Datenschutz im Bewerbungsprozess: DSGVO-konform

Jede Bewerbung, die in deinem Postfach landet, ist ein kleines Datenpaket voller sensibler Informationen: Name, Adresse, Geburtsdatum, Lebenslauf, Zeugnisse, manchmal Foto, Gehaltsvorstellungen – und häufig weit mehr. Die Aufsichtsbehörden nehmen genau diese Daten zunehmend ins Visier: Wer Bewerbungen falsch verarbeitet, riskiert nicht nur Abmahnungen und Bußgelder, sondern auch das Vertrauen der Kandidaten – und damit seine Attraktivität im Wettbewerb um Fachkräfte.

Die gute Nachricht: DSGVO-konformes Bewerbermanagement ist keine Wissenschaft. Es braucht klare Rechtsgrundlagen, feste Löschfristen und ein paar einfache Prozesse. Dieser Artikel zeigt dir Schritt für Schritt, was du als Arbeitgeber im Mittelstand beachten musst – von der Bewerbungseingang bis zur Absage und darüber hinaus.

Warum das Thema 2026 dringlicher denn je ist

Drei Entwicklungen machen den Datenschutz im Bewerbungsprozess gerade jetzt zum Thema:

• KI hält Einzug ins Recruiting: Seit August 2026 gelten nach der EU-KI-Verordnung (AI Act) verschärfte Pflichten für Hochrisiko-KI-Systeme – und dazu zählen ausdrücklich Systeme zur Einstellung und Auswahl von Personen. Wer KI-gestützt filtert, muss nachweisen können, dass das System nicht diskriminiert.
• Aufsichtsbehörden schauen genauer hin: Beschwerden von abgelehnten Bewerbern sind einer der häufigsten Anlässe für Datenschutzprüfungen. Allein die Nichtbeantwortung einer Lösch- oder Auskunftsanfrage kann ein Verfahren auslösen.
• Fachkräftemangel erhöht den Recruitingdruck: Wer schnell und unkompliziert bewirbt, muss Kandidaten auch datenschutzrechtlich sauber behandeln – ein schlechter Ruf verbreitet sich in Bewerberforen und auf Arbeitgeberbewertungsportalen schneller als jede Stellenanzeige.

Hinzu kommt: Datenpannen im Bewerbungsprozess – etwa ein versehentlich an alle Bewerber gesendeter Verteiler – sind nach Art. 33 DSGVO meldepflichtig. Schon eine einzige Panne kann dich 72 Stunden Arbeit und erhebliches Erklärungsrisiko kosten.

Rechtsgrundlagen: Darf ich Bewerbungsdaten überhaupt verarbeiten?

Ja – aber nur auf einer tragfähigen Rechtsgrundlage. Für Bewerberdaten sind das vor allem zwei Normen:

• Art. 6 Abs. 1 lit. b DSGVO: Die Verarbeitung ist zur Anbahnung eines Beschäftigungsverhältnisses erforderlich. Diese Grundlage deckt den klassischen Bewerbungsprozess ab: Sichtung der Unterlagen, Auswahlgespräche, Eignungsprüfung.
• § 26 Abs. 1 BDSG: Ergänzend erlaubt das deutsche Beschäftigtendatenschutzrecht die Verarbeitung, wenn sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Das umfasst auch die Prüfung der Eignung, Befähigung und fachlichen Leistung.

Wichtig zu verstehen: Die Rechtsgrundlage deckt nur das ab, was für die konkrete Entscheidung wirklich notwendig ist. Alles darüber Hinausgehende – etwa das Sammeln von Daten „für den Fall, dass man später mal jemanden braucht" – ist ohne Einwilligung unzulässig.

Besondere Datenkategorien: Die heikle Kategorie

Gesundheitsdaten, Religionszugehörigkeit, ethnische Herkunft, Gewerkschaftszugehörigkeit – das sind sogenannte besondere Datenkategorien nach Art. 9 DSGVO, die strengeren Regeln unterliegen. Im Bewerbungsverfahren tauchen sie häufiger auf, als man denkt:

• Schwerbehinderung: Bewerber dürfen sie freiwillig angeben. Du darfst sie erfassen, wenn sie für die Auswahl relevant ist – und musst sie sogar berücksichtigen (Schwerbehindertenquote).
• Foto im Lebenslauf: Kein Pflichtbestandteil, aber üblich. Achte darauf, dass Fotos keine Rückschlüsse auf geschützte Merkmale zulassen, die du nicht auswerten darfst (z. B. ethnische Herkunft).
• Ärztliche Untersuchungen: Nur in eng begrenzten Ausnahmefällen zulässig, etwa wenn ein konkreter Arbeitsplatz besondere gesundheitliche Anforderungen stellt.

Zulässige und unzulässige Fragen im Bewerbungsgespräch

Datenschutz endet nicht am Posteingang – er setzt sich im Vorstellungsgespräch fort. Die Grundregel: Du darfst nur fragen, was für die Entscheidung über das Arbeitsverhältnis von Bedeutung ist.

Diese Fragen sind erlaubt

• Qualifikation, Berufserfahrung, Werdegang, Lücken im Lebenslauf
• Gehaltsvorstellungen und Verfügbarkeit
• Vorstrafen – aber nur, wenn sie für die konkrete Tätigkeit relevant sind (z. B. einschlägige Vermögensdelikte für eine Kassiererstelle)
• Ein aktuelles Arbeitszeugnis kannst du verlangen und einsehen

Diese Fragen sind tabu

• Schwangerschaft und Familienplanung: Ein klassischer Klassiker – und ein doppelter Verstoß (Datenschutz + AGG). Eine Lüge auf diese Frage darf dir nicht vorgeworfen werden.
• Religion und Weltanschauung: Nur in Tendenzbetrieben (z. B. kirchliche Einrichtungen) relevant.
• Gewerkschaftszugehörigkeit: Grundsätzlich tabu.
• Krankheiten: Nur wenn eine konkrete, tätigkeitsbezogene gesundheitliche Einschränkung absehbar ist.
• Fragen nach einer versicherten Lohnpfändung oder Schulden: Nur für bestimmte Positionen (z. B. mit Kassier-/Finanzverantwortung) zulässig.

Der Haken für dich: Stellst du eine unzulässige Frage und der Bewerber antwortet unvollständig oder unrichtig, kannst du die Kandidatur später nicht im Nachhinein angreifen. Unzulässige Fragen sind wertlos – sie schaden nur dir.

Löschfristen: Wie lange darf ich Bewerbungsunterlagen speichern?

Die wichtigste Regel für den Alltag: Bewerbungsunterlagen von abgelehnten Bewerbern sind nach Abschluss des Verfahrens zu löschen. Die gängige Praxis erlaubt eine Aufbewahrung von etwa sechs Monaten – begründet wird das mit der Möglichkeit von Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG), für die Bewerber Fristen von bis zu zwei Monaten nach Zugang der Ablehnung haben; die Frist zur Geltendmachung von Ansprüchen kann sich im Streitfall verlängern.

Konkret heißt das für dich:

• Direkt nach der Absage: Löschen oder Aufbewahrung mit klarer Frist dokumentieren. Die sechs Monate laufen ab Zugang der Absage.
• Bei laufendem Rechtsstreit: Unterlagen länger aufbewahren – solange ein Verfahren anhängig ist, darf und muss die Speicherung andauern.
• Eingestellte Bewerber: Die Unterlagen wandern in die Personalakte und unterliegen den Regeln der Personalakte (dort gelten längere Aufbewahrungsfristen).

Achtung: „Einfach liegen lassen" ist in der Praxis der häufigste Verstoß. Leg dir eine Löschroutine an – zum Beispiel eine monatliche Erinnerung mit Stichtagsliste, welche Bewerbungen jetzt fällig sind.

Talent-Pool: Bewerberdaten legal weiternutzen

Der Fachkräftemangel macht es attraktiv, gute Kandidaten, die diesmal nicht zum Zug kommen, für künftige Stellen vorzuhalten. Rechtlich ist das kein Selbstläufer: Ohne Einwilligung endet die Speicherung mit dem Bewerbungsverfahren. Für einen Talent-Pool brauchst du eine ausdrückliche Einwilligung nach Art. 7 DSGVO.

So sieht eine saubere Einwilligung aus:

• Separater Opt-in: Kein Kleingedrucktes in der Datenschutzerklärung – ein eigenes Ankreuzfeld in der Bewerbung: „Ich bin einverstanden, dass meine Unterlagen für künftige Stellenangebote gespeichert werden."
• Klarer Zweck und Dauer: Benenne, wofür die Daten genutzt werden und wie lange (üblich sind 12 bis 24 Monate).
• Widerruf jederzeit: Der Kandidat muss den Widerruf genauso einfach erklären können wie die Einwilligung – ein Hinweis in der Einwilligung klärt das.
• Dokumentation: Speichere, wann und wie die Einwilligung erteilt wurde. Im Zweifel musst du das nachweisen können.

Ein kleiner Tipp aus der Praxis: Formuliere den Talent-Pool-Hinweis nicht als Pflichtfeld neben den Pflichtangaben zur Bewerbung. Eine Einwilligung, die als Bedingung für die Teilnahme am Verfahren gestellt wird, ist angreifbar – die Bewerbung muss auch ohne Talent-Pool-Zustimmung möglich sein.

KI im Bewerbungsprozess: Chancen und neue Pflichten

KI-gestützte Lebenslauf-Filter, Chatbots für die Erstansprache oder automatisierte Video-Interviews – die Tools versprechen Zeitersparnis, erzeugen aber eine neue Grauzone. Zwei Regeln prägen den Rechtsrahmen:

Art. 22 DSGVO: Keine rein automatischen Entscheidungen

Eine Entscheidung, die ausschließlich auf automatisierter Verarbeitung beruht und rechtliche Wirkung entfaltet (wie eine Ablehnung), ist ohne ausdrückliche Einwilligung oder gesetzliche Erlaubnis unzulässig. In der Praxis heißt das: Die finale Einstellungs- und Ablehnungsentscheidung muss immer ein Mensch treffen. KI darf vorfiltern, priorisieren und vorbereiten – entscheiden muss sie nicht.

EU AI Act: Hochrisiko-KI im Recruiting

Seit dem 2. August 2026 gelten für Hochrisiko-KI-Systeme die zentralen Pflichten der EU-KI-Verordnung – und KI zur Einstellung und Auswahl von Personen ist ausdrücklich Hochrisiko. Für dich als Arbeitgeber bedeutet das: Wer KI im Bewerbungsprozess einsetzt, muss unter anderem Konformitätsbewertung, Risikomanagement, Datenqualität und menschliche Aufsicht nachweisen können. Der praktische Rat: Dokumentiere den KI-Einsatz lückenlos – welche Daten in das System gehen, welche Auswahlkriterien es anwendet und wie du sicherstellst, dass keine Benachteiligungen nach AGG entstehen. Wenn du dir unsicher bist, ob dein Tool den Anforderungen genügt, lass es vor dem produktiven Einsatz prüfen.

Vorsicht beim Bewerber-Screening

Unabhängig von der Rechtslage gilt: Algorithmen lernen aus Daten – und Daten aus der Vergangenheit enthalten oft unbewusste Verzerrungen. Ein Filter, der automatisch Bewerber mit ausländisch klingenden Namen oder mit Lücken im Lebenslauf aussortiert, kann schnell zum AGG-Fall werden. Prüfe KI-Filter regelmäßig auf Diskriminierung und dokumentiere das Ergebnis.

Social-Media-Recherche: Was du googeln darfst

Fast jeder Recruiter schaut sich Kandidaten im Netz an. Datenschutzrechtlich ist das eine heikle Angelegenheit:

• Berufliche Netzwerke (LinkedIn, XING): Die Recherche in öffentlich zugänglichen Berufsprofilen ist grundsätzlich zulässig, wenn die Informationen für die Eignungsbeurteilung relevant sind. Fasse sie aber eng: entscheidungsrelevante Fakten, nicht Privatleben.
• Private Profile (Facebook, Instagram): Ohne Einwilligung tabu. Inhalte aus privaten Profilen dürfen für die Auswahlentscheidung nicht herangezogen werden – schon gar nicht heimlich gespeicherte Screenshots.
• Dokumentation: Halte fest, welche Quellen du wann geprüft hast und was daraus folgt. Bei einem späteren Rechtsstreit schützt dich das vor dem Vorwurf, auf unzulässige Informationen gestützt zu haben.

Ein Wort zur Praxis: Selbst wenn eine Recherche rechtlich zulässig wäre – wenn du private Informationen (Partnerschaften, Hobbys, politische Äußerungen) siehst, kannst du sie nicht ungesehen machen. Wer die Recherche minimiert, minimiert auch das Risiko, unbewusst gegen das AGG zu verstoßen.

Bewerberrechte: Auskunft, Löschung, Widerspruch

Bewerber haben dieselben Rechte wie Kunden und Mitarbeiter – und sie werden wahrgenommen. Die wichtigsten:

• Auskunft (Art. 15 DSGVO): Auf Anfrage musst du binnen eines Monats mitteilen, welche Daten du über den Bewerber speicherst, zu welchem Zweck und an wen sie gingen.
• Löschung (Art. 17 DSGVO): Der Anspruch auf Löschung greift, wenn die Daten nicht mehr benötigt werden – etwa nach Ablauf der Aufbewahrungsfrist oder nach Widerruf der Einwilligung.
• Berichtigung (Art. 16): Falsche Daten müssen korrigiert werden.
• Informationspflichten (Art. 13): Bereits bei der Erhebung der Daten musst du den Bewerber über die Verarbeitung informieren – deine Datenschutzerklärung muss also ausdrücklich den Bewerbungsprozess abdecken.

Praktischer Hinweis: Die Datenschutzerklärung auf deiner Karriereseite genügt dieser Pflicht nur, wenn sie den Bewerbungsprozess konkret beschreibt – Rechtsgrundlagen, Speicherdauer, Empfänger, Rechte. Ein generischer Text „Wir verarbeiten Ihre Daten gemäß DSGVO" ist zu dünn.

Die 5 häufigsten Datenschutzfehler im Bewerbungsprozess

• 1. Bewerbungen per unverschlüsselter E-Mail: Lebensläufe und Zeugnisse sind sensible Daten. Sorge mindestens für TLS-Transportverschlüsselung und weise Bewerber auf sichere Upload-Wege hin.
• 2. Keine Löschroutine: Unterlagen von 2025 liegen noch im System, obwohl die Bewerber längst abgesagt wurden. Führe eine Stichtagsliste und lösche konsequent.
• 3. Talent-Pool ohne Einwilligung: „Vielleicht brauchen wir ihn nächstes Jahr" ist keine Rechtsgrundlage. Ohne Opt-in des Bewerbers sind die Daten nach Verfahrensende zu löschen.
• 4. Keine Bewerber-Datenschutzerklärung: Ohne konkrete Informationen nach Art. 13 DSGVO fehlt schon am Anfang die Transparenz – ein klassischer Punkt in Datenschutzprüfungen.
• 5. Unterlagen auf privaten Geräten: Der Geschäftsführer sichtet Bewerbungen abends auf dem privaten Laptop und speichert sie lokal. Bring klare Regeln für Geräte und Zugriffe in dein Team.

Checkliste: In 7 Schritten zum DSGVO-konformen Bewerbungsprozess

• ✅ Datenschutzerklärung für Bewerber auf der Karriereseite veröffentlicht – mit Rechtsgrundlagen, Speicherdauer und Rechten (Art. 13 DSGVO)
• ✅ Sichere Übermittlungswege eingerichtet (Upload-Formular statt offener E-Mail)
• ✅ Zugriff auf Bewerbungsunterlagen auf die am Verfahren Beteiligten beschränkt
• ✅ Löschroutine etabliert: sechs Monate nach Absage, dokumentierte Fristverlängerung bei Rechtsstreit
• ✅ Talent-Pool nur mit ausdrücklicher, dokumentierter Einwilligung – inklusive Widerrufsmöglichkeit
• ✅ KI-Einsatz im Recruiting geprüft: menschliche Endentscheidung, AGG-konforme Kriterien, Dokumentation (EU AI Act)
• ✅ Abläufe für Auskunfts-, Lösch- und Widerspruchsanfragen von Bewerbern festgelegt (Frist: ein Monat)

Fazit: Datenschutz ist Teil deiner Arbeitgebermarke

Ein DSGVO-konformer Bewerbungsprozess ist keine lästige Pflicht – er ist ein Qualitätsmerkmal. Kandidaten, die fair, transparent und sorgfältig behandelt werden, erzählen das weiter. Und wer Löschfristen, Einwilligungen und Dokumentationspflichten sauber im Griff hat, schläft auch bei der nächsten Datenschutzprüfung ruhig. Die gute Nachricht: Die meisten Mittelständler müssen keine Datenschutzabteilung aufbauen – sie brauchen klare Prozesse, eine feste Verantwortung und jemanden, der die Umsetzung im Alltag begleitet.