Wer einstellt, verarbeitet personenbezogene Daten: Lebensläufe, Gehaltsvorstellungen, Gesprächsnotizen, manchmal ein Foto, das nie jemand angefordert hat. Wir sitzen bei diesem Thema auf beiden Seiten. Join stellt selbst ein, und Join baut das Bewerbermanagementsystem, in dem andere Unternehmen ihre Bewerbungen verwalten. Aus beiden Rollen haben sich über die Jahre Notizen angesammelt: was die DSGVO im Recruiting tatsächlich verlangt, wo die Rechtslage sich zuletzt bewegt hat, und welche Fehler wir oft genug gesehen haben, um sie vorherzusagen.
Die Rechtsgrundlage ist schmaler, als sie aussieht
Für die laufende Bewerbung brauchen Sie keine Einwilligung. § 26 Abs. 1 BDSG erlaubt die Verarbeitung von Beschäftigtendaten, wenn sie „für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses” erforderlich ist. Daneben trägt Art. 6 Abs. 1 lit. b DSGVO: Eine Bewerbung ist eine vorvertragliche Maßnahme, die auf Anfrage der betroffenen Person erfolgt. Die Person hat sich beworben, also dürfen Sie ihre Unterlagen für genau diese Entscheidung verarbeiten.
„Erforderlich” ist dabei wörtlich gemeint, und das beschneidet die Formularfreude. Beide Normen decken nur Daten, die für die Entscheidung über genau diese Einstellung gebraucht werden. Ein Pflichtfeld für Geburtsdatum, Familienstand oder Foto hat in den meisten Bewerbungsformularen keinen begründbaren Zweck und damit keine Grundlage. Unser pragmatischer Test: Dürfte ein Merkmal in der Begründung einer Absage nie vorkommen, sollte das Formular es auch nicht verpflichtend abfragen.
Dass wir beide Grundlagen nennen, ist kein Übereifer. Am 30. März 2023 hat der EuGH in der Rechtssache C-34/21 entschieden, dass die hessische Parallelvorschrift zu § 26 BDSG unangewendet bleiben muss, soweit sie die Anforderungen von Art. 88 DSGVO an „spezifischere Vorschriften” für Beschäftigtendaten nicht erfüllt. Seither ist umstritten, wie viel § 26 BDSG allein trägt. Für Ihren Alltag ändert das weniger, als die Aufregung vermuten lässt, denn die Bewerbung selbst bleibt über Art. 6 Abs. 1 lit. b abgedeckt. Es ist aber der Grund, warum wir in der Dokumentation beide Normen festhalten statt einer.
Die zweite Stelle, an der die Grundlage schmaler ist als gedacht: Sie endet mit dem Verfahren. Eine gesetzliche Aufbewahrungsfrist für abgesagte Bewerbungen gibt es nicht, und die verbreitete Sechs-Monats-Orientierung ist kein Paragraf, sondern Arithmetik aus zwei echten Fristen. Nach § 15 Abs. 4 AGG müssen Entschädigungsansprüche wegen Benachteiligung innerhalb von zwei Monaten ab Zugang der Absage schriftlich geltend gemacht werden. § 61b ArbGG gibt danach drei Monate für die Klage. Zwei plus drei, plus Puffer für Zugang und Zustellung: So kommen die rund sechs Monate zustande, die viele Unternehmen nach Abschluss der Suche ansetzen, um sich gegen einen AGG-Vorwurf verteidigen zu können. Das ist eine Verteidigungsfrist, keine Erlaubnis zum Horten. Wer Unterlagen länger behalten will, braucht einen neuen Grund.
Dieser neue Grund heißt fast immer Talentpool, und er funktioniert in Deutschland praktisch nur mit Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO — ein berechtigtes Interesse tragen die deutschen Aufsichtsbehörden für Talentpools nicht mit. (Andere Mitgliedstaaten sind großzügiger: Die französische CNIL lässt zwei Jahre Vivier auf Basis bloßer Information mit Widerspruchsmöglichkeit zu.) Die Bewerbung galt einer konkreten Stelle; „wir melden uns, falls irgendwann etwas passt” ist keine vorvertragliche Maßnahme mehr. Die Einwilligung muss spezifisch, informiert und freiwillig sein, und sie ist jederzeit widerrufbar. Der Widerruf löst die Löschpflicht aus: Art. 17 Abs. 1 lit. b DSGVO nennt ihn ausdrücklich als Löschgrund, sofern keine andere Rechtsgrundlage die Daten hält.
Wie wir die Verantwortung schneiden
Als Anbieter bekommen wir regelmäßig die Frage, ob Join „die DSGVO übernimmt”. So funktioniert die Rollenverteilung nicht, und ein Anbieter, der es verspricht, verspricht zu viel. Nach Art. 28 DSGVO bleibt der Arbeitgeber Verantwortlicher. Das Bewerbermanagementsystem ist Auftragsverarbeiter: Es verarbeitet nur auf dokumentierte Weisung, geregelt in einem Auftragsverarbeitungsvertrag, der unter anderem Gegenstand, Dauer und die Löschung oder Rückgabe der Daten nach Auftragsende festlegt.
Aus diesem Schnitt folgt eine Arbeitsteilung, die wir in jedem Onboarding-Gespräch erklären. Der Arbeitgeber entscheidet und dokumentiert: welche Rechtsgrundlage gilt, welche Aufbewahrungsfrist angesetzt wird, wie Kandidat:innen über die Verarbeitung informiert werden, und wer Auskunfts- und Löschanträge beantwortet, denn die Antwortpflicht trifft den Verantwortlichen, nicht seinen Dienstleister. Das System muss diese Entscheidungen durchsetzbar machen: Fristen technisch anwenden statt in einer Kalendernotiz, Einwilligungen mit Zeitstempel und Grundlage am Datensatz festhalten, und die Auskunft nach Art. 15 DSGVO bedienbar machen. Absatz 3 verlangt eine Kopie der verarbeiteten Daten, bei elektronischem Antrag in einem gängigen elektronischen Format. Ein System, das dafür einen Support-Fall beim Anbieter braucht, hat diesen Teil nicht gelöst.
In Join sieht der Systemanteil so aus: Am Kandidatenprofil hängt ein Datenrechte-Panel mit dem Einwilligungsstatus, einem Ein-Klick-Export als maschinenlesbares JSON plus PDF für Auskunftsanfragen, einer Schwärzung, die persönliche Felder durch Platzhalter ersetzt und den Einstellungsverlauf prüfbar lässt, und der vollständigen Löschung nach Art. 17. Wir beschreiben das hier als Produktverhalten, nicht als Rechtsgutachten: Ob Ihre Fristen und Informationspflichten stimmen, entscheidet weiterhin Ihre Seite des Schnitts.
Je mehr Kanäle Sie bespielen, desto mehr hängt an diesem einen Ort. Wer eine Stelle per Multiposting auf mehreren Jobbörsen veröffentlicht, sammelt Bewerbungen aus all diesen Quellen in einem System ein. Genau dort müssen Frist, Einwilligung und Löschung greifen, nicht verteilt über fünf Postfächer, aus denen nach einem Jahr niemand mehr etwas löscht.
Was wir heute anders aufsetzen würden
Erstens: die Aufbewahrungsfrist am ersten Tag festlegen, nicht beim ersten Löschantrag. Wer die Frist erst definiert, wenn die Anfrage schon im Postfach liegt, entscheidet unter Druck und kann nicht belegen, dass die Regel vor dem Einzelfall existierte. Die Frist gehört in die Datenschutzhinweise, ins System und in die Vorlage für Absagen, bevor die erste Bewerbung eingeht.
Zweitens: die Talentpool-Einwilligung vom Bewerbungsformular trennen. Eine vorangekreuzte Box ist keine Einwilligung, ein Satz in dreißig Seiten Bedingungen auch nicht. Was funktioniert, ist ein eigener, kurzer Moment, typischerweise mit oder nach der Absage: die Frage, ob die Unterlagen für künftige Stellen behalten werden dürfen, mit klarer Dauer und einem Widerrufsweg, der nicht versteckt ist. Wer an dieser Stelle ehrlich fragt, bekommt seltener ein Ja, aber jedes Ja ist belastbar.
Drittens: den Auskunftsfall einmal proben, bevor er real wird. Stellen Sie mit einem Testprofil einen Antrag nach Art. 15 an sich selbst und stoppen Sie die Zeit bis zur vollständigen Kopie. Die Übung kostet einen Nachmittag und zeigt zuverlässig, ob Notizen, Nachrichten und Anhänge wirklich am Profil hängen oder über Postfächer und Ablagen verstreut sind.
Zum Schluss die Offenlegung, die zu diesem Text gehört: Wir verdienen an dem System, das den technischen Teil dieser Arbeit erledigt, und unsere Perspektive ist entsprechend gefärbt. Der Kern gilt trotzdem ohne jedes Produkt. Rechtsgrundlage, Frist und Löschweg werden in dem Moment entschieden, in dem Sie Ihren Prozess aufsetzen. Alles, was danach kommt, ist Ausführung.
