11. August 20267 min
Bewerberdaten löschen: Fristen und DSGVO-Pflichten im Recruiting
Dieser Artikel erklärt die rechtliche Grundlage für Löschfristen bei Bewerberdaten, gibt einen Überblick über die konkreten Fristen je Situation und zeigt, wie Sie ein Löschkonzept aufbauen, das im Alltag automatisch funktioniert – nicht nur auf dem Papier.
- DSGVO
- Datenschutz
- Löschfristen
- Compliance
Warum Löschfristen im Recruiting gesetzlich vorgeschrieben sind
Die DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck notwendig ist (Art. 5 Abs. 1 lit. e). Bei Bewerbungsunterlagen endet dieser Zweck grundsätzlich mit dem Abschluss des Bewerbungsverfahrens – also mit der Zusage oder der Absage. Wer Bewerberdaten darüber hinaus ohne triftigen Grund speichert, verstößt gegen den Grundsatz der Speicherbegrenzung und riskiert Bußgelder.
- Der Verarbeitungszweck endet mit Zusage oder Absage – nicht erst, wenn jemand aktiv löscht
- Zu lange Speicherung ist laut Aufsichtsbehörden einer der häufigsten Verstöße im Recruiting
- Betroffene Personen können jederzeit Auskunft über gespeicherte Daten und deren Löschung verlangen (Art. 15, 17 DSGVO)
Rechtsgrundlage: DSGVO Art. 17 und die AGG-Klagefrist
Die konkrete Frist von 3–6 Monaten nach einer Absage ist kein Zufall, sondern leitet sich aus dem Allgemeinen Gleichbehandlungsgesetz (AGG) ab. Abgelehnte Bewerber können bis zu zwei Monate nach Zugang der Absage eine Entschädigungsklage wegen Diskriminierung einreichen. Unternehmen benötigen die Bewerbungsunterlagen so lange als Beweismittel, um sich gegen eine solche Klage verteidigen zu können.
- AGG-Klagefrist: 2 Monate nach Zugang der Absage (§ 15 Abs. 4 AGG)
- Empfohlener Sicherheitspuffer: zusätzliche 1–4 Monate für Zustellung und interne Bearbeitung
- Ergebnis: 3–6 Monate Gesamtaufbewahrung sind in der Praxis üblich und von Aufsichtsbehörden akzeptiert
- Eine längere Speicherung ohne gesonderte Rechtsgrundlage ist nicht durch das AGG gedeckt
Löschfristen im Überblick nach Situation
Nicht jede Bewerbung folgt denselben Regeln. Die passende Frist hängt vom Ausgang des Verfahrens und der Art der Bewerbung ab.
| Situation | Empfohlene Löschfrist | Rechtsgrundlage |
|---|---|---|
| Absage nach Bewerbungseingang | 3–6 Monate nach Zugang der Absage | AGG-Klagefrist (2 Monate) + Sicherheitspuffer |
| Einstellung erfolgt | Übergang in Personalakte; Löschung nach Ende des Arbeitsverhältnisses gemäß gesetzlicher Aufbewahrungspflichten | Zweckänderung, arbeits- und steuerrechtliche Fristen |
| Talent Pool (mit Einwilligung) | Max. 12–24 Monate, danach Einwilligung erneuern oder löschen | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Eigeninitiativbewerbung | Bis zu 6 Monate ohne Rückmeldung, danach löschen – außer bei Einwilligung | Art. 5 Abs. 1 lit. e DSGVO |
| Zurückgezogene Bewerbung | Zeitnah löschen, sofern kein anderer Aufbewahrungsgrund besteht | Art. 17 Abs. 1 lit. a DSGVO |
Löschfristen in der Praxis automatisieren
Ein Löschkonzept, das nur auf dem Papier existiert, wird im Arbeitsalltag zuverlässig ignoriert. Löschfristen müssen im System hinterlegt sein – nicht in einer Excel-Tabelle, an die sich niemand erinnert.
- Löschfristen pro Bewerbungsstatus im ATS konfigurieren (Absage, Zusage, Talent Pool, Eigeninitiativ)
- Automatische Erinnerungen oder automatische Löschung nach Fristablauf einrichten – nicht nur eine Flag-Markierung
- Löschungen im Audit-Log dokumentieren, um die Einhaltung im Zweifelsfall nachweisen zu können
- Talent-Pool-Einwilligungen mit Ablaufdatum versehen und automatisch zur Erneuerung auffordern
- Verantwortlichkeit klar zuweisen: Wer prüft regelmäßig, dass die Löschroutine tatsächlich läuft?
Die häufigsten Fehler bei der Löschung von Bewerberdaten
Diese Fehler tauchen in Datenschutz-Audits immer wieder auf – und sind mit einem konfigurierten ATS vollständig vermeidbar.
- Abgelehnte Bewerbungen werden jahrelang statt monatelang aufbewahrt, „nur zur Sicherheit"
- Talent Pool ohne dokumentierte, spezifische Einwilligung oder ohne Ablaufdatum
- Löschung erfolgt nur auf Zuruf, ohne systemgestützte Erinnerung oder Automatisierung
- Bewerbungsunterlagen bleiben in E-Mail-Postfächern oder lokalen Ordnern erhalten, obwohl sie im ATS gelöscht wurden
- Keine Dokumentation, warum eine bestimmte Frist gewählt wurde – im Audit fehlt die Begründung
Checkliste: Löschkonzept für Ihr Unternehmen
Nutzen Sie diese Checkliste, um Ihr eigenes Löschkonzept aufzustellen oder ein bestehendes zu überprüfen.
- Löschfristen für jede Bewerbungskategorie schriftlich festgelegt (Absage, Zusage, Talent Pool, Eigeninitiativ)
- Rechtsgrundlage für jede Frist dokumentiert (AGG-Klagefrist, Einwilligung, gesetzliche Aufbewahrung)
- Automatische Löschung oder verbindliche Erinnerung im ATS aktiv
- Talent-Pool-Einwilligungen mit Ablaufdatum und Erneuerungsprozess
- Löschvorgänge werden im Audit-Log protokolliert
- Alle Kopien der Daten erfasst – nicht nur im ATS, auch in E-Mails und Exporten
- Löschkonzept ist Teil der Datenschutzerklärung im Bewerbungsformular
- Regelmäßige Kontrolle, dass die Löschroutine tatsächlich greift
Fazit
Löschfristen sind kein Verwaltungsdetail, sondern eine der konkretesten DSGVO-Pflichten im Recruiting – und eine der am schnellsten umsetzbaren. Wer die Fristen kennt, dokumentiert und im ATS automatisiert, reduziert das Haftungsrisiko erheblich und schafft gleichzeitig Vertrauen bei Bewerbern. Ein ATS, das Löschfristen von Haus aus unterstützt, macht Compliance zum Standardfall statt zur Ausnahme.
Virkla Demo anfragenHäufig gestellte Fragen
Ab wann läuft die Löschfrist nach einer Absage?
Die Frist beginnt mit dem Zugang der Absage beim Bewerber, nicht mit dem Versanddatum. Ab diesem Zeitpunkt läuft die zweimonatige AGG-Klagefrist, an die sich die empfohlene Gesamtaufbewahrung von 3–6 Monaten anlehnt.
Muss ich Bewerber informieren, bevor ich ihre Daten lösche?
Eine gesonderte Benachrichtigung vor der Löschung ist nicht gesetzlich vorgeschrieben, wenn die Löschfrist bereits in der Datenschutzerklärung des Bewerbungsformulars transparent kommuniziert wurde. Empfehlenswert ist es trotzdem, die Frist klar zu benennen, damit Bewerber wissen, woran sie sind.
Darf ich Bewerbungsunterlagen für einen Talent Pool aufheben?
Ja, aber nur mit einer expliziten, freiwilligen und dokumentierten Einwilligung, die sich ausdrücklich auf den Talent Pool bezieht – eine allgemeine Bewerbungseinwilligung reicht nicht. Die Einwilligung sollte ein Ablaufdatum haben (empfohlen: 12–24 Monate) und jederzeit widerrufbar sein.
Was passiert bei einer Datenschutz-Beschwerde wegen zu langer Speicherung?
Die zuständige Aufsichtsbehörde kann Auskunft über die Speicherdauer und die Rechtsgrundlage verlangen. Fehlt eine nachvollziehbare Begründung oder wurde die empfohlene Frist deutlich überschritten, drohen Bußgelder nach Art. 83 DSGVO sowie eine Anordnung zur sofortigen Löschung.
Gilt die 3–6-Monats-Frist auch für Praktikums- und Werkstudentenbewerbungen?
Grundsätzlich gilt dieselbe Logik, da auch hier eine AGG-Klagefrist besteht. In der Praxis kürzen manche Unternehmen die Frist für kurzfristige Positionen leicht, sollten dies aber ebenfalls dokumentieren und einheitlich anwenden, um keine Ungleichbehandlung zu riskieren.