Bewerbungsunterlagen nach Absage löschen: Frist, Einwilligung und Nachweis

Nach einer Absage müssen Unternehmen Bewerbungsunterlagen einem klaren Zweck, einer Rechtsgrundlage und einem nachvollziehbaren Löschzeitpunkt zuordnen. Die DSGVO nennt dafür keine einheitliche Frist für jeden Bewerbungsfall. Entscheidend sind der Abschluss des Verfahrens, mögliche rechtliche Pflichten oder Ansprüche und eine gesonderte Entscheidung über die Aufnahme in einen Talentpool.

Dieser Beitrag erklärt, wie Unternehmen Bewerbungsdaten nach einer Absage ordnen, wann eine weitere Speicherung vertretbar sein kann und welche Anforderungen für eine Einwilligung in den Talentpool gelten. Im Mittelpunkt stehen Zweckende, Information, Zugriff und der Nachweis des tatsächlichen Löschlaufs.

Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung. Personenbezogene Daten sollen in einer identifizierbaren Form nur so lange aufbewahrt werden, wie es für die Zwecke erforderlich ist. Mit dem Abschluss des konkreten Bewerbungsverfahrens endet daher regelmäßig der ursprüngliche Auswahlzweck. Das allein beantwortet noch nicht jede Frage zu einer kurzen weiteren Aufbewahrung oder zu einer freiwilligen Talentpool-Aufnahme.

Unternehmen müssen den Zweck und die Rechtsgrundlage getrennt beschreiben. Bewerbungsunterlagen können etwa für die Auswahl, für eine gesetzliche Pflicht oder für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeitet werden. Jeder dieser Zwecke braucht eine eigene Prüfung. Eine pauschale interne Einstellung, alle Absagen gleich lange zu speichern, ersetzt diese Zuordnung nicht.

Die Schwerpunktseite zum Beschäftigtendatenschutz ordnet Bewerbungen in den Lebenszyklus von Beschäftigtendaten ein. Für die allgemeine Dokumentation von Zwecken und Verantwortlichkeiten ist außerdem die Seite zu Datenschutz-Governance und Compliance hilfreich.

Die Absage ist ein wichtiger Prüfpunkt, aber nicht automatisch ein für jeden Fall gleicher Löschtermin. Das Unternehmen sollte festhalten, wann die Auswahlentscheidung abgeschlossen wurde, welche Kommunikation noch offen ist und welche Unterlagen für den ursprünglichen Zweck tatsächlich benötigt werden. Danach ist für jede verbleibende Speicherung ein eigener Anlass zu benennen.

Art. 13 und 14 DSGVO verlangen Informationen über die Zwecke der Verarbeitung und, soweit möglich, die geplante Speicherdauer oder die Kriterien für ihre Festlegung. Die Bewerberinformation sollte daher verständlich erklären, wie die Unterlagen während des Verfahrens verwendet werden und nach welchen Kriterien eine weitere Speicherung endet. Eine bloße Formulierung wie „so lange wie erforderlich“ bleibt schwach, wenn intern keine Kriterien festgelegt sind.

Der Löschlauf muss die tatsächliche Umgebung abbilden. Neben dem Bewerbungsportal können E-Mail-Postfächer, Dateiablagen, Notizen aus Gesprächen, Exporte und Dienstleister betroffen sein. Backups sind gesondert zu behandeln. Sie dürfen nicht als bequeme Dauerablage dienen; ihre technische Löschung und der bis dahin wirksame Zugriffsschutz müssen im Konzept nachvollziehbar sein.

Die Aufnahme in einen Talentpool verfolgt einen anderen Zweck als die abgeschlossene Bewerbung. Künftige Stellen, eine spätere Kontaktaufnahme und eine längere Verfügbarkeit der Unterlagen müssen daher getrennt beschrieben werden. Eine Bewerbung darf nicht stillschweigend in eine dauerhafte Vormerkung für spätere Verfahren umgewandelt werden.

Stützt sich der Talentpool auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, muss das Unternehmen nach Art. 7 DSGVO die Einwilligung nachweisen können. Die Erklärung braucht einen bestimmten Zweck und muss verständlich machen, welche Daten für welche künftige Kontaktaufnahme gespeichert werden. Die betroffene Person muss die Einwilligung ebenso leicht widerrufen können, wie sie sie erteilt hat.

Die Einwilligung sollte als eigener Schritt gestaltet werden. Sie gehört nicht in eine pauschale Erklärung, die zugleich die Bewerbung, die Absage und alle denkbaren späteren Zwecke abdeckt. Eine Ablehnung oder ein Widerruf darf nicht dazu führen, dass die Person für das abgeschlossene Verfahren rückwirkend anders behandelt wird. Die Folge für die Talentpool-Daten ist eine eigene Lösch- oder Sperrprüfung.

Art. 17 DSGVO sieht Ausnahmen vom Recht auf Löschung vor. Eine weitere Speicherung kann insbesondere erforderlich sein, wenn sie zur Erfüllung einer rechtlichen Verpflichtung dient oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gebraucht wird. Der bloße Wunsch, für einen möglichen Streit gerüstet zu sein, genügt als pauschale Begründung nicht.

Für die Prüfung sollten Unternehmen den konkreten Anlass, die betroffenen Unterlagen und den erforderlichen Umfang festhalten. Geht es um eine einzelne Entscheidung oder Kommunikation, muss nicht automatisch die vollständige Bewerbung auf unbestimmte Zeit zugänglich bleiben. Der Zugriff sollte auf die zuständigen Personen beschränkt und die weitere Verwendung klar eingegrenzt werden.

Sobald der Aufbewahrungsgrund entfällt, ist die Ausnahme erneut zu bewerten. Ein Aktenvermerk ohne Prüftermin führt leicht dazu, dass Bewerbungsdaten über Jahre in aktiven Systemen liegen. Die Dokumentation braucht deshalb einen Verantwortlichen und einen Kontrollpunkt für das Ende der Ausnahme.

Art. 5 Abs. 2 und Art. 24 DSGVO verlangen, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann. Dazu gehört ein nachvollziehbarer Ablauf: Wer hat die Absage erfasst, wer entscheidet über eine Ausnahme, welche Systeme werden bereinigt und wie wird das Ergebnis kontrolliert? Ein Löschkonzept ist erst belastbar, wenn es in den tatsächlichen Arbeitsablauf passt.

Art. 25 und Art. 32 DSGVO verlangen Datenschutz durch Technikgestaltung und geeignete Sicherheitsmaßnahmen. Bewerbungsunterlagen sollten daher nur für die zuständigen Personen zugänglich sein. Talentpool-Daten, abgeschlossene Bewerbungsakten und Unterlagen mit besonderen Angaben dürfen nicht in einer gemeinsamen offenen Ablage vermischt werden. Persönliche Konten, begrenzte Rollen und nachvollziehbare Zugriffsprotokolle unterstützen die Kontrolle.

Art. 30 DSGVO kann für die Beschreibung des Verarbeitungsvorgangs relevant sein. Der interne Nachweis sollte Zweck, Datenkategorien, Empfänger, Löschkriterien, Systeme und Schutzmaßnahmen zusammenführen. Der Nachweis selbst braucht ebenfalls Datenminimierung. Er soll die Entscheidung und den Löschlauf belegen, aber kein neues vollständiges Bewerbungsarchiv schaffen. Für technische und organisatorische Maßnahmen bietet der Beitrag zu TOM nach Art. 32 DSGVO eine passende Vertiefung.

Eine Frist für alle Bewerbungen: Das Unternehmen speichert jede Absage gleich lange, ohne Zweck, Rechtsgrundlage oder Prüfkriterium zuzuordnen.

Talentpool als stillschweigende Fortsetzung: Die Bewerbungsdaten bleiben für künftige Stellen aktiv, obwohl keine eigenständige Information und Einwilligung vorliegt.

Einwilligung ohne Widerrufsweg: Der Text wird archiviert, aber der Widerruf erreicht weder das Bewerbungsportal noch die angeschlossenen Ablagen.

Nur das Bewerbungsportal wird gelöscht: E-Mails, Gesprächsnotizen, Exporte oder zugängliche Kopien bleiben in anderen Systemen bestehen.

Ausnahme ohne Ende: Ein möglicher Anspruch wird vermerkt, aber niemand prüft, ob die weitere Speicherung noch erforderlich ist.

Beginnen Sie mit einer Liste der Systeme und Datenarten. Erfassen Sie Bewerbungsformular, Lebenslauf, Zeugnisse, Gesprächsnotizen, E-Mails, Bewertungen und Talentpool-Einträge getrennt. Ordnen Sie jedem Bestand Zweck, Rechtsgrundlage, Empfänger, Zugriffsgruppe und Löschkriterium zu.

Prüfen Sie danach die Bewerberinformation und die tatsächliche Einwilligungsstrecke. Ist der Talentpool freiwillig? Wird der Umfang verständlich erklärt? Kann die Person den Widerruf an eine erreichbare Stelle richten? Wird der Widerruf in allen relevanten Systemen umgesetzt? Diese Fragen gehören in den Prozess, nicht erst in eine spätere Konfliktprüfung.

Dokumentieren Sie schließlich Absage, Löschentscheidung, Ausnahme, ausführende Systeme und Ergebnis. Für Betroffenenanfragen zur Verarbeitung und Speicherdauer kann der Beitrag zu Auskunftsbegehren nach Art. 15 DSGVO ergänzend herangezogen werden. Der konkrete Bewerbungsfall braucht trotzdem eine eigene Prüfung.

Wir prüfen mit Ihnen den Zweck nach der Absage, die Rechtsgrundlage, die Bewerberinformation, die Talentpool-Einwilligung sowie Zugriff und Löschlauf. Übermitteln Sie dafür den Recruiting-Prozess, die verwendeten Informationstexte, die Systemübersicht und ein Beispiel der Dokumentation. Neue Beiträge und rechtliche Hinweise der Kanzlei erhalten Sie mit BRANDaktuellen Rechtsnews. Newsletter abonnieren.