Die DSGVO schreibt vor, dass Bewerberdaten grundsätzlich gelöscht werden müssen, sobald sie für den ursprünglichen Zweck nicht mehr erforderlich sind. Für abgelehnte Bewerber bedeutet dies meist eine Löschfrist von sechs Monaten nach Abschluss des Bewerbungsverfahrens. Bei eingestellten Kandidaten beginnt die Aufbewahrungsfrist erst mit Beendigung des Arbeitsverhältnisses. Unternehmen müssen dabei verschiedene Löschfristen beachten und können unter bestimmten Voraussetzungen Bewerberdaten länger aufbewahren.
Wie lange dürfen Bewerberdaten nach der DSGVO gespeichert werden?
Nach der DSGVO dürfen Bewerberdaten nur so lange gespeichert werden, wie sie für den ursprünglichen Verarbeitungszweck erforderlich sind. Die Rechtsgrundlage für die Verarbeitung von Bewerberdaten liegt in Artikel 6 Absatz 1 Buchstabe b DSGVO – der Vertragsanbahnung. Sobald das Bewerbungsverfahren abgeschlossen ist, entfällt diese Rechtsgrundlage.
Die allgemeine Löschpflicht tritt ein, wenn der Zweck der Datenverarbeitung wegfällt. Bei Bewerbungsverfahren ist dies normalerweise der Fall, wenn eine Stelle besetzt wurde oder das Auswahlverfahren anderweitig beendet ist. Unternehmen müssen dann alle Bewerberdaten löschen, es sei denn, es bestehen andere Rechtsgrundlagen für eine weitere Speicherung.
Eine Ausnahme bildet das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO. Hierbei müssen Unternehmen jedoch eine Interessenabwägung durchführen und dokumentieren, warum ihre Interessen die Grundrechte der Bewerber überwiegen. Dies ist nur in begrenzten Fällen zulässig, etwa bei der Aufbewahrung für zukünftige Stellenausschreibungen.
Was passiert mit Bewerberdaten von abgelehnten Kandidaten?
Bewerberdaten abgelehnter Kandidaten müssen grundsätzlich innerhalb von sechs Monaten nach Abschluss des Bewerbungsverfahrens gelöscht werden. Diese Frist hat sich in der Praxis als angemessen etabliert und berücksichtigt mögliche Nachfragen oder rechtliche Auseinandersetzungen bezüglich der Absage.
Eine längere Speicherung ist nur unter besonderen Umständen zulässig. Wenn Unternehmen sich auf ein berechtigtes Interesse berufen möchten, müssen sie dies vorab dokumentieren und den Bewerbern transparent mitteilen. Beispiele für berechtigte Interessen können sein:
- Aufbau eines Talentpools für ähnliche zukünftige Positionen
- Nachweis eines diskriminierungsfreien Auswahlverfahrens
- Verteidigung gegen mögliche rechtliche Ansprüche
In der praktischen Umsetzung bedeutet dies, dass moderne Bewerbungsmanagement-Systeme automatische Löschfunktionen benötigen. Unternehmen, die noch mit Excel-Listen und E-Mail-Postfächern arbeiten, haben hier oft Schwierigkeiten mit der DSGVO-konformen Verwaltung. Die Löschung muss dabei alle Systeme umfassen – von E-Mail-Anhängen über ausgedruckte Unterlagen bis hin zu Notizen in verschiedenen Dokumenten.
Wann müssen Bewerberdaten zwingend gelöscht werden?
Bewerberdaten müssen zwingend gelöscht werden, wenn Bewerber ihre Einwilligung widerrufen, die gesetzlichen Aufbewahrungsfristen ablaufen oder keine Rechtsgrundlage mehr für die Speicherung besteht. Dies kann jederzeit während oder nach dem Bewerbungsverfahren eintreten.
Konkrete Auslöser für eine Löschung sind:
- Widerruf der Einwilligung: Bewerber können jederzeit verlangen, dass ihre Daten gelöscht werden.
- Ablauf der Aufbewahrungsfrist: sechs Monate nach Verfahrensende bei abgelehnten Bewerbern.
- Wegfall des berechtigten Interesses: wenn die ursprünglichen Gründe für die Speicherung nicht mehr bestehen.
- Ausdrücklicher Löschantrag: Bewerber haben das Recht auf Löschung nach Artikel 17 DSGVO.
Praktische Beispiele für verschiedene Bewerbungsszenarien zeigen die Komplexität: Ein abgelehnter Bewerber für eine IT-Position kann nach drei Monaten die Löschung seiner Daten verlangen, auch wenn die Sechsmonatsfrist noch nicht abgelaufen ist. Bei einem eingestellten Mitarbeiter hingegen sind seine Bewerberdaten zu Personaldaten geworden, die anderen Aufbewahrungsfristen unterliegen.
Besonders kritisch wird es, wenn Unternehmen Bewerberdaten in verschiedenen Systemen gespeichert haben. Die Löschung muss vollständig erfolgen – von der ursprünglichen E-Mail über Kopien in Projektordnern bis hin zu Backup-Systemen.
Wie können Unternehmen Bewerberdaten DSGVO-konform verwalten?
Eine DSGVO-konforme Verwaltung von Bewerberdaten erfordert systematische Dokumentation, technische Schutzmaßnahmen und klare Prozesse für alle Phasen des Bewerbungsverfahrens. Kleine und mittelständische Unternehmen stehen hier vor besonderen Herausforderungen, da sie oft noch mit manuellen Prozessen arbeiten.
Die wichtigsten technischen und organisatorischen Maßnahmen umfassen:
- Zentrale Datenverwaltung: Alle Bewerberdaten an einem sicheren Ort sammeln.
- Automatisierte Löschfunktionen: Systeme einrichten, die nach Ablauf der Fristen automatisch löschen.
- Zugriffskontrolle: Nur berechtigte Personen erhalten Zugang zu Bewerberdaten.
- Dokumentation: Alle Verarbeitungsschritte und Rechtsgrundlagen schriftlich festhalten.
Bewerberrechte müssen dabei jederzeit gewährleistet sein. Dazu gehören das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Unternehmen müssen in der Lage sein, binnen 30 Tagen auf entsprechende Anfragen zu reagieren.
Für die praktische Implementierung in KMU empfiehlt sich ein schrittweises Vorgehen: zunächst alle bestehenden Bewerberdaten erfassen und bewerten, dann ein einheitliches System einführen und schließlich automatisierte Prozesse etablieren. Ein professionelles Bewerbermanagement-System kann dabei helfen, diese Anforderungen zu erfüllen und gleichzeitig den administrativen Aufwand zu reduzieren. Für weiterführende Unterstützung bei der Implementierung stehen auch Hilfe und Trainings zur Verfügung.
Wie onlyfy Bewerbungsmanager bei der DSGVO-konformen Verwaltung von Bewerberdaten hilft
onlyfy Bewerbungsmanager bietet eine umfassende Lösung für die DSGVO-konforme Verwaltung von Bewerberdaten und automatisiert alle kritischen Compliance-Prozesse. Die Software gewährleistet rechtssichere Datenverarbeitung von der ersten Bewerbung bis zur automatischen Löschung nach Ablauf der gesetzlichen Fristen:
- Automatische Löschfristen: Das System löscht Bewerberdaten automatisch nach sechs Monaten oder individuell festgelegten Zeiträumen
- Zentrale Datenverwaltung: Alle Bewerberdaten werden sicher an einem Ort gespeichert mit vollständiger Zugriffskontrolle
- Bewerberrechte-Management: Automatische Bearbeitung von Auskunfts-, Lösch- und Korrekturanträgen binnen gesetzlicher Fristen
- Compliance-Dokumentation: Vollständige Nachverfolgung aller Verarbeitungsschritte und Rechtsgrundlagen
- Talentpool-Funktion: Rechtskonforme Verwaltung von Bewerberdaten für zukünftige Positionen mit expliziter Einwilligung
Testen Sie die Demo des onlyfy Bewerbungsmanagers 30 Tage kostenlos und erleben Sie, wie einfach DSGVO-konforme Bewerberverwaltung sein kann – ohne Risiko und mit vollständiger Compliance-Sicherheit für Ihr Unternehmen. Bei Fragen zur Implementierung können Sie jederzeit Kontakt aufnehmen.
