Bewerberdaten Datenschutz: Bewerbungen DSGVO-konform bearbeiten

Einordnung

Bewerberdaten Datenschutz: Worum geht es?

Bewerbungen sind datenschutzrechtlich besonders relevant, weil sie einen tiefen Einblick in Lebenslauf, Qualifikation, persönliche Situation und berufliche Entwicklung geben.

Schon der Eingang einer Bewerbung löst organisatorische Pflichten aus: Die Daten müssen sicher entgegengenommen, nur berechtigten Personen zugänglich gemacht, für den richtigen Zweck verwendet und nach Abschluss des Verfahrens wieder gelöscht oder datenschutzgerecht aufbewahrt werden.

Typische Fehler entstehen, wenn Bewerbungen offen per E-Mail weitergeleitet werden, Fachbereiche zu breite Zugriffe erhalten, Absagen ohne Löschfrist abgelegt werden oder Initiativbewerbungen ungeprüft in informellen Ordnern liegen bleiben.

Datenschutz im Bewerbungsverfahren bedeutet deshalb nicht nur eine Datenschutzerklärung. Es geht um den gesamten Ablauf von der Stellenausschreibung bis zur Einstellung oder Löschung.

Datenarten

Welche Bewerberdaten werden verarbeitet?

Im Bewerbungsverfahren können sehr unterschiedliche personenbezogene Daten verarbeitet werden.

Rechtsgrundlagen

Welche Rechtsgrundlagen kommen in Betracht?

Für private Arbeitgeber ist regelmäßig § 26 BDSG in Verbindung mit der DSGVO wichtig. Danach dürfen personenbezogene Daten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, soweit dies insbesondere für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist.

Daneben können je nach Fall Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO, Art. 6 Abs. 1 lit. f DSGVO oder besondere gesetzliche Pflichten eine Rolle spielen.

Bei bayerischen öffentlichen Stellen gelten zusätzlich besondere beamten-, tarif-, haushalts- und datenschutzrechtliche Vorschriften. Hier muss die jeweilige öffentliche Aufgabe und das einschlägige Fachrecht geprüft werden.

Eine Einwilligung ist im Bewerbungsverfahren nur mit Vorsicht zu verwenden. Wegen der Abhängigkeitssituation und des Bewerbungsdrucks ist stets zu prüfen, ob sie wirklich freiwillig ist und ob nicht eine andere Rechtsgrundlage vorrangig passt.

Transparenz

Informationspflichten nach Art. 13 DSGVO

Bewerberinnen und Bewerber müssen darüber informiert werden, wie ihre personenbezogenen Daten im Bewerbungsverfahren verarbeitet werden.

Die Informationen sollten insbesondere enthalten: Verantwortlicher, Datenschutzbeauftragter, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte, Beschwerderecht und gegebenenfalls Hinweise zu Dienstleistern oder Bewerbungsportalen.

Praktisch kann die Information direkt in der Ausschreibung verlinkt, als PDF bereitgestellt oder spätestens in der Eingangsbestätigung zur Verfügung gestellt werden.

Wichtig ist, dass der Hinweis leicht auffindbar ist. Ein versteckter Link irgendwo in der allgemeinen Datenschutzerklärung reicht regelmäßig nicht aus.

Zugriff

Wer darf Bewerberdaten intern sehen?

Bewerberdaten dürfen intern nur Personen sehen, die sie für das Bewerbungsverfahren tatsächlich benötigen.

Typischerweise sind das Personalabteilung, zuständige Führungskraft, Fachbereich, gegebenenfalls Personalrat, Gleichstellungsbeauftragte, Schwerbehindertenvertretung oder andere gesetzlich beteiligte Stellen.

Die Weitergabe an ganze Teams, allgemeine Verteiler oder nicht beteiligte Beschäftigte ist regelmäßig problematisch.

Auch Gesprächsnotizen und Bewertungen müssen sachlich, zweckbezogen und nachvollziehbar bleiben. Unnötige persönliche Wertungen oder Kommentare gehören nicht in Bewerbungsunterlagen.

Technik

E-Mail-Bewerbungen und Bewerbungsportale

Bewerbungen per E-Mail sind praktisch, aber datenschutzrechtlich nicht risikofrei. Anlagen enthalten oft viele personenbezogene Daten und sollten nicht unkontrolliert weitergeleitet oder dauerhaft in Postfächern gespeichert werden.

Wenn Bewerbungen per E-Mail angenommen werden, sollten klare Postfächer, Berechtigungen, Löschregeln und sichere Weiterleitungswege festgelegt werden.

Bewerbungsportale können organisatorisch helfen, müssen aber technisch sauber abgesichert sein. Dazu gehören insbesondere Zugriffskonzepte, Protokollierung, Löschfristen, sichere Authentifizierung und ein geprüfter Vertrag mit dem Anbieter.

Wenn verschlüsselte Kommunikation angeboten wird, sollte sie verständlich beschrieben und praktisch nutzbar sein.

Dritte

Personaldienstleister und externe Anbieter

Werden Personaldienstleister, Bewerbungsplattformen, Eignungstest-Anbieter, Videointerview-Tools oder sonstige externe Dienstleister eingebunden, muss die datenschutzrechtliche Rolle geklärt werden.

Häufig liegt eine Auftragsverarbeitung vor. Dann ist ein Vertrag nach Art. 28 DSGVO erforderlich.

In anderen Konstellationen kann der Dienstleister eigenständig verantwortlich oder gemeinsam verantwortlich sein. Das hängt von den tatsächlichen Entscheidungsbefugnissen und Zwecken ab.

Bewerberinnen und Bewerber müssen über relevante Empfänger oder Kategorien von Empfängern informiert werden. Eine verdeckte Weitergabe an externe Stellen ist zu vermeiden.

Bewerberpool

Bewerberpool: Nur mit sauberer Grundlage

Viele Arbeitgeber möchten interessante Bewerbungen für spätere Stellen speichern. Das ist nicht automatisch vom ursprünglichen Bewerbungsverfahren gedeckt.

Wenn Bewerberdaten nach Abschluss des konkreten Verfahrens für einen Bewerberpool gespeichert werden sollen, braucht es eine eigene Rechtsgrundlage. In der Praxis wird hierfür häufig eine freiwillige, informierte Einwilligung verwendet.

Die Einwilligung sollte klar getrennt vom eigentlichen Bewerbungsverfahren eingeholt werden. Es muss erkennbar sein, für welchen Zeitraum die Daten gespeichert werden, für welche Stellen sie genutzt werden und dass ein Widerruf möglich ist.

Ohne solche Grundlage sollten Bewerberdaten nach Ablauf der erforderlichen Aufbewahrungsfrist gelöscht werden.

Speicherdauer

Löschung und Aufbewahrung nach Abschluss des Verfahrens

Bewerberdaten dürfen nach Abschluss des Bewerbungsverfahrens nicht unbegrenzt gespeichert werden.

Bei erfolglosen Bewerbungen wird in der Praxis häufig eine Aufbewahrung bis zu sechs Monate nach Absage verwendet. Hintergrund ist insbesondere die Verteidigung gegen mögliche Ansprüche aus dem Bewerbungsverfahren.

Während dieser Zeit sollte die Verarbeitung auf das Erforderliche beschränkt sein. Danach sind Bewerbungsunterlagen zu löschen oder Papierunterlagen datenschutzgerecht zu vernichten, sofern kein besonderer Grund für eine weitere Speicherung besteht.

Bei erfolgreicher Bewerbung dürfen erforderliche Unterlagen in die Personalakte übernommen werden. Nicht erforderliche Bewerbungsdaten sollten auch dann nicht dauerhaft übernommen werden.

Wichtig ist ein Löschkonzept, das sowohl Bewerbungsportale als auch E-Mail-Postfächer, lokale Ablagen, Ausdrucke und Notizen berücksichtigt.

Sensible Daten

Besondere Kategorien personenbezogener Daten

Im Bewerbungsverfahren können besondere Kategorien personenbezogener Daten auftreten, etwa Gesundheitsdaten, Angaben zu Behinderung, Gewerkschaftszugehörigkeit oder religiöse Angaben.

Solche Daten unterliegen Art. 9 DSGVO und dürfen nur unter zusätzlichen Voraussetzungen verarbeitet werden.

Arbeitgeber sollten deshalb sehr genau prüfen, welche Angaben sie wirklich benötigen. Fragen oder Nachweise dürfen nicht aus bloßer Neugier oder Routine erhoben werden.

Wenn besondere gesetzliche Beteiligungsrechte bestehen, etwa bei Schwerbehindertenvertretung oder Gleichstellungsfragen, müssen die dafür erforderlichen Daten geschützt und zugriffsbeschränkt verarbeitet werden.

Neue Risiken

KI im Bewerbungsverfahren

KI-gestützte Verfahren im Recruiting können zusätzliche Risiken auslösen, etwa bei automatisierter Vorauswahl, Ranking, Analyse von Lebensläufen, Videointerviews oder Eignungsbewertungen.

Datenschutzrechtlich sind dabei insbesondere Transparenz, Rechtsgrundlage, Datenminimierung, Diskriminierungsrisiken, Nachvollziehbarkeit, menschliche Kontrolle und mögliche automatisierte Entscheidungen zu prüfen.

Zusätzlich kann der EU AI Act relevant werden. KI-Systeme, die für Rekrutierung oder Auswahl natürlicher Personen eingesetzt werden, können als Hochrisiko-Systeme eingeordnet sein.

Für kleine Unternehmen und Kommunen ist die praktische Empfehlung klar: Keine KI-Tools mit Bewerberdaten einsetzen, ohne Datenschutzprüfung, Anbieterprüfung, Rollenklärung, Dokumentation und klare interne Freigabe.

Öffentliche Stellen

Besonderheiten für Kommunen

Kommunen müssen im Bewerbungsverfahren nicht nur die DSGVO beachten, sondern auch beamten-, tarif-, haushalts-, gleichstellungs- und kommunalrechtliche Vorgaben.

Bei Stellenbesetzungen können neben Personalverwaltung und Fachbereich auch Personalrat, Gleichstellungsbeauftragte, Schwerbehindertenvertretung oder kommunale Gremien beteiligt sein.

Gerade bei Gemeinderat oder Ausschüssen ist darauf zu achten, dass Bewerberdaten nur im erforderlichen Umfang offengelegt und nicht unnötig in Sitzungsunterlagen, Protokollen oder Verteilerkreisen verbreitet werden.

Bei öffentlichen Stellenausschreibungen sollten Datenschutzhinweise leicht zugänglich sein. Ein Direktlink in der Ausschreibung und eine Alternative für Personen ohne einfachen Internetzugang sind praktisch sinnvoll.

Nichtöffentliche Stellen

Besonderheiten für Unternehmen und Vereine

Unternehmen und Vereine sollten Bewerbungsprozesse nicht nur fachlich, sondern auch datenschutzorganisatorisch strukturieren.

Wichtig sind klare Zuständigkeiten, ein gesichertes Bewerberpostfach, ein Berechtigungskonzept, Datenschutzhinweise, Vorgaben zur internen Weitergabe, ein Löschkonzept und geprüfte Dienstleister.

Für Unternehmen in Bayern ist der BayLDA die zuständige Aufsichtsbehörde. Seine Hinweise zum Umgang mit Bewerberdaten sind deshalb besonders relevant.

Gerade kleinere Betriebe sollten vermeiden, Bewerbungen dauerhaft in privaten Postfächern, lokalen Ordnern, Messenger-Verläufen oder informellen Team-Chats aufzubewahren.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD behandelt Bewerberdaten ausdrücklich im Zusammenhang mit der Personalverwaltung bayerischer öffentlicher Stellen.

Nach seiner Linie entstehen bei Bewerbungen auf eine Stellenausschreibung Informationspflichten nach Art. 13 DSGVO. Öffentliche Stellen müssen Bewerberinnen und Bewerbern die Informationen vollständig und leicht zugänglich bereitstellen.

Werden Datenschutzhinweise im Internet bereitgestellt, muss darauf ausdrücklich hingewiesen werden. Außerdem sollen sie über einen Direktlink oder einfache Navigationshinweise erreichbar sein. Bei schriftlichen Bewerbungen ist regelmäßig auch ein alternativer Bezugsweg anzugeben.

Der BayLfD hält es außerdem für sinnvoll, bereits bei Eingang einer Initiativbewerbung über die Datenverarbeitung zu informieren, auch wenn erst später weitere Daten erhoben werden.

In eigenen Datenschutzhinweisen zu Bewerbungen nennt der BayLfD für erfolglose Bewerbungen eine Löschung spätestens sechs Monate nach Absage.

Unternehmen in Bayern

Was sagt der BayLDA?

Der BayLDA hat den Umgang von Unternehmen mit Bewerberdaten in einer Datenschutzprüfung aufgegriffen. Anlass waren wiederkehrende Anfragen und Beschwerden zum Thema Bewerberdaten.

Die Prüfung betraf unter anderem die Frage, wie lange Bewerberdaten nach Abschluss des Bewerbungsverfahrens aufbewahrt werden, ob interne Weitergaben geregelt sind und ob Bewerberinnen und Bewerber bei Weitergabe an Dritte, etwa Personaldienstleister, rechtzeitig informiert werden.

Außerdem betrachtete der BayLDA technische Datenschutzfragen, etwa die Absicherung von Bewerbungsplattformen und Verschlüsselungsmöglichkeiten bei E-Mail-Bewerbungen.

Für Unternehmen bedeutet das: Der Umgang mit Bewerberdaten ist kein reines Personalthema. Datenschutz, IT-Sicherheit, Dienstleistersteuerung und Löschung müssen gemeinsam geregelt werden.

Praxisfehler

Typische Fehler beim Umgang mit Bewerberdaten

Orientierung

Orientierungsfragen für die Praxis

Die folgenden Fragen erleichtern die erste Prüfung des Bewerbungsverfahrens. Rechtsgrundlage, Empfänger, Speicherdauer und eingesetzte Dienstleister sind konkret zu bewerten.

Häufige Fragen

FAQ zu Bewerberdaten und Datenschutz

Ergebnis

Fazit

Bewerberdaten brauchen einen klaren Prozess. Entscheidend sind transparente Information, passende Rechtsgrundlage, begrenzte Zugriffe, sichere Kommunikation, geprüfte Dienstleister und rechtzeitige Löschung.

Für Kommunen sind die Hinweise des BayLfD zur Personalverwaltung und zu Art. 13 DSGVO besonders wichtig. Für Unternehmen in Bayern sollte zusätzlich der BayLDA berücksichtigt werden.

Wer Bewerbungsverfahren sauber organisiert, reduziert nicht nur Datenschutzrisiken, sondern auch Konflikte bei Absagen, Auskunftsanfragen und Beschwerden.

Weiterlesen

Passende Themen auf der Website

Nachweise

Quellen