Arbeitgeber sammeln Lebensläufe an. Manche betreffen laufende Bewerbungen, andere Personen, die sich vor Monaten oder Jahren beworben haben. Die DSGVO kennt keine einheitliche Frist für alle Lebensläufe: Bewahren Sie identifizierbare Informationen nur auf, solange sie für einen bestimmten, rechtmäßigen Zweck erforderlich sind.
Artikel 5 Absatz 1 Buchstaben b, c und e DSGVO verlangt Zweckbindung, Datenminimierung und Speicherbegrenzung. Legen Sie vor der Erhebung eine begründete Frist je Zweck fest und löschen Sie Daten, sobald dieser Zweck die Speicherung nicht mehr rechtfertigt.
Während des Bewerbungsverfahrens
Bewahren Sie die Informationen auf, die Sie zur Prüfung der Bewerbung und Durchführung des Verfahrens benötigen, nicht automatisch alles, was ein Bewerber einreicht. Dazu können Lebenslauf, Anschreiben, relevante Gesprächsnotizen, Bewertungen und Korrespondenz gehören.
Dokumentieren Sie die geltende Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO kann notwendige vorvertragliche Schritte auf Anfrage des Bewerbers abdecken; andere Tätigkeiten erfordern eine eigene Prüfung. Eine weiterhin offene Stelle rechtfertigt für sich genommen nicht die Speicherung aller abgelehnten oder zurückgezogenen Bewerbungen.
Prüfen Sie bei Verfahrensende oder Rückzug einer Bewerbung erneut, was notwendig ist. Übernehmen Sie bei einer Einstellung nur die für die Personalverwaltung erforderlichen Informationen in die Personalakte und wenden Sie die Fristen für diesen Zweck an.
Was gilt nach einer Absage?
Sie müssen nicht jede abgelehnte Bewerbung sofort nach Besetzung der Stelle löschen. Eine begrenzte Aufbewahrung kann notwendig sein, um die Entscheidung zu erläutern oder Rechtsansprüche geltend zu machen, auszuüben oder abzuwehren.
Bestimmen Sie den konkreten Zweck und die geltende Rechtsgrundlage. Stützen Sie sich auf Artikel 6 Absatz 1 Buchstabe f DSGVO, dokumentieren Sie das berechtigte Interesse, die Erforderlichkeit und die Abwägung mit den Rechten des Bewerbers. Eine allgemeine Sorge vor Prozessen rechtfertigt keine unbegrenzte Speicherung vollständiger Akten.
Prüfen Sie das anwendbare lokale Recht und einschlägige Hinweise, einschließlich relevanter Anspruchsfristen und ihres Beginns. Bewahren Sie nur erforderliche Nachweise auf, beschränken Sie den Zugriff auf zuständige Personen und trennen Sie diese Daten vom aktiven Recruiting. Dokumentieren und überprüfen Sie bei einem konkreten Streitfall eine Aussetzung der geplanten Löschung und löschen Sie die Unterlagen, sobald die Rechtfertigung entfällt.
Artikel 17 Absatz 3 Buchstabe e DSGVO sieht eine Ausnahme von der Löschung vor, soweit die Verarbeitung für Rechtsansprüche erforderlich ist. Er ist keine eigenständige Rechtsgrundlage und erlaubt keine Wiederverwendung des Archivs für künftige Stellen.
Dürfen Sie den Lebenslauf für künftige Stellen aufbewahren?
Das ist möglich, aber künftiges Recruiting ist ein gesonderter Zweck. Erläutern Sie ihn vor dieser Nutzung und wählen Sie eine geeignete Rechtsgrundlage.
Eine wirksame Einwilligung nach Artikel 6 Absatz 1 Buchstabe a und Artikel 7 DSGVO muss freiwillig, spezifisch, informiert und unmissverständlich sein und sich ebenso leicht widerrufen wie erteilen lassen. Eine Ablehnung darf Bewerbern nicht schaden. Ein Datenschutzhinweis oder Schweigen ist keine Einwilligung.
Berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f kommen infrage, wenn die Umstände dies tragen. Prüfen und dokumentieren Sie vorher Erforderlichkeit, vernünftige Erwartungen, Auswirkungen und Schutzmaßnahmen. Diese Grundlage ist kein automatischer Ersatz für eine verweigerte oder widerrufene Einwilligung. Prüfen Sie lokale Anforderungen und Hinweise der zuständigen Aufsicht.
Erläutern Sie Zweck, Rechtsgrundlage und Frist oder, wenn keine Frist angegeben werden kann, die Kriterien in Ihrem Datenschutzhinweis für Bewerber. Artikel 13 und 14 DSGVO regeln diese Information. Behalten Sie ein relevantes Profil, nicht automatisch die gesamte Gesprächsakte; prüfen Sie die Richtigkeit und löschen Sie veraltete Daten. Eine Einwilligung erlaubt keine unbegrenzte Speicherung.
Sind zwei Jahre immer richtig?
Nein. Zwei Jahre sind weder eine allgemeine Mindestfrist noch eine allgemeine Höchstfrist der DSGVO. Eine Empfehlung für einen Zweck oder ein Land gilt nicht automatisch für jede Bewerbungsakte.
Prüfen Sie lokales Recht und Hinweise der zuständigen Aufsicht und begründen Sie die Frist je Zweck und Datenkategorie. Definieren Sie den Fristbeginn, etwa die Auswahlentscheidung oder einen inhaltlich relevanten Austausch mit einem Talentpool-Kandidaten. Eine Massenmail, ein interner Zugriff oder eine routinemäßige Datenaktualisierung darf die Frist nicht automatisch neu starten.
Was gilt für Initiativbewerbungen?
Es gelten dieselben Grundsätze. Bestimmen Sie, ob Sie die Person für eine aktuelle Stelle prüfen oder eine Aufnahme in den Talentpool vorschlagen.
Der Eingang eines unaufgefordert eingesandten Lebenslaufs erlaubt nicht automatisch eine unbegrenzte Speicherung oder jede künftige Nutzung. Geben Sie die relevanten Datenschutzinformationen, bestimmen Sie die Rechtsgrundlage und legen Sie eine Frist fest. Fehlt ein gerechtfertigter Aufbewahrungszweck, löschen Sie den Lebenslauf.
Was gilt, wenn ein Bewerber die Löschung verlangt?
Warten Sie nicht bis zum geplanten Löschtermin. Artikel 12, 17, 18 und 21 DSGVO regeln Anträge und einschlägige Ausnahmen.
Wird die Einwilligung widerrufen, beenden Sie die darauf gestützte Talentpool-Verarbeitung. Bei berechtigten Interessen prüfen Sie einen Widerspruch nach Artikel 21 Absatz 1: Stellen Sie die Verarbeitung ein, sofern Sie keine überwiegenden zwingenden Gründe oder die Erforderlichkeit für Rechtsansprüche nachweisen können. Ein Widerspruch gegen Direktwerbung muss diese Nutzung stets beenden. Eine praktische Talentpool-Regel ist, Kontakte zu künftigen Stellen auf Wunsch einzustellen.
Bewahren Sie getrennte Unterlagen nur auf, wenn eine wirksame, notwendige Rechtfertigung verbleibt, etwa eine gesetzliche Pflicht oder Rechtsansprüche, und begründen Sie eine Ablehnung der Löschung. Prüfen Sie eine Einschränkung nach Artikel 18, wenn dessen Voraussetzungen vorliegen. Antworten Sie unverzüglich und normalerweise binnen eines Monats; eine zulässige Verlängerung müssen Sie innerhalb dieses ersten Monats erläutern.
Vergessen Sie die Kopien nicht
Einen Bewerber aus Ihrer Recruiting-Plattform zu löschen entfernt nicht zwingend alle Kopien.
Lebensläufe können auch liegen in:
- Personalpostfächern
- Postfächern von Führungskräften
- Geteilten Laufwerken
- Download-Ordnern
- Portalen von Personalvermittlern
- Gesprächsnotizen
- Tabellen
- KI- oder Assessment-Tools
Ihre Richtlinie deckt den gesamten Recruiting-Prozess ab, so wie eine Richtlinie zu Aufbewahrungsfristen den Rest Ihrer Organisation abdeckt.
Berücksichtigen Sie Papierkopien und vereinbaren Sie Löschverantwortlichkeiten mit Dienstleistern. Auftragsverarbeiter müssen dokumentierte Weisungen befolgen und nach Artikel 28 DSGVO bei Betroffenenanträgen helfen. Klären Sie, wann Backups auslaufen und wie gelöschte Akten nach einer Wiederherstellung nicht wieder aktiv genutzt werden.
Automatisieren Sie die Löschung, wo möglich
Aufbewahrungsregeln wirken nur, wenn sie umgesetzt werden.
Bewerbermanagementsysteme erlauben oft, Lösch- oder Prüftermine zu setzen. Nutzen Sie diese Funktionen, statt darauf zu bauen, dass jemand daran denkt, alte Bewerbungen manuell aufzuräumen.
Ein Prüftermin muss zu einer dokumentierten Entscheidung führen, nicht zu einer automatischen Verlängerung. Testen Sie die Löschung und halten Sie ihre Durchführung verhältnismäßig fest, ohne den Lebenslauf nur als Nachweis seiner Löschung aufzubewahren.
Dokumentieren Sie Ihre Aufbewahrungsregeln
Dokumentieren Sie je Recruiting-Zweck:
- Die Datenkategorien und Rechtsgrundlage.
- Die begründete Frist und ihren Beginn.
- Den Grund für ein zugriffsbeschränktes Archiv für Rechtsansprüche und dessen Prüftermin.
- Den Umgang mit Widerruf, Widerspruch, Löschung und Einschränkung.
- Die betroffenen Systeme, Kopien und Dienstleister einschließlich Backups.
- Die für die Löschung zuständige Person und die Kontrolle der Durchführung.
Erklären Sie diese Regeln Bewerbern verständlich. Übernehmen Sie sie, soweit erforderlich, in Ihr Verzeichnis der Verarbeitungstätigkeiten, einschließlich der vorgesehenen Löschfristen, soweit möglich, nach Artikel 30 DSGVO.
GDPRWise hält für jede Recruiting-Verarbeitung eine Aufbewahrungsfrist fest, damit Löschen zur dokumentierten Regel wird statt zum guten Vorsatz.