Datenschutzinfo November 2025: Bewerbungen und der Datenschutz

Sie werden diese Situation kennen: Sie möchten in Ihrem Unternehmen eine Stelle besetzen und schreiben diese öffentlich aus. Jobportale, Social Media und vielleicht noch ganz „old school“ eine Zeitungsanzeige. Es dauert nicht lange und die ersten Bewerbungen kommen an. Neben vielen guten Bewerbungen finden sich einige, die aus der Masse herausstechen und in die engere Auswahl kommen.

Doch was ist mit „der übrigen Masse“? Viele dieser Kandidat:innen haben sich so gut präsentiert, dass Sie deren Daten ungern löschen möchten. Die Lösung ist ein Talentpool. Beim Aufbau einer solchen Bewerberdatenbank gibt es jedoch einige Dinge zu beachten. Wir zeigen Ihnen, welche das sind und wie Sie Ihren Talentpool datenschutzkonform aufbauen.

Auf ein Stellenangebot können viele Bewerbungen folgen, die es nicht in die engere
Auswahl schaffen. Auch hier gelten die Vorschriften der DS-GVO.

Grundsätzlich dient ein Bewerbungsverfahren zur Anbahnung eines Arbeitsvertrages. Die Verarbeitung der personenbezogenen Daten in diesem Verfahren erfolgt auf der Rechtsgrundlage des Artikel 6 Absatz 1 lit. b DS-GVO.

Nach einer Absage entfällt sofort die oben genannte Rechtsgrundlage. Die Daten der Bewerbenden sind in diesem Fall zu löschen. Zu den Fristen für die Löschung der Bewerbungsunterlagen kommen wir weiter unten in diesem Artikel. Damit scheidet Art. 6 Abs. 1 lit. b DS-GVO als Rechtsgrundlage für den Aufbau eines Talentpools aus.

Möchten Sie die Daten der Bewerbenden in einen Talentpool aufnehmen, benötigen Sie deren Einwilligung. Am einfachsten ist es, wenn Sie im Bewerbungsverfahren fragen, ob Interesse an einer Aufnahme in den Talentpool besteht. Wenn Kandidat:innen ihre Einwilligung geben, dürfen Sie die Daten über den eigentlichen Bewerbungsprozess hinaus speichern. Denken Sie bitte daran, die Einwilligung nachvollziehbar zu dokumentieren.

Bei Einwilligungen ist es wichtig, dass diese informiert erfolgen, um rechtswirksam zu sein. Die einwilligende Person muss den Umfang und die Tragweite der Einwilligung beurteilen und nachvollziehen können. Ist das nicht der Fall, ist die Einwilligung unter Umständen unwirksam. Die Grundlage hierfür ist Art. 6 Abs. 1 lit. a DS-GVO in Verbindung mit § 26 Abs. 2 BDSG.

Die Herausforderung für Sie: Eine Einwilligung kann jederzeit widerrufen werden. Wenn das geschieht, zwingt Sie dies erneut zum sofortigen Löschen der Daten.

Auf das Instrument des „berechtigten Interesses“ wird bei der Datenerhebung gerne zurückgegriffen. Schließlich lässt sich mit diesem Argument alles begründen. Lassen Sie sich von dieser unspezifischen Formulierung nicht täuschen. Auch ein berechtigtes Interesse müssen Sie sehr gut begründen (und dokumentieren) können.
Möchten Sie die Daten der Bewerbenden in den Talentpool aufnehmen, gibt es durchaus ein berechtigtes Interesse. Denn die Bewerbungen waren so überzeugend, dass sich diese Personen für andere Positionen in Ihrem Unternehmen eignen können.

Nun greift jedoch noch ein anderer Grundsatz: Das Gebot der Datensparsamkeit. Sie dürfen nur die Daten speichern, die absolut notwendig für eine spätere Kontaktaufnahme sind. Eine umfassende Speicherung aller Bewerbungsdaten ist nicht zulässig, da die schutzwürdigen Interessen des Bewerbenden überwiegen.

Zusammenfassend: Holen Sie die Einwilligung der Kandidat:innen ein. Dies ist die beste Möglichkeit, Bewerbungsunterlagen über das Bewerbungsverfahren hinaus zu speichern.
Wie lange dürfen die Daten gespeichert bleiben?
Wie für alle anderen Daten gilt auch für Bewerberdaten: Ist der Zweck ihrer Erhebung nicht mehr gegeben, sind sie zu löschen. Zu beachten sind hier jedoch noch andere Fristen. Das Allgemeine Gleichbehandlungsgesetz erlaubt das Erheben von Ansprüchen von Beschwerdeführenden von bis zu vier Monaten nach der Absage. Mit einem allgemein akzeptierten Puffer von weiteren zwei Monaten ergibt sich so eine 6-monatige Aufbewahrung nach einer Absage.

Haben Sie jedoch eine Einwilligung der Bewerbenden eingeholt, dürfen Sie die Daten auch länger vorhalten. Theoretisch dürfen Sie die Daten so lange aufbewahren, bis die Einwilligung widerrufen wird. Ob zwei Jahre alte Bewerberdaten jedoch nützlich sind, darf allerdings bezweifelt werden. Daher empfehlen wir, die Aufbewahrung im Talentpool auf eine bestimmte Zeit zu definieren. Diese Aufbewahrungszeit sollten Sie dem Bewerbenden auch in der Einwilligung kommunizieren.

Die Versuchung ist groß. Sie übergeben alle eingehenden Bewerbungen einer künstlichen Intelligenz und diese liefert binnen Sekunden eine Bewertung sowie Empfehlungen.

Unser Tipp: Machen Sie das nicht. Denn es gibt einige durchaus ernstzunehmende Herausforderungen bei diesem Thema.

Der Datenschutz
Bewerberdaten sind personenbezogene Daten. Diese dürfen Sie unter keinen Umständen an ein öffentliches KI-System wie beispielsweise ChatGPT übergeben. Dies ist ein direkter Verstoß gegen die DS-GVO. Wenn Sie Bewerberdaten mit einer KI verarbeiten möchten, kommt nur ein lokales System in Betracht.

Die KI-Verordnung
Seit 2024 gilt die KI-Verordnung. Sie schreibt sehr genau vor, was mit KI geschehen darf und was nicht. Zudem ordnet sie KI-Systeme bestimmten Risikogruppen zu. Alle KI-Systeme aus dem HR-Bereich sind dabei grundsätzlich Hochrisikosysteme. Das bedeutet, dass für diese Systeme nach der Übergangsfrist ab August 2026 strenge Anforderungen gelten. Ständige menschliche Überwachung, Aufbewahrungspflichten für erzeugte Protokolle und Datenschutz- sowie Risikofolgenabschätzung sind nur einige davon. Verstöße gegen die KI-VO können mit Bußgeldern geahndet werden, die in ähnlichen Bereichen liegen wie solche bei Datenschutzverstößen.

Sie sehen: es spricht nichts dagegen, dass Sie aus dem Kreise der Bewerbenden einen Talentpool aufbauen. Es gibt nur ein paar einfache Regeln, die Sie beachten sollten. Die Grundlage für alles ist die Einwilligung der Bewerbenden. Wenn diese vorliegt, achten Sie auf eine deutliche Begrenzung der Speicherfrist. Halten Sie sich an das Gebot der Datensparsamkeit. Und gestalten Sie die Speicherung und Verarbeitung der Daten für die Bewerbenden transparent.

Haben Sie Fragen zu diesem Thema? Das Datenschutz-Team der @-yet hilft Ihnen gerne weiter.