DSGVO-konformes Recruiting: Der Leitfaden für HR- und Recruiting-Teams

DSGVO-konformes Recruiting ruht auf fünf Punkten: eine dokumentierte Rechtsgrundlage für jeden Bewerberdatensatz, eine festgelegte und technisch durchgesetzte Löschfrist, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Dienstleister, der Bewerberdaten sieht, ein belastbarer Prozess für Auskunft und Löschung innerhalb eines Monats, und eine menschliche Entscheidung überall dort, wo KI bewertet.

Ich habe eine Personalberatung geführt, bevor ich Pickr gebaut habe, und ich bin kein Jurist. Dieser Text ist keine Rechtsberatung, sondern die Arbeitsgrundlage, die ich als Verantwortlicher gebraucht hätte. Die Pflichten sind dieselben, ob Sie intern für das eigene Unternehmen einstellen oder als Personalvermittlung für Kunden besetzen. Die verbindliche Bewertung Ihres Falls kann nur Ihr Datenschutzbeauftragter vornehmen.

Rechtsgrundlage: § 26 BDSG, Art. 6 DSGVO und ein Urteil, das die Sache verschoben hat

Bewerberinnen und Bewerber sind nach § 26 Abs. 8 S. 2 BDSG Beschäftigte im Sinne des Gesetzes. § 26 Abs. 1 S. 1 BDSG erlaubt die Verarbeitung, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Parallel trägt Art. 6 Abs. 1 lit. b DSGVO: vorvertragliche Maßnahmen auf Anfrage der betroffenen Person.

Seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) ist die deutsche Norm angreifbar: Nationale Regelungen nach Art. 88 DSGVO müssen spezifischer sein und dürfen die Verordnung nicht bloß wiederholen. Ob § 26 Abs. 1 S. 1 BDSG das leistet, ist umstritten.

Führen Sie deshalb Art. 6 Abs. 1 lit. b DSGVO als primäre Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten und nennen Sie § 26 BDSG daneben. Gesundheitsdaten und Angaben zur Schwerbehinderung brauchen zusätzlich Art. 9 DSGVO und § 26 Abs. 3 BDSG. Die Aufbewahrung nach der Absage stützt sich dann auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f.

Der Talentpool braucht eine eigene Grundlage

Mit der Absage endet der Zweck der Erhebung. Wer Unterlagen für künftige Stellen behalten will, verarbeitet zu einem neuen Zweck und braucht die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO: freiwillig, informiert, nachweisbar (Art. 7 Abs. 1), mit konkreter Speicherdauer und so leicht widerrufbar, wie sie erteilt wurde (Art. 7 Abs. 3). Ein Satz in der Absage-E-Mail erfüllt das nicht. Sauber gelöst heißt: eigener Opt-in mit Zeitstempel und Wortlaut, Dauer von 12 oder 24 Monaten, automatischer Ablauf, Widerruf per Link.

Sechs Monate nach der Absage: woher die Frist kommt

Es gibt keine gesetzliche Aufbewahrungsfrist für Bewerbungsunterlagen. Die verbreiteten sechs Monate sind eine Rechnung: § 15 Abs. 4 AGG verlangt die schriftliche Geltendmachung binnen zwei Monaten ab Zugang der Ablehnung, § 61b Abs. 1 ArbGG die Klage binnen weiterer drei Monate, dazu ein Puffer für Postlaufzeit und Zustellungsnachweis.

Sechs Monate sind also keine gesetzliche Frist, sondern eine Verteidigungslinie. Gut begründbar, aber begründungspflichtig.

Fall	Übliche Frist	Grundlage
Abgelehnte Bewerbung	6 Monate ab Zugang der Absage	Art. 6 Abs. 1 lit. f
Laufendes Verfahren	Bis Verfahrensende	Art. 6 Abs. 1 lit. b
Talentpool	12 bis 24 Monate, nur mit Einwilligung	Art. 6 Abs. 1 lit. a
Eingestellte Person	Personalakte, eigene Fristen	Beschäftigungsverhältnis, Handels- und Steuerrecht
Konkreter Streitfall	Bis zur rechtskräftigen Erledigung	Art. 17 Abs. 3 lit. e

Entscheidend ist die Nachweisbarkeit des Fristbeginns. Wer nicht belegen kann, wann die Absage zugegangen ist, hat keine durchsetzbare Frist, sondern eine Behauptung.

Das Löschkonzept scheitert selten am Konzept

Ein Löschkonzept beschreibt Datenarten, Fristen, Auslöser, Zuständigkeiten und den Nachweis der Durchführung; die DIN 66398 gibt eine brauchbare Struktur vor. In der Praxis scheitert nicht das Dokument, sondern die Umsetzung, immer an derselben Stelle: an den Kopien. Bewerbungen liegen im Postfach der Recruiterin, als PDF beim Fachbereich, im Anhang einer Kalendereinladung und in den Backups davon.

Eine Löschung, die diese Kopien nicht erfasst, ist keine Löschung. Was hilft: ein führendes System, in das alle Eingangskanäle laufen und aus dem die Ursprungs-E-Mail gelöscht wird. Eine Frist, die das System durchsetzt, statt einer Kalendererinnerung. Protokollierte Weitergaben an Dritte. Und Backups mit dokumentiertem Überschreibungszyklus. Wie sich ein Prozess systematisch aufräumen lässt, steht in Recruiting-Prozess optimieren.

Betroffenenrechte: Der Monat läuft ab Eingang

Art. 15 DSGVO gibt Bewerbern Anspruch auf Auskunft und eine Kopie, einschließlich Empfängern, Speicherdauer, Datenherkunft und, nach Abs. 1 lit. h, aussagekräftigen Informationen über die Logik einer automatisierten Entscheidungsfindung. Art. 17 regelt die Löschung mit den Ausnahmen in Absatz 3. Die Frist steht in Art. 12 Abs. 3: ein Monat ab Eingang, verlängerbar um zwei Monate nur mit Unterrichtung innerhalb des ersten.

Der Monat beginnt, wenn die Anfrage irgendwo im Unternehmen eingeht, nicht wenn sie bei der zuständigen Person landet. Es braucht also einen zentralen Eingang, eine Identitätsprüfung nach Art. 12 Abs. 6 und Vollständigkeit über alle Systeme hinweg. Zur Auskunft gehören auch Freitextnotizen der Recruiter. Das ist der Moment, in dem ein Vermerk wie „wirkte wenig belastbar, vermutlich Familienplanung“ vom internen Gedächtnis zum Beweismittel wird.

Der AVV nach Art. 28 und was darin oft fehlt

Sie sind Verantwortlicher, Ihr ATS-Anbieter ist Auftragsverarbeiter. Ohne Auftragsverarbeitungsvertrag ist die Verarbeitung formal rechtswidrig, egal wie gut das Produkt technisch abgesichert ist. Der AVV benennt Gegenstand, Zweck, Dauer, Datenarten und Betroffenenkategorien und regelt Weisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32, Unterauftragsverarbeiter, die Löschung bei Vertragsende und Prüfrechte. Allgemeine Geschäftsbedingungen ersetzen ihn nicht.

Machen Sie den Test: Listen Sie jedes Werkzeug auf, das Bewerberdaten sieht. Bewerbermanagement, Lebenslauf-Parsing, Terminbuchung, Videointerview, Transkription, Assessment, E-Mail-Versand, Sprachmodell. Die Liste ist fast immer länger als erwartet, und fast immer fehlen zwei Verträge.

Unterauftragsverarbeiter und Drittlandtransfer

Nach Art. 28 Abs. 2 und 4 DSGVO braucht Ihr Anbieter Ihre Genehmigung für Unterauftragsverarbeiter, führt eine aktuelle Liste und räumt Ihnen bei Änderungen ein Einspruchsrecht ein. Verlässt jemand die EU beziehungsweise den EWR, greifen Art. 44 ff.: entweder ein Angemessenheitsbeschluss, bei US-Empfängern der Nachweis der Zertifizierung unter dem EU-US Data Privacy Framework, oder Standardvertragsklauseln samt Bewertung der Rechtslage im Empfängerland.

Die Frage, die weiterhilft, lautet nicht „Sind Sie DSGVO-konform?“, sondern: Nennen Sie alle Unterauftragsverarbeiter mit Sitz und Verarbeitungsort, und sagen Sie, welche davon Bewerberdaten im Klartext sehen. Der typische Befund: Das ATS steht in Frankfurt, Transkription und Sprachmodell laufen in den USA, und im AVV steht davon nichts.

KI im Bewerbungsverfahren: Art. 22 ist die entscheidende Norm

Art. 22 Abs. 1 DSGVO gibt Betroffenen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt. Eine automatische Absage fällt darunter.

Entscheidend ist das SCHUFA-Urteil des EuGH vom 7. Dezember 2023 (C-634/21): Schon die Erzeugung eines Wahrscheinlichkeitswerts kann eine automatisierte Entscheidung sein, wenn derjenige, der ihn erhält, maßgeblich darauf abstellt. Ein Matching-Score ist also nicht deshalb unbedenklich, weil formal ein Mensch auf „Absagen“ klickt. Wenn dieser Mensch dem Score in der Praxis immer folgt, ist die Entscheidung automatisiert.

Zulässig bleibt KI-Unterstützung unter vier Bedingungen: eine menschliche Prüfung mit Zugriff auf die Unterlagen, Zeit und der Befugnis, vom Score abzuweichen; dokumentierte Abweichungen als Beleg, dass diese Befugnis real ist; Transparenz nach Art. 13, 14 und Art. 15 Abs. 1 lit. h; und die Möglichkeit, die Entscheidung anzufechten (Art. 22 Abs. 3).

Dazu kommt die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, denn KI-gestützte Bewerberbewertung steht auf der Muss-Liste der deutschen Aufsichtsbehörden. Und das AGG: Ein Modell darf nicht auf Merkmale abstellen, die als Stellvertreter für geschützte Merkmale wirken, etwa Name, Foto, Geburtsdatum, Wohnort oder Lücken im Lebenslauf. Geben Sie diese Angaben gar nicht erst in das Bewertungsmaterial. Der EU AI Act behandelt Personalauswahl zusätzlich als Hochrisiko-Anwendung, ersetzt aber keine dieser Pflichten. Was KI im Recruiting tatsächlich leistet, ordne ich in KI im Recruiting 2026 ein.

Die häufigsten Verstöße in der Praxis

Ich habe die meisten selbst begangen:

1. Bewerbungen liegen parallel im ATS und im Postfach; gelöscht wird nur an einer Stelle.
2. Der Talentpool besteht aus allen, die je eine Absage bekamen, ohne dokumentierte Einwilligung.
3. AVV mit dem ATS ja, mit Transkription, Assessment und Terminbuchung nein.
4. Bewerberdaten landen für eine schnelle Zusammenfassung in einem öffentlichen KI-Chatfenster.
5. Lebensläufe gehen unverschlüsselt an Kunden und Fachbereiche, ohne dokumentierte Weitergabe.
6. Notizen enthalten Angaben zu Gesundheit, Familienplanung oder Herkunft.

Wie Pickr damit umgeht

Pickr ist die KI-native Recruiting-Plattform, die Bewerberdaten in Frankfurt verarbeitet, den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO standardmäßig mitbringt und personenbezogene Angaben vor der KI-Verarbeitung entfernt.

• Hosting in Deutschland. Anwendung und Bewerberdaten laufen in Frankfurt, entwickelt wird Pickr in Österreich. Der AVV ist Bestandteil, keine Vertriebsstufe.
• Personenbezogene Angaben werden standardmäßig aus KI-Prompts entfernt. Bewertet werden Belege für Fähigkeiten, nicht Name und Foto, was zugleich das AGG-Risiko senkt.
• Fristen werden durchgesetzt, nicht erinnert. Die Aufbewahrungsdauer ist je Prozess konfigurierbar, und Löschung heißt Löschung, nicht Archivierung.
• Entscheidungen werden im Moment der Entscheidung begründet. Lehnt jemand eine starke Bewerbung ab, fragt Pickr nach dem Grund. Das ist zuerst eine Qualitätsfrage, liefert aber den Nachweis, den Art. 22 Abs. 3 und Art. 5 Abs. 2 DSGVO verlangen.

Was Pickr nicht tut: Ihnen die Rolle des Verantwortlichen abnehmen. Rechtsgrundlage, Verzeichnis und Fristenentscheidung bleiben bei Ihnen. Ein gutes System macht diese Arbeit klein, nicht weg.

Das kostenlose Recruiting-Audit prüft keine Rechtsgrundlagen, sondern zeigt, wo Ihr Prozess Zeit und Geld verliert. Die Anbindung selbst ist aber ein Muster für datensparsame Integration: nur lesender Zugriff, kein gespeicherter API-Schlüssel, Daten in der EU, Löschung jederzeit. Diese vier Angaben sollten Sie von jedem Anbieter bekommen. Wohin sich der Markt bewegt, steht in Personalvermittlung der Zukunft.

Womit Sie anfangen

Fangen Sie nicht mit dem Löschkonzept an, sondern mit der Liste: jedes Werkzeug, das Bewerberdaten sieht, jeder Ort, an dem ein Lebenslauf liegt, jede Frist, die heute niemand durchsetzt. Diese Liste kostet einen Nachmittag und beantwortet die meisten Fragen einer Aufsichtsbehörde. Danach steht die eigentliche Entscheidung an: ob Ihr System diese Fristen selbst durchsetzt, oder ob Sie es weiter mit Kalendererinnerungen versuchen.