Bewerberdaten nach der Absage: Warum sechs Monate die Obergrenze sind

Die Stelle ist besetzt, die Absagen sind raus. Im Bewerbermanagement, in Postfächern und Gesprächsnotizen liegen aber weiter Lebensläufe und Einschätzungen von Menschen, die Sie nicht eingestellt haben. Wie lange dürfen Sie das behalten? Und was gilt, wenn eine abgelehnte Person Auskunft verlangt? Beides ist geltendes Recht. Ein Beschäftigtendatengesetz, das daran etwas ändern könnte, gilt bislang nicht.

Sechs Monate sind die Obergrenze, nicht die Regel

Weder DSGVO noch BDSG nennen eine feste Frist. Es gilt die Speicherbegrenzung: Ist die Stelle besetzt, entfällt der Zweck, und die Daten sind zu löschen (Artikel 5 und 17 DSGVO). Ausnahme: Sie brauchen die Daten zur Verteidigung gegen Rechtsansprüche (Artikel 17 Absatz 3 Buchstabe e).

Solche Ansprüche sind realistisch. Nach § 15 Absatz 4 AGG muss eine abgelehnte Person Entschädigung binnen zwei Monaten nach Zugang der Absage schriftlich geltend machen, danach bleiben nach § 61b Arbeitsgerichtsgesetz drei Monate für die Klage. Legt sie Indizien für eine Benachteiligung vor, müssen Sie nach § 22 AGG beweisen, dass keine Benachteiligung vorlag. Zwei plus drei Monate plus ein Monat Puffer für die Zustellung ergeben den verbreiteten Richtwert von sechs Monaten.

Gesetzlich fest stehen nur die Fristen aus AGG und Arbeitsgerichtsgesetz. Die sechs Monate sind eine Richtschnur der Aufsicht, und die ist nicht einheitlich. Die Bundesbeauftragte für den Datenschutz hält höchstens sechs Monate ab Zugang der Absage für zulässig. Das Bayerische Landesamt für Datenschutzaufsicht verlangt aktive Löschung nach spätestens sechs Monaten. Der Landesdatenschutzbeauftragte in Baden-Württemberg hielt in einem Ratgeber von 2020 mehr als vier Monate für nicht erforderlich. Die Frist läuft nur ab einer eindeutigen Absage; eine ausbleibende Antwort genügt nicht. Wird geklagt, dürfen Sie die Unterlagen bis zum Verfahrensende behalten.

Talentpool: nur mit eigener Einwilligung

Bei IT-Stellen, die oft monatelang offen bleiben, will man gute Kandidaten halten. Über die Frist hinaus geht das nur mit wirksamer Einwilligung. Die Hamburgische Datenschutzbehörde verlangt eine ausdrückliche Einwilligung und rät zur Textform, mit Zweck, Datenarten, Speicherdauer und Widerrufsmöglichkeit. Sie empfiehlt, die Einwilligung zu befristen und danach erneut zu fragen; ohne Antwort ist zu löschen. In einem Fall aus Baden-Württemberg wurden aus drei Jahren mit automatischer Verlängerung nach Beratung ein Jahr, verlängerbar um sechs Monate nur bei konkretem Einstellungsbezug.

Eine Falle kennt die Praxis: Das bayerische Landesamt beanstandete ein Bewerbungsportal, das ohne Einwilligung in eine dreijährige Speicherung nicht nutzbar war. Eine Einwilligung, ohne die man sich nicht bewerben kann, ist nicht freiwillig, und ein bloßes Opt-out genügt nicht. Der Bewerbungsprozess wurde daraufhin neu aufgesetzt. Nach einem Widerruf sind die Daten zu löschen.

Auskunft nach Artikel 15: ein Monat, und Schadensersatz bei Fehlern

Auch abgelehnte Bewerber haben Anspruch auf Auskunft und eine Kopie ihrer Daten, dazu auf Angaben zu Zweck, Empfängern, Speicherdauer und Herkunft. Sie müssen unverzüglich antworten, spätestens binnen eines Monats. Nur bei komplexen Anträgen sind zwei Monate mehr möglich, wenn Sie im ersten Monat darüber informieren (Artikel 12 Absatz 3). Gesprächsnotizen und Auswahlvermerke gehören zu den Daten.

Die Rechtsprechung hat das zuletzt geschärft:

• Das Bundesarbeitsgericht entschied am 20. Februar 2025 (8 AZR 61/24) im Fall eines früheren Mitarbeiters: Eine bloß verspätete Auskunft begründet für sich keinen Schadensersatz, es braucht einen dargelegten Schaden. Zwei weitere Verfahren hat das BAG ausgesetzt, bis der EuGH auf eine Vorlage des Bundesgerichtshofs zu verspäteten und unvollständigen Auskünften antwortet. Nach unserem Stand steht diese Antwort aus.
• Der EuGH urteilte am 19. März 2026 (C-526/24): Ein Auskunftsantrag kann als missbräuchlich abgelehnt werden, wenn er nur Schadensersatz erzeugen soll. Das muss aber das Unternehmen beweisen. Ein Verstoß gegen das Auskunftsrecht kann Schadensersatz auslösen, wenn der Schaden tatsächlich eingetreten ist; Kontrollverlust oder Ungewissheit können dazu zählen.
• Ein abgelehnter Bewerber warf einer Universität vor, ihn heimlich im Netz recherchiert zu haben. Das BAG unterstellte Verstöße zu seinen Gunsten, ließ es aber bei 1.000 Euro (5. Juni 2025, 8 AZR 117/24).

Der Bußgeldrahmen ist hoch: Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes drohen bei Verstößen gegen Verarbeitungsgrundsätze und Betroffenenrechte (Artikel 83 Absatz 5). Unsere Einschätzung: Realistischer als ein Bußgeld ist der Streit um Auskunft und Schadensersatz. Der bayerische Fall begann mit der Beschwerde eines Bewerbers.

Was Sie jetzt tun sollten

• Legen Sie eine feste Löschfrist fest: spätestens sechs Monate nach Zugang der Absage, bei strengerer Aufsicht Ihres Landes kürzer. Erfassen Sie auch Postfächer und Notizen, beschränken Sie den Zugriff und stoppen Sie die Löschung, wenn Ansprüche angekündigt werden.
• Formulieren Sie Absagen eindeutig, halten Sie das Versanddatum fest und dokumentieren Sie die Auswahlgründe sachlich.
• Holen Sie die Talentpool-Einwilligung getrennt vom Bewerbungsformular ein: freiwillig, befristet, mit einfachem Widerruf.
• Protokollieren Sie jeden Auskunftsantrag und beantworten Sie ihn binnen eines Monats vollständig. Lehnen Sie nur mit juristisch geprüfter Begründung ab.

Für Einzelfälle wie laufende Klagen holen Sie arbeitsrechtlichen Rat oder den Ihres Datenschutzbeauftragten ein.