DSGVO im HR: Bewerberdaten aufbewahren und der AV-Vertrag

Die Personalabteilung sammelt sensible Daten wie kaum eine andere Stelle im Unternehmen: Lebensläufe, Zeugnisse, Gehaltsvorstellungen, manchmal Gesundheits- oder Schwerbehindertenangaben. Zwei Fragen tauchen im HR-Alltag immer wieder auf – und werden erstaunlich oft falsch beantwortet.

Erstens: Wie lange dürfen wir die Unterlagen abgelehnter Bewerber überhaupt behalten? Zu früh gelöscht, und Sie stehen bei einer AGG-Klage ohne Beweise da. Zu lange gespeichert, und Sie verstoßen gegen den Grundsatz der Speicherbegrenzung.

Zweitens: Brauchen wir mit unserem Payroll- oder Recruiting-Anbieter wirklich einen AV-Vertrag? Die Antwort ist fast immer ja – und das Fehlen dieses Vertrags ist einer der am häufigsten geahndeten Datenschutzverstöße überhaupt.

Dieser Leitfaden beantwortet beide Fragen konkret, mit den geltenden Fristen, den zuständigen Behörden und den Rechtsgrundlagen, die Sie selbst nachprüfen können.

Wie lange darf HR Bewerberdaten aufbewahren?

Es gibt keine gesetzlich fixierte Aufbewahrungs- oder Löschfrist für Bewerbungsunterlagen. Das stellt der Landesbeauftragte für den Datenschutz Niedersachsen ausdrücklich klar. Die in der Praxis übliche Frist von rund sechs Monaten ergibt sich nicht aus einer Pflicht zur Aufbewahrung, sondern aus einem legitimen Interesse: Sie müssen sich gegen eine mögliche Diskriminierungsklage verteidigen können.

Die Rechtsgrundlage für die Speicherung während dieser Zeit ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) in Verbindung mit § 26 BDSG. Sobald der Zweck – die Verteidigung gegen AGG-Ansprüche – entfällt, muss gelöscht werden.

Welche Fristen ergeben sich aus dem AGG?

Ein abgelehnter Bewerber, der sich diskriminiert fühlt, kann Entschädigung und Schadensersatz verlangen. Dabei gelten zwei aufeinanderfolgende Ausschlussfristen:

1. Zwei Monate schriftliche Geltendmachung (§ 15 Abs. 4 AGG): Der Anspruch muss innerhalb von zwei Monaten schriftlich gegenüber dem Arbeitgeber geltend gemacht werden. Die Frist beginnt mit dem Zugang der Ablehnung.
2. Drei Monate Klagefrist (§ 61b Abs. 1 ArbGG): Nach der schriftlichen Geltendmachung muss die Klage beim Arbeitsgericht innerhalb von drei weiteren Monaten erhoben werden.

Rechnerisch ergeben sich daraus bis zu fünf Monate. Weil Zustellungen, Poststellenläufe und ein Sicherheitspuffer hinzukommen, hat sich die Sechs-Monats-Frist als praxistaugliche Obergrenze etabliert. Das Bundesarbeitsgericht hat die Ausschlussfristen des AGG mehrfach als mit dem Unionsrecht vereinbar bestätigt.

> Kurz gesagt: Die sechs Monate sind kein Freibrief zum Horten, sondern die maximale Zeit, in der Sie ein nachweisbares Verteidigungsinteresse haben.

Was gilt für eingestellte Bewerber und für Talentpools?

Nicht alle Bewerberdaten unterliegen derselben Logik:

• Eingestellte Bewerber: Die relevanten Unterlagen werden Teil der Personalakte und richten sich künftig nach den Fristen des Arbeits-, Steuer- und Sozialversicherungsrechts. Alles, was für das Beschäftigungsverhältnis nicht erforderlich ist, sollte dennoch aussortiert werden.
• Talentpool / Kandidatenspeicher: Eine längere Speicherung für spätere Stellen ist nur mit ausdrücklicher, freiwilliger Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO zulässig. Zweck und Speicherdauer müssen klar benannt sein, und der Bewerber kann die Einwilligung jederzeit widerrufen.
• Informationspflicht: Nach Art. 13/14 DSGVO müssen Sie Bewerber über die Speicherdauer oder die Kriterien für deren Festlegung informieren – am besten in einer Datenschutzinformation zum Bewerbungsverfahren.

Die Aufsichtsbehörden empfehlen, all das in einem schriftlichen Löschkonzept festzuhalten. Es dokumentiert, wer wann welche Datenkategorie löscht, und erfüllt so die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.

Wann müssen Bewerberdaten gelöscht werden – und was, wenn jemand früher die Löschung verlangt?

Kommt es innerhalb der Klagefrist nicht zu einer Klage, sind die Unterlagen nach Art. 17 DSGVO zu löschen. Praktisch heißt das: Setzen Sie einen automatischen oder wiederkehrenden Löschlauf auf, statt sich auf manuelles Aufräumen zu verlassen.

Heikler ist der Fall, in dem ein Bewerber aktiv die Löschung verlangt. Hier gilt eine feine, oft übersehene Regel:

• Verlangt der Bewerber spätestens zwei Monate nach der Ablehnung die Löschung und hat keine AGG-Ansprüche geltend gemacht, kann er nach Ablauf dieser zwei Monate keine Klage nach § 61b ArbGG mehr erheben. Damit entfällt Ihr Verteidigungsinteresse – und Sie müssen dem Löschverlangen vor Ablauf der sechs Monate nachkommen.
• Hat er dagegen Ansprüche geltend gemacht oder ist die Zwei-Monats-Frist noch offen, dürfen Sie die Daten bis zum Ende der möglichen Klagefrist zur Rechtsverteidigung behalten (Art. 17 Abs. 3 lit. e DSGVO).

Praxis-Checkliste Löschung:

• [ ] Löschregel: Standardmäßig sechs Monate nach Verfahrensende
• [ ] Ausnahme: Löschverlangen ohne AGG-Anspruch nach Ablauf der Zwei-Monats-Frist → sofort löschen
• [ ] Ausnahme: Laufender Rechtsstreit → bis Abschluss aufbewahren
• [ ] Löschung dokumentieren (Was, wann, durch wen)
• [ ] Kopien in E-Mail-Postfächern, Downloads und beim Dienstleister mitlöschen

Wann braucht HR einen AV-Vertrag nach Art. 28 DSGVO?

Ein Auftragsverarbeitungsvertrag (AVV oder AV-Vertrag) ist die schriftliche Vereinbarung zwischen Ihnen als Verantwortlichem und einem externen Dienstleister, der personenbezogene Daten weisungsgebunden in Ihrem Auftrag verarbeitet. Er ist immer dann Pflicht, wenn ein solcher Dienstleister Zugriff auf personenbezogene Daten Ihrer Bewerber oder Beschäftigten hat.

Art. 28 Abs. 9 DSGVO schreibt die Schriftform ausdrücklich vor – die elektronische Form (etwa eine unterschriebene PDF) genügt. Ein mündlicher oder stillschweigender Auftrag reicht nicht.

Welche HR-Dienstleister sind Auftragsverarbeiter?

Faustregel: Verarbeitet ein Dienstleister die Daten nach Ihren Weisungen und nicht zu eigenen Zwecken, ist er Auftragsverarbeiter. Typische Fälle in der Personalabteilung:

• Externe Lohn- und Gehaltsabrechnung (Lohnbüro, Steuerberater, sofern reine Lohnbuchhaltung)
• Bewerbermanagement- und Recruiting-Software (SaaS-Tools, Cloud-Bewerberdatenbanken)
• HR-Cloud- und Personalverwaltungssysteme (digitale Personalakte, Zeiterfassung)
• Hosting- und IT-Dienstleister, die HR-Systeme betreiben oder warten

Nicht immer eindeutig: Ein Steuerberater, der eigenverantwortlich steuerrechtliche Pflichten erfüllt, kann eigener Verantwortlicher sein. Bei reiner Lohnbuchhaltung nach Ihren Vorgaben ist er dagegen typischerweise Auftragsverarbeiter. Im Zweifel klären Sie die Rolle vertraglich – der Landesbeauftragte für den Datenschutz Niedersachsen stellt hierzu Formulierungshilfen bereit.

Was muss ein AV-Vertrag nach Art. 28 Abs. 3 DSGVO enthalten?

Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen benennen – und darüber hinaus die folgenden Kernpflichten des Auftragsverarbeiters festschreiben:

Die konkreten technischen und organisatorischen Maßnahmen (TOMs) müssen laut Art. 28 Abs. 3 lit. c benannt sein – meist als Anlage zum Vertrag. Verlassen Sie sich nicht blind auf das Muster des Anbieters, sondern prüfen Sie, ob es alle Punkte tatsächlich abdeckt und ob die genannten TOMs zu Ihren Datenrisiken passen.

Was droht ohne AV-Vertrag?

Das ist kein theoretisches Risiko. Die Hamburger Datenschutzbehörde verhängte gegen ein kleines Versandunternehmen ein Bußgeld von 5.000 Euro zuzüglich 250 Euro Gebühren, weil für einen datenverarbeitenden Dienstleister kein AV-Vertrag bestand – gestützt auf Art. 83 DSGVO. Pikant: Das Unternehmen hatte sich zuvor selbst bei der Behörde Rat geholt.

Entscheidend für HR: Verantwortlich ist der Auftraggeber, nicht nur der Dienstleister. Die Pflicht, den Vertrag abzuschließen, trifft Sie als datenschutzrechtlich Verantwortlichen. Der Bußgeldrahmen für Verstöße gegen Art. 28 liegt nach Art. 83 Abs. 4 DSGVO bei bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

> Rechtlicher Hinweis: Dieser Beitrag bietet allgemeine Informationen, keine Rechtsberatung. Fristen und deren Auslegung können sich ändern und hängen vom Einzelfall ab. Verbindliche Auskünfte erteilt Ihre zuständige Datenschutzaufsichtsbehörde oder ein Fachanwalt für Arbeits- bzw. Datenschutzrecht.

Fazit

Die zwei größten HR-Datenschutz-Fallen lassen sich mit zwei einfachen Routinen entschärfen: ein automatisiertes Löschkonzept, das abgelehnte Bewerberdaten in der Regel nach sechs Monaten entfernt (mit Ausnahmen für Löschverlangen und laufende Verfahren), und eine AV-Vertrags-Prüfung für jeden externen HR-Dienstleister. Der nächste praktische Schritt: Erstellen Sie eine Liste aller Dienstleister mit Zugriff auf Personal- oder Bewerberdaten und gleichen Sie ab, für welche bereits ein gültiger AV-Vertrag vorliegt. Verbindliche Muster und Auskünfte erhalten Sie bei Ihrer zuständigen Landesdatenschutzbehörde.