutzgrundsätze einhalten. Dies erfordert eine lückenlose Dokumentation. Ihr Löschkonzept für Bewerberdaten muss im Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO festgehalten werden. Darin sollten Sie genau beschreiben, welche Datenkategorien wie lange und auf welcher Rechtsgrundlage gespeichert und wann sie gelöscht werden. Ein aktuelles VVT ist kein optionales Dokument, sondern eine zentrale, fortlaufende Pflicht im Datenschutzmanagement.

Automatisierung des Löschprozesses: Effizienz und Compliance

Die manuelle Überwachung und Durchführung von Löschfristen ist fehleranfällig und ressourcenintensiv, insbesondere bei einem hohen Bewerberaufkommen. Die Automatisierung des Löschprozesses ist daher eine strategische Notwendigkeit für das HR-Management ab 2026, um Compliance sicherzustellen und die Effizienz zu steigern.

Technische Lösungen und Best Practices

Moderne Bewerbermanagementsysteme (Applicant Tracking Systems, ATS) oder umfassende HR-Softwarelösungen bieten in der Regel Funktionen zur automatisierten Verwaltung von Löschfristen. Bei der Auswahl und Konfiguration solcher Systeme sollten Sie auf folgende Aspekte achten:

  • Regelbasierte Löschroutinen: Das System sollte es ermöglichen, automatische Löschregeln zu definieren. Beispielsweise: “Lösche alle Daten eines Bewerbers 180 Tage nach dem Versand der Absage-E-Mail.”
  • Status-Tracking: Der Status jedes Bewerbers (z. B. “eingeladen”, “abgelehnt”, “eingestellt”) muss klar definierbar sein, um die korrekte Frist auszulösen.
  • Protokollierung: Jede Löschung sollte protokolliert werden, um im Zweifel einen Nachweis über die erfolgte Löschung führen zu können (Löschprotokoll).
  • Revisionssicherheit: Die Prozesse müssen nachvollziehbar und manipulationssicher dokumentiert sein.

Integration in bestehende HR-Systeme

Eine große Gefahr für die Einhaltung von Löschfristen sind Datensilos. Bewerberdaten liegen oft nicht nur im ATS, sondern auch in E-Mail-Postfächern, auf lokalen Laufwerken oder in Cloud-Speichern. Ein automatisiertes Löschkonzept ist nur dann wirksam, wenn es alle relevanten Systeme umfasst. Sorgen Sie für eine nahtlose Integration Ihrer HR-Tools oder etablieren Sie klare Prozesse, die sicherstellen, dass Daten an allen Speicherorten nach Ablauf der Frist gelöscht werden.

Bewerberpool und explizite Einwilligung: Wann ist sie notwendig?

Oftmals sind abgelehnte Bewerber für zukünftige Positionen interessant. Um ihre Daten über die 6-Monats-Frist hinaus in einem Bewerber- oder Talentpool zu speichern, benötigen Sie eine explizite, freiwillige und informierte Einwilligung des Bewerbers. Eine Speicherung auf Basis des “berechtigten Interesses” des Unternehmens ist hier nicht ausreichend.

Anforderungen an die Einwilligung

Eine datenschutzkonforme Einwilligung nach Art. 7 DSGVO muss mehrere Kriterien erfüllen:

  • Freiwilligkeit: Die Einwilligung darf nicht an die Teilnahme am ursprünglichen Bewerbungsverfahren gekoppelt sein. Der Bewerber muss eine echte Wahl haben.
  • Informiertheit: Sie müssen den Bewerber klar und verständlich darüber informieren, für welche Zwecke (z. B. “Kontaktaufnahme bei passenden Stellenangeboten im Bereich Marketing”) und für wie lange seine Daten gespeichert werden. Eine übliche Frist für Bewerberpools ist ein bis zwei Jahre.
  • Aktiv und unmissverständlich: Die Einwilligung muss durch eine aktive Handlung erfolgen, zum Beispiel durch das Setzen eines Hakens in einer Checkbox. Vorangekreuzte Kästchen sind unzulässig.
  • Separation: Die Einwilligungserklärung muss vom restlichen Bewerbungsprozess klar getrennt sein.
  • Widerruflichkeit: Der Bewerber muss jederzeit die Möglichkeit haben, seine Einwilligung einfach und ohne Nachteile zu widerrufen. Über diesen Umstand müssen Sie ihn vorab informieren.

Verwaltung von Bewerberpools DSGVO-konform

Für die Verwaltung eines Talentpools bedeutet dies in der Praxis, dass Sie einen Prozess benötigen, der nicht nur die Einholung der Einwilligung dokumentiert, sondern auch deren Ablauf überwacht. Vor Ablauf der Frist sollten Sie den Bewerber kontaktieren und um eine Erneuerung der Einwilligung bitten. Reagiert der Bewerber nicht, müssen seine Daten nach Fristablauf gelöscht werden.

Praktische Tipps für HR-Abteilungen: So vermeiden Sie Fehler

Um die Einhaltung der Löschfristen sicherzustellen und Risiken zu minimieren, sollten HR-Abteilungen die folgenden Punkte beachten:

  • Erstellen Sie ein schriftliches Löschkonzept: Definieren Sie klare Regeln, Verantwortlichkeiten und Fristen für alle Arten von Bewerberdaten.
  • Schulen Sie Ihre Mitarbeiter: Alle am Recruiting-Prozess beteiligten Personen müssen über die Datenschutzanforderungen und die internen Prozesse informiert sein.
  • Informieren Sie Bewerber transparent: Nutzen Sie Ihre Datenschutzerklärung auf der Karriere-Webseite, um Bewerber gemäß Art. 13 DSGVO über die Speicherdauer und ihre Rechte aufzuklären.
  • Dokumentieren Sie alles: Führen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten (VVT) sorgfältig und halten Sie es aktuell. Dies ist die Grundlage für Ihre Rechenschaftspflicht.
  • Prüfen Sie Ihre Software: Stellen Sie sicher, dass Ihre HR-Systeme die notwendigen Funktionen für ein automatisiertes und konformes Löschmanagement bieten.
  • Implementieren Sie umfassende Datenschutzstrategien: Die korrekte Löschung von Bewerberdaten ist nur ein Teilaspekt. Ein ganzheitlicher Ansatz zur Datensicherheit und zum Datenschutz schützt Ihr gesamtes Unternehmen.

Fazit: Rechtssicherheit im Bewerbermanagement mit MUNAS Consulting

Das Management von Bewerberdaten ist ein Balanceakt zwischen operativem Bedarf und strengen rechtlichen Vorgaben. Die Standard-Aufbewahrungsfrist von sechs Monaten nach Abschluss des Verfahrens bietet eine rechtssichere Grundlage zur Abwehr potenzieller AGG-Klagen. Für eine längere Speicherung in einem Talentpool ist eine explizite und DSGVO-konforme Einwilligung unerlässlich. Die Automatisierung von Löschprozessen ist dabei kein Luxus, sondern eine strategische Notwendigkeit zur Gewährleistung von Effizienz und Compliance. Eine professionelle Handhabung der Löschfrist für Bewerberdaten nach der DSGVO schützt Ihr Unternehmen vor Bußgeldern und stärkt Ihr Image als verantwortungsvoller Arbeitgeber.

Die Experten von MUNAS Consulting unterstützen Sie bei der Entwicklung und Implementierung eines maßgeschneiderten Löschkonzepts für Ihr Bewerbermanagement. Wir helfen Ihnen, Ihre HR-Prozesse datenschutzkonform zu gestalten, Ihre Mitarbeiter zu schulen und die richtigen technischen Weichen zu stellen, damit Sie sich auf das Wesentliche konzentrieren können: die besten Talente für Ihr Unternehmen zu finden.

Weiterführende Beiträge