31.10.2026

Datenschutz im Recruiting: Was die DSGVO bei Bewerberdaten verlangt

Wer Bewerbungen annimmt, verarbeitet personenbezogene Daten und muss sich an die DSGVO und das Bundesdatenschutzgesetz (BDSG) halten. Das heißt: Sie erheben nur, was für die Stellenbesetzung nötig ist, informieren Bewerberinnen und Bewerber von Anfang an, beschränken den Zugriff auf die beteiligten Personen und löschen die Unterlagen nach Abschluss des Verfahrens zeitnah. Für einen Talentpool brauchen Sie eine Einwilligung. Dieser Leitfaden zeigt Unternehmen in Düsseldorf und im Rhein-Ruhr-Gebiet, wie ein datenschutzkonformes Bewerbungsverfahren aussieht, und erklärt Bewerbern, welche Rechte sie haben.

Kurz gesagt

• Rechtsgrundlage: Bewerberdaten dürfen verarbeitet werden, soweit das für die Entscheidung über eine Einstellung erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG).
• Information: Bewerber erfahren schon bei der Datenerhebung, wer ihre Daten wofür und auf welcher Grundlage verarbeitet (Art. 13 DSGVO).
• Zugriff: Nur wer am Auswahlverfahren beteiligt ist, darf die Unterlagen sehen.
• Aufbewahrung: Nach einer Absage bleiben die Unterlagen nur kurz gespeichert, etwa zur Abwehr von Ansprüchen nach dem AGG. Danach wird gelöscht.
• Talentpool: Längere Speicherung nur mit ausdrücklicher, freiwilliger und zeitlich begrenzter Einwilligung.

Inhaltsverzeichnis

• Die rechtliche Grundlage: DSGVO und BDSG
• Welche Bewerberdaten Sie erheben dürfen
• Informationspflichten: wann, wo und wie
• Zugriff, Datensicherheit und Dokumentation
• Aufbewahrungsfrist für Bewerbungen
• Talentpool, Social Media und Background-Checks
• Diese Rechte haben Bewerberinnen und Bewerber
• Datenschutz in der Personalvermittlung
• Personal finden, ohne den Datenschutz allein zu stemmen
• Häufige Fragen zum Datenschutz im Bewerbungsverfahren
• Quellen

Die rechtliche Grundlage: DSGVO und BDSG

Im deutschen Recruiting greifen zwei Regelwerke ineinander. Die DSGVO setzt den Rahmen, das BDSG ergänzt ihn für Beschäftigtendaten. Nach § 26 BDSG dürfen Daten verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Wichtig: Bewerberinnen und Bewerber gelten im Sinne dieser Vorschrift bereits als Beschäftigte.

Daneben steht die DSGVO selbst. Der Landesdatenschutzbeauftragte Baden-Württemberg erklärt, dass Art. 6 Abs. 1 lit. b DSGVO die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen erlaubt, und dazu zählt auch das Bewerbungsverfahren. In Ihren Datenschutzhinweisen sollten Sie deshalb beide Grundlagen sauber benennen.

Für jede Verarbeitung gelten zudem die Grundsätze aus Art. 5 DSGVO. Die Hamburger Datenschutzbehörde nennt in ihrer Information zu Bewerberdatenschutz und Recruiting vor allem Rechtmäßigkeit, Treu und Glauben, Zweckbindung und Datenminimierung. Praktisch bedeutet das: Daten aus einer Bewerbung als Lagerist dienen der Besetzung dieser Stelle und nicht dem Newsletter-Versand.

Welche Bewerberdaten Sie erheben dürfen

Der Maßstab ist die Erforderlichkeit. Fragen Sie sich bei jedem Datenfeld: Brauche ich diese Angabe, um zu entscheiden, ob die Person für die Stelle geeignet ist?

In der Regel erforderlich:

• Name und Kontaktdaten
• Lebenslauf, Qualifikationen, Zeugnisse
• Angaben zu Berufserfahrung, Führerscheinklassen oder Staplerschein, wenn die Stelle sie verlangt
• Gehaltsvorstellung und frühestmöglicher Eintrittstermin

In der Regel nicht erforderlich:

• Familienstand, Religion, Pläne zur Familiengründung
• Fotos als Pflichtangabe
• Angaben zur Gesundheit ohne konkreten Bezug zur Tätigkeit

Ein Beispiel aus der Praxis: Für eine Stelle als Fachkraft für Lagerlogistik in Duisburg kann die Frage nach dem Staplerschein berechtigt sein. Für eine kaufmännische Sachbearbeitung in Düsseldorf ist sie es nicht. Halten Sie Online-Formulare deshalb schlank und kennzeichnen Sie Pflichtfelder bewusst.

Informationspflichten: wann, wo und wie

Bewerber müssen nach der IHK Region Stuttgart bei der Erhebung über Zweck, Umfang und Rechtsgrundlage informiert werden. Online verlinken Sie die Datenschutzerklärung deutlich sichtbar, zum Beispiel direkt am Bewerbungsformular oder in der Stellenanzeige.

Der Weg der Bewerbung bestimmt, wo die Hinweise stehen. Die GDD-Praxishilfe zum Bewerbungsverfahren (Stand Oktober 2025) empfiehlt, die Platzierung an Online-, E-Mail- und Postbewerbungen anzupassen. Bei Initiativbewerbungen gehören die Hinweise spätestens in die Eingangsbestätigung.

Inhaltlich sollten Ihre Hinweise mindestens Folgendes abdecken:

1. Verantwortliche Stelle und Kontakt, gegebenenfalls Datenschutzbeauftragte
2. Zwecke und Rechtsgrundlagen der Verarbeitung
3. Empfänger, etwa Fachabteilung oder Dienstleister
4. Speicherdauer und Löschung
5. Rechte der Bewerber und Beschwerderecht bei einer Aufsichtsbehörde

Die IHK rät außerdem zu einem automatischen Prozess, etwa einer Standard-Antwortmail. So können Sie im Zweifel nachweisen, dass Sie jede Person informiert haben.

Zugriff, Datensicherheit und Dokumentation

Bewerbungsunterlagen gehören nicht ins Sammelpostfach, auf das das halbe Büro zugreift. Zugriffsrechte müssen auf die Personen begrenzt sein, die am Auswahlprozess beteiligt sind. Digitale Daten schützen Sie mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, etwa Verschlüsselung. Den gesamten Ablauf sollten Sie dokumentieren, um Ihrer Rechenschaftspflicht nachzukommen. Darauf weist der Tätigkeitsbericht Datenschutz 2024 des HmbBfDI hin.

Dort steht auch eine wichtige Einordnung für Bewerbermanagement-Software: Ihr Hersteller ist in der Regel Auftragsverarbeiter nach Art. 28 DSGVO, nicht Verantwortlicher. Sie brauchen also einen Auftragsverarbeitungsvertrag. Die Verantwortung für das Verfahren bleibt bei Ihnen.

Mit der Digitalisierung steigen die Risiken für Transparenz und Fairness gegenüber Bewerbern, warnt die Behörde. Das betrifft auch automatisierte Vorauswahl oder Chat-Funktionen auf der Karriereseite. Wer etwa einen Bot Fragen zur Stelle beantworten lässt, sollte die Regeln zum Datenschutz bei Chatbots kennen und prüfen, welche Daten das Tool speichert und wohin es sie überträgt.

Aufbewahrungsfrist für Bewerbungen

Eine feste gesetzliche Frist für abgelehnte Bewerbungen gibt es nicht. Der Zweck entscheidet. Laut IHK Region Stuttgart dürfen Unterlagen nach Abschluss des Verfahrens noch kurzzeitig aufbewahrt werden, um sich gegen mögliche Ansprüche zu verteidigen, etwa wegen Diskriminierung nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). Ist dieser Zweck erledigt, löschen Sie.

Für Talentpools hält der HmbBfDI je nach üblichen Besetzungszeiten und Klagefristen Speicherfristen von einigen Monaten bis zu mehreren Jahren für denkbar. Legen Sie die Dauer fest, nennen Sie sie in der Einwilligung und löschen Sie konsequent. Ein Löschkonzept mit Wiedervorlage im Bewerbermanagement erspart Ihnen manuelle Suchen.

Ein Sonderfall: Nach § 35 BDSG tritt bei nicht automatisierter Verarbeitung die Einschränkung der Verarbeitung an die Stelle der Löschung, wenn die Löschung unverhältnismäßig aufwendig wäre und das Löschinteresse gering ist. Für Papierakten ist das selten ein Freibrief. Am einfachsten ist es, gar nicht erst Papierberge entstehen zu lassen.

Talentpool, Social Media und Background-Checks

Viele Unternehmen möchten gute Kandidaten nicht aus den Augen verlieren. Das ist möglich, aber nur mit einer ausdrücklichen, transparenten und freiwilligen Einwilligung. Die Hamburger Aufsicht empfiehlt, diese für einen begrenzten Zeitraum einzuholen. Wie Sie einen solchen Pool praktisch aufbauen, lesen Sie in unserem Leitfaden zum Talentpool für Unternehmen an Rhein und Ruhr.

Bei Recherchen im Netz zieht die Behörde eine klare Linie:

• Private Netzwerke dürfen für Background-Checks nicht herangezogen werden.
• Berufliche Netzwerke sind eher zulässig. Zu berücksichtigen sind der berufliche Bezug und der Zweck, zu dem die Person die Informationen veröffentlicht hat.

Wer also das Profil einer Bewerberin in einem Karrierenetzwerk ansieht, um Berufsstationen abzugleichen, bewegt sich auf anderem Boden als jemand, der private Urlaubsfotos durchsieht.

Diese Rechte haben Bewerberinnen und Bewerber

Wenn Sie sich bewerben, behalten Sie die Kontrolle über Ihre Daten. Der HmbBfDI fasst Ihre Rechte auf Datenschutz zusammen, darunter:

• Auskunft (Art. 15 DSGVO): Welche Daten sind gespeichert, wofür und wie lange?
• Berichtigung (Art. 16 DSGVO): Falsche Angaben werden korrigiert.
• Löschung (Art. 17 DSGVO): Daten werden gelöscht, wenn der Zweck entfallen ist.
• Widerspruch (Art. 21 DSGVO): Unter bestimmten Voraussetzungen können Sie der Verarbeitung widersprechen.

Schreiben Sie dafür formlos an die in den Datenschutzhinweisen genannte Stelle. Eine Einwilligung für einen Talentpool können Sie jederzeit widerrufen. Bekommen Sie keine Antwort oder halten Sie den Umgang für rechtswidrig, wenden Sie sich an die zuständige Datenschutzaufsicht; in Nordrhein-Westfalen ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit. Tipps für Ihre Unterlagen finden Sie in unseren Bewerbungshinweisen.

Datenschutz in der Personalvermittlung

Arbeitet ein Unternehmen mit einem Personaldienstleister, kommt eine dritte Partei ins Spiel. Für Bewerber ist dann besonders wichtig, wer welche Daten an wen weitergibt. Für Unternehmen zählt, dass der Dienstleister sauber informiert und nur die für die Stelle relevanten Daten übermittelt. Bei Personalvermittlung, Zeitarbeit und Try and Hire gelten dieselben Grundsätze: Zweckbindung, Transparenz und Datenminimierung. Welche rechtlichen Punkte beim externen Recruiting sonst zu beachten sind, zeigt unser Überblick zu den Vorteilen von externem Recruiting. Wie wir mit Daten umgehen, beschreibt unsere Datenschutzerklärung.

Unsere Sicht aus über 20 Jahren Personalarbeit

Wir vermitteln seit über 20 Jahren kaufmännische und gewerblich-technische Fachkräfte im Rhein-Ruhr-Gebiet, in Industrie, Logistik, Produktion, Handwerk und Büro. Unsere Erfahrung: Datenschutz ist im Recruiting kein Bremsklotz, sondern Teil eines guten Kandidatenerlebnisses. Wer sich bewirbt, möchte wissen, wo die eigenen Unterlagen landen. Ein Unternehmen, das das klar beantwortet, wirkt seriös, gerade in Zeiten, in denen gute Fachkräfte zwischen mehreren Angeboten wählen. Unser Rat an Arbeitgeber: Fragen Sie weniger ab, informieren Sie früher und löschen Sie konsequent. Das schützt Bewerber und spart Ihnen am Ende Arbeit.

— Alex

Personal finden, ohne den Datenschutz allein zu stemmen

Sie möchten offene Stellen in Düsseldorf oder der Region besetzen und den Bewerbungsprozess nicht komplett selbst organisieren? Top Job Personal unterstützt Sie mit Personalvermittlung, Arbeitnehmerüberlassung und Try and Hire. Wir begleiten Sie dabei persönlich und mit direkter Kommunikation, vom ersten Gespräch bis zur Besetzung.

Alle Leistungen im Überblick finden Sie auf unserer Seite zu Personalvermittlung, Zeitarbeit und Try and Hire. Wie eine Vermittlung Schritt für Schritt abläuft, erklärt unser Beitrag zum Ablauf der Personalvermittlung.

Häufige Fragen zum Datenschutz im Bewerbungsverfahren

Wie lange dürfen abgelehnte Bewerbungen gespeichert werden?

Nur so lange, wie ein Zweck besteht. Nach einer Absage ist eine kurze Aufbewahrung zulässig, um sich gegen mögliche AGG-Ansprüche zu verteidigen. Danach sind die Daten zu löschen, es sei denn, die Person hat in einen Talentpool eingewilligt.

Brauche ich für jede Bewerbung eine Einwilligung?

Nein. Für das laufende Verfahren reichen Art. 6 Abs. 1 lit. b DSGVO und § 26 BDSG. Eine Einwilligung brauchen Sie erst, wenn Sie die Daten über das konkrete Verfahren hinaus nutzen wollen, etwa für einen Talentpool.

Darf ich Bewerbungen per E-Mail weiterleiten?

Intern nur an Personen, die am Auswahlverfahren beteiligt sind. Besser ist ein Bewerbermanagement-System mit Rollenrechten, damit Unterlagen nicht in vielen Postfächern liegen. Mit dem Softwareanbieter schließen Sie einen Auftragsverarbeitungsvertrag.

Muss ich auch bei Initiativbewerbungen informieren?

Ja. Die Datenschutzhinweise gehören spätestens in die Eingangsbestätigung, per E-Mail oder per Post. Eine vorbereitete Standardantwort macht das einfach und nachweisbar.

Quellen

• LfDI Baden-Württemberg: FAQ Rechtsgrundlagen bei Beschäftigtendaten
• HmbBfDI: Information Bewerberdatenschutz und Recruiting
• HmbBfDI: Tätigkeitsbericht Datenschutz 2024
• HmbBfDI: Ihr Recht auf Datenschutz
• IHK Region Stuttgart: Datenschutz im Bewerbungsverfahren
• GDD-Praxishilfe: Datenschutz im Bewerbungsverfahren

Empfehlungen

• Externes Recruiting: Vorteile für Unternehmen im Überblick
• Talentpool aufbauen: Leitfaden für Unternehmen an Rhein und Ruhr
• Candidate Sourcing: Die Kanäle, die bei Fachkräften wirklich wirken