Bewerbermanagement DSGVO Löschfristen – rechtssicheres Recruiting-Software-Setup für deutsche Unternehmen
Bewerbermanagementsysteme (Applicant Tracking Systems, kurz ATS) verarbeiten hochsensible Bewerberdaten – von Lebensläufen über Gehaltsvorstellungen bis zu Referenzauskünften. Wer 2026 ein ATS für den deutschen Markt einführt oder betreibt, muss Löschfristen für Bewerberdaten so konfigurieren, dass sie sowohl die AGG-Klagefrist nach § 15 Abs. 4 AGG als auch die datenschutzrechtlichen Vorgaben der DSGVO abbilden. Laut mehreren Ausgaben der Recruiting-Trends-Studienreihe des Centre of Human Resources Information Systems (Prof. Dr. Tim Weitzel, i. d. R. in Kooperation mit Partnern wie Monster oder Stepstone) setzt die überwiegende Mehrheit der großen deutschen Unternehmen mittlerweile ein digitales Bewerbermanagementsystem ein – die korrekte technische Umsetzung von Löschroutinen, Talent-Pool-Einwilligungen und AV-Verträgen mit ATS-Anbietern ist damit für einen Großteil der Personalabteilungen im deutschsprachigen Raum eine konkrete Compliance-Aufgabe, kein theoretisches Thema. Diese Seite zeigt, welche Fristen gelten, wie automatisierte Löschfunktionen in Recruiting-Software konfiguriert werden und worauf beim Auftragsverarbeitungsvertrag mit ATS-Anbietern zu achten ist. Allgemeine DSGVO-Grundlagen für den gesamten HR-Bereich – etwa Rechtsgrundlagen der Personaldatenverarbeitung insgesamt – behandelt die Übersichtsseite DSGVO in HR-Software; der Fokus hier liegt strikt auf dem Bewerbermanagement-Workflow selbst.
Zu früh gelöscht oder zu lange gespeichert – beides ist riskant
Ohne automatisierte Löschregeln im ATS schwanken Personalabteilungen zwischen zwei Fehlern: vorschnelle Löschung, die die Beweisposition in einem AGG-Verfahren schwächt, oder unbegründete Dauerspeicherung, die gegen die DSGVO verstößt.
Zu frühe Löschung schwächt die Beweisposition
Eine zu kurze Aufbewahrung schwächt die eigene Beweisposition in einem möglichen Diskriminierungsverfahren nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) – und das wiegt besonders schwer, weil § 22 AGG dem Arbeitgeber die Beweislast auferlegt, sobald der Bewerber oder die Bewerberin Indizien für eine Diskriminierung vorträgt: Ohne Bewerbungsunterlagen, Interviewnotizen und Auswahlbegründungen kann sich das Unternehmen dann faktisch nicht mehr entlasten.
- Fehlende Unterlagen bei AGG-Klage
- Keine Entlastung bei Beweislastumkehr § 22 AGG
- Talent-Pool-Daten ohne gesonderte Einwilligung
- ATS-Anbieter ohne belastbaren AV-Vertrag
Automatisierte Löschregeln statt manueller Aufräumaktion
Moderne Bewerbermanagement-Software bildet Löschfristen als konfigurierbare, automatisierte Regeln ab: Nach Abschluss eines Bewerbungsprozesses läuft eine an der AGG-Klagefrist orientierte Aufbewahrungsfrist, nach deren Ablauf die Daten automatisch anonymisiert oder gelöscht werden – unabhängig davon, ob eine Personalabteilung aktiv daran denkt.
- Automatisierte, fristbasierte Löschregeln pro Ausschreibung
- Separate, dokumentierte Talent-Pool-Einwilligung mit Widerruf
- Belastbarer AV-Vertrag inkl. Subunternehmerliste
- Löschprotokoll als Rechenschaftsnachweis
Löschfristen für Bewerberdaten im ATS
Praxisorientierte Einordnung der Aufbewahrungsdauer je Datenkategorie, abgeleitet aus AGG, ArbGG, DSGVO und den einschlägigen Aufbewahrungspflichten für Personalunterlagen.
| Datenkategorie | Ausgangspunkt der Frist | Empfohlene Aufbewahrungsdauer | Rechtliche Anknüpfung |
|---|---|---|---|
| Bewerbungsunterlagen bei Absage | Zugang der Absage beim Bewerber | 5–6 Monate | § 15 Abs. 4 AGG (2 Monate) i. V. m. § 61b ArbGG (3 Monate) zzgl. Sicherheitspuffer |
| Interviewnotizen, Scoring, Testverfahren | Abschluss des Auswahlverfahrens | analog 5–6 Monate | Art. 5 Abs. 1 lit. e DSGVO; zentral für Beweislastumkehr nach § 22 AGG |
| Talent-Pool-Daten mit Einwilligung | Erteilung der Einwilligung | bis 24 Monate | Art. 6 Abs. 1 lit. a DSGVO, Widerruf nach Art. 7 Abs. 3 DSGVO |
| Erfolgreiche Bewerbung (Personalakte) | Vertragsschluss | Übergang Personalakte | Rechtsgrundlage § 26 BDSG; Fristen aus § 257 HGB, § 147 AO, § 28f SGB IV |
| Bewerberdaten bei laufendem Rechtsstreit | Beginn eines AGG-Verfahrens | bis Verfahrensabschluss | § 15, § 22 AGG, allgemeine Beweissicherungspflicht |
| Initiativbewerbungen ohne konkrete Stelle | Eingang der Bewerbung | 6 Monate | Art. 5 Abs. 1 lit. e DSGVO |
Diese Fristen sind eine praxisorientierte Einordnung auf Basis der genannten Rechtsgrundlagen sowie öffentlich zugänglicher Positionspapiere von Landesdatenschutzbehörden – etwa der Kurzinformationen des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BW) und des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) zu Bewerberdaten und Löschfristen im Bewerbungsverfahren; sie ersetzen keine Einzelfallprüfung durch die eigene Rechtsabteilung oder den Datenschutzbeauftragten.
So bildet ein ATS Löschfristen technisch ab
Sechs Funktionsbausteine, die ein Bewerbermanagementsystem für ein rechtssicheres Löschkonzept mitbringen sollte.
Automatisierte Löschregeln pro Stellenausschreibung
Das ATS verknüpft jede Stellenausschreibung mit einem Löschzeitpunkt, der ab dem Datum der Absage oder dem Abschluss des Verfahrens automatisch berechnet wird. Nach Fristablauf werden Bewerbungsunterlagen ohne manuellen Eingriff anonymisiert oder vollständig gelöscht.
Talent-Pool mit granularer Einwilligungsverwaltung
Bewerber können bei Absage separat und freiwillig zustimmen, für zukünftige Positionen im System vorgemerkt zu bleiben. Das System dokumentiert Zeitpunkt, Umfang und Widerrufsmöglichkeit der Einwilligung getrennt vom eigentlichen Bewerbungsdatensatz.
Löschprotokoll und Audit-Trail
Jede automatische oder manuelle Löschung wird mit Zeitstempel, ausführendem System oder Nutzer und betroffenem Datensatz protokolliert – notwendig für den Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO gegenüber Aufsichtsbehörden.
Rollen- und Zugriffskonzept für Recruiter und Fachbereiche
Fachbereichsverantwortliche erhalten nur Zugriff auf Bewerbungen für ihre eigenen offenen Stellen, nicht auf den gesamten Bewerberpool. Das reduziert die Zahl der Personen mit Zugriff auf sensible Daten und erleichtert die Datenminimierung.
Schnittstelle für Betroffenenrechte
Ein dediziertes Bewerberportal oder eine interne Workflow-Funktion bündelt alle zu einer Bewerbung gespeicherten Datensätze – Stammdaten, Anhänge, Interviewnotizen, Kommunikationsverlauf – an einer Stelle und ermöglicht, Auskunfts- und Löschanfragen strukturiert zu beantworten, statt Daten manuell über mehrere Systeme zu suchen.
Konfigurierbare Aufbewahrungsprofile je Rechtsraum
Für Unternehmen mit Bewerbungsprozessen in mehreren Ländern lassen sich unterschiedliche Löschfristen je nach lokalem Arbeits- und Datenschutzrecht hinterlegen, statt eine einzige globale Frist auf alle Standorte anzuwenden.
Compliance-Aspekte im Bewerbermanagement
Sieben Punkte, die über die reine Löschfrist hinausgehen und in der Praxis regelmäßig übersehen werden.
AGG-Klagefrist und Beweislastumkehr als Aufbewahrungsanker
Nach § 15 Abs. 4 AGG muss ein Anspruch wegen Diskriminierung im Bewerbungsverfahren innerhalb von zwei Monaten schriftlich geltend gemacht werden; die Klagefrist nach § 61b ArbGG beträgt weitere drei Monate – in Summe bis zu fünf Monate. Besonders schwer wiegt § 22 AGG: Sobald Indizien für eine Diskriminierung vorgetragen werden, kehrt sich die Beweislast um, und der Arbeitgeber muss beweisen, dass kein Verstoß vorlag.
Trennung von Zweckbindung bei der Talent-Pool-Einwilligung
Eine pauschale Klausel wie "Ihre Daten verbleiben für zukünftige Stellen in unserem System" reicht datenschutzrechtlich nicht aus. Die Einwilligung muss freiwillig, informiert und für den konkreten Zweck der Wiederverwendung erteilt werden – getrennt von der Einwilligung zur ursprünglichen Bewerbung.
AV-Vertrag mit ATS-Anbietern: der Subunternehmer-Fokus
Der ATS-Anbieter muss vertraglich als Auftragsverarbeiter nach Art. 28 DSGVO gebunden werden. Im ATS-Kontext besonders prüfenswert ist die Subunternehmerliste: Cloud-Hosting-Provider und KI-gestützte Lebenslauf-Analyse verarbeiten häufig mit, ohne auf den ersten Blick sichtbar zu sein.
Betriebsrat-Mitbestimmung bei Bewerbermanagement-Software
Die Einführung oder wesentliche Änderung eines ATS unterliegt in der Regel der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, da Auswertungen zu Bearbeitungszeiten oder automatisiertes Scoring zur Verhaltens- oder Leistungskontrolle geeignet sind. Eine Betriebsvereinbarung sollte auch Löschfristen und Zugriffsrechte regeln.
KI-gestützte Vorauswahl und DSFA-Pflicht
Setzt das ATS algorithmische Vorauswahl oder KI-gestütztes Ranking ein, greift unter Umständen Art. 22 DSGVO. Ein solches automatisiertes Profiling löst regelmäßig auch die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO aus. Zusätzlich gelten seit August 2024 die Vorgaben des EU AI Act für Recruiting-Systeme als Hochrisiko-Anwendung; die Pflichten treten stufenweise ab dem 2. August 2026 in Kraft.
Dokumentationspflicht bei Löschausnahmen
Wird eine Löschfrist ausnahmsweise überschritten – etwa wegen eines laufenden Rechtsstreits oder einer behördlichen Prüfung –, muss dies im Verarbeitungsverzeichnis nach Art. 30 DSGVO und im Löschkonzept dokumentiert und begründet werden.
Sonderfall: Ablehnung schwerbehinderter Bewerber
Bei der Ablehnung schwerbehinderter Bewerberinnen und Bewerber bestehen nach § 164 SGB IX besondere Beteiligungs- und Begründungspflichten gegenüber der Schwerbehindertenvertretung. Diese Begründungen sollten in die reguläre Aufbewahrungslogik für Bewerbungsunterlagen einbezogen werden, statt gesondert und unkontrolliert vorgehalten zu werden.
In sechs Schritten zum rechtssicheren Löschkonzept
Von der Erstellung des Löschkonzepts bis zum laufenden Audit der Löschroutinen im ATS.
Löschkonzept für Bewerberdaten erstellen
Gemeinsam mit Datenschutzbeauftragtem und Rechtsabteilung wird festgelegt, welche Datenkategorien wie lange gespeichert werden, orientiert an AGG-Klagefrist, Beweislastumkehr nach § 22 AGG, Talent-Pool-Zweck und Branchenbesonderheiten.
ATS-Anbieter auf Löschfunktionen prüfen
Vor Vertragsabschluss oder im Rahmen einer Bestandsaufnahme wird geprüft, ob das System automatisierte, konfigurierbare Löschregeln pro Stellenausschreibung und pro Datenkategorie unterstützt.
AV-Vertrag abschließen oder prüfen
Ein bestehender oder neuer Auftragsverarbeitungsvertrag wird auf Vollständigkeit nach Art. 28 DSGVO geprüft, inklusive vollständiger Subunternehmerliste und Löschpflichten nach Vertragsende.
Talent-Pool-Einwilligung implementieren
Im Absageprozess wird eine separate, opt-in-basierte Einwilligungsabfrage für die Aufnahme in den Talent-Pool ergänzt, inklusive klar sichtbarer Widerrufsmöglichkeit.
Betriebsrat einbinden
Vor Einführung oder wesentlicher Änderung des ATS wird der Betriebsrat im Rahmen der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG beteiligt und eine Betriebsvereinbarung abgestimmt.
Löschroutinen testen und auditieren
Nach Inbetriebnahme wird stichprobenartig geprüft, ob automatisierte Löschungen fristgerecht ausgeführt werden, und das Löschprotokoll wird regelmäßig kontrolliert.
Häufige Fragen zu Bewerberdaten und Löschfristen
Wie lange dürfen Bewerberdaten nach einer Absage gespeichert werden?
Es gibt keine gesetzlich fest definierte Frist in Tagen. Die relevante Orientierungsgröße ergibt sich aus § 15 Abs. 4 AGG (zwei Monate Geltendmachungsfrist ab Zugang der Absage) in Verbindung mit § 61b ArbGG (weitere drei Monate Klagefrist ab Geltendmachung) – in Summe bis zu fünf Monate. In der Praxis werden daher häufig sechs Monate als Aufbewahrungsdauer angesetzt, um auch verzögerte Zustellungen oder Fristverlängerungen abzudecken. Diese sechs Monate sind eine verbreitete Einordnung der Praxis, keine gesetzlich fixierte Zahl. Nach Fristablauf sollten die Daten ohne gesonderte Einwilligung gelöscht oder anonymisiert werden.
Was ist der Unterschied zwischen Löschung und Anonymisierung im ATS?
Bei einer Löschung werden Bewerberdaten vollständig und unwiederbringlich aus dem System entfernt, inklusive Anhängen wie Lebensläufen und Zeugnissen. Bei einer Anonymisierung werden personenbezogene Merkmale so entfernt oder verändert, dass ein Rückschluss auf die Person nicht mehr möglich ist, während statistische Auswertungen etwa zur Bearbeitungsdauer weiterhin möglich bleiben. Für die DSGVO-Konformität ist Anonymisierung gleichwertig zur Löschung, sofern sie tatsächlich irreversibel ist. Viele ATS bieten beide Funktionen parallel an, je nach Anwendungsfall.
Brauche ich für den Talent-Pool eine gesonderte Einwilligung?
Ja. Die ursprüngliche Bewerbung wird auf Basis von § 26 BDSG zur Anbahnung eines Beschäftigungsverhältnisses verarbeitet, das deckt aber keine Weiterverwendung für zukünftige, noch nicht ausgeschriebene Stellen ab. Für die Aufnahme in einen Talent-Pool ist daher eine freiwillige, informierte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich, die jederzeit widerrufbar sein muss. Fehlt diese Einwilligung, dürfen abgelehnte Bewerbungsdaten nicht über die reguläre Aufbewahrungsfrist hinaus gespeichert werden.
Muss ich mit meinem ATS-Anbieter einen AV-Vertrag abschließen?
Ja, sofern der Anbieter Bewerberdaten im Auftrag des Unternehmens verarbeitet – was bei praktisch jeder Cloud-basierten Recruiting-Software der Fall ist. Besonders im ATS-Kontext lohnt der Blick auf die Subunternehmerliste: Cloud-Hosting und KI-gestützte Lebenslauf-Analyse laufen häufig über weitere Dienstleister, die im Vertrag korrekt benannt und in die Löschpflichten nach Vertragsende einbezogen sein müssen. Ohne einen vollständigen AV-Vertrag verstößt der Einsatz der Software gegen die DSGVO, unabhängig davon, wie gut die technischen Löschfunktionen sonst konfiguriert sind.
Was passiert, wenn ein Bewerber Auskunft über gespeicherte Daten verlangt?
Bewerber haben nach Art. 15 DSGVO das Recht, Auskunft über die zu ihrer Person gespeicherten Daten zu erhalten; die Frist zur Beantwortung ergibt sich aus Art. 12 Abs. 3 DSGVO. Der praktische Engpass liegt im ATS meist nicht in der Frist selbst, sondern darin, dass Bewerberdaten über Stammdatensatz, Anhänge, Interviewnotizen und E-Mail-Verläufe verstreut sind. Ein ATS mit gebündelter Auskunftsfunktion kann die relevanten Datensätze automatisiert zusammenstellen, statt dass Recruiter sie manuell aus mehreren Quellen zusammensuchen müssen – das ist der eigentliche Compliance-Mehrwert im Bewerbermanagement-Kontext.
Ist der Betriebsrat bei der Einführung eines Bewerbermanagementsystems zu beteiligen?
In den meisten Fällen ja. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen – ein Kriterium, das viele ATS mit Auswertungsfunktionen, Bearbeitungszeit-Tracking oder automatisiertem Scoring erfüllen. Die konkrete Ausgestaltung wird üblicherweise in einer Betriebsvereinbarung festgehalten, die auch Zugriffsrechte und Löschfristen umfassen kann. Eine Einführung ohne Beteiligung des Betriebsrats kann rechtlich angefochten werden.
Was ändert sich durch den EU AI Act für Recruiting-Software?
Die EU-Verordnung über Künstliche Intelligenz (AI Act), seit August 2024 in Kraft, stuft KI-Systeme zur Bewerberauswahl und -bewertung als Hochrisiko-Anwendungen ein. Betreiber solcher Systeme müssen unter anderem Risikomanagement, Transparenzpflichten gegenüber Bewerbern und menschliche Aufsicht sicherstellen; die entsprechenden Pflichten für Hochrisiko-KI-Systeme im Recruiting-Kontext treten ab dem 2. August 2026 in Kraft. Unternehmen, die KI-gestützte Vorauswahl oder automatisiertes Ranking von Bewerbungen im ATS nutzen, sollten zusätzlich prüfen, ob dadurch eine Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ausgelöst wird. Diese Einordnung basiert auf dem aktuellen Umsetzungsfahrplan des AI Acts, kann sich aber durch Durchführungsakte noch konkretisieren.
Was geschieht mit Bewerbungsunterlagen, wenn eine Bewerbung erfolgreich war?
Bei erfolgreichem Vertragsschluss gehen die im ATS gespeicherten Bewerbungsunterlagen in die reguläre Personalakte über, verarbeitet auf Grundlage von § 26 BDSG. Die eigentlichen Aufbewahrungsfristen richten sich ab diesem Zeitpunkt nicht mehr nach der AGG-Klagefrist, sondern nach den einschlägigen Aufbewahrungspflichten für Personalunterlagen, insbesondere § 257 HGB, § 147 AO und § 28f SGB IV. Das ATS sollte diesen Übergang technisch abbilden, damit die Bewerbungsunterlagen nicht versehentlich zu früh gelöscht werden.
Hinweis zur Abgrenzung: Die Seite DSGVO in HR-Software behandelt die datenschutzrechtlichen Grundlagen für HR-Software insgesamt – etwa Personalaktenverwaltung, Zeiterfassung oder Lohnabrechnung – und geht dort auch kurz auf Bewerberdaten-Löschfristen ein. Diese Seite hier vertieft ausschließlich den Bewerbermanagement- beziehungsweise ATS-Kontext: konkrete Fristenlogik nach AGG, Talent-Pool-Einwilligung, AV-Vertragsgestaltung mit ATS-Anbietern und die technische Umsetzung automatisierter Löschfunktionen im Recruiting-Workflow.
Passende Bewerbermanagement-Software mit rechtssicheren Löschfunktionen finden
Nicht jedes ATS bildet AGG-konforme Löschfristen, getrennte Talent-Pool-Einwilligungen und vollständige AV-Verträge unterschiedlich vollständig ab. Über Find Your HR lassen sich ATS-Anbieter im Recruiting-und-ATS-Software-Vergleich gezielt nach diesen Compliance-Kriterien vergleichen, sodass die Auswahl nicht erst nach der Implementierung zum Nachbesserungsprojekt wird.