Arbeitgeber dürfen von Bewerberinnen und Bewerbern nur die Daten erheben, die sie für die Entscheidung über die Einstellung brauchen. Das sind Kontaktdaten, Qualifikation, Berufserfahrung und Angaben zur Eignung für die konkrete Stelle. Fragen nach Schwangerschaft, Religion, Gewerkschaft oder Familienplanung sind in der Regel tabu. Unterlagen abgelehnter Bewerber löschen Sie nach spätestens sechs Monaten, für einen Talentpool brauchen Sie eine Einwilligung.
Rechtsgrundlage für Bewerberdaten
Bewerber gelten datenschutzrechtlich als Beschäftigte (§ 26 Abs. 8 Satz 2 BDSG). Nach § 26 Abs. 1 Satz 1 BDSG dürfen Sie ihre Daten verarbeiten, soweit das für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist. Seit dem Urteil des EuGH vom 30.03.2023 (C-34/21) ist allerdings fraglich, ob diese Vorschrift den Anforderungen des Art. 88 Abs. 2 DSGVO genügt. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit verweist für Bewerbungsunterlagen deshalb auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person). Nennen Sie in Ihren Datenschutzhinweisen am besten beide Grundlagen. Der Maßstab bleibt derselbe: Erforderlich ist nur, was Sie für die Auswahl wirklich brauchen.
Für Gesundheitsdaten, Religion oder Gewerkschaftszugehörigkeit gelten die strengeren Regeln des Art. 9 DSGVO und § 26 Abs. 3 BDSG. Angaben zu Vorstrafen fallen unter Art. 10 DSGVO.
Fragerecht: Was Sie fragen dürfen
Fragen Sie nur, was mit der Stelle zu tun hat. Eine unzulässige Frage ist nicht nur ein Datenschutzproblem. Sie kann auch ein Indiz für eine Benachteiligung nach dem AGG sein (§ 22 AGG).
| Frage | Zulässig? | Grund |
|---|---|---|
| Ausbildung, Qualifikation, Berufserfahrung | ja | Kern der Eignungsprüfung |
| Gehaltsvorstellung | ja | nötig für das Vertragsangebot |
| Schwangerschaft, Kinderwunsch | nein | Benachteiligung wegen des Geschlechts (§ 3 Abs. 1 Satz 2 AGG) |
| Schwerbehinderung | in der Regel nein | Benachteiligungsverbot (§ 7 AGG, § 164 Abs. 2 SGB IX), Ausnahme nur bei wesentlicher beruflicher Anforderung (§ 8 AGG) |
| Gesundheit | nur zur Eignung für die konkrete Tätigkeit | besondere Kategorie nach Art. 9 DSGVO |
| Vorstrafen | nur einschlägige | Art. 10 DSGVO, Bezug zur Stelle nötig |
| Religion | nein, Ausnahme bei kirchlichen Arbeitgebern | § 9 AGG |
| Gewerkschaft | nein | Art. 9 Abs. 3 GG, Art. 9 DSGVO |
| Familienstand, Kinder | nein | für die Auswahl nicht erforderlich |
| Foto | nicht verlangen | erlaubt Rückschlüsse auf Alter und Herkunft (§ 1 AGG) |
Bei der Schwerbehinderung ist die Lage im laufenden Arbeitsverhältnis anders: Nach sechs Monaten darf der Arbeitgeber danach fragen (BAG, Urteil vom 16.02.2012, 6 AZR 553/10). Im Bewerbungsverfahren gilt das nicht. Teilt eine Bewerberin ihre Schwerbehinderung von sich aus mit, unterrichten Sie eine vorhandene Schwerbehindertenvertretung, sofern die Bewerberin das nicht ausdrücklich ablehnt (§ 164 Abs. 1 SGB IX).
Führungszeugnis nur mit Anlass
Ein Führungszeugnis dürfen Sie nicht pauschal verlangen. Es braucht einen Bezug zur Tätigkeit oder eine gesetzliche Vorgabe. Ein Kita-Träger, der eine Erzieherin einstellt, lässt sich ein erweitertes Führungszeugnis nach § 30a BZRG vorlegen. Für Träger der öffentlichen Jugendhilfe sieht § 72a Abs. 1 SGB VIII das ausdrücklich vor, freie Träger werden über Vereinbarungen nach § 72a Abs. 2 SGB VIII einbezogen. Die Daten dürfen nur zur Prüfung der Eignung verarbeitet werden. Tritt die Person die Stelle nicht an, löschen Sie sie unverzüglich (§ 30a Abs. 3 BZRG). In der Praxis genügt es meist, Einsichtnahme, Datum und Ergebnis zu notieren, statt eine Kopie abzulegen.
Information beim Eingang der Bewerbung
Sie müssen Bewerber bei der Erhebung nach Art. 13 DSGVO informieren: Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und Rechte. Verlinken Sie die Datenschutzhinweise in der Stellenanzeige und auf der Karriereseite. Bei Bewerbungen per E-Mail schicken Sie den Link mit der Eingangsbestätigung. Recherchieren Sie selbst im Netz, gilt Art. 14 DSGVO. Was bei Social-Media-Profilen von Bewerbern erlaubt ist, lesen Sie im eigenen Beitrag.
Wer im Unternehmen die Unterlagen sieht
Es gilt das Need-to-know-Prinzip. Zugriff haben die Personalverantwortlichen, die Führungskraft der Fachabteilung und wer die Entscheidung trifft. Kolleginnen ohne Rolle im Verfahren bekommen keine Unterlagen weitergeleitet.
Der Betriebsrat ist in Unternehmen mit in der Regel mehr als 20 wahlberechtigten Arbeitnehmern vor jeder Einstellung zu unterrichten. Ihm sind die erforderlichen Bewerbungsunterlagen vorzulegen, seine Mitglieder sind zur Verschwiegenheit verpflichtet (§ 99 Abs. 1 BetrVG). Nutzen Sie einen einheitlichen Bewerberfragebogen, braucht dieser die Zustimmung des Betriebsrats (§ 94 Abs. 1 BetrVG).
Bewerbungen per E-Mail laufen am besten in ein eigenes Postfach mit beschränktem Zugriff. Achten Sie auf Transportverschlüsselung und leiten Sie Unterlagen nicht an private Adressen weiter. Setzen Sie ein Bewerbermanagementsystem ein, kommen Auftragsverarbeitung und Löschroutinen hinzu.
Löschfrist nach der Absage
Abgelehnte Bewerber können eine Entschädigung nach dem AGG innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend machen (§ 15 Abs. 4 AGG). Ab der Geltendmachung bleiben drei Monate für die Klage (§ 61b Abs. 1 ArbGG). Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hält deshalb eine Aufbewahrung von bis zu sechs Monaten für zulässig (Jahresbericht 2022). Zieht jemand die Bewerbung zurück, löschen Sie sofort.
Eine Steuerkanzlei, die eine Buchhalterin sucht, legt deshalb für jede Absage einen Löschtermin sechs Monate nach Versand fest. Danach löscht sie E-Mails, Anhänge, Notizen und Papierunterlagen.
Talentpool nur mit Einwilligung
Möchten Sie Unterlagen für spätere Stellen behalten, brauchen Sie eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie muss schriftlich oder elektronisch erfolgen, und Sie klären über Zweck und Widerrufsrecht in Textform auf (§ 26 Abs. 2 BDSG). Machen Sie die Einwilligung nicht zur Bedingung für die Bewerbung. Die Berliner Aufsicht hat einen Fall beanstandet, in dem eine Recruiting-Agentur eine unbegrenzte Speicherung zur Voraussetzung machte. Nennen Sie eine feste Speicherdauer.
Auskunft und Übergang in die Personalakte
Bewerber können nach Art. 15 DSGVO Auskunft und eine Kopie ihrer Daten verlangen, grundsätzlich innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Dazu können auch Bewertungen und Gesprächsnotizen gehören. Formulieren Sie Notizen deshalb sachlich.
Stellen Sie die Person ein, übernehmen Sie nur die Unterlagen in die Personalakte, die Sie für das Arbeitsverhältnis brauchen.
Checkliste für Ihr Bewerbungsverfahren
- Datenschutzhinweise nach Art. 13 DSGVO in Stellenanzeige und Karriereseite verlinken
- Fragebogen auf stellenbezogene Fragen prüfen, Betriebsrat beteiligen
- Führungszeugnis nur mit Anlass anfordern
- Eigenes Bewerberpostfach mit Zugriff nur für Beteiligte
- Löschtermin sechs Monate nach Absage festlegen
- Talentpool nur mit freiwilliger Einwilligung und fester Dauer
- Ablauf für Auskunftsanfragen bereithalten
- Personalverantwortliche und Führungskräfte schulen
Datenkodex unterstützt als externer Datenschutzbeauftragter mit einer Datenschutzschulung für Personalabteilung und Führungskräfte, damit unzulässige Fragen im Gespräch gar nicht erst gestellt werden.