Aufbewahrungsfrist Bewerbungen: Was HR wirklich beachten muss

Kurzantwort: Für die Aufbewahrungsfrist bei Bewerbungen gibt es kein festes Gesetz. Maßgeblich sind die Grundsätze der DSGVO, vor allem Zweckbindung und Speicherbegrenzung nach Art. 5 und Art. 17 DSGVO. In der Praxis hat sich ein Richtwert von 3 bis 6 Monaten nach Zugang der Absage etabliert, weil sich HR damit gegen mögliche Ansprüche nach dem AGG absichert. Länger dürfen Sie Daten nur mit einer separaten, befristeten Einwilligung speichern, etwa für einen Talentpool.

Kurz gesagt:

• Ohne gesetzliche Vorgaben gilt in der Praxis eine Aufbewahrungsfrist von drei bis maximal sechs Monaten nach Zugang der Absage, um Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz zu verhindern.

• Bewerberdaten dürfen nur solange gespeichert werden, wie sie für den ursprünglichen Zweck erforderlich sind, es sei denn, es liegt eine explizite, befristete Einwilligung für längere Speicherung vor.

• Die Frist beginnt erst mit dem tatsächlichen Zugang der Absage beim Bewerber, nicht mit dem internen Entscheidungsdatum.

• Bei Rückzug der Bewerbung oder Einstellung müssen nur noch relevante Unterlagen in der Personalakte verbleiben, andere Daten sind unverzüglich zu löschen.

• Automatisierte Systemlösungen können helfen, Löschfristen rechtssicher umzusetzen und Risiken bei manueller Verwaltung zu minimieren.

Inhaltsverzeichnis

• Rechtsgrundlagen und datenschutzrechtliche Prinzipien, die HR kennen muss

• Warum 3 bis 6 Monate der gängige Praxiswert sind

• Talentpool und Einwilligung: Wann dürfen Sie länger speichern?

• Zurückgezogene Bewerbungen, Einstellungen und die Rückgabe von Unterlagen

• Löschkonzept und Sperrkennzeichnung: So setzen Sie es technisch um

• Checkliste: In diesen Schritten setzen Sie Löschfristen rechtskonform um

• Perspektive der Autorin: Was in der Praxis oft schiefgeht

• So unterstützt recruware Sie bei DSGVO-konformen Löschfristen

• Quellen

• FAQ

Rechtsgrundlagen und datenschutzrechtliche Prinzipien, die HR kennen muss

Die DSGVO nennt keine konkrete Zahl von Monaten oder Jahren für Bewerbungsunterlagen. Stattdessen gibt sie Prinzipien vor, an denen Sie sich orientieren. Das macht die Sache einerseits flexibler, andererseits auch anspruchsvoller, weil Sie selbst begründen müssen, warum Sie Daten wie lange speichern.

Drei Artikel der DSGVO bilden das Fundament jeder Aufbewahrungsentscheidung:

• Art. 5 DSGVO verlangt Zweckbindung und Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie der ursprüngliche Zweck (die Bewerbung auf eine konkrete Stelle) es erfordert.

• Art. 6 DSGVO legt die Rechtsgrundlagen fest. Für das Bewerbungsverfahren greift meist Art. 6 Abs. 1 lit. b, da die Verarbeitung zur Durchführung eines vorvertraglichen Verhältnisses nötig ist.

• Art. 17 DSGVO gibt Bewerbern ein Recht auf Löschung, kennt aber Ausnahmen. Eine davon: Sie dürfen Daten behalten, wenn Sie sich gegen mögliche Rechtsansprüche verteidigen müssen.

Für Beschäftigtendaten kommt ergänzend § 26 BDSG ins Spiel. Diese Vorschrift konkretisiert die DSGVO für den deutschen Arbeitskontext und erlaubt die Verarbeitung, soweit sie für die Entscheidung über ein Beschäftigungsverhältnis erforderlich ist. Ein Fachbeitrag von Haufe bestätigt: Weder DSGVO noch BDSG geben eine feste Frist vor. Genau diese Lücke füllt die Praxis mit eigenen Richtwerten, die sich aus anderen Gesetzen ableiten lassen.

Warum 3 bis 6 Monate der gängige Praxiswert sind

Der Richtwert von 3 bis 6 Monaten ist kein Zufallswert. Er ergibt sich rechnerisch aus zwei Fristen, die Bewerber nutzen können, um gegen eine Absage vorzugehen.

1. § 15 Abs. 4 AGG: Ein abgelehnter Bewerber hat 2 Monate Zeit, um einen Entschädigungsanspruch wegen Diskriminierung schriftlich geltend zu machen.

2. § 61b ArbGG: Wird der Anspruch nicht erfüllt, bleiben weitere 3 Monate, um Klage vor dem Arbeitsgericht einzureichen.

Addiert man beide Fristen, kommt man auf 5 Monate ab Zugang der Absage. Viele Unternehmen legen deshalb einen Puffer drauf und landen bei 6 Monaten, um auch bei Zustellungsverzögerungen auf der sicheren Seite zu sein.

Wichtig zu wissen: Die Frist beginnt nicht mit dem Datum Ihrer Entscheidung, sondern erst mit dem Zugang der Absage beim Bewerber. Verschicken Sie die Absage also erst zwei Wochen nach dem internen Entscheid, verschiebt sich Ihre gesamte Löschfrist entsprechend nach hinten. Ein zeitnaher Versand der Absage ist damit kein reiner Höflichkeitsakt, sondern hat direkte Auswirkungen auf Ihren Löschprozess.

Die Landesdatenschutzstelle Niedersachsen bestätigt in ihrem FAQ, dass es keine bundeseinheitliche Frist gibt. Genau deshalb orientieren sich viele Personalabteilungen aus juristischer Vorsicht am oberen Ende der Spanne, während Hochschulen wie die TUM in ihren Datenschutzleitlinien direkt 6 Monate als praxisnahe Aufbewahrungsdauer empfehlen.

Talentpool und Einwilligung: Wann dürfen Sie länger speichern?

Wollen Sie einen interessanten Bewerber für spätere Positionen im Blick behalten, brauchen Sie dafür eine gesonderte Rechtsgrundlage. Die Speicherbegrenzung aus Art. 5 DSGVO gilt weiter, sobald das ursprüngliche Bewerbungsverfahren abgeschlossen ist. Eine Einwilligung nach Art. 7 DSGVO kann hier die Lösung sein, allerdings nur, wenn Sie sie sauber gestalten.

Fachbeiträge wie der von Dr. Datenschutz weisen darauf hin, dass die Freiwilligkeit einer solchen Einwilligung oft fraglich ist, weil sich Bewerber in einer Art Abhängigkeitsverhältnis zum Unternehmen befinden. Damit die Einwilligung Bestand hat, sollten Sie einige Punkte beachten:

• Holen Sie die Einwilligung erst nach Abschluss des konkreten Bewerbungsverfahrens ein, nie als Teil der ursprünglichen Bewerbung.

• Formulieren Sie den Zweck klar: „Speicherung für zukünftige, passende Stellenangebote“ reicht als Angabe nicht aus, wenn sie zu vage bleibt.

• Weisen Sie ausdrücklich auf das Widerrufsrecht hin und machen Sie den Widerruf technisch genauso einfach wie die Zustimmung.

• Befristen Sie die Einwilligung, üblich sind 1 bis 2 Jahre, danach braucht es eine erneute Bestätigung.

Profi-Tipp: Bauen Sie in Ihr Bewerbermanagement einen automatischen Reminder ein, der Talentpool-Einwilligungen nach 12 Monaten aktiv abfragt. So vermeiden Sie, dass abgelaufene Einwilligungen unbemerkt weiterlaufen.

Zurückgezogene Bewerbungen, Einstellungen und die Rückgabe von Unterlagen

Nicht jede Bewerbung endet mit einer Absage nach Wochen der Prüfung. Zwei Sonderfälle kommen in der Praxis regelmäßig vor und verlangen jeweils eine andere Reaktion.

Zieht ein Bewerber seine Bewerbung selbst zurück, gilt der Zweck der Datenverarbeitung als beendet. Nach Art. 17 DSGVO müssen Sie die Daten dann unverzüglich löschen, sofern keine Rechtsansprüche im Raum stehen, die eine kurze weitere Speicherung rechtfertigen.

Kommt es dagegen zur Einstellung, ändert sich die Lage komplett:

• Nur die gesetzlich relevanten Unterlagen (Arbeitsvertrag, Zeugnisse, Ausweiskopie soweit erforderlich) wandern in die Personalakte.

• Restliche Bewerbungsdaten, etwa das Anschreiben oder interne Bewertungsnotizen aus dem Auswahlprozess, sollten Sie löschen.

• Physische Unterlagen, die Sie vernichten, dokumentieren Sie kurz mit Datum und Verantwortlichem.

• Bei digitalen Akten braucht es einen Löschnachweis, der im System hinterlegt bleibt.

Löschkonzept und Sperrkennzeichnung: So setzen Sie es technisch um

Ein Löschkonzept auf Papier hilft wenig, wenn es niemand konsequent umsetzt. Genau hier liegt der größte Schwachpunkt in vielen Personalabteilungen: Fristen sind bekannt, aber die Umsetzung hängt an einzelnen Mitarbeitern, die es „im Blick behalten“ sollen.

Ein funktionierendes System braucht drei Bausteine:

• Ein automatisch berechnetes Ablaufdatum, das mit dem Zugang der Absage startet und nicht mit dem Entscheidungsdatum.

• Eine Sperrkennzeichnung (ein Schreibschutz- oder „Gesperrt“-Flag) für Fälle, in denen Sie Daten zur Verteidigung gegen mögliche Ansprüche länger benötigen. Solche Daten bleiben zugreifbar, aber nur für diesen einen Zweck.

• Audit-Logs und rollenbasierte Zugriffsrechte, damit nachvollziehbar bleibt, wer wann auf welche Bewerberdaten zugegriffen hat.

Ein Haufe-Beitrag zur Absage im Bewerbungsverfahren beschreibt genau diese Kennzeichnung als praktischen Standard für die Verteidigung gegen AGG-Ansprüche.

Profi-Tipp: Planen Sie feste Testläufe ein, zum Beispiel einmal im Quartal, bei denen Sie stichprobenhaft prüfen, ob Löschregeln tatsächlich greifen. Ein System, das nie getestet wird, läuft irgendwann leer oder eben nicht.

Checkliste: In diesen Schritten setzen Sie Löschfristen rechtskonform um

Damit Sie die Aufbewahrungsfrist für Bewerbungsunterlagen nicht nur kennen, sondern auch zuverlässig einhalten, hilft eine feste Abfolge von Schritten.

1. Legen Sie eine Standard-Aufbewahrungsdauer fest (zum Beispiel 6 Monate) und schreiben Sie die Berechnungsregel schriftlich fest, inklusive Startpunkt.

2. Erstellen Sie einen Mustertext für die Talentpool-Einwilligung mit klarer Zweckangabe, Befristung und Widerrufsbelehrung.

3. Planen Sie eine quartalsweise Überprüfung der gespeicherten Bewerberdaten ein und führen Sie Löschnachweise.

4. Benennen Sie eine feste Ansprechperson, idealerweise Ihren Datenschutzbeauftragten, für Rückfragen zur Umsetzung.

Perspektive der Autorin: Was in der Praxis oft schiefgeht

Die meisten Verstöße entstehen nicht aus Unwissen, sondern aus fehlender Automatisierung, wie sie etwa moderne Buchführungsprogramme für Rekrutierungsfirmen bieten. Eine Excel-Liste mit Absagedaten wird schnell veraltet, und Sperrkennzeichnungen fehlen genau dann, wenn ein Rechtsstreit droht. Wer Löschfristen ernst nimmt, sollte sie technisch verankern statt organisatorisch zu hoffen. Die Autorin beschäftigt sich seit Jahren mit HR-Software und Recruiting-Prozessen und kennt die Lücke zwischen Datenschutz-Theorie und Personalalltag aus zahlreichen Projekten.

So unterstützt recruware Sie bei DSGVO-konformen Löschfristen

Löschfristen manuell zu verwalten kostet Zeit und birgt Risiken, gerade wenn Bewerberdaten über mehrere Excel-Listen und E-Mail-Postfächer verstreut sind. recruware ist die Alternative zu dieser losen Verwaltung: Die Software bündelt Bewerberdaten zentral und macht Löschregeln technisch nachvollziehbar statt abhängig vom Erinnerungsvermögen einzelner Mitarbeiter.

In der Bewerbermanagement-Software laufen Bewerberkommunikation, Bewertung und Datenpflege an einem Ort zusammen, inklusive Funktionen, die auf DSGVO-konforme Datenverarbeitung ausgelegt sind. Rollenbasierte Zugriffsrechte und eine nachvollziehbare Historie helfen dabei, genau die Sperrkennzeichnung und Dokumentation umzusetzen, die in diesem Artikel beschrieben ist. Alle Basisfunktionen sind dauerhaft lizenzgebührenfrei nutzbar, ganz ohne Freemium-Beschränkungen.

Stimmen Sie die Systemkonfiguration am besten gemeinsam mit Ihrem Datenschutzbeauftragten ab, damit Löschregeln zu Ihrem individuellen Löschkonzept passen. Wer zusätzlich Stellenanzeigen effizient und kostenlos auf vielen Jobbörsen schalten möchte, findet unter Stellenanzeigen schalten den passenden Einstieg. Testen Sie recruware jetzt kostenlos und bringen Sie Ihren Bewerbungsprozess in eine rechtssichere Struktur.

Quellen

Für die Vertiefung empfehlen sich folgende Quellen: der Haufe-Fachbeitrag zu Aufbewahrungsfristen, das FAQ der LfD Niedersachsen, die Datenschutzleitlinien der TUM sowie der Beitrag von Ecovis zu Aufbewahrungsfristen. Konsultieren Sie bei der konkreten Umsetzung im Unternehmen zusätzlich Ihren Datenschutzbeauftragten.

• Aufbewahrungsfristen von Bewerbungsunterlagen | Personal (Haufe)

• Talentpool: Datenschutzkonforme Aufnahme von Bewerbungen (Dr‑Datenschutz)

• FAQ Aufbewahrungs‑ und Löschfristen von Bewerbungsunterlagen (LfD Niedersachsen)

• Datenschutz

FAQ

Welche Personalunterlagen müssen 10 Jahre aufbewahrt werden?

Die gesetzliche Aufbewahrungsfrist gilt vor allem für steuer- und handelsrechtlich relevante Unterlagen wie Lohnkonten oder Buchungsbelege. Bewerbungsunterlagen fallen nicht darunter, da sie kein Beschäftigungsverhältnis dokumentieren, sondern nur den Auswahlprozess.

Welche Unterlagen müssen 30 Jahre aufbewahrt werden?

Eine sehr lange Aufbewahrungsfrist kann in Ausnahmefällen für bestimmte Unterlagen mit Bezug zu Betriebsrenten oder langfristigen Haftungsfragen gelten. Für den regulären Bewerbungsprozess spielt eine solche Frist keine Rolle.

Welche Unterlagen können ab 1. Januar 2026 vernichtet werden?

Grundsätzlich können Bewerbungsunterlagen vernichtet werden, sobald der Praxisrichtwert von 3 bis 6 Monaten nach Zugang der Absage abgelaufen ist und keine Rechtsansprüche mehr zu erwarten sind. Für andere Geschäftsunterlagen mit steuerlichem Bezug gelten die allgemeinen Fristen der Abgabenordnung, die unabhängig vom Kalenderjahr über den jeweiligen Aufbewahrungszeitraum laufen.

Wie lange heben Unternehmen Bewerbungen üblicherweise auf?

In der Praxis speichern die meisten Unternehmen Bewerbungsunterlagen 3 bis 6 Monate nach Zugang der Absage, orientiert an den Klagefristen aus AGG und ArbGG. Möchten Sie Daten länger für einen Talentpool nutzen, brauchen Sie dafür eine separate, befristete Einwilligung des Bewerbers.

Was passiert mit Bewerberdaten in digitalen Bewerbermanagement-Systemen?

Digitale Systeme wie recruware können Löschfristen automatisch berechnen und Daten nach Ablauf sperren oder löschen, statt auf manuelle Erinnerungen zu setzen. Das reduziert das Risiko, dass Bewerberdaten versehentlich zu lange oder ungeschützt gespeichert bleiben.

Empfehlungen

• Bewerberkommunikation: E-Mail-Vorlagen & zentraler Chat

• Bewerber-Vorauswahl & Screening: Mit K.O.-Fragen und KI

• Automatisches Bewerber-Matching: KI-gestützt & DSGVO-konform

• Datenschutz nach EU-DSGVO