Sechs Monate stehen in keinem Gesetz
Die Zahl ist eine Rechnung aus zwei Fristen des Gleichbehandlungs- und des Arbeitsgerichtsrechts, und sie läuft ab einem anderen Tag, als die meisten Systeme annehmen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Frist wird als Vorschrift behandelt, obwohl sie eine Risikoabwägung ist
In fast jedem Bewerbermanagement steht eine Löschfrist von sechs Monaten, und in fast jedem zweiten läuft sie ab dem Eingang der Bewerbung. Das ist der erste handfeste Fehler, denn beide Fristen, aus denen die Zahl abgeleitet ist, beginnen erst mit dem Zugang der Absage. Ein Verfahren, das sich über vier Monate zieht, verkürzt so die eigene Reserve auf zwei, und die Unterlagen sind gelöscht, während der Anspruch noch geltend gemacht werden kann.
Der zweite Fehler ist die Behandlung als Pflicht. Es gibt keine Vorschrift, die anordnet, Bewerbungsunterlagen sechs Monate aufzubewahren. Wer nach vier Wochen löscht, verstößt gegen nichts, verzichtet aber auf die Möglichkeit, im Fall einer Entschädigungsklage nach dem Gleichbehandlungsgesetz darzulegen, wie die Auswahl tatsächlich verlaufen ist. Wer über die Reserve hinaus aufbewahrt, braucht dafür einen eigenen Grund und eine eigene Grundlage.
Der dritte und teuerste Fehler ist die Kopie. Die Software löscht sauber, und die Bewerbung liegt weiter im Postfach der Fachvorgesetzten, im Ordner Downloads auf dem Laptop, im Gruppenlaufwerk mit dem Namen der Stelle, als Ausdruck in der Mappe im Besprechungsraum und als Weiterleitung im Chat. Wenn dann eine Auskunft nach Artikel 15 verlangt wird, ist die Antwort entweder unvollständig oder sie fördert genau die Kopien zutage, die es nicht mehr geben dürfte.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Symptom, Ursache, Lösung
Symptom
Im Bewerbermanagement steht die Löschfrist auf sechs Monate ab Eingang der Bewerbung.
Ursache
Der Startpunkt wurde an das Anlegen des Datensatzes gehängt, weil das technisch der naheliegende Zeitstempel ist. Die beiden Fristen, aus denen die Zahl stammt, laufen aber erst ab dem Zugang der Absage.
Lösung
Häng die Löschung an den Statuswechsel auf Absage versendet. Bei Verfahren, die sich lange ziehen, entsteht dadurch eine längere Gesamtspeicherung, und die ist zweckgebunden gerechtfertigt, weil das Verfahren bis dahin lief. Halte die Umstellung im Löschkonzept mit Datum fest.
Symptom
Die Absage ist raus und der Datensatz gelöscht, die Bewerbung liegt aber noch in drei Postfächern.
Ursache
Die Unterlagen wurden zur Beurteilung per Mail an die Fachabteilung weitergeleitet. Das Löschkonzept kennt nur das Fachsystem, und niemand hat den Beteiligten gesagt, dass sie ihre Kopie ebenfalls entfernen müssen.
Lösung
Stell den Ablauf so um, dass Beteiligte im System lesen und dort bewerten, statt Anhänge zu bekommen. Wo das nicht geht, gehört eine ausdrückliche Aufforderung zur Löschung in denselben Vorgang wie die Absage, und die Liste der Beteiligten wird im Verfahren mitgeführt, damit man sie überhaupt anschreiben kann.
Symptom
Vier Monate nach der Absage verlangt jemand Auskunft nach Artikel 15, und die Unterlagen tauchen an fünf Stellen auf.
Ursache
Solange Daten vorhanden sind, erstreckt sich der Auskunftsanspruch auf sie, einschließlich interner Notizen und Bewertungen aus dem Gespräch. Ohne Übersicht über die Speicherorte ist die Antwort entweder unvollständig oder verrät die unkontrollierte Verbreitung.
Lösung
Beantworte die Anfrage vollständig, die Monatsfrist aus Artikel 12 Absatz 3 läuft. Zieh daraus die eigentliche Lehre: Je weniger Orte es gibt, desto einfacher ist jede Auskunft. Formulierungen in Gesprächsnotizen sollten die Prüfung überstehen, gelesen zu werden, denn genau das kann passieren.
Symptom
In der Absagemail steht, man behalte die Unterlagen gerne für künftige Stellen im Blick, eine Rückmeldung gab es nie.
Ursache
Das ist keine Einwilligung. Artikel 4 Nummer 11 verlangt eine unmissverständliche Willensbekundung in Form einer Erklärung oder einer eindeutigen bestätigenden Handlung. Schweigen genügt dafür nicht.
Lösung
Frag ausdrücklich und lass die Person zustimmen, mit einem Klick, einer Antwort oder einer Unterschrift. Speichere Zeitpunkt, Wortlaut und Weg der Erteilung, sonst ist der Nachweis nach Artikel 7 Absatz 1 nicht zu führen. Ohne Zustimmung wird zur regulären Frist gelöscht.
Symptom
Im Talentpool liegen Profile, die seit Jahren niemand angesehen hat.
Ursache
Der Pool wurde mit einer Einwilligung befüllt, aber ohne eigene Löschfrist. Damit wächst er unbegrenzt, und die ursprüngliche Einwilligung deckt eine Nutzung nach mehreren Jahren kaum noch ab.
Lösung
Setz eine Frist für den Pool und einen Zeitpunkt, zu dem du erneut fragst, ob der Eintrag bleiben soll. Wer nicht antwortet, wird gelöscht. Das hält den Bestand aktuell und macht die Einwilligung belastbar, weil sie einen erkennbaren Bezug zur Gegenwart behält.
Wie die verbreitete Sechsmonatsfrist zustande kommt
- 01 Mit der Absage endet der Zweck, ab da fehlt die Grundlage für ein weiteres Behalten.
- 02 Zwei Monate ab Zugang der Absage für die schriftliche Geltendmachung nach dem AGG.
- 03 Danach drei Monate für die Klage nach Paragraf 61b Absatz 1 Arbeitsgerichtsgesetz.
- 04 Fünf Monate ergeben sich daraus, der sechste ist Puffer für Zustellung und Postlauf.
- 05 Die DSGVO nennt diese Frist nirgends, sie ist eine Verteidigungsreserve, keine Pflicht.
Was du danach im Bewerbungsverfahren anders machst
Die Frist selbst ist der kleinere Teil der Aufgabe. Der größere besteht darin, dass die Löschung tatsächlich alle Orte erreicht und dass der Startpunkt stimmt. Beides lässt sich mit wenigen Festlegungen erledigen, die einmal getroffen und danach nur noch eingehalten werden.
Den Startpunkt richtig setzen
Die Frist beginnt mit dem Zugang der Absage, nicht mit dem Eingang der Bewerbung. Im System heißt das: Der Löschzeitpunkt hängt am Status Absage versendet und nicht am Erstellungsdatum des Datensatzes.
Die Herleitung dokumentieren
Halte in einem Satz fest, worauf die gewählte Frist beruht, nämlich auf zwei Monaten nach Paragraf 15 Absatz 4 AGG, drei Monaten nach Paragraf 61b Absatz 1 ArbGG und einem Puffer für Zustellung. Diese Zeile im Löschkonzept beantwortet die Frage der Aufsicht, bevor sie gestellt wird.
Den Talentpool von der Absage trennen
Ein Satz in der Absagemail ist keine Einwilligung, weil die Person dazu nichts erklärt hat. Der Pool braucht eine eigene ausdrückliche Einwilligung, eine eigene Frist und einen Hinweis auf den jederzeitigen Widerruf nach Artikel 7 Absatz 3.
Die Kopien mit auf die Liste nehmen
Postfächer der beteiligten Führungskräfte, Gruppenlaufwerke, Chatverläufe, lokale Downloads und Ausdrucke gehören in das Löschkonzept. Am einfachsten wird es, wenn die Unterlagen das System gar nicht erst verlassen und die Beteiligten dort lesen statt per Mail.
Bei Einstellung sortieren statt übernehmen
In die Personalakte gehört, was für das Beschäftigungsverhältnis erforderlich ist. Angaben, die im Anschreiben mitgeliefert wurden und dafür nicht gebraucht werden, etwa Gesundheitsangaben oder familiäre Umstände, gehören nicht übernommen.
Das System als Auftragsverarbeitung führen
Ein Bewerbermanagement in der Cloud verarbeitet in eurem Auftrag. Es braucht einen Vertrag nach Artikel 28, konfigurierte Löschfristen und eine Klärung, wie die Löschung Protokolle und Sicherungen erreicht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Woher die sechs Monate kommen
Paragraf 15 Absatz 4 AGG bestimmt, dass ein Anspruch auf Entschädigung oder Schadensersatz innerhalb einer Frist von zwei Monaten schriftlich geltend gemacht werden muss. Bei einer Bewerbung beginnt diese Frist mit dem Zugang der Ablehnung. Paragraf 61b Absatz 1 ArbGG bestimmt weiter, dass eine Klage auf Entschädigung nach Paragraf 15 AGG innerhalb von drei Monaten erhoben werden muss, nachdem der Anspruch schriftlich geltend gemacht worden ist.
Zwei plus drei ergibt fünf. Der sechste Monat ist keine Rechtsnorm, sondern eine Reserve für den Fall, dass die Geltendmachung am letzten Tag der Frist abgeschickt wird und die Klage am letzten Tag der zweiten Frist eingeht und die Zustellung an euch noch einige Tage braucht. Deshalb liest man die Zahl in fast jedem Ratgeber, ohne dass irgendwo steht, worauf sie beruht.
Daraus folgen zwei Dinge, die man auseinanderhalten sollte. Die DSGVO kennt keine Aufbewahrungsfrist für Bewerbungsunterlagen. Sie kennt die Speicherbegrenzung nach Artikel 5 Absatz 1 Buchstabe e und die Löschpflicht nach Artikel 17 Absatz 1 Buchstabe a, sobald der Zweck entfallen ist. Die weitere Speicherung nach der Absage braucht deshalb eine eigene Rechtfertigung, und die liefert das Interesse daran, sich gegen mögliche Ansprüche verteidigen zu können. Genau dieses Interesse endet, wenn die Ansprüche nicht mehr durchsetzbar sind.
Was die Frist nicht ist
Sie ist keine Mindestfrist. Wer aus Überzeugung früher löscht, verletzt keine Vorschrift. Er nimmt aber in Kauf, in einem Verfahren nach dem Gleichbehandlungsgesetz weniger vorlegen zu können, und das wiegt schwerer, als es zunächst aussieht: Nach Paragraf 22 AGG genügt es, wenn die klagende Seite Indizien für eine Benachteiligung vorträgt, danach muss die Gegenseite beweisen, dass kein Verstoß vorlag. Die Unterlagen des Auswahlverfahrens sind für diesen Beweis eine von mehreren Quellen, und sie sind die einzige, die sich nicht nachträglich beschaffen lässt.
Sie ist auch keine Höchstfrist, die alles andere überschreibt. Läuft tatsächlich ein Verfahren oder ist ein Anspruch geltend gemacht worden, bleiben die Unterlagen, bis die Sache erledigt ist. Artikel 17 Absatz 3 Buchstabe e nimmt die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen von der Löschpflicht aus. In diesem Fall gehört der Vorgang aus der automatischen Löschung herausgenommen und mit einem Vermerk versehen, warum.
Und sie gilt nicht pauschal für jede Konstellation. Öffentliche Arbeitgeber und Verfahren mit besonderen Dokumentationspflichten können abweichende Anforderungen haben, die sich aus dem jeweiligen Fachrecht ergeben und getrennt zu prüfen sind. Wer im öffentlichen Bereich arbeitet, sollte diese Frage nicht aus einer allgemeinen Datenschutzbetrachtung beantworten.
Der Talentpool braucht mehr als einen freundlichen Satz
Die Weiterspeicherung für künftige Stellen hat einen neuen Zweck und damit eine neue Grundlage. In Frage kommt praktisch nur die Einwilligung, denn ein berechtigtes Interesse an der Bevorratung von Bewerbungen, denen abgesagt wurde, ist schwer zu begründen. Die Einwilligung muss die Anforderungen aus Artikel 4 Nummer 11 und Artikel 7 erfüllen: freiwillig, für den bestimmten Fall, informiert und durch eine eindeutige bestätigende Handlung erklärt.
Ein Satz in der Absage, man behalte die Unterlagen gern im Blick, erfüllt das nicht, weil die Person nichts erklärt hat. Ebenso wenig genügt eine Widerspruchslösung, bei der nur widersprechen muss, wer nicht möchte. Nötig ist eine aktive Zustimmung, und dokumentiert gehören Zeitpunkt, Wortlaut des Textes in der damals gültigen Fassung und der Weg, auf dem sie erteilt wurde.
Dazu kommt eine eigene Frist. Ein Pool ohne Frist ist ein Archiv, das nie geleert wird, und nach einigen Jahren enthält er Profile, die weder aktuell noch von der ursprünglichen Einwilligung sinnvoll gedeckt sind. Die saubere Lösung ist eine feste Laufzeit mit einer Nachfrage vor Ablauf: Wer bestätigt, bleibt, wer nicht antwortet, wird gelöscht. Das kostet eine automatisierte Mail und hält den Bestand belastbar.
Bei Einstellung wird sortiert, nicht übernommen
Wird jemand eingestellt, ändert sich der Zweck: Aus vorvertraglichen Maßnahmen wird die Durchführung des Beschäftigungsverhältnisses. Paragraf 26 Absatz 8 BDSG stellt in seinem letzten Satz klar, dass Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis als Beschäftigte gelten, sodass die Regeln des Beschäftigtendatenschutzes durchgehend greifen, vom Eingang der Bewerbung bis über das Ende des Arbeitsverhältnisses hinaus.
Für die Personalakte gilt der Maßstab der Erforderlichkeit. Lebenslauf, Zeugnisse und die für die Tätigkeit relevanten Nachweise gehören hinein. Angaben, die in Anschreiben oder Gesprächsnotizen mitgeliefert wurden und für das Arbeitsverhältnis keine Rolle spielen, gehören nicht hinein, insbesondere Gesundheitsangaben, Angaben zu Familienplanung, Vermögensverhältnissen oder Zugehörigkeiten, die als besondere Kategorien nach Artikel 9 einen erhöhten Schutz genießen. Der Übergang von der Bewerbung in die Personalakte ist deshalb ein Arbeitsschritt und keine Dateiverschiebung.
Die Unterlagen der abgelehnten Mitbewerbenden bleiben davon unberührt und laufen in ihrer eigenen Frist weiter. Der häufige Kurzschluss, mit dem Abschluss der Stellenbesetzung sei der ganze Vorgang erledigt, führt dazu, dass entweder zu früh gelöscht wird oder der gesamte Ordner bis zum nächsten Aufräumen liegen bleibt.
Löschen heißt an allen Orten löschen
Die Wirksamkeit eines Löschkonzepts entscheidet sich nicht im Fachsystem, sondern an den Nebenwegen. Der übliche Bestand nach einem Verfahren: die Bewerbung im Bewerbermanagement, eine Weiterleitung im Postfach der Personalabteilung, eine zweite im Postfach der Fachvorgesetzten, ein Ausdruck für das Gespräch, eine Datei im Ordner Downloads, eine Kopie im Gruppenlaufwerk und gelegentlich eine Notiz im Chat. Sieben Orte, von denen das Löschkonzept in der Regel einen kennt.
Der wirksamste Eingriff ist nicht die vollständige Liste, sondern die Vermeidung. Wenn Beteiligte die Unterlagen im System ansehen und dort bewerten, entsteht keine Kopie. Wo das nicht durchsetzbar ist, gehört die Aufforderung zur Löschung in denselben Vorgang wie die Absage, und die Namen der Beteiligten werden im Verfahren mitgeführt, damit sich diese Aufforderung überhaupt adressieren lässt.
Bleiben die Sicherungskopien. Eine Löschung im Produktivsystem erreicht sie nicht sofort, und das ist auch nicht verlangt. Was verlangt ist, ist eine nachvollziehbare Regelung: Die Sicherung wird nach ihrem eigenen Zyklus überschrieben, ein Wiedereinspielen darf gelöschte Datensätze nicht zurückbringen, und das ist einmal festgehalten. Ohne diese Festlegung ist die Löschung im Zweifel nicht abgeschlossen, und mit ihr ist sie es.
Dazu passende Kurse
Bewerbungsdaten sind nur ein Ausschnitt, und wer den ganzen Bereich braucht, kann Beschäftigtendatenschutz im Kurs vertiefen .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Steht die Sechsmonatsfrist irgendwo im Gesetz?
Ab wann läuft die Frist genau?
Was ist mit Initiativbewerbungen ohne offene Stelle?
Muss ich auch die Gesprächsnotizen herausgeben, wenn jemand Auskunft verlangt?
Quellen
- Paragraf 6 AGG, persönlicher Anwendungsbereich einschließlich Bewerbender
- Paragraf 15 AGG, Entschädigung und Schadensersatz mit der Zweimonatsfrist
- Paragraf 22 AGG, Beweislast bei Indizien für eine Benachteiligung
- Paragraf 61b ArbGG, Klage wegen Benachteiligung mit der Dreimonatsfrist
- Artikel 5, 15 und 17 DSGVO im Volltext
- Paragraf 26 BDSG, Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
Passt thematisch dazu
Weil Unterlagen aus einem Bewerbungsverfahren gleichzeitig im Postfach, in Teams und in der Dateiablage liegen, lohnt vor der ersten automatischen Löschregel ein Blick darauf, welche Ablageorte eine Aufbewahrungsregel regelmäßig übersieht .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Fristen, die im Personalbereich tatsächlich funktionieren
Bei cmt gehst du das Bewerbungsverfahren vom Eingang bis zur Löschung durch und siehst, an welchen Stellen im Alltag die Kopien entstehen.