Bewerbungen und Datenschutz: Was müssen kleine Unternehmen beachten?

Bewerberdaten sind personenbezogene Daten, und Bewerber zählen datenschutzrechtlich zu den Beschäftigten (§ 26 BDSG). Sie dürfen nur erheben und nutzen, was für die Auswahl nötig ist, müssen die Bewerber von Anfang an informieren und die Unterlagen nach einer Absage in der Regel nach spätestens sechs Monaten löschen. Das gilt für jeden Betrieb, der Bewerbungen annimmt, auch für kleine Handwerksbetriebe.

Ein Lebenslauf, Zeugnisse, ein Foto und Kontaktdaten sind sensible Informationen. Als Arbeitgeber sind Sie dafür verantwortlich, wie diese Daten eingehen, wer sie sieht, wo sie liegen und wann sie verschwinden. Das beginnt schon beim Eingang der Bewerbung und endet erst mit der Löschung oder der Übernahme in die Personalakte.

• Bewerbungen kommen per WhatsApp oder landen im privaten Postfach. 
• Unterlagen werden per E-Mail weitergeleitet und liegen dann an vielen Stellen. 
• Abgelehnte Bewerbungen bleiben unbegrenzt gespeichert. 
• Ein “Talentpool” wird ohne Einwilligung geführt. 
• Bewerber werden online recherchiert, und Notizen dazu bleiben liegen. 
• Es werden mehr Angaben verlangt als nötig. 
• Es gibt keinen Datenschutzhinweis für Bewerber, weder im Stelleninserat noch im Formular.
• KI-Tools sortieren Bewerbungen vor, ohne dass das geprüft wurde.

Nach einer Absage müssen die Unterlagen gelöscht werden. Üblich ist eine Aufbewahrung von bis zu sechs Monaten, damit Sie sich gegen mögliche Ansprüche nach dem Gleichbehandlungsgesetz verteidigen können. Wer Bewerber länger vormerken möchte, braucht dafür deren Einwilligung. Bei einer Einstellung wandern die Unterlagen in die Personalakte, mehr dazu unter Mitarbeiterdaten und DSGVO.

Bewerber können sich bei der Datenschutz-Aufsichtsbehörde beschweren, Auskunft verlangen und unter Umständen Schadensersatz fordern. Die Behörde kann Auflagen erteilen und Bußgelder verhängen. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.