Ein Löschkonzept für Recruiting ist eine dokumentierte, DSGVO-konforme Regelung für Fristen, Verantwortlichkeiten und Löschprozesse, die Bewerberdaten automatisiert löscht oder anonymisiert. Drei Bestandteile sind dabei nicht verhandelbar: klar definierte Löschfristen je Datenkategorie, benannte Verantwortlichkeiten und ein lückenloser Audit-Trail. Prüfen Sie zuerst Ihr Verzeichnis von Verarbeitungstätigkeiten und die automatisierten Löschläufe in Ihrem Bewerbermanagementsystem, bevor Sie weiterlesen.

Kurz gesagt:

• Erfolglose Bewerbungsunterlagen dürfen laut BfDI bis zu sechs Monate gespeichert bleiben; steuerlich relevante Unterlagen können je nach Art sechs bis zehn Jahre erfordern.

• Für einen Talentpool holen Sie die Zustimmung separat und aktiv erst nach Abschluss des Bewerbungsverfahrens ein; die Bewerbung selbst darf davon unabhängig bleiben.

• Jede Löschung braucht einen Nachweis mit Verantwortlichem, Zeitpunkt, Datenkategorie und Methode; prüfen Sie auch, ob Sicherungskopien gelöschte Daten fristgerecht entfernen oder sperren.

• Bei laufenden Rechtsstreitigkeiten greift vor der Löschung ein festgelegter Freigabeprozess; Personalakten bestehender Beschäftigter folgen eigenen Fristen und gehören nicht automatisch zum selben Löschverfahren.

Recruitifyrecruitify.aiBewerberdaten sicher verwaltenRecruitify unterstützt IT-Personalvermittlungen mit DSGVO-Einwilligungsmanagement, Audit-Trail und sicherer Anonymisierung sensibler Daten.Recruitify kennenlernen

Inhaltsverzeichnis

• Was ein Löschkonzept im Recruiting konkret bedeutet

• Rechtliche Grundlagen und typische Fristen für Bewerbungsdaten

• Konkrete Komponenten eines Löschkonzepts: Fristen, Rollen, Verfahren

• Löschkonzept Schritt für Schritt im HR-Workflow umsetzen

• Dokumentation, Nachweisführung und Audit-Trail

• Unsere Sicht: Warum ein integriertes System Löschkonzepte leichter macht

• Wie Recruitify Sie beim Löschkonzept unterstützt

• FAQ

• Quellen

Was ein Löschkonzept im Recruiting konkret bedeutet

Ein Löschkonzept ist mehr als eine Faustregel zur Aufbewahrungsdauer. Es handelt sich um eine systematische, schriftlich dokumentierte Vorgehensweise, die festlegt, wann welche personenbezogenen Daten aus welchem Grund gelöscht oder anonymisiert werden und wer dafür verantwortlich zeichnet. Das unterscheidet ein Löschkonzept von einer allgemeinen Aufbewahrungsrichtlinie, die oft nur Fristen nennt, ohne Prozesse, Zuständigkeiten oder Nachweispflichten zu regeln.

Für Recruiting-Teams betrifft das Konzept typischerweise folgende Elemente:

• Bewerberdaten aus eingegangenen Bewerbungen, inklusive Lebensläufen und Anschreiben

• Daten aus Interviews, Testergebnissen und internen Bewertungen

• Talentpool-Einträge mit gesonderter Einwilligung

• Kommunikationsverläufe zwischen Recruiting-Team und Bewerbenden

Wichtig ist die Abgrenzung zu Personalakten bestehender Beschäftigter und zu steuerlich relevanten Unterlagen: Diese unterliegen eigenen, oft deutlich längeren Aufbewahrungspflichten und gehören nicht automatisch in dasselbe Löschregime wie erfolglose Bewerbungen.

Rechtliche Grundlagen und typische Fristen für Bewerbungsdaten

Die DSGVO bildet das Fundament jedes Löschkonzepts. Drei Artikel sind für HR-Teams besonders relevant:

• Art. 5 DSGVO verlangt Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert.

• Art. 30 DSGVO verpflichtet zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten, in dem auch Löschfristen dokumentiert werden müssen.

• Art. 32 DSGVO fordert geeignete technische und organisatorische Maßnahmen, damit Löschungen auch tatsächlich sicher umgesetzt werden.

Für die konkrete Fristenbemessung orientieren sich viele Unternehmen an der Einschätzung des BfDI zu Löschfristen im Beschäftigtenkontext: Eine Aufbewahrung erfolgloser Bewerbungsunterlagen bis zu sechs Monate gilt als zulässig, um sich gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz zu verteidigen.

Es wird allgemein empfohlen, Bewerbungsunterlagen nach einer erfolglosen Bewerbung für eine Dauer aufzubewahren, die es ermöglicht, mögliche AGG-Ansprüche abzuwehren. Oft wird eine Frist von etwa sechs Monaten genannt (BfDI Empfehlung). Diese Frist orientiert sich an der zweimonatigen Geltendmachungsfrist des AGG, zu der noch ein Sicherheitspuffer für Postlauf und interne Prüfung addiert wird. Enthalten Bewerbungsunterlagen hingegen steuerlich relevante Bestandteile, etwa bei Honorarvereinbarungen mit Freelancern, greifen die deutlich längeren Fristen der Abgabenordnung, die je nach Unterlagenart sechs bis zehn Jahre betragen können.

Konkrete Komponenten eines Löschkonzepts: Fristen, Rollen, Verfahren

Ein praxistaugliches Löschkonzept besteht aus klar benannten Bausteinen, die sich im Tagesgeschäft nachvollziehen lassen:

1. Datenkategorien mit Fristen: Erfolglose Bewerbungen werden nach sechs Monaten gelöscht, Talentpool-Daten nach Ablauf einer gesondert eingeholten Einwilligung.

2. Rollenverteilung: Der Verantwortliche nach DSGVO trägt die Gesamtverantwortung, HR-Anwender lösen Löschvorgänge im Tagesgeschäft aus, die IT sorgt für die technische Umsetzung.

3. Eskalationsregeln: Bei Unsicherheiten, etwa bei laufenden Rechtsstreitigkeiten, greift ein definierter Freigabeprozess, bevor gelöscht wird.

4. Technische Umsetzung: Automatisierte Löschläufe im System ersetzen manuelle Erinnerungen, wobei zwischen echter Löschung und Anonymisierung unterschieden wird.

5. Backup-Handling: Auch in Sicherungskopien müssen gelöschte Daten innerhalb eines angemessenen Zeitraums entfernt oder unzugänglich gemacht werden.

6. Auskunfts- und Löschanfragen: Ein fester Prozess regelt, wie Bewerbende ihr Recht auf Löschung nach Art. 17 DSGVO geltend machen können und wie schnell darauf reagiert wird.

Profi-Tipp: Dokumentieren Sie jede Löschfrist direkt neben der zugehörigen Datenkategorie im Verzeichnis von Verarbeitungstätigkeiten, nicht in einem separaten Dokument, das schnell veraltet.

Die Datenschutzkonferenz hat in ihrer Entschließung zum Beschäftigtendatenschutz wiederholt betont, dass klare, transparente Löschfristen und Regeln für die Auswertung von Daten aus Drittquellen in der Bewerbungsphase gesetzlich noch unzureichend geregelt sind. Das spricht dafür, interne Regelungen präziser zu fassen, als es der Gesetzestext vorschreibt.

Löschkonzept Schritt für Schritt im HR-Workflow umsetzen

Die Umsetzung gelingt am verlässlichsten, wenn Sie sie als festen Bestandteil des Recruiting-Prozesses verankern, nicht als nachträgliche Compliance-Übung.

1. Erfassen: Aktualisieren Sie das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO um alle Datenkategorien aus dem Bewerbungsprozess, inklusive Quelle, Zweck und geplanter Löschfrist. Die Datenschutzkonferenz stellt dazu praktische Hinweise bereit, die auch technische und organisatorische Maßnahmen nach Art. 32 DSGVO einschließen.

2. Konfigurieren: Richten Sie im Bewerbermanagementsystem automatisierte Löschläufe ein, die ohne manuelles Zutun greifen, sobald eine Frist abläuft.

3. Testen: Prüfen Sie die Löschroutinen regelmäßig an Testfällen, inklusive der Frage, ob versehentlich gelöschte Daten innerhalb einer angemessenen Frist wiederherstellbar sind.

4. Nachweis führen: Protokollieren Sie zu jeder Löschung, wer sie wann ausgelöst hat und welche Methode angewendet wurde, echte Löschung oder Anonymisierung.

5. Kommunizieren: Informieren Sie Bewerbende transparent über Speicherdauer und bieten Sie für Talentpools einen gesonderten, aktiv erteilten Einwilligungsschritt an, der von der ursprünglichen Bewerbung klar getrennt ist.

Profi-Tipp: Trennen Sie die Einwilligung für den Talentpool technisch von der eigentlichen Bewerbung, denn eine Einwilligung, die im selben Formular wie die Bewerbung erteilt wird, gilt datenschutzrechtlich oft als nicht freiwillig erteilt.

Dieser letzte Punkt ist in der Praxis besonders fehleranfällig. Ein gemeinsames Kurzpapier der Datenschutzkonferenz weist darauf hin, dass Einwilligungen im Bewerbungsverhältnis strukturell angreifbar sind, weil ein Machtgefälle zwischen Unternehmen und Bewerbenden besteht. Wer einen Talentpool pflegen möchte, sollte die Zustimmung dafür also erst nach Abschluss des eigentlichen Bewerbungsverfahrens separat einholen.

Dokumentation, Nachweisführung und Audit-Trail

Eine Löschung, die nicht nachweisbar ist, schützt im Zweifel nicht vor einer Beanstandung durch die Aufsichtsbehörde. Ein belastbarer Löschnachweis enthält mindestens:

• den Verantwortlichen, der die Löschung veranlasst oder freigegeben hat

• einen Zeitstempel des Löschvorgangs

• die betroffene Datenkategorie

• die angewendete Methode, etwa vollständige Löschung oder Anonymisierung

Technisch empfiehlt sich ein unveränderliches Protokoll, das nachträglich nicht manipulierbar ist, sowie ein klarer Umgang mit Backups: Gelöschte Daten dürfen nicht unbegrenzt in Sicherungskopien weiterleben, ohne dass dies im Löschkonzept berücksichtigt wird.

Verantwortliche müssen Löschfristen für Datenkategorien im Verzeichnis von Verarbeitungstätigkeiten dokumentieren; pauschale Verweise reichen nicht aus. Datenschutzkonferenz, Praktische Hinweise zum Verzeichnis von Verarbeitungstätigkeiten

Der Löschnachweis gehört nicht in eine isolierte Tabelle, sondern sollte direkt mit dem Verzeichnis von Verarbeitungstätigkeiten verknüpft sein. So lässt er sich bei einer Prüfung durch die Aufsichtsbehörde ohne Verzögerung vorlegen, was den Unterschied zwischen einer kurzen Rückfrage und einem langwierigen Prüfverfahren ausmachen kann.

Unsere Sicht: Warum ein integriertes System Löschkonzepte leichter macht

Ein Löschkonzept lebt davon, dass es tatsächlich angewendet wird, nicht nur auf Papier existiert. Wenn Consent-Management, Fristensteuerung und Audit-Trail in getrennten Tabellen oder Tools liegen, bleibt die Umsetzung von der Disziplin Einzelner abhängig. Wir haben unser System deshalb so gebaut, dass Löschläufe automatisiert ablaufen und jede Löschung protokolliert wird, ohne dass HR-Teams eigene Erinnerungslisten pflegen müssen. Das senkt administrativen Aufwand spürbar und reduziert das Risiko bei einer Prüfung durch die Aufsichtsbehörde.

- Recruitify Team

Wie Recruitify Sie beim Löschkonzept unterstützt

Ein Löschkonzept bringt nur dann Sicherheit, wenn die Umsetzung nicht an manueller Nachverfolgung scheitert. Unsere Plattform bringt die technischen Bausteine dafür direkt mit:

• Consent-Management für Bewerbungen und Talentpools, sauber voneinander getrennt

• automatisierte Löschläufe nach den von Ihnen festgelegten Fristen

• Anonymisierung für Daten, die aus analytischen Gründen erhalten bleiben sollen

• ein vollständiger Audit-Trail mit Zeitstempel für jede Löschung

  
  

Für Recruiting-Agenturen steht dafür ein entsprechender Plan zur Verfügung, für HR-Teams in Unternehmen ein weiterer Plan, wobei die Preise auf unserer Preisseite einsehbar sind. Wer mit mehreren Standorten oder komplexeren Freigabeprozessen arbeitet, findet mit Enterprise eine Lösung, deren Preis auf Anfrage verfügbar ist. Schauen Sie sich unser ATS mit integriertem Compliance-Management an und vereinbaren Sie eine Demo, um zu sehen, wie sich Ihr Löschkonzept in wenigen Schritten technisch abbilden lässt.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

FAQ

Was muss ein Löschkonzept für Recruiting mindestens enthalten?

Ein Löschkonzept braucht klar definierte Löschfristen je Datenkategorie, benannte Verantwortlichkeiten für die Umsetzung und einen dokumentierten Nachweis jeder Löschung. Ohne diese drei Elemente lässt sich die Einhaltung der DSGVO gegenüber einer Aufsichtsbehörde kaum belegen.

Wie lange dürfen Bewerbungsdaten nach einer Absage gespeichert werden?

Der BfDI hält eine Aufbewahrung erfolgloser Bewerbungsunterlagen bis zu sechs Monate für zulässig, um sich gegen mögliche AGG-Ansprüche verteidigen zu können. Danach sollten die Unterlagen gelöscht oder, bei entsprechender Einwilligung, in einen gesonderten Talentpool überführt werden.

Dürfen Bewerberdaten statt gelöscht einfach zurückgegeben werden?

Eine Rückgabe der Unterlagen ersetzt die Löschung nur dann vollständig, wenn das Unternehmen keine Kopien, Notizen oder digitalen Auszüge zurückbehält. In der Praxis ist eine dokumentierte digitale Löschung meist verlässlicher als eine physische Rückgabe, da sie auch Kopien in E-Mail-Postfächern oder Auswertungen erfasst.

Braucht ein Talentpool eine eigene Einwilligung der Bewerbenden?

Ja, eine gesonderte, aktiv erteilte Einwilligung ist notwendig, weil eine im selben Bewerbungsformular eingeholte Zustimmung datenschutzrechtlich oft nicht als freiwillig gilt. Diese Einwilligung sollte zeitlich begrenzt sein und unabhängig von der ursprünglichen Bewerbung widerrufen werden können.

Welche Folgen drohen, wenn ein Löschkonzept fehlt oder nicht umgesetzt wird?

Fehlt ein dokumentiertes Löschkonzept oder wird es nicht angewendet, drohen Beanstandungen oder Bußgelder durch die zuständige Aufsichtsbehörde sowie Ansprüche von Bewerbenden nach Art. 17 DSGVO. Für Recruiting-Agenturen kommt das Risiko hinzu, dass Kunden bei Audits Nachweise zur Datenverarbeitung einfordern, die ohne funktionierendes Löschkonzept nicht vorliegen.

Quellen

• Datenschutzkonferenz - Verzeichnis von Verarbeitungstätigkeiten (Praktische Hinweise)

• BfDI - FAQ Beschäftigtendatenschutz (Löschfristen)

• Abgabenordnung (AO) - §147 Ordnungsvorschriften für die Aufbewahrung von Unterlagen

Empfehlungen

• Aufbewahrungsfrist bei Bewerbungen: Was HR wirklich beachten muss

• Bewerbermanagement | Intuitives CRM & ATS

• Bewerbermanagement erklärt: Prozess, Recht und Praxis