Ein abgelehnter Bewerber schreibt ein halbes Jahr nach der Absage eine kurze E-Mail: "Bitte teilen Sie mir mit, welche Daten Sie noch über mich gespeichert haben." Wer jetzt feststellt, dass die komplette Bewerbung inklusive Lebenslauf, Zeugnissen und internen Notizen noch im Postfach der Personalleitung und auf einem Netzlaufwerk liegt, hat ein Problem. Nicht wegen der Auskunft selbst, sondern weil die Daten längst gelöscht sein müssten.
Der Bewerbungsprozess ist einer der datenschutzrechtlich heikelsten Vorgänge im Unternehmen. Es fließen viele personenbezogene Daten, oft auch sensible, die meisten Verfahren enden mit einer Absage, und genau dann beginnt die Pflicht zum Löschen. Dieser Artikel erklärt, auf welcher Rechtsgrundlage Sie Bewerberdaten verarbeiten dürfen, wie lange Sie sie aufheben dürfen, was mit besonderen Datenkategorien passiert und wie ein praktikables Löschkonzept für Ihren Betrieb aussieht. Stand: 2026-10-19.
Bewerberdaten DSGVO: das Wichtigste zuerst
Bewerberdaten dürfen Sie nur für das Bewerbungsverfahren und dessen Abwicklung verarbeiten, in der Regel gestützt auf Art. 6 Abs. 1 lit. b DSGVO. Nach einer Absage gilt eine Aufbewahrung von sechs Monaten als anerkannte Obergrenze, abgeleitet aus den Klagefristen des AGG. Danach müssen Sie löschen, es sei denn, der Bewerber willigt ausdrücklich in eine längere Speicherung ein.
Für Personalverantwortliche heißt das: Jede Bewerbung hat eine eingebaute Verfallszeit. Sie beginnt mit dem Ende des Verfahrens und läuft automatisch, ganz gleich, ob jemand daran denkt oder nicht. Das Problem der meisten Betriebe ist nicht die Rechtslage, sondern dass die Löschung organisatorisch niemand verantwortet. Bewerbungen bleiben in Postfächern, auf Laufwerken und in Bewerbermanagement-Systemen liegen, weil kein fester Ablauf sie zum richtigen Zeitpunkt entfernt.
Ein Bewerber ist datenschutzrechtlich eine betroffene Person mit allen Rechten aus der DSGVO: Auskunft, Berichtigung, Löschung. Gerade das Auskunftsersuchen nach Art. 15 DSGVO wird nach einer Absage häufig gestellt und deckt dann schonungslos auf, ob Ihr Betrieb seine Daten im Griff hat.
Auf welcher Rechtsgrundlage Sie Bewerberdaten verarbeiten
Die Verarbeitung von Bewerberdaten zur Durchführung des Auswahlverfahrens stützen Sie in aller Regel auf Art. 6 Abs. 1 lit. b DSGVO: Die Datenverarbeitung ist zur Anbahnung eines Arbeitsvertrags erforderlich. Für die anschließende Aufbewahrung zur Verteidigung gegen mögliche Ansprüche kommt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) in Betracht, für den Talent-Pool die ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Viele Vorlagen nennen hier reflexhaft § 26 BDSG. Das ist seit einem wichtigen Urteil mit Vorsicht zu genießen. Der Europäische Gerichtshof hat am 30. März 2023 (Rechtssache C-34/21) entschieden, dass eine nationale Vorschrift zum Beschäftigtendatenschutz nur dann zulässig ist, wenn sie gegenüber der DSGVO wirklich "spezifischer" ist und nicht nur deren Grundsätze wiederholt. § 26 Abs. 1 Satz 1 BDSG erfüllt das nach überwiegender Auffassung nicht und ist als eigenständige Generalklausel damit nicht mehr tragfähig. Die Konsequenz: Arbeitgeber müssen für die Verarbeitung im Beschäftigtenkontext, zu dem Bewerber ausdrücklich gehören, unmittelbar auf die Erlaubnistatbestände der DSGVO zurückgreifen.
Für die Praxis ändert sich dadurch weniger, als der juristische Streit vermuten lässt. Die erlaubten Zwecke bleiben dieselben, nur die Begründung verschiebt sich von § 26 BDSG hin zu Art. 6 DSGVO direkt. Wichtig ist, dass Ihre Datenschutzhinweise für Bewerber und Ihr Verzeichnis von Verarbeitungstätigkeiten die richtige Rechtsgrundlage nennen.
Datensparsamkeit: nur erheben, was die Stelle verlangt
Sie dürfen im Bewerbungsverfahren nur die Daten erheben, die für die Beurteilung der Eignung tatsächlich nötig sind. Das folgt aus dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Fragen nach Schwangerschaft, Religion, Familienplanung, Gesundheitszustand oder Gewerkschaftszugehörigkeit sind unzulässig, wenn sie keinen zwingenden Bezug zur ausgeschriebenen Tätigkeit haben.
Das betrifft schon die Gestaltung Ihrer Stellenanzeigen und Bewerbungsformulare. Ein Pflichtfeld nach dem Geburtsdatum, der Konfession oder dem Familienstand ist in den meisten Fällen nicht erforderlich und sollte nicht abgefragt werden. Je weniger Sie erheben, desto weniger müssen Sie später schützen und löschen. Datensparsamkeit ist hier kein abstraktes Prinzip, sondern senkt konkret Ihren Aufwand und Ihr Risiko.
Besondere Vorsicht gilt bei Angaben, die der Bewerber freiwillig und unaufgefordert mitschickt. Ein Lebenslauf mit Foto, ein Hinweis auf eine Schwerbehinderung oder ein ehrenamtliches Engagement in einer religiösen Organisation: Solche Informationen landen oft ungefragt in Ihrem Postfach. Sie müssen sie nicht aktiv verwerten und sollten alles, was für die Stelle nicht relevant ist, bei der weiteren Verarbeitung ausblenden und spätestens zum Löschzeitpunkt mitentfernen.
Besondere Kategorien: Gesundheit, Religion, Herkunft
Angaben zu Gesundheit, ethnischer Herkunft, Religion, politischer Meinung, Gewerkschaftszugehörigkeit, Sexualleben oder biometrische Daten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt. Im Bewerbungsprozess bedeutet das: nicht abfragen, nur im eng begrenzten Ausnahmefall verarbeiten und bei der Löschung vorrangig behandeln.
Zu den Gesundheitsdaten zählen zum Beispiel Diagnosen, Krankmeldungen, der Grad einer Behinderung, Allergien oder eine Schwangerschaft. Eine Verarbeitung dieser Daten ist nur zulässig, wenn eine der Ausnahmen des Art. 9 Abs. 2 DSGVO greift, etwa eine ausdrückliche Einwilligung oder eine zwingende arbeitsrechtliche Erforderlichkeit. Der Klassiker ist die Schwerbehinderung: Sie kann für Pflichtquoten und Zusatzurlaub relevant sein, Sie dürfen sie aber erst im passenden Moment und nur zum passenden Zweck verarbeiten, nicht einfach, weil die Kopie des Ausweises in der Bewerbung lag.
Wenn ein Bewerber solche Daten unaufgefordert mitschickt, löschen Sie die nicht benötigten Teile möglichst früh. Was Sie wirklich für das Verfahren brauchen, verarbeiten Sie mit der passenden Ausnahme, alles andere gehört entfernt. Bei der späteren Löschung der Gesamtbewerbung haben diese sensiblen Daten Priorität.
Quelle: Verordnung (EU) 2016/679 (DSGVO)
Wie lange Sie Bewerberdaten aufbewahren dürfen
Nach Abschluss des Bewerbungsverfahrens gilt eine Aufbewahrung von bis zu sechs Monaten als in der Praxis anerkannte Obergrenze. Diese Frist ergibt sich nicht aus der DSGVO selbst, sondern aus dem Allgemeinen Gleichbehandlungsgesetz: Ein abgelehnter Bewerber kann innerhalb von zwei Monaten Ansprüche wegen Diskriminierung geltend machen und danach klagen. Für diese Zeit haben Sie ein berechtigtes Interesse, die Unterlagen zur Verteidigung aufzuheben.
Die Rechnung dahinter: Nach § 15 Abs. 4 AGG muss ein Anspruch wegen Benachteiligung innerhalb von zwei Monaten schriftlich geltend gemacht werden. Wird er geltend gemacht, bleiben nach § 61b Abs. 1 ArbGG weitere drei Monate, um Klage beim Arbeitsgericht zu erheben. Zwei plus drei Monate plus ein kleiner Sicherheitspuffer ergeben die etablierte Sechsmonatsfrist. Sie ist damit kein starrer Gesetzeswert, sondern eine sachlich begründete Obergrenze, die Datenschutzbehörden und Gerichte akzeptieren.
Wichtig ist, was nach Ablauf der Frist passiert: Dann fehlt die Rechtsgrundlage für die weitere Speicherung, und Sie müssen löschen. Ausnahmen gelten nur in klar umrissenen Fällen, etwa wenn ein konkreter Rechtsstreit läuft oder absehbar bevorsteht. Diese Ausnahme sollten Sie dokumentieren, damit Sie im Zweifel begründen können, warum die Daten länger vorgehalten wurden.
| Löschen nach spätestens sechs Monaten | Daten unbegrenzt behalten |
|---|---|
Pro
| Pro
|
Contra
| Contra
|
Der Talent-Pool: nur mit Einwilligung
Wenn Sie eine interessante Bewerbung über die Sechsmonatsfrist hinaus für künftige Stellen behalten möchten, brauchen Sie dafür die ausdrückliche Einwilligung des Bewerbers nach Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung fehlt nach Fristablauf die Rechtsgrundlage, und das Behalten "für den Fall der Fälle" ist ein klarer Verstoß gegen die Speicherbegrenzung.
Die Einwilligung muss freiwillig, informiert und nachweisbar sein. Praktisch heißt das: Fragen Sie nach der Absage getrennt und verständlich, ob der Bewerber in die Aufnahme in Ihren Bewerberpool einwilligt. Nennen Sie die Speicherdauer konkret (üblich sind ein bis zwei Jahre), erklären Sie den Zweck und weisen Sie auf das jederzeitige Widerrufsrecht hin. Dokumentieren Sie die Einwilligung so, dass Sie sie später belegen können, denn die Nachweispflicht liegt bei Ihnen.
Ausblick: das geplante Beschäftigtendatengesetz
Die Rechtslage im Beschäftigtendatenschutz ist in Bewegung. Nach dem EuGH-Urteil zu § 26 BDSG arbeitet der Gesetzgeber an einem eigenen Beschäftigtendatengesetz (BeschDG), das für mehr Rechtssicherheit sorgen soll. Ein Referentenentwurf lag am 8. Oktober 2024 vor, scheiterte aber zunächst am Ende der damaligen Koalition. Ein neuer Anlauf ist angekündigt, verabschiedet ist das Gesetz zum Stand dieses Artikels nicht.
Für Bewerberdaten ist eine Regelung besonders relevant: Der Entwurf sah vor, Bewerberdaten grundsätzlich spätestens drei Monate nach einer Absage zu löschen, mit Ausnahmen für laufende oder absehbare Rechtsstreitigkeiten und für die Speicherung mit Einwilligung. Das wäre eine deutliche Verkürzung gegenüber der heute üblichen Sechsmonatsfrist. Da das Gesetz noch nicht in Kraft ist, bleibt die Sechsmonatsfrist vorerst der anerkannte Standard. Wer sein Löschkonzept jetzt sauber aufsetzt, ist für eine spätere Verkürzung aber gut vorbereitet.
Quelle: Bundesministerium für Arbeit und Soziales: Gesetzesvorhaben Beschäftigtendatengesetz (BeschDG)
Bewerberdaten sicher empfangen und ablegen
Datenschutz im Bewerbungsprozess ist nicht nur eine Frage von Fristen, sondern auch von Technik und Organisation. Bewerbungen enthalten viele personenbezogene Daten und müssen entsprechend geschützt werden (Art. 32 DSGVO). Die größten praktischen Schwachstellen sind verstreute Postfächer, zu weite Zugriffsrechte und Kopien, die niemand mehr auf dem Schirm hat.
Der häufigste Fehler ist, dass Bewerbungen in den privaten Outlook-Postfächern einzelner Mitarbeitender landen und von dort weitergeleitet werden. So entstehen unkontrollierte Kopien, die beim Löschen regelmäßig übersehen werden. Besser ist ein zentrales, zugriffsbeschränktes Bewerbungspostfach, auf das nur die wirklich zuständigen Personen zugreifen, und eine geordnete Ablage, in der jede Bewerbung genau einmal liegt. In Microsoft 365 lässt sich das mit einem gemeinsamen Postfach und einer abgesicherten SharePoint- oder Teams-Ablage sauber umsetzen.
- Zentrales Bewerbungspostfach einrichtenRichten Sie eine Adresse wie bewerbung@ihr-unternehmen.de als gemeinsames Postfach ein, auf das nur die zuständigen Personen zugreifen. Keine Weiterleitung an private Posteingänge. So gibt es eine einzige, kontrollierte Eingangsstelle.
- Zugriffsrechte eng fassenLegen Sie fest, wer Bewerbungen sehen darf: Personalverantwortung und die jeweilige Fachabteilung. Andere Mitarbeitende brauchen keinen Zugriff. Entziehen Sie Rechte, sobald eine Person nicht mehr am Verfahren beteiligt ist.
- Eine Ablage statt vieler KopienBewahren Sie jede Bewerbung an genau einem Ort auf, etwa in einem geschützten Ordner pro Stelle. Vermeiden Sie Downloads auf lokale Rechner und USB-Sticks, weil solche Kopien beim Löschen übersehen werden.
- Löschtermin pro Bewerbung festhaltenNotieren Sie für jede Absage das Datum, an dem gelöscht werden muss (Ende des Verfahrens plus sechs Monate). Ein einfacher Kalendereintrag oder eine Spalte in der Bewerberliste genügt, damit die Frist nicht vergessen wird.
- Vollständig löschen, auch aus Backups bedenkenLöschen Sie die Bewerbung aus dem Postfach, der Ablage und dem Bewerbermanagement. Klären Sie mit Ihrer IT, wie mit Backups umzugehen ist: Produktivdaten werden gelöscht, in rollierenden Backups verfallen sie nach dem normalen Backup-Zyklus.
Backups sind dabei ein Sonderthema. Eine Löschung muss nicht bedeuten, dass Sie jedes einzelne Backup-Band durchsuchen. Maßgeblich ist, dass die Daten aus den produktiv genutzten Systemen entfernt werden und aus rollierenden Sicherungen im normalen Zyklus herausfallen. Wichtig ist, dass dieser Umgang dokumentiert und mit Ihrem Backup-Konzept abgestimmt ist.
Ein praktikables Löschkonzept für Ihren Betrieb
Der wirksamste Schutz ist ein einfaches, schriftliches Löschkonzept, das festlegt, welche Daten wann und von wem gelöscht werden. Es muss nicht umfangreich sein. Für Bewerberdaten reichen wenige klare Regeln, die jeder im Team versteht und die auch dann greifen, wenn die zuständige Person im Urlaub ist.
Ein tragfähiges Löschkonzept für Bewerberdaten beantwortet vier Fragen: Welche Daten fallen an und wo liegen sie? Wann endet das Verfahren und wann läuft die Frist ab? Wer ist für die Löschung verantwortlich? Und wie wird die Löschung dokumentiert? Wenn Sie diese vier Punkte schriftlich festhalten, haben Sie bereits das Wesentliche. Das Konzept ist zugleich ein Baustein Ihrer allgemeinen DSGVO-Pflichten als KMU und sollte sich in Ihrem Verarbeitungsverzeichnis wiederfinden.
| Praxis | Setup einmalig | Pauschale monatlich |
|---|---|---|
Kleiner Betrieb, Bewerbungen per E-Mail zentrales Bewerbungspostfach, geschützte Ablage in Microsoft 365 | einmalige Einrichtung von Postfach, Zugriffsrechten und Löschkonzept | in der IT-Pauschale enthalten |
Mehrere Standorte, strukturierter Recruiting-Prozess einheitliche Zugriffsrechte und Fristen, zentral verwaltet | Einrichtung inkl. Rollen- und Löschkonzept über Standorte hinweg | laufende Betreuung in der Pauschale |
Orientierungswerte. Die tatsächliche Pauschale berechnet ITCC nach Infrastrukturanalyse.
Wenn Sie neue Mitarbeitende einstellen, geht der Datenschutz übrigens nahtlos weiter: Aus Bewerberdaten werden Personaldaten mit eigenen Fristen und Zugriffsregeln. Wie Sie diesen Übergang und die technische Einrichtung sauber gestalten, behandelt der Beitrag zum Onboarding und Offboarding von Mitarbeitenden.
Wie ITCC dabei unterstützt
ITCC ist Ihr externer IT-Dienstleister, kein Anwalt und keine Datenschutzkanzlei. Die rechtliche Bewertung Ihrer Bewerber-Datenschutzhinweise und die Formulierung von Einwilligungen überlassen wir datenschutzrechtlichen Partnern. Was wir liefern, ist die technische und organisatorische Grundlage, ohne die kein Löschkonzept im Alltag funktioniert.
Konkret heißt das: Wir richten ein zentrales Bewerbungspostfach und eine abgesicherte Ablage in Microsoft 365 ein, setzen die Zugriffsrechte so, dass nur die zuständigen Personen die Unterlagen sehen, und sorgen dafür, dass Löschungen vollständig greifen, auch mit Blick auf Ihre Backups. So wird aus der Sechsmonatsfrist eine planbare Routine statt einer Lücke, die beim nächsten Auskunftsersuchen auffällt.
Für Betriebe im Raum Pfalz, Rhein-Neckar und Rhein-Main ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung, wie sicher Ihre Bewerberdaten heute liegen und wo nachzubessern ist.
Häufige Fragen
Verwandte Themen
- ComplianceAlte Festplatten und Firmengeräte datenschutzkonform entsorgen: So vermeiden Sie ein Datenleck beim Wegwerfen
Alte Festplatten und Firmengeräte DSGVO-konform entsorgen: sichere Löschung, DIN 66399, Löschnachweis und AV-Vertrag. So vermeiden Sie ein Datenleck.
- ComplianceAuskunftsersuchen nach DSGVO: Wie Sie Anfragen von Betroffenen fristgerecht und rechtssicher beantworten
Auskunftsersuchen nach Art. 15 DSGVO beantworten: Monatsfrist, Identitätsprüfung, Umfang und ein Musterablauf. So bearbeiten KMU Anfragen von Betroffenen rechtssicher.
- ComplianceAV-Verträge richtig nutzen: Was KMU beachten müssen
Was ein Auftragsverarbeitungsvertrag ist, wann er Pflicht ist und welche Lücken im Mittelstand am häufigsten vorkommen. Mit konkreten Hinweisen zu Art. 28 DSGVO.