Für Bewerberdaten von nicht eingestellten Kandidaten gibt es in der DSGVO selbst keine feste Frist. Die Verordnung schreibt nur das Prinzip der Speicherbegrenzung vor: Sie dürfen Daten nicht länger speichern, als für den Zweck erforderlich ist, für den Sie sie erhoben haben. Die Autoriteit Persoonsgegevens konkretisiert dies für Rekrutierungs- und Auswahlverfahren mit einer Richtlinie von vier Wochen nach Abschluss des Verfahrens, mit der Möglichkeit, dies auf höchstens ein Jahr zu verlängern, wenn der Kandidat dem zustimmt.
Das bedeutet in der Praxis, dass Sie den Lebenslauf, das Anschreiben, Gesprächsprotokolle und etwaige Testergebnisse eines abgelehnten Kandidaten standardmäßig innerhalb dieser vier Wochen löschen, es sei denn, Sie haben ausdrücklich und separat um Zustimmung gebeten, um die Daten länger zu speichern, etwa für eine nächste Stelle.
Warum diese Frist nicht im Gesetz selbst steht
Die DSGVO nennt für die meisten Arten von Daten keine konkrete Anzahl von Wochen oder Monaten. Der Gesetzgeber hat sich für eine offene Norm entschieden: Speichern Sie nicht länger als erforderlich, und können Sie den Zweck nicht mehr begründen, müssen die Daten gelöscht oder anonymisiert werden. Für spezifische Situationen wie Bewerbungsverfahren haben Aufsichtsbehörden daher praktische Richtlinien veröffentlicht, die einen konkreten Zeitraum empfehlen. Dies ist keine Rechtspflicht im Sinne eines Artikels mit einer Zahl darin, sondern wohl der Maßstab, an dem die Autoriteit Persoonsgegevens prüft, ob eine Aufbewahrungsfrist angemessen ist.
Diese Unterscheidung ist wichtig für die interne Dokumentation: Sie können nicht auf "die gesetzliche Frist von vier Wochen" verweisen, da diese nicht so in der DSGVO steht. Sie können sich jedoch auf die Richtlinie der Aufsichtsbehörde beziehen und erklären, warum Sie diesen Zeitraum als Grundlage nutzen.
Zustimmung für eine längere Frist
Wenn Sie den Lebenslauf eines Kandidaten länger speichern möchten, etwa weil die Profile gut zusammenpassen und bald eine ähnliche Stelle frei wird, ist die ausdrückliche Zustimmung des Kandidaten der übliche Weg. Diese Zustimmung fordern Sie separat, unabhängig von der Bewerbung selbst an, und der Kandidat muss sie genauso leicht widerrufen können wie erteilen. Ohne diese Zustimmung gibt es für die längere Speicherung von Daten eines abgelehnten Kandidaten keine Rechtsgrundlage, und dies gilt auch, wenn Sie die Daten nur in einer Schublade oder in einer digitalen Mappe "für später" belassen.
Es ist ratsam, die Zustimmungsfrage mit einem konkreten Zeitraum, etwa einem Jahr, zu verbinden, anstatt sie offenzulassen. Ein Kandidat, der zustimmt, weiß dann auch, wann seine Daten automatisch wieder gelöscht werden.
Was Sie darüber dokumentieren
Diese Aufbewahrungsfrist sollte nicht nur in Ihrem Kopf stattfinden, sondern auch in Ihrem Verarbeitungsverzeichnis: welche Bewerberdaten Sie verarbeiten, für welchen Zweck, wie lange Sie sie speichern und auf welcher Rechtsgrundlage eine mögliche Verlängerung erfolgt. Dies macht es auch für Sie selbst einfacher, strukturell zu löschen, anstatt Daten liegen zu lassen, "weil es noch keinen Anlass zum Löschen gab". In der Wissensdatenbank über Aufbewahrungsfristen pro Datenart finden Sie neben Bewerberdaten auch die Fristen, die bei anderen Personalakten und bei administrativen Daten gelten.
Es ist sinnvoll, diese Vereinbarung nicht getrennt von Ihren übrigen HR-Prozessen zu behandeln. Wer das Bewerbungsverfahren regelt, ist in der Regel auch derjenige, der dafür sorgen muss, dass Lebensläufe von abgelehnten Kandidaten tatsächlich aus E-Mail-Postfächern, gemeinsamen Ordnern und dem ATS-System verschwinden, nicht nur aus dem ersten System, das jemandem in den Sinn kommt.
Andere Personalakten folgen anderen Fristen
Die Aufbewahrungsfrist für Bewerbungsdaten von abgelehnten Kandidaten ist unabhängig von den Aufbewahrungsfristen, die gelten, sobald jemand tatsächlich eingestellt wird. Lohndaten, Verträge und Steuerdokumente von Mitarbeitern unterliegen anderen Regelungen, oft mit einer gesetzlichen Aufbewahrungspflicht aus der Steuergesetzgebung statt aus der DSGVO. Wer dies nebeneinander sehen möchte, findet in den häufig gestellten Fragen zu Personaldaten einen Überblick über die häufigsten Situationen.
Ob eine konkrete Aufbewahrungsfrist in Ihrer Situation korrekt ist, welcher Zustimmungstext am besten für Sie passt und wie Sie dies intern absichern, sollten Sie letztendlich am besten mit einem Jurist abstimmen oder, bei Zweifeln zur Anwendung des Gesetzes, mit der Autoriteit Persoonsgegevens. Was wir bieten, ist Struktur: einen Ort, an dem diese Frist automatisch in Ihrem Verarbeitungsverzeichnis mitläuft, statt dass Sie selbst daran denken müssen. Mehr darüber, wie diese Verbindung zwischen Verarbeitungsverzeichnis und Frist funktioniert, lesen Sie unter der Erklärung zur Funktionsweise des Systems.
Wenn Sie wissen möchten, ob Ihre aktuelle Aufbewahrung von Bewerbungsdaten damit übereinstimmt, wie andere KMU-Unternehmen dies handhaben, machen Sie dann den kostenlosen Quick-Check oder blättern Sie durch die Themen in der Wissensdatenbank. Beides können Sie ohne Konto einsehen und geben Ihnen in wenigen Minuten einen ersten Überblick über Ihren Stand.