Aktualisiert am:
Einwilligung von Bewerbern nach DSGVO: Wann sie wirklich nötig ist
Dein Rekrutierungsprozess
Recruitify Team
Für das normale Bewerbungsverfahren brauchen Sie keine Einwilligung der Bewerberin oder des Bewerbers. Die Verarbeitung der Bewerberdaten ist bereits gesetzlich erlaubt, weil sie auf den Abschluss eines Arbeitsvertrags gerichtet ist. Eine Einwilligung wird erst dann notwendig, wenn Sie mehr wollen als das konkrete Verfahren: etwa die Aufnahme in einen Talentpool, eine längere Speicherung nach einer Absage oder die Weitergabe an Dritte. Viele Unternehmen und Personalvermittlungen holen trotzdem pauschal eine Einwilligung ein und schaffen damit eher Risiken als Sicherheit. Dieser Beitrag zeigt, welche Rechtsgrundlage wann greift, wie eine wirksame Einwilligung aussieht und wie Sie sie sauber dokumentieren.
Kurz gesagt
Kein Einwilligungszwang im Standardverfahren: Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO, ergänzt durch § 26 BDSG im Beschäftigungskontext.
Einwilligung für alles darüber hinaus: Talentpool, Speicherung über die übliche Frist hinaus und Weitergabe an andere Stellen brauchen eine eigene, freiwillige Zustimmung.
Form und Zeitpunkt entscheiden: Die Einwilligung wird schriftlich oder elektronisch eingeholt, mit Hinweis auf Zweck und Widerrufsrecht in Textform, und nicht unter dem Druck eines laufenden Verfahrens.
Befristen statt horten: Auch eine Einwilligung rechtfertigt keine unbefristete Speicherung. Legen Sie einen festen Zeitraum fest.
Widerruf so einfach wie Erteilung: Ein Klick muss reichen, die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Inhaltsverzeichnis
1. Warum das Bewerbungsverfahren meist keine Einwilligung braucht
5. Einwilligung einholen und dokumentieren: Schritt für Schritt
Inhalt
Warum das Bewerbungsverfahren meist keine Einwilligung braucht
Die Rechtsgrundlagen im Überblick
Wann eine Einwilligung zwingend ist
Was eine wirksame Einwilligung ausmacht
Einwilligung einholen und dokumentieren: Schritt für Schritt
Speicherdauer und Löschung
Widerruf und seine Folgen
Sonderfall Gesundheitsdaten
Unsere Perspektive
Häufige Fragen
1. Warum das Bewerbungsverfahren meist keine Einwilligung braucht
Wer sich auf eine Stelle bewirbt, möchte, dass Sie seine Unterlagen lesen, bewerten und ihn gegebenenfalls zum Gespräch einladen. Genau diese Verarbeitung ist die Voraussetzung dafür, dass ein Arbeitsvertrag überhaupt zustande kommen kann. Die Datenschutzaufsicht in Baden-Württemberg ordnet das Bewerbungsverfahren deshalb als vorvertragliche Maßnahme nach Art. 6 Abs. 1 Satz 1 lit. b DSGVO ein, die auf Anfrage der betroffenen Person erfolgt.
Daraus folgt eine praktische Konsequenz, die oft übersehen wird: Wenn Sie für das Standardverfahren eine Einwilligung verlangen, stützen Sie eine ohnehin erlaubte Verarbeitung auf eine Grundlage, die jederzeit widerrufen werden kann. Widerruft die Person, entsteht Unklarheit darüber, ob Sie ihre Unterlagen noch prüfen dürfen. Hinzu kommt, dass eine Einwilligung im Bewerbungskontext schnell an der Freiwilligkeit scheitert, denn wer einen Job möchte, wird kaum ablehnen. Die bessere Lösung lautet daher: das Verfahren auf die gesetzliche Grundlage stützen, transparent informieren und die Einwilligung gezielt für die Zwecke einsetzen, die über das Verfahren hinausgehen.
Ein eigenständiges Beschäftigtendatenschutzgesetz gibt es in Deutschland bislang nicht. Nach Auskunft des Bundesbeauftragten für den Datenschutz ist § 26 BDSG derzeit die maßgebliche Norm für Datenverarbeitungen im Beschäftigungskontext, zu dem auch Bewerberinnen und Bewerber gehören. Weil diese Rechtslage seit Jahren in Bewegung ist, sollten Sie Ihre Datenschutzhinweise regelmäßig mit Ihrer oder Ihrem Datenschutzbeauftragten abgleichen.
2. Die Rechtsgrundlagen im Überblick
Die folgende Tabelle ordnet typische Verarbeitungen im Recruiting der jeweils passenden Grundlage zu. Sie ersetzt keine Einzelfallprüfung, zeigt aber, wo die Einwilligung ihren Platz hat und wo nicht.
Verarbeitung | Typische Rechtsgrundlage | Einwilligung nötig? |
|---|---|---|
Sichten, Bewerten, Einladen im konkreten Verfahren | Art. 6 Abs. 1 Satz 1 lit. b DSGVO, § 26 BDSG | Nein |
Aufbewahrung nach Absage zur Abwehr möglicher Rechtsansprüche | Berechtigtes Interesse, Art. 6 Abs. 1 Satz 1 lit. f DSGVO | Nein, aber zeitlich eng begrenzt |
Aufnahme in einen Talentpool für künftige Stellen | Art. 6 Abs. 1 Satz 1 lit. a DSGVO | Ja |
Speicherung über die übliche Aufbewahrungsfrist hinaus | Art. 6 Abs. 1 Satz 1 lit. a DSGVO | Ja |
Weitergabe an verbundene Unternehmen oder andere Stellen außerhalb des Verfahrens | In der Regel Art. 6 Abs. 1 Satz 1 lit. a DSGVO | In der Regel ja |
Gesundheitsdaten, soweit arbeitsrechtlich erforderlich | Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG | Nein, und eine Einwilligung trägt hier selten |
Die Aufsicht in Baden-Württemberg weist darauf hin, dass außerhalb des Anwendungsbereichs von lit. b grundsätzlich Art. 6 Abs. 1 Satz 1 lit. f DSGVO oder andere Grundlagen in Betracht kommen. Das berechtigte Interesse verlangt allerdings immer eine Abwägung mit den Interessen der Bewerbenden. Es eignet sich für eng umrissene Zwecke wie die Dokumentation eines abgeschlossenen Verfahrens, nicht für den Aufbau einer dauerhaften Kandidatendatenbank.
3. Wann eine Einwilligung zwingend ist
Talentpool und Bewerberpool
Der häufigste Fall in der Praxis: Eine Kandidatin passt nicht auf die aktuelle Stelle, wäre aber für künftige Projekte interessant. Die Gesellschaft für Datenschutz und Datensicherheit stellt in ihrer Praxishilfe zum Bewerbungsverfahren von Oktober 2025 klar, dass für eine Speicherung über das Bewerbungsverfahren hinaus, etwa in einem Bewerberpool, die Einwilligung der Bewerbenden erforderlich ist. Nur mit dieser Zustimmung dürfen Daten abgelehnter Personen länger als üblich aufbewahrt werden.
Weitergabe an andere Stellen
Wenn Sie eine Bewerbung an eine Schwestergesellschaft, an eine andere Niederlassung mit eigener Verantwortung oder an einen externen Partner weiterleiten möchten, verlassen Sie den Rahmen des Verfahrens, für das sich die Person beworben hat. Viele Unternehmen sehen eine solche Weiterleitung innerhalb der Gruppe deshalb ausdrücklich nur nach Einwilligung vor. Für Sie bedeutet das: Formulieren Sie für jede zusätzliche Empfängergruppe einen eigenen, verständlichen Zweck.
Besonderheit für Personalvermittlungen
Für Agenturen und Headhunter ist die Weitergabe an Endkunden der Kern des Geschäfts. Gerade deshalb lohnt sich hier besondere Sorgfalt. Aus unserer Sicht sollten Sie vor jeder Vorstellung bei einem Kunden transparent machen, an wen das Profil geht, und die Zustimmung der Kandidatin oder des Kandidaten nachweisbar festhalten. Ob im Einzelfall eine Einwilligung oder eine andere Grundlage trägt, hängt von der Vertragsgestaltung mit der Kandidatin ab; klären Sie Ihr Standardvorgehen mit Ihrer Datenschutzberatung. Unabhängig davon reduziert ein anonymisiertes Profil im ersten Schritt die Menge der übermittelten Daten. Wie das in der Praxis funktioniert, beschreiben wir auf unserer Seite zu DSGVO und CV-Anonymisierung.
Aktive Ansprache aus der eigenen Datenbank
Wer frühere Kandidatinnen für neue Positionen reaktivieren möchte, braucht dafür eine tragfähige Grundlage. Liegt eine befristete Talentpool-Einwilligung vor, ist die erneute Ansprache innerhalb dieses Zeitraums und Zwecks gedeckt. Ohne sie wird die Datenbank schnell zum Haftungsrisiko statt zum Vermögenswert.
4. Was eine wirksame Einwilligung ausmacht
Eine Einwilligung ist nur so viel wert wie ihre Wirksamkeit. Im Bewerbungskontext sind vier Punkte entscheidend.
Freiwilligkeit
Der BfDI betont, dass bei jeder Einwilligung im Beschäftigungsverhältnis die tatsächliche Freiwilligkeit im Einzelfall zu beurteilen ist und die Abhängigkeit vom Arbeitgeber berücksichtigt werden muss. Für Bewerbende gilt das in besonderem Maß, denn sie wollen etwas von Ihnen. Die Einwilligung darf deshalb nie Bedingung für die Teilnahme am Verfahren sein. Wer den Talentpool ablehnt, wird für die aktuelle Stelle genauso berücksichtigt.
Zeitpunkt
Haufe weist darauf hin, dass eine Einwilligung, die während eines laufenden Bewerbungsverfahrens eingeholt wird, wegen der Drucksituation unwirksam sein kann. Praktisch heißt das: Fragen Sie nicht im Vorstellungsgespräch und nicht in der Mail mit der Einladung. Ein guter Moment ist die Absage oder eine separate, klar optionale Abfrage, bei der erkennbar ist, dass die Antwort keinen Einfluss auf die Entscheidung hat.
Bestimmtheit und Information
Die Person muss wissen, wozu sie zustimmt: welcher Zweck, welche Daten, wie lange, an wen. Eine Formulierung wie „für weitere Recruiting-Zwecke“ ist zu vage. Besser ist eine konkrete Aussage, zum Beispiel die Berücksichtigung für vergleichbare Stellen im IT-Bereich für einen festgelegten Zeitraum.
Form
Nach der GDD-Praxishilfe ist die Einwilligung schriftlich oder elektronisch einzuholen, sofern keine besonderen Umstände eine andere Form angemessen erscheinen lassen. Über den Zweck und das jederzeitige Widerrufsrecht ist in Textform aufzuklären. Ein mündliches „Ja, gern“ am Telefon reicht also nicht, wenn es nicht anschließend elektronisch bestätigt und gespeichert wird.
5. Einwilligung einholen und dokumentieren: Schritt für Schritt
Die folgende Reihenfolge hat sich bewährt, ob Sie ein Karriereportal, ein Bewerbermanagementsystem oder E-Mail nutzen.
Zweck festlegen. Definieren Sie, wofür Sie die Daten zusätzlich nutzen wollen: Talentpool, Weitergabe an eine bestimmte Gesellschaft oder längere Aufbewahrung.
Zeitraum bestimmen. Legen Sie eine konkrete Dauer fest und nennen Sie sie im Text. Ohne Frist fehlt der Einwilligung ein zentrales Element.
Getrennt abfragen. Die Einwilligung steht nicht in den allgemeinen Datenschutzhinweisen und ist nicht vorausgewählt. Ein eigenes, leeres Kontrollkästchen oder eine separate Bestätigungsmail sind der Standard.
In Textform informieren. Zweck, Dauer, Empfänger und Widerrufsrecht stehen direkt bei der Abfrage, nicht hinter drei Links.
Widerrufsweg anbieten. Nennen Sie eine einfache Möglichkeit, zum Beispiel einen Abmeldelink oder eine eigene Adresse.
Nachweis speichern. Halten Sie fest, wer wann welchem Text zugestimmt hat, in welcher Version und über welchen Kanal. Diese Angaben gehören zum Kandidatenprofil.
Frist überwachen. Hinterlegen Sie das Ablaufdatum und lassen Sie sich rechtzeitig erinnern, damit Sie entweder neu fragen oder löschen.
Eine mögliche Formulierung für den Talentpool, die Sie an Ihre Organisation anpassen sollten:
„Ich willige ein, dass die [Unternehmen] meine Bewerbungsunterlagen und Kontaktdaten für einen Zeitraum von [Dauer] in ihrem Talentpool speichert, um mich über passende offene Stellen im Bereich [Bereich] zu informieren. Die Einwilligung ist freiwillig und hat keinen Einfluss auf meine aktuelle Bewerbung. Ich kann sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über [Link oder Adresse].“
Wie sich diese Schritte in den gesamten Prozess einfügen, von der Stellenausschreibung bis zur Löschung, zeigen wir in unserem Beitrag Bewerbermanagement erklärt. Die technischen und organisatorischen Grundlagen dafür beschreibt der Artikel zu Privacy by Design in HR.
Informationspflichten nicht vergessen
Unabhängig von der Einwilligung müssen Sie Bewerbende nach Art. 13 DSGVO bei der Erhebung über die Verarbeitung informieren, bei Daten aus anderen Quellen, etwa beim aktiven Sourcing, nach Art. 14 DSGVO. Dazu zählen insbesondere der Verantwortliche, die Zwecke und Rechtsgrundlagen, die Empfänger, die Speicherdauer und die Betroffenenrechte. Die Einwilligung ersetzt diese Informationen nicht; sie kommt für die zusätzlichen Zwecke hinzu.
6. Speicherdauer und Löschung
Mit der Absage endet der Zweck, für den die Daten erhoben wurden. Die GDD leitet daraus ab, dass die Daten nach Art. 17 Abs. 1 lit. a DSGVO unverzüglich zu löschen sind, sofern sie nicht zur Verteidigung von Rechtsansprüchen erforderlich sind. In der Praxis bewahren Unternehmen die Unterlagen deshalb für einen kurzen Zeitraum nach der Absage auf, um auf mögliche Ansprüche, etwa wegen Benachteiligung nach dem AGG, reagieren zu können. Welche Fristen sich dafür eingebürgert haben und wie Sie sie begründen, erläutern wir im Beitrag Aufbewahrungsfrist bei Bewerbungen.
Für den Talentpool gilt: Die Einwilligung ist für einen begrenzten Zeitraum einzuholen. Wie lang dieser sein darf, lässt sich nicht pauschal sagen. Die Hamburger Datenschutzaufsicht hält in ihrer Information zu Bewerberdatenschutz und Recruiting von Juni 2024 je nach Branche und üblicher Dauer einer Stellenbesetzung Fristen von einigen Monaten bis zu mehreren Jahren für möglich. Dieselbe Behörde beobachtet, dass in der Praxis häufig gar kein Zeitraum definiert wird, was zu einer unzulässigen unbefristeten Speicherung führt.
Eine sinnvolle Orientierung für Ihre Entscheidung:
Kurze Besetzungszyklen, etwa in der Massenrekrutierung, sprechen für kürzere Fristen.
Spezialisierte Rollen, etwa im IT-Contracting, bei denen Projekte oft erst Monate später starten, können längere Fristen rechtfertigen.
Verlängerung nur aktiv: Läuft die Frist ab, fragen Sie erneut. Schweigen ist keine Zustimmung.
7. Widerruf und seine Folgen
Die GDD formuliert den Maßstab klar: Der Widerruf muss genauso einfach möglich sein wie die Erteilung, etwa durch einen Abmeldelink. Wer per Klick zugestimmt hat, darf nicht per Brief widerrufen müssen.
Der Widerruf wirkt für die Zukunft. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt, wie es auch in Bewerber-Datenschutzhinweisen wie denen der Stadtwerke Krefeld beschrieben ist. Für Sie heißt das konkret:
Die Person wird aus dem Talentpool entfernt und nicht mehr angesprochen.
Die Daten, die allein auf der Einwilligung beruhen, werden gelöscht.
Läuft parallel noch ein aktives Bewerbungsverfahren, bleibt dieses auf seiner eigenen Grundlage bestehen.
Der Widerruf selbst wird dokumentiert, damit Sie später nachweisen können, dass Sie ihn umgesetzt haben.
Damit das funktioniert, müssen Sie wissen, wo die Daten überall liegen: im Postfach, in Tabellen, auf Laufwerken und im System. Verstreute Kopien sind der häufigste Grund, warum Löschungen unvollständig bleiben.
8. Sonderfall Gesundheitsdaten
Angaben zu Gesundheit, Schwerbehinderung oder anderen besonderen Kategorien nach Art. 9 DSGVO verdienen eigene Vorsicht. Der Landesbeauftragte für Datenschutz in Bremen erläutert, dass solche Daten nach Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG verarbeitet werden dürfen, wenn dies zur Ausübung arbeitsrechtlicher Rechte oder zur Erfüllung entsprechender Pflichten erforderlich ist. Wegen der existenziellen Bedeutung eines Arbeitsplatzes sei eine Einwilligung hier selten als freiwillig anzusehen.
Für Ihre Formulare bedeutet das: Fragen Sie Gesundheitsdaten nur ab, wenn sie für die konkrete Tätigkeit rechtlich erforderlich sind, und versuchen Sie nicht, eine unzulässige Frage durch ein Einwilligungskästchen zu legitimieren. Wenn Sie unsicher sind, ob eine bestimmte Frage zulässig ist, etwa zu Vorerkrankungen bei körperlich anspruchsvollen Tätigkeiten, klären Sie das vorab mit Ihrer oder Ihrem Datenschutzbeauftragten und gegebenenfalls mit der Fachkraft für Arbeitsrecht.
9. Unsere Perspektive
Wir arbeiten täglich mit Personalvermittlungen, IT-Staff-Augmentation-Firmen und HR-Abteilungen, die ihre Kandidatendatenbank als wichtigste Ressource betrachten. Aus unserer Sicht ist die Einwilligung genau dort entscheidend, wo dieser Wert entsteht: bei der Reaktivierung früherer Kandidatinnen und Kandidaten für neue Projekte. Eine Datenbank ohne dokumentierte, befristete Einwilligungen lässt sich nicht verantwortungsvoll nutzen, ganz gleich, wie gut die Suchfunktion ist.
Wir beobachten außerdem, dass Datenschutzprobleme selten an fehlendem Wissen scheitern, sondern an verstreuten Informationen. Wenn die Zustimmung in einer E-Mail liegt, das Profil in einer Tabelle und die Löschfrist in niemandes Kalender, ist der Nachweis im Ernstfall kaum zu führen. Deshalb plädieren wir dafür, Einwilligung, Fristen und Kandidatenprofil an einem Ort zusammenzuführen und jede Änderung nachvollziehbar zu protokollieren. Die Einwilligung ist dann kein Formular, das man einmal abhakt, sondern ein Status, der sichtbar ist, solange er gilt, und der endet, wenn er endet.
- Recruitify Team
Einwilligungen und Kandidatendaten an einem Ort
Recruitify verbindet ATS, Sales CRM und IT-Contracting in einem System und bietet DSGVO-Anonymisierung, Blind-CV-Erstellung und einen vollständigen Audit-Trail. So sehen Sie im Bewerbermanagement von Recruitify Profil, Verlauf und Datenschutzstatus Ihrer Kandidaten zusammen, statt sie aus Postfächern und Tabellen zusammenzusuchen. Der Tarif HR Team kostet 61 € pro Monat und Nutzer, der Tarif Agency 67 € pro Monat und Nutzer; für Enterprise erstellen wir ein individuelles Angebot. Alle Details finden Sie auf unserer Preisseite.
Häufige Fragen
Muss ich Bewerber vor dem Lesen ihrer Unterlagen um Einwilligung bitten?
Nein. Die Verarbeitung im konkreten Bewerbungsverfahren stützt sich auf Art. 6 Abs. 1 Satz 1 lit. b DSGVO und § 26 BDSG. Sie müssen die Bewerbenden aber nach Art. 13 DSGVO über die Verarbeitung informieren.
Reicht ein Satz in der Datenschutzerklärung für den Talentpool?
Nein. Die Einwilligung muss aktiv, getrennt und schriftlich oder elektronisch erteilt werden, mit Hinweis auf Zweck, Dauer und Widerrufsrecht in Textform. Ein Hinweis in den allgemeinen Datenschutzhinweisen ist keine Zustimmung.
Wie lange darf ein Kandidat im Talentpool bleiben?
So lange, wie die Einwilligung reicht, und diese muss befristet sein. Die Hamburger Aufsicht hält je nach Branche einige Monate bis mehrere Jahre für vertretbar. Nach Ablauf fragen Sie erneut oder löschen die Daten.
Was passiert, wenn ein Bewerber seine Einwilligung widerruft?
Die Daten, die nur auf der Einwilligung beruhen, werden gelöscht und die Person wird nicht mehr kontaktiert. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Ein noch laufendes Bewerbungsverfahren ist davon nicht betroffen.
Darf ich die Einwilligung im Vorstellungsgespräch einholen?
Davon raten wir ab. Eine Einwilligung während des laufenden Verfahrens kann wegen der Drucksituation unwirksam sein. Fragen Sie besser mit der Absage oder in einer separaten, klar optionalen Nachricht.
Quellen
Landesbeauftragter für Datenschutz Baden-Württemberg: Rechtsgrundlagen bei Beschäftigtendaten
Landesbeauftragte für Datenschutz Bremen: Gesundheitsdaten im Bewerbungsverfahren
Empfehlungen
Updates und News
Bleib immer up to date mit den neuesten Innovationen, Features und Tipps rund um Recruitify!
Indem Du Deine E-Mail-Adresse im Anmeldeformular für den Newsletter einträgst, willigst Du in deren Verarbeitung zum Zwecke des Versands von Marketinginformationen über die Produkte und Dienstleistungen des Administrators ein. Der Administrator Deiner zu diesem Zweck verarbeiteten personenbezogenen Daten ist Recruitify Sp. z o.o. mit Sitz in Warschau (KRS 0000709889). Weitere Informationen über die Grundsätze der Verarbeitung personenbezogener Daten und die Rechte der betroffenen Personen findest Du im Dokument Datenschutzerklärung.
Aktualisiert am:
Einwilligung von Bewerbern nach DSGVO: Wann sie wirklich nötig ist
Dein Rekrutierungsprozess
Recruitify Team
Für das normale Bewerbungsverfahren brauchen Sie keine Einwilligung der Bewerberin oder des Bewerbers. Die Verarbeitung der Bewerberdaten ist bereits gesetzlich erlaubt, weil sie auf den Abschluss eines Arbeitsvertrags gerichtet ist. Eine Einwilligung wird erst dann notwendig, wenn Sie mehr wollen als das konkrete Verfahren: etwa die Aufnahme in einen Talentpool, eine längere Speicherung nach einer Absage oder die Weitergabe an Dritte. Viele Unternehmen und Personalvermittlungen holen trotzdem pauschal eine Einwilligung ein und schaffen damit eher Risiken als Sicherheit. Dieser Beitrag zeigt, welche Rechtsgrundlage wann greift, wie eine wirksame Einwilligung aussieht und wie Sie sie sauber dokumentieren.
Kurz gesagt
Kein Einwilligungszwang im Standardverfahren: Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO, ergänzt durch § 26 BDSG im Beschäftigungskontext.
Einwilligung für alles darüber hinaus: Talentpool, Speicherung über die übliche Frist hinaus und Weitergabe an andere Stellen brauchen eine eigene, freiwillige Zustimmung.
Form und Zeitpunkt entscheiden: Die Einwilligung wird schriftlich oder elektronisch eingeholt, mit Hinweis auf Zweck und Widerrufsrecht in Textform, und nicht unter dem Druck eines laufenden Verfahrens.
Befristen statt horten: Auch eine Einwilligung rechtfertigt keine unbefristete Speicherung. Legen Sie einen festen Zeitraum fest.
Widerruf so einfach wie Erteilung: Ein Klick muss reichen, die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Inhaltsverzeichnis
1. Warum das Bewerbungsverfahren meist keine Einwilligung braucht
5. Einwilligung einholen und dokumentieren: Schritt für Schritt
Inhalt
Warum das Bewerbungsverfahren meist keine Einwilligung braucht
Die Rechtsgrundlagen im Überblick
Wann eine Einwilligung zwingend ist
Was eine wirksame Einwilligung ausmacht
Einwilligung einholen und dokumentieren: Schritt für Schritt
Speicherdauer und Löschung
Widerruf und seine Folgen
Sonderfall Gesundheitsdaten
Unsere Perspektive
Häufige Fragen
1. Warum das Bewerbungsverfahren meist keine Einwilligung braucht
Wer sich auf eine Stelle bewirbt, möchte, dass Sie seine Unterlagen lesen, bewerten und ihn gegebenenfalls zum Gespräch einladen. Genau diese Verarbeitung ist die Voraussetzung dafür, dass ein Arbeitsvertrag überhaupt zustande kommen kann. Die Datenschutzaufsicht in Baden-Württemberg ordnet das Bewerbungsverfahren deshalb als vorvertragliche Maßnahme nach Art. 6 Abs. 1 Satz 1 lit. b DSGVO ein, die auf Anfrage der betroffenen Person erfolgt.
Daraus folgt eine praktische Konsequenz, die oft übersehen wird: Wenn Sie für das Standardverfahren eine Einwilligung verlangen, stützen Sie eine ohnehin erlaubte Verarbeitung auf eine Grundlage, die jederzeit widerrufen werden kann. Widerruft die Person, entsteht Unklarheit darüber, ob Sie ihre Unterlagen noch prüfen dürfen. Hinzu kommt, dass eine Einwilligung im Bewerbungskontext schnell an der Freiwilligkeit scheitert, denn wer einen Job möchte, wird kaum ablehnen. Die bessere Lösung lautet daher: das Verfahren auf die gesetzliche Grundlage stützen, transparent informieren und die Einwilligung gezielt für die Zwecke einsetzen, die über das Verfahren hinausgehen.
Ein eigenständiges Beschäftigtendatenschutzgesetz gibt es in Deutschland bislang nicht. Nach Auskunft des Bundesbeauftragten für den Datenschutz ist § 26 BDSG derzeit die maßgebliche Norm für Datenverarbeitungen im Beschäftigungskontext, zu dem auch Bewerberinnen und Bewerber gehören. Weil diese Rechtslage seit Jahren in Bewegung ist, sollten Sie Ihre Datenschutzhinweise regelmäßig mit Ihrer oder Ihrem Datenschutzbeauftragten abgleichen.
2. Die Rechtsgrundlagen im Überblick
Die folgende Tabelle ordnet typische Verarbeitungen im Recruiting der jeweils passenden Grundlage zu. Sie ersetzt keine Einzelfallprüfung, zeigt aber, wo die Einwilligung ihren Platz hat und wo nicht.
Verarbeitung | Typische Rechtsgrundlage | Einwilligung nötig? |
|---|---|---|
Sichten, Bewerten, Einladen im konkreten Verfahren | Art. 6 Abs. 1 Satz 1 lit. b DSGVO, § 26 BDSG | Nein |
Aufbewahrung nach Absage zur Abwehr möglicher Rechtsansprüche | Berechtigtes Interesse, Art. 6 Abs. 1 Satz 1 lit. f DSGVO | Nein, aber zeitlich eng begrenzt |
Aufnahme in einen Talentpool für künftige Stellen | Art. 6 Abs. 1 Satz 1 lit. a DSGVO | Ja |
Speicherung über die übliche Aufbewahrungsfrist hinaus | Art. 6 Abs. 1 Satz 1 lit. a DSGVO | Ja |
Weitergabe an verbundene Unternehmen oder andere Stellen außerhalb des Verfahrens | In der Regel Art. 6 Abs. 1 Satz 1 lit. a DSGVO | In der Regel ja |
Gesundheitsdaten, soweit arbeitsrechtlich erforderlich | Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG | Nein, und eine Einwilligung trägt hier selten |
Die Aufsicht in Baden-Württemberg weist darauf hin, dass außerhalb des Anwendungsbereichs von lit. b grundsätzlich Art. 6 Abs. 1 Satz 1 lit. f DSGVO oder andere Grundlagen in Betracht kommen. Das berechtigte Interesse verlangt allerdings immer eine Abwägung mit den Interessen der Bewerbenden. Es eignet sich für eng umrissene Zwecke wie die Dokumentation eines abgeschlossenen Verfahrens, nicht für den Aufbau einer dauerhaften Kandidatendatenbank.
3. Wann eine Einwilligung zwingend ist
Talentpool und Bewerberpool
Der häufigste Fall in der Praxis: Eine Kandidatin passt nicht auf die aktuelle Stelle, wäre aber für künftige Projekte interessant. Die Gesellschaft für Datenschutz und Datensicherheit stellt in ihrer Praxishilfe zum Bewerbungsverfahren von Oktober 2025 klar, dass für eine Speicherung über das Bewerbungsverfahren hinaus, etwa in einem Bewerberpool, die Einwilligung der Bewerbenden erforderlich ist. Nur mit dieser Zustimmung dürfen Daten abgelehnter Personen länger als üblich aufbewahrt werden.
Weitergabe an andere Stellen
Wenn Sie eine Bewerbung an eine Schwestergesellschaft, an eine andere Niederlassung mit eigener Verantwortung oder an einen externen Partner weiterleiten möchten, verlassen Sie den Rahmen des Verfahrens, für das sich die Person beworben hat. Viele Unternehmen sehen eine solche Weiterleitung innerhalb der Gruppe deshalb ausdrücklich nur nach Einwilligung vor. Für Sie bedeutet das: Formulieren Sie für jede zusätzliche Empfängergruppe einen eigenen, verständlichen Zweck.
Besonderheit für Personalvermittlungen
Für Agenturen und Headhunter ist die Weitergabe an Endkunden der Kern des Geschäfts. Gerade deshalb lohnt sich hier besondere Sorgfalt. Aus unserer Sicht sollten Sie vor jeder Vorstellung bei einem Kunden transparent machen, an wen das Profil geht, und die Zustimmung der Kandidatin oder des Kandidaten nachweisbar festhalten. Ob im Einzelfall eine Einwilligung oder eine andere Grundlage trägt, hängt von der Vertragsgestaltung mit der Kandidatin ab; klären Sie Ihr Standardvorgehen mit Ihrer Datenschutzberatung. Unabhängig davon reduziert ein anonymisiertes Profil im ersten Schritt die Menge der übermittelten Daten. Wie das in der Praxis funktioniert, beschreiben wir auf unserer Seite zu DSGVO und CV-Anonymisierung.
Aktive Ansprache aus der eigenen Datenbank
Wer frühere Kandidatinnen für neue Positionen reaktivieren möchte, braucht dafür eine tragfähige Grundlage. Liegt eine befristete Talentpool-Einwilligung vor, ist die erneute Ansprache innerhalb dieses Zeitraums und Zwecks gedeckt. Ohne sie wird die Datenbank schnell zum Haftungsrisiko statt zum Vermögenswert.
4. Was eine wirksame Einwilligung ausmacht
Eine Einwilligung ist nur so viel wert wie ihre Wirksamkeit. Im Bewerbungskontext sind vier Punkte entscheidend.
Freiwilligkeit
Der BfDI betont, dass bei jeder Einwilligung im Beschäftigungsverhältnis die tatsächliche Freiwilligkeit im Einzelfall zu beurteilen ist und die Abhängigkeit vom Arbeitgeber berücksichtigt werden muss. Für Bewerbende gilt das in besonderem Maß, denn sie wollen etwas von Ihnen. Die Einwilligung darf deshalb nie Bedingung für die Teilnahme am Verfahren sein. Wer den Talentpool ablehnt, wird für die aktuelle Stelle genauso berücksichtigt.
Zeitpunkt
Haufe weist darauf hin, dass eine Einwilligung, die während eines laufenden Bewerbungsverfahrens eingeholt wird, wegen der Drucksituation unwirksam sein kann. Praktisch heißt das: Fragen Sie nicht im Vorstellungsgespräch und nicht in der Mail mit der Einladung. Ein guter Moment ist die Absage oder eine separate, klar optionale Abfrage, bei der erkennbar ist, dass die Antwort keinen Einfluss auf die Entscheidung hat.
Bestimmtheit und Information
Die Person muss wissen, wozu sie zustimmt: welcher Zweck, welche Daten, wie lange, an wen. Eine Formulierung wie „für weitere Recruiting-Zwecke“ ist zu vage. Besser ist eine konkrete Aussage, zum Beispiel die Berücksichtigung für vergleichbare Stellen im IT-Bereich für einen festgelegten Zeitraum.
Form
Nach der GDD-Praxishilfe ist die Einwilligung schriftlich oder elektronisch einzuholen, sofern keine besonderen Umstände eine andere Form angemessen erscheinen lassen. Über den Zweck und das jederzeitige Widerrufsrecht ist in Textform aufzuklären. Ein mündliches „Ja, gern“ am Telefon reicht also nicht, wenn es nicht anschließend elektronisch bestätigt und gespeichert wird.
5. Einwilligung einholen und dokumentieren: Schritt für Schritt
Die folgende Reihenfolge hat sich bewährt, ob Sie ein Karriereportal, ein Bewerbermanagementsystem oder E-Mail nutzen.
Zweck festlegen. Definieren Sie, wofür Sie die Daten zusätzlich nutzen wollen: Talentpool, Weitergabe an eine bestimmte Gesellschaft oder längere Aufbewahrung.
Zeitraum bestimmen. Legen Sie eine konkrete Dauer fest und nennen Sie sie im Text. Ohne Frist fehlt der Einwilligung ein zentrales Element.
Getrennt abfragen. Die Einwilligung steht nicht in den allgemeinen Datenschutzhinweisen und ist nicht vorausgewählt. Ein eigenes, leeres Kontrollkästchen oder eine separate Bestätigungsmail sind der Standard.
In Textform informieren. Zweck, Dauer, Empfänger und Widerrufsrecht stehen direkt bei der Abfrage, nicht hinter drei Links.
Widerrufsweg anbieten. Nennen Sie eine einfache Möglichkeit, zum Beispiel einen Abmeldelink oder eine eigene Adresse.
Nachweis speichern. Halten Sie fest, wer wann welchem Text zugestimmt hat, in welcher Version und über welchen Kanal. Diese Angaben gehören zum Kandidatenprofil.
Frist überwachen. Hinterlegen Sie das Ablaufdatum und lassen Sie sich rechtzeitig erinnern, damit Sie entweder neu fragen oder löschen.
Eine mögliche Formulierung für den Talentpool, die Sie an Ihre Organisation anpassen sollten:
„Ich willige ein, dass die [Unternehmen] meine Bewerbungsunterlagen und Kontaktdaten für einen Zeitraum von [Dauer] in ihrem Talentpool speichert, um mich über passende offene Stellen im Bereich [Bereich] zu informieren. Die Einwilligung ist freiwillig und hat keinen Einfluss auf meine aktuelle Bewerbung. Ich kann sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über [Link oder Adresse].“
Wie sich diese Schritte in den gesamten Prozess einfügen, von der Stellenausschreibung bis zur Löschung, zeigen wir in unserem Beitrag Bewerbermanagement erklärt. Die technischen und organisatorischen Grundlagen dafür beschreibt der Artikel zu Privacy by Design in HR.
Informationspflichten nicht vergessen
Unabhängig von der Einwilligung müssen Sie Bewerbende nach Art. 13 DSGVO bei der Erhebung über die Verarbeitung informieren, bei Daten aus anderen Quellen, etwa beim aktiven Sourcing, nach Art. 14 DSGVO. Dazu zählen insbesondere der Verantwortliche, die Zwecke und Rechtsgrundlagen, die Empfänger, die Speicherdauer und die Betroffenenrechte. Die Einwilligung ersetzt diese Informationen nicht; sie kommt für die zusätzlichen Zwecke hinzu.
6. Speicherdauer und Löschung
Mit der Absage endet der Zweck, für den die Daten erhoben wurden. Die GDD leitet daraus ab, dass die Daten nach Art. 17 Abs. 1 lit. a DSGVO unverzüglich zu löschen sind, sofern sie nicht zur Verteidigung von Rechtsansprüchen erforderlich sind. In der Praxis bewahren Unternehmen die Unterlagen deshalb für einen kurzen Zeitraum nach der Absage auf, um auf mögliche Ansprüche, etwa wegen Benachteiligung nach dem AGG, reagieren zu können. Welche Fristen sich dafür eingebürgert haben und wie Sie sie begründen, erläutern wir im Beitrag Aufbewahrungsfrist bei Bewerbungen.
Für den Talentpool gilt: Die Einwilligung ist für einen begrenzten Zeitraum einzuholen. Wie lang dieser sein darf, lässt sich nicht pauschal sagen. Die Hamburger Datenschutzaufsicht hält in ihrer Information zu Bewerberdatenschutz und Recruiting von Juni 2024 je nach Branche und üblicher Dauer einer Stellenbesetzung Fristen von einigen Monaten bis zu mehreren Jahren für möglich. Dieselbe Behörde beobachtet, dass in der Praxis häufig gar kein Zeitraum definiert wird, was zu einer unzulässigen unbefristeten Speicherung führt.
Eine sinnvolle Orientierung für Ihre Entscheidung:
Kurze Besetzungszyklen, etwa in der Massenrekrutierung, sprechen für kürzere Fristen.
Spezialisierte Rollen, etwa im IT-Contracting, bei denen Projekte oft erst Monate später starten, können längere Fristen rechtfertigen.
Verlängerung nur aktiv: Läuft die Frist ab, fragen Sie erneut. Schweigen ist keine Zustimmung.
7. Widerruf und seine Folgen
Die GDD formuliert den Maßstab klar: Der Widerruf muss genauso einfach möglich sein wie die Erteilung, etwa durch einen Abmeldelink. Wer per Klick zugestimmt hat, darf nicht per Brief widerrufen müssen.
Der Widerruf wirkt für die Zukunft. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt, wie es auch in Bewerber-Datenschutzhinweisen wie denen der Stadtwerke Krefeld beschrieben ist. Für Sie heißt das konkret:
Die Person wird aus dem Talentpool entfernt und nicht mehr angesprochen.
Die Daten, die allein auf der Einwilligung beruhen, werden gelöscht.
Läuft parallel noch ein aktives Bewerbungsverfahren, bleibt dieses auf seiner eigenen Grundlage bestehen.
Der Widerruf selbst wird dokumentiert, damit Sie später nachweisen können, dass Sie ihn umgesetzt haben.
Damit das funktioniert, müssen Sie wissen, wo die Daten überall liegen: im Postfach, in Tabellen, auf Laufwerken und im System. Verstreute Kopien sind der häufigste Grund, warum Löschungen unvollständig bleiben.
8. Sonderfall Gesundheitsdaten
Angaben zu Gesundheit, Schwerbehinderung oder anderen besonderen Kategorien nach Art. 9 DSGVO verdienen eigene Vorsicht. Der Landesbeauftragte für Datenschutz in Bremen erläutert, dass solche Daten nach Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG verarbeitet werden dürfen, wenn dies zur Ausübung arbeitsrechtlicher Rechte oder zur Erfüllung entsprechender Pflichten erforderlich ist. Wegen der existenziellen Bedeutung eines Arbeitsplatzes sei eine Einwilligung hier selten als freiwillig anzusehen.
Für Ihre Formulare bedeutet das: Fragen Sie Gesundheitsdaten nur ab, wenn sie für die konkrete Tätigkeit rechtlich erforderlich sind, und versuchen Sie nicht, eine unzulässige Frage durch ein Einwilligungskästchen zu legitimieren. Wenn Sie unsicher sind, ob eine bestimmte Frage zulässig ist, etwa zu Vorerkrankungen bei körperlich anspruchsvollen Tätigkeiten, klären Sie das vorab mit Ihrer oder Ihrem Datenschutzbeauftragten und gegebenenfalls mit der Fachkraft für Arbeitsrecht.
9. Unsere Perspektive
Wir arbeiten täglich mit Personalvermittlungen, IT-Staff-Augmentation-Firmen und HR-Abteilungen, die ihre Kandidatendatenbank als wichtigste Ressource betrachten. Aus unserer Sicht ist die Einwilligung genau dort entscheidend, wo dieser Wert entsteht: bei der Reaktivierung früherer Kandidatinnen und Kandidaten für neue Projekte. Eine Datenbank ohne dokumentierte, befristete Einwilligungen lässt sich nicht verantwortungsvoll nutzen, ganz gleich, wie gut die Suchfunktion ist.
Wir beobachten außerdem, dass Datenschutzprobleme selten an fehlendem Wissen scheitern, sondern an verstreuten Informationen. Wenn die Zustimmung in einer E-Mail liegt, das Profil in einer Tabelle und die Löschfrist in niemandes Kalender, ist der Nachweis im Ernstfall kaum zu führen. Deshalb plädieren wir dafür, Einwilligung, Fristen und Kandidatenprofil an einem Ort zusammenzuführen und jede Änderung nachvollziehbar zu protokollieren. Die Einwilligung ist dann kein Formular, das man einmal abhakt, sondern ein Status, der sichtbar ist, solange er gilt, und der endet, wenn er endet.
- Recruitify Team
Einwilligungen und Kandidatendaten an einem Ort
Recruitify verbindet ATS, Sales CRM und IT-Contracting in einem System und bietet DSGVO-Anonymisierung, Blind-CV-Erstellung und einen vollständigen Audit-Trail. So sehen Sie im Bewerbermanagement von Recruitify Profil, Verlauf und Datenschutzstatus Ihrer Kandidaten zusammen, statt sie aus Postfächern und Tabellen zusammenzusuchen. Der Tarif HR Team kostet 61 € pro Monat und Nutzer, der Tarif Agency 67 € pro Monat und Nutzer; für Enterprise erstellen wir ein individuelles Angebot. Alle Details finden Sie auf unserer Preisseite.
Häufige Fragen
Muss ich Bewerber vor dem Lesen ihrer Unterlagen um Einwilligung bitten?
Nein. Die Verarbeitung im konkreten Bewerbungsverfahren stützt sich auf Art. 6 Abs. 1 Satz 1 lit. b DSGVO und § 26 BDSG. Sie müssen die Bewerbenden aber nach Art. 13 DSGVO über die Verarbeitung informieren.
Reicht ein Satz in der Datenschutzerklärung für den Talentpool?
Nein. Die Einwilligung muss aktiv, getrennt und schriftlich oder elektronisch erteilt werden, mit Hinweis auf Zweck, Dauer und Widerrufsrecht in Textform. Ein Hinweis in den allgemeinen Datenschutzhinweisen ist keine Zustimmung.
Wie lange darf ein Kandidat im Talentpool bleiben?
So lange, wie die Einwilligung reicht, und diese muss befristet sein. Die Hamburger Aufsicht hält je nach Branche einige Monate bis mehrere Jahre für vertretbar. Nach Ablauf fragen Sie erneut oder löschen die Daten.
Was passiert, wenn ein Bewerber seine Einwilligung widerruft?
Die Daten, die nur auf der Einwilligung beruhen, werden gelöscht und die Person wird nicht mehr kontaktiert. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Ein noch laufendes Bewerbungsverfahren ist davon nicht betroffen.
Darf ich die Einwilligung im Vorstellungsgespräch einholen?
Davon raten wir ab. Eine Einwilligung während des laufenden Verfahrens kann wegen der Drucksituation unwirksam sein. Fragen Sie besser mit der Absage oder in einer separaten, klar optionalen Nachricht.
Quellen
Landesbeauftragter für Datenschutz Baden-Württemberg: Rechtsgrundlagen bei Beschäftigtendaten
Landesbeauftragte für Datenschutz Bremen: Gesundheitsdaten im Bewerbungsverfahren
Empfehlungen
Updates und News
Bleib immer up to date mit den neuesten Innovationen, Features und Tipps rund um Recruitify!
Indem Du Deine E-Mail-Adresse im Anmeldeformular für den Newsletter einträgst, willigst Du in deren Verarbeitung zum Zwecke des Versands von Marketinginformationen über die Produkte und Dienstleistungen des Administrators ein. Der Administrator Deiner zu diesem Zweck verarbeiteten personenbezogenen Daten ist Recruitify Sp. z o.o. mit Sitz in Warschau (KRS 0000709889). Weitere Informationen über die Grundsätze der Verarbeitung personenbezogener Daten und die Rechte der betroffenen Personen findest Du im Dokument Datenschutzerklärung.
Aktualisiert am:
Einwilligung von Bewerbern nach DSGVO: Wann sie wirklich nötig ist
Dein Rekrutierungsprozess
Recruitify Team
Für das normale Bewerbungsverfahren brauchen Sie keine Einwilligung der Bewerberin oder des Bewerbers. Die Verarbeitung der Bewerberdaten ist bereits gesetzlich erlaubt, weil sie auf den Abschluss eines Arbeitsvertrags gerichtet ist. Eine Einwilligung wird erst dann notwendig, wenn Sie mehr wollen als das konkrete Verfahren: etwa die Aufnahme in einen Talentpool, eine längere Speicherung nach einer Absage oder die Weitergabe an Dritte. Viele Unternehmen und Personalvermittlungen holen trotzdem pauschal eine Einwilligung ein und schaffen damit eher Risiken als Sicherheit. Dieser Beitrag zeigt, welche Rechtsgrundlage wann greift, wie eine wirksame Einwilligung aussieht und wie Sie sie sauber dokumentieren.
Kurz gesagt
Kein Einwilligungszwang im Standardverfahren: Rechtsgrundlage ist Art. 6 Abs. 1 Satz 1 lit. b DSGVO, ergänzt durch § 26 BDSG im Beschäftigungskontext.
Einwilligung für alles darüber hinaus: Talentpool, Speicherung über die übliche Frist hinaus und Weitergabe an andere Stellen brauchen eine eigene, freiwillige Zustimmung.
Form und Zeitpunkt entscheiden: Die Einwilligung wird schriftlich oder elektronisch eingeholt, mit Hinweis auf Zweck und Widerrufsrecht in Textform, und nicht unter dem Druck eines laufenden Verfahrens.
Befristen statt horten: Auch eine Einwilligung rechtfertigt keine unbefristete Speicherung. Legen Sie einen festen Zeitraum fest.
Widerruf so einfach wie Erteilung: Ein Klick muss reichen, die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Inhaltsverzeichnis
1. Warum das Bewerbungsverfahren meist keine Einwilligung braucht
5. Einwilligung einholen und dokumentieren: Schritt für Schritt
Inhalt
Warum das Bewerbungsverfahren meist keine Einwilligung braucht
Die Rechtsgrundlagen im Überblick
Wann eine Einwilligung zwingend ist
Was eine wirksame Einwilligung ausmacht
Einwilligung einholen und dokumentieren: Schritt für Schritt
Speicherdauer und Löschung
Widerruf und seine Folgen
Sonderfall Gesundheitsdaten
Unsere Perspektive
Häufige Fragen
1. Warum das Bewerbungsverfahren meist keine Einwilligung braucht
Wer sich auf eine Stelle bewirbt, möchte, dass Sie seine Unterlagen lesen, bewerten und ihn gegebenenfalls zum Gespräch einladen. Genau diese Verarbeitung ist die Voraussetzung dafür, dass ein Arbeitsvertrag überhaupt zustande kommen kann. Die Datenschutzaufsicht in Baden-Württemberg ordnet das Bewerbungsverfahren deshalb als vorvertragliche Maßnahme nach Art. 6 Abs. 1 Satz 1 lit. b DSGVO ein, die auf Anfrage der betroffenen Person erfolgt.
Daraus folgt eine praktische Konsequenz, die oft übersehen wird: Wenn Sie für das Standardverfahren eine Einwilligung verlangen, stützen Sie eine ohnehin erlaubte Verarbeitung auf eine Grundlage, die jederzeit widerrufen werden kann. Widerruft die Person, entsteht Unklarheit darüber, ob Sie ihre Unterlagen noch prüfen dürfen. Hinzu kommt, dass eine Einwilligung im Bewerbungskontext schnell an der Freiwilligkeit scheitert, denn wer einen Job möchte, wird kaum ablehnen. Die bessere Lösung lautet daher: das Verfahren auf die gesetzliche Grundlage stützen, transparent informieren und die Einwilligung gezielt für die Zwecke einsetzen, die über das Verfahren hinausgehen.
Ein eigenständiges Beschäftigtendatenschutzgesetz gibt es in Deutschland bislang nicht. Nach Auskunft des Bundesbeauftragten für den Datenschutz ist § 26 BDSG derzeit die maßgebliche Norm für Datenverarbeitungen im Beschäftigungskontext, zu dem auch Bewerberinnen und Bewerber gehören. Weil diese Rechtslage seit Jahren in Bewegung ist, sollten Sie Ihre Datenschutzhinweise regelmäßig mit Ihrer oder Ihrem Datenschutzbeauftragten abgleichen.
2. Die Rechtsgrundlagen im Überblick
Die folgende Tabelle ordnet typische Verarbeitungen im Recruiting der jeweils passenden Grundlage zu. Sie ersetzt keine Einzelfallprüfung, zeigt aber, wo die Einwilligung ihren Platz hat und wo nicht.
Verarbeitung | Typische Rechtsgrundlage | Einwilligung nötig? |
|---|---|---|
Sichten, Bewerten, Einladen im konkreten Verfahren | Art. 6 Abs. 1 Satz 1 lit. b DSGVO, § 26 BDSG | Nein |
Aufbewahrung nach Absage zur Abwehr möglicher Rechtsansprüche | Berechtigtes Interesse, Art. 6 Abs. 1 Satz 1 lit. f DSGVO | Nein, aber zeitlich eng begrenzt |
Aufnahme in einen Talentpool für künftige Stellen | Art. 6 Abs. 1 Satz 1 lit. a DSGVO | Ja |
Speicherung über die übliche Aufbewahrungsfrist hinaus | Art. 6 Abs. 1 Satz 1 lit. a DSGVO | Ja |
Weitergabe an verbundene Unternehmen oder andere Stellen außerhalb des Verfahrens | In der Regel Art. 6 Abs. 1 Satz 1 lit. a DSGVO | In der Regel ja |
Gesundheitsdaten, soweit arbeitsrechtlich erforderlich | Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG | Nein, und eine Einwilligung trägt hier selten |
Die Aufsicht in Baden-Württemberg weist darauf hin, dass außerhalb des Anwendungsbereichs von lit. b grundsätzlich Art. 6 Abs. 1 Satz 1 lit. f DSGVO oder andere Grundlagen in Betracht kommen. Das berechtigte Interesse verlangt allerdings immer eine Abwägung mit den Interessen der Bewerbenden. Es eignet sich für eng umrissene Zwecke wie die Dokumentation eines abgeschlossenen Verfahrens, nicht für den Aufbau einer dauerhaften Kandidatendatenbank.
3. Wann eine Einwilligung zwingend ist
Talentpool und Bewerberpool
Der häufigste Fall in der Praxis: Eine Kandidatin passt nicht auf die aktuelle Stelle, wäre aber für künftige Projekte interessant. Die Gesellschaft für Datenschutz und Datensicherheit stellt in ihrer Praxishilfe zum Bewerbungsverfahren von Oktober 2025 klar, dass für eine Speicherung über das Bewerbungsverfahren hinaus, etwa in einem Bewerberpool, die Einwilligung der Bewerbenden erforderlich ist. Nur mit dieser Zustimmung dürfen Daten abgelehnter Personen länger als üblich aufbewahrt werden.
Weitergabe an andere Stellen
Wenn Sie eine Bewerbung an eine Schwestergesellschaft, an eine andere Niederlassung mit eigener Verantwortung oder an einen externen Partner weiterleiten möchten, verlassen Sie den Rahmen des Verfahrens, für das sich die Person beworben hat. Viele Unternehmen sehen eine solche Weiterleitung innerhalb der Gruppe deshalb ausdrücklich nur nach Einwilligung vor. Für Sie bedeutet das: Formulieren Sie für jede zusätzliche Empfängergruppe einen eigenen, verständlichen Zweck.
Besonderheit für Personalvermittlungen
Für Agenturen und Headhunter ist die Weitergabe an Endkunden der Kern des Geschäfts. Gerade deshalb lohnt sich hier besondere Sorgfalt. Aus unserer Sicht sollten Sie vor jeder Vorstellung bei einem Kunden transparent machen, an wen das Profil geht, und die Zustimmung der Kandidatin oder des Kandidaten nachweisbar festhalten. Ob im Einzelfall eine Einwilligung oder eine andere Grundlage trägt, hängt von der Vertragsgestaltung mit der Kandidatin ab; klären Sie Ihr Standardvorgehen mit Ihrer Datenschutzberatung. Unabhängig davon reduziert ein anonymisiertes Profil im ersten Schritt die Menge der übermittelten Daten. Wie das in der Praxis funktioniert, beschreiben wir auf unserer Seite zu DSGVO und CV-Anonymisierung.
Aktive Ansprache aus der eigenen Datenbank
Wer frühere Kandidatinnen für neue Positionen reaktivieren möchte, braucht dafür eine tragfähige Grundlage. Liegt eine befristete Talentpool-Einwilligung vor, ist die erneute Ansprache innerhalb dieses Zeitraums und Zwecks gedeckt. Ohne sie wird die Datenbank schnell zum Haftungsrisiko statt zum Vermögenswert.
4. Was eine wirksame Einwilligung ausmacht
Eine Einwilligung ist nur so viel wert wie ihre Wirksamkeit. Im Bewerbungskontext sind vier Punkte entscheidend.
Freiwilligkeit
Der BfDI betont, dass bei jeder Einwilligung im Beschäftigungsverhältnis die tatsächliche Freiwilligkeit im Einzelfall zu beurteilen ist und die Abhängigkeit vom Arbeitgeber berücksichtigt werden muss. Für Bewerbende gilt das in besonderem Maß, denn sie wollen etwas von Ihnen. Die Einwilligung darf deshalb nie Bedingung für die Teilnahme am Verfahren sein. Wer den Talentpool ablehnt, wird für die aktuelle Stelle genauso berücksichtigt.
Zeitpunkt
Haufe weist darauf hin, dass eine Einwilligung, die während eines laufenden Bewerbungsverfahrens eingeholt wird, wegen der Drucksituation unwirksam sein kann. Praktisch heißt das: Fragen Sie nicht im Vorstellungsgespräch und nicht in der Mail mit der Einladung. Ein guter Moment ist die Absage oder eine separate, klar optionale Abfrage, bei der erkennbar ist, dass die Antwort keinen Einfluss auf die Entscheidung hat.
Bestimmtheit und Information
Die Person muss wissen, wozu sie zustimmt: welcher Zweck, welche Daten, wie lange, an wen. Eine Formulierung wie „für weitere Recruiting-Zwecke“ ist zu vage. Besser ist eine konkrete Aussage, zum Beispiel die Berücksichtigung für vergleichbare Stellen im IT-Bereich für einen festgelegten Zeitraum.
Form
Nach der GDD-Praxishilfe ist die Einwilligung schriftlich oder elektronisch einzuholen, sofern keine besonderen Umstände eine andere Form angemessen erscheinen lassen. Über den Zweck und das jederzeitige Widerrufsrecht ist in Textform aufzuklären. Ein mündliches „Ja, gern“ am Telefon reicht also nicht, wenn es nicht anschließend elektronisch bestätigt und gespeichert wird.
5. Einwilligung einholen und dokumentieren: Schritt für Schritt
Die folgende Reihenfolge hat sich bewährt, ob Sie ein Karriereportal, ein Bewerbermanagementsystem oder E-Mail nutzen.
Zweck festlegen. Definieren Sie, wofür Sie die Daten zusätzlich nutzen wollen: Talentpool, Weitergabe an eine bestimmte Gesellschaft oder längere Aufbewahrung.
Zeitraum bestimmen. Legen Sie eine konkrete Dauer fest und nennen Sie sie im Text. Ohne Frist fehlt der Einwilligung ein zentrales Element.
Getrennt abfragen. Die Einwilligung steht nicht in den allgemeinen Datenschutzhinweisen und ist nicht vorausgewählt. Ein eigenes, leeres Kontrollkästchen oder eine separate Bestätigungsmail sind der Standard.
In Textform informieren. Zweck, Dauer, Empfänger und Widerrufsrecht stehen direkt bei der Abfrage, nicht hinter drei Links.
Widerrufsweg anbieten. Nennen Sie eine einfache Möglichkeit, zum Beispiel einen Abmeldelink oder eine eigene Adresse.
Nachweis speichern. Halten Sie fest, wer wann welchem Text zugestimmt hat, in welcher Version und über welchen Kanal. Diese Angaben gehören zum Kandidatenprofil.
Frist überwachen. Hinterlegen Sie das Ablaufdatum und lassen Sie sich rechtzeitig erinnern, damit Sie entweder neu fragen oder löschen.
Eine mögliche Formulierung für den Talentpool, die Sie an Ihre Organisation anpassen sollten:
„Ich willige ein, dass die [Unternehmen] meine Bewerbungsunterlagen und Kontaktdaten für einen Zeitraum von [Dauer] in ihrem Talentpool speichert, um mich über passende offene Stellen im Bereich [Bereich] zu informieren. Die Einwilligung ist freiwillig und hat keinen Einfluss auf meine aktuelle Bewerbung. Ich kann sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über [Link oder Adresse].“
Wie sich diese Schritte in den gesamten Prozess einfügen, von der Stellenausschreibung bis zur Löschung, zeigen wir in unserem Beitrag Bewerbermanagement erklärt. Die technischen und organisatorischen Grundlagen dafür beschreibt der Artikel zu Privacy by Design in HR.
Informationspflichten nicht vergessen
Unabhängig von der Einwilligung müssen Sie Bewerbende nach Art. 13 DSGVO bei der Erhebung über die Verarbeitung informieren, bei Daten aus anderen Quellen, etwa beim aktiven Sourcing, nach Art. 14 DSGVO. Dazu zählen insbesondere der Verantwortliche, die Zwecke und Rechtsgrundlagen, die Empfänger, die Speicherdauer und die Betroffenenrechte. Die Einwilligung ersetzt diese Informationen nicht; sie kommt für die zusätzlichen Zwecke hinzu.
6. Speicherdauer und Löschung
Mit der Absage endet der Zweck, für den die Daten erhoben wurden. Die GDD leitet daraus ab, dass die Daten nach Art. 17 Abs. 1 lit. a DSGVO unverzüglich zu löschen sind, sofern sie nicht zur Verteidigung von Rechtsansprüchen erforderlich sind. In der Praxis bewahren Unternehmen die Unterlagen deshalb für einen kurzen Zeitraum nach der Absage auf, um auf mögliche Ansprüche, etwa wegen Benachteiligung nach dem AGG, reagieren zu können. Welche Fristen sich dafür eingebürgert haben und wie Sie sie begründen, erläutern wir im Beitrag Aufbewahrungsfrist bei Bewerbungen.
Für den Talentpool gilt: Die Einwilligung ist für einen begrenzten Zeitraum einzuholen. Wie lang dieser sein darf, lässt sich nicht pauschal sagen. Die Hamburger Datenschutzaufsicht hält in ihrer Information zu Bewerberdatenschutz und Recruiting von Juni 2024 je nach Branche und üblicher Dauer einer Stellenbesetzung Fristen von einigen Monaten bis zu mehreren Jahren für möglich. Dieselbe Behörde beobachtet, dass in der Praxis häufig gar kein Zeitraum definiert wird, was zu einer unzulässigen unbefristeten Speicherung führt.
Eine sinnvolle Orientierung für Ihre Entscheidung:
Kurze Besetzungszyklen, etwa in der Massenrekrutierung, sprechen für kürzere Fristen.
Spezialisierte Rollen, etwa im IT-Contracting, bei denen Projekte oft erst Monate später starten, können längere Fristen rechtfertigen.
Verlängerung nur aktiv: Läuft die Frist ab, fragen Sie erneut. Schweigen ist keine Zustimmung.
7. Widerruf und seine Folgen
Die GDD formuliert den Maßstab klar: Der Widerruf muss genauso einfach möglich sein wie die Erteilung, etwa durch einen Abmeldelink. Wer per Klick zugestimmt hat, darf nicht per Brief widerrufen müssen.
Der Widerruf wirkt für die Zukunft. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt, wie es auch in Bewerber-Datenschutzhinweisen wie denen der Stadtwerke Krefeld beschrieben ist. Für Sie heißt das konkret:
Die Person wird aus dem Talentpool entfernt und nicht mehr angesprochen.
Die Daten, die allein auf der Einwilligung beruhen, werden gelöscht.
Läuft parallel noch ein aktives Bewerbungsverfahren, bleibt dieses auf seiner eigenen Grundlage bestehen.
Der Widerruf selbst wird dokumentiert, damit Sie später nachweisen können, dass Sie ihn umgesetzt haben.
Damit das funktioniert, müssen Sie wissen, wo die Daten überall liegen: im Postfach, in Tabellen, auf Laufwerken und im System. Verstreute Kopien sind der häufigste Grund, warum Löschungen unvollständig bleiben.
8. Sonderfall Gesundheitsdaten
Angaben zu Gesundheit, Schwerbehinderung oder anderen besonderen Kategorien nach Art. 9 DSGVO verdienen eigene Vorsicht. Der Landesbeauftragte für Datenschutz in Bremen erläutert, dass solche Daten nach Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG verarbeitet werden dürfen, wenn dies zur Ausübung arbeitsrechtlicher Rechte oder zur Erfüllung entsprechender Pflichten erforderlich ist. Wegen der existenziellen Bedeutung eines Arbeitsplatzes sei eine Einwilligung hier selten als freiwillig anzusehen.
Für Ihre Formulare bedeutet das: Fragen Sie Gesundheitsdaten nur ab, wenn sie für die konkrete Tätigkeit rechtlich erforderlich sind, und versuchen Sie nicht, eine unzulässige Frage durch ein Einwilligungskästchen zu legitimieren. Wenn Sie unsicher sind, ob eine bestimmte Frage zulässig ist, etwa zu Vorerkrankungen bei körperlich anspruchsvollen Tätigkeiten, klären Sie das vorab mit Ihrer oder Ihrem Datenschutzbeauftragten und gegebenenfalls mit der Fachkraft für Arbeitsrecht.
9. Unsere Perspektive
Wir arbeiten täglich mit Personalvermittlungen, IT-Staff-Augmentation-Firmen und HR-Abteilungen, die ihre Kandidatendatenbank als wichtigste Ressource betrachten. Aus unserer Sicht ist die Einwilligung genau dort entscheidend, wo dieser Wert entsteht: bei der Reaktivierung früherer Kandidatinnen und Kandidaten für neue Projekte. Eine Datenbank ohne dokumentierte, befristete Einwilligungen lässt sich nicht verantwortungsvoll nutzen, ganz gleich, wie gut die Suchfunktion ist.
Wir beobachten außerdem, dass Datenschutzprobleme selten an fehlendem Wissen scheitern, sondern an verstreuten Informationen. Wenn die Zustimmung in einer E-Mail liegt, das Profil in einer Tabelle und die Löschfrist in niemandes Kalender, ist der Nachweis im Ernstfall kaum zu führen. Deshalb plädieren wir dafür, Einwilligung, Fristen und Kandidatenprofil an einem Ort zusammenzuführen und jede Änderung nachvollziehbar zu protokollieren. Die Einwilligung ist dann kein Formular, das man einmal abhakt, sondern ein Status, der sichtbar ist, solange er gilt, und der endet, wenn er endet.
- Recruitify Team
Einwilligungen und Kandidatendaten an einem Ort
Recruitify verbindet ATS, Sales CRM und IT-Contracting in einem System und bietet DSGVO-Anonymisierung, Blind-CV-Erstellung und einen vollständigen Audit-Trail. So sehen Sie im Bewerbermanagement von Recruitify Profil, Verlauf und Datenschutzstatus Ihrer Kandidaten zusammen, statt sie aus Postfächern und Tabellen zusammenzusuchen. Der Tarif HR Team kostet 61 € pro Monat und Nutzer, der Tarif Agency 67 € pro Monat und Nutzer; für Enterprise erstellen wir ein individuelles Angebot. Alle Details finden Sie auf unserer Preisseite.
Häufige Fragen
Muss ich Bewerber vor dem Lesen ihrer Unterlagen um Einwilligung bitten?
Nein. Die Verarbeitung im konkreten Bewerbungsverfahren stützt sich auf Art. 6 Abs. 1 Satz 1 lit. b DSGVO und § 26 BDSG. Sie müssen die Bewerbenden aber nach Art. 13 DSGVO über die Verarbeitung informieren.
Reicht ein Satz in der Datenschutzerklärung für den Talentpool?
Nein. Die Einwilligung muss aktiv, getrennt und schriftlich oder elektronisch erteilt werden, mit Hinweis auf Zweck, Dauer und Widerrufsrecht in Textform. Ein Hinweis in den allgemeinen Datenschutzhinweisen ist keine Zustimmung.
Wie lange darf ein Kandidat im Talentpool bleiben?
So lange, wie die Einwilligung reicht, und diese muss befristet sein. Die Hamburger Aufsicht hält je nach Branche einige Monate bis mehrere Jahre für vertretbar. Nach Ablauf fragen Sie erneut oder löschen die Daten.
Was passiert, wenn ein Bewerber seine Einwilligung widerruft?
Die Daten, die nur auf der Einwilligung beruhen, werden gelöscht und die Person wird nicht mehr kontaktiert. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Ein noch laufendes Bewerbungsverfahren ist davon nicht betroffen.
Darf ich die Einwilligung im Vorstellungsgespräch einholen?
Davon raten wir ab. Eine Einwilligung während des laufenden Verfahrens kann wegen der Drucksituation unwirksam sein. Fragen Sie besser mit der Absage oder in einer separaten, klar optionalen Nachricht.
Quellen
Landesbeauftragter für Datenschutz Baden-Württemberg: Rechtsgrundlagen bei Beschäftigtendaten
Landesbeauftragte für Datenschutz Bremen: Gesundheitsdaten im Bewerbungsverfahren
Empfehlungen
Updates und News
Bleib immer up to date mit den neuesten Innovationen, Features und Tipps rund um Recruitify!
Indem Du Deine E-Mail-Adresse im Anmeldeformular für den Newsletter einträgst, willigst Du in deren Verarbeitung zum Zwecke des Versands von Marketinginformationen über die Produkte und Dienstleistungen des Administrators ein. Der Administrator Deiner zu diesem Zweck verarbeiteten personenbezogenen Daten ist Recruitify Sp. z o.o. mit Sitz in Warschau (KRS 0000709889). Weitere Informationen über die Grundsätze der Verarbeitung personenbezogener Daten und die Rechte der betroffenen Personen findest Du im Dokument Datenschutzerklärung.
Schau dir auch das an
Dein Rekrutierungsprozess
Datensicherheit im Recruiting: Bewerberdaten wirksam schützen
Datensicherheit im Recruiting: Rechtsgrundlagen, Verschlüsselung, Zugriffsrechte, Löschfristen und Talentpools. So schützen Sie Bewerberdaten DSGVO-konform.
29.10.2026
Mehr erfahren
Dein Rekrutierungsprozess
Push-Benachrichtigungen im Recruiting: zentral und DSGVO-konform
Push-Benachrichtigungen im Recruiting: passende Anlässe, zentrale Kandidatenkommunikation, Einwilligung nach DSGVO und UWG und die Kennzahlen, die zählen.
28.10.2026
Mehr erfahren
Dein Rekrutierungsprozess
Tech-Stack in Stellenanzeigen: richtig angeben und gezielt matchen
So beschreiben Sie den Tech-Stack in IT-Stellenanzeigen präzise, trennen Muss- von Wunschkenntnissen und nutzen Tech-Stack-Matching verantwortungsvoll.
26.10.2026
Mehr erfahren
Dein Rekrutierungsprozess
Datensicherheit im Recruiting: Bewerberdaten wirksam schützen
Datensicherheit im Recruiting: Rechtsgrundlagen, Verschlüsselung, Zugriffsrechte, Löschfristen und Talentpools. So schützen Sie Bewerberdaten DSGVO-konform.
29.10.2026
Mehr erfahren
Dein Rekrutierungsprozess
Push-Benachrichtigungen im Recruiting: zentral und DSGVO-konform
Push-Benachrichtigungen im Recruiting: passende Anlässe, zentrale Kandidatenkommunikation, Einwilligung nach DSGVO und UWG und die Kennzahlen, die zählen.
28.10.2026
Mehr erfahren
