DSGVO Recruiting: Bewerberdaten korrekt verarbeiten

Internationales Recruiting bedeutet: Lebensläufe, Zeugnisse, Pässe und Gesundheitsdaten wandern über Ländergrenzen — zwischen Kandidaten, Sourcing-Partnern, Vermittlern und Betrieben. Genau hier greift die Datenschutz-Grundverordnung mit voller Härte, und genau hier wird sie am häufigsten verletzt, meist nicht aus Absicht, sondern aus Unkenntnis. Dieser Beitrag ordnet die Pflichten im Klartext: welche Bewerberdaten verarbeitet werden dürfen, auf welcher Grundlage, wie lange — und was der internationale Fall zusätzlich verlangt. Er ersetzt keine Rechtsberatung im Einzelfall, liefert aber die praktische Landkarte, mit der sich die richtigen Fragen stellen lassen — und an der sich auch jeder Dienstleister messen lassen muss, der mit Bewerberdaten arbeitet.

Warum Datenschutz im Recruiting kein Nebenthema ist

Der Druck im Markt verleitet zur Schlamperei: Wenn eine Stelle im Schnitt 165 Tage unbesetzt bleibt und im Gastgewerbe sogar 198 Tage (Bundesagentur für Arbeit, 2026), erscheint jede Bewerbung als Glücksfall, den man festhalten will — am liebsten dauerhaft, in jedem Ordner, für jede künftige Gelegenheit. Genau das ist der Reflex, den die DSGVO unterbindet.

Dabei ist sauberer Datenschutz im internationalen Recruiting kein Kostenfaktor, sondern ein Qualitätsmerkmal. Kandidatinnen und Kandidaten vertrauen einem Prozess ihre sensibelsten Unterlagen an; Betriebe haften für das, was ihre Dienstleister damit tun. Wer hier Ordnung nachweisen kann, hat ein Argument, das im Markt selten ist — und wer sie nicht hat, trägt ein Haftungsrisiko, das kein Honorar aufwiegt. Dazu kommt der Reputationsschaden: In den Herkunftsländern sprechen sich Erfahrungen mit Vermittlern und Arbeitgebern herum, und ein sorgloser Umgang mit Pässen und Zeugnissen ist genau die Geschichte, die niemand über den eigenen Betrieb hören will. Datenschutz ist hier also auch Arbeitgebermarke — gerade dort, wo Vertrauen die knappste Währung ist.

Die Rechtsgrundlagen: Was die Verarbeitung erlaubt

Personenbezogene Daten bezeichnen alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen — vom Namen über den Lebenslauf bis zur Passnummer. Für ihre Verarbeitung braucht es immer eine Rechtsgrundlage, und im Bewerbungskontext liefert sie das Gesetz selbst: Die Verarbeitung ist zulässig, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Maßgeblich sind die Datenschutz-Grundverordnung und ergänzend das Bundesdatenschutzgesetz mit seiner Regelung zum Beschäftigtendatenschutz.

Das Wort erforderlich ist dabei die Messlatte, nicht das Wort nützlich. Erforderlich ist, was für die konkrete Auswahlentscheidung gebraucht wird. Eine Einwilligung der Bewerber ist daneben nur dort nötig, wo die Verarbeitung über das Erforderliche hinausgeht — etwa wenn Unterlagen für künftige, noch unbestimmte Stellen aufbewahrt werden sollen. Und eine Einwilligung muss freiwillig, informiert und jederzeit widerrufbar sein, sonst trägt sie nichts. Für Betriebe heißt das praktisch: Im laufenden Auswahlverfahren ist keine Einwilligung nötig — und wer trotzdem eine einholt, schafft sich nur die Pflicht, deren Widerruf zu verwalten. Die Einwilligung ist das Werkzeug für die Ausnahme, nicht für den Regelfall.

Welche Daten verarbeitet werden dürfen — und welche nicht

Zulässig ist, was die Auswahl trägt: Bewerbungsunterlagen, Qualifikationsnachweise, beruflicher Werdegang, die für den Verfahrensweg nötigen Dokumente wie Pass- und Visumdaten, Sprachnachweise. All das gehört zum Kern des Verfahrens.

Tabu sind dagegen die besonderen Kategorien personenbezogener Daten, soweit sie für die Stelle nicht ausnahmsweise zwingend sind: Gesundheitsdaten, Religionszugehörigkeit, ethnische Herkunft, politische Überzeugungen. Gerade im internationalen Kontext ist das relevant, weil solche Angaben in Lebensläufen mancher Herkunftsländer üblich sind — sie dürfen dann nicht zur Grundlage der Auswahl gemacht und sollten im Prozess nicht weiterverbreitet werden. Ebenfalls heikel ist die anlasslose Recherche in privaten Social-Media-Profilen: Was nicht erforderlich für die Eignungsbeurteilung ist, hat im Verfahren nichts verloren. Wer Profile dennoch sichtet, sollte sich auf berufliche Netzwerke beschränken, in denen die Person ihre Angaben selbst für genau diesen Zweck veröffentlicht hat.

Eine einfache Faustregel trägt durch die meisten Fälle: Jede Information muss die Frage beantworten können, wofür sie im Auswahlprozess konkret gebraucht wird. Bleibt die Antwort aus, bleibt die Information draußen. Diese Disziplin schützt übrigens nicht nur rechtlich, sondern verbessert auch die Auswahl selbst, weil sie den Blick auf das lenkt, was für die Stelle tatsächlich zählt: Qualifikation, Erfahrung, Sprache, Eignung.

Speicherfristen: Wie lange Bewerberdaten bleiben dürfen

Mit der Absage endet der Zweck der Verarbeitung — aber nicht sofort die zulässige Speicherung. Der Grund ist das Allgemeine Gleichbehandlungsgesetz: Abgelehnte Bewerber können Ansprüche wegen Benachteiligung geltend machen, und dafür gilt eine Frist von zwei Monaten ab Zugang der Absage. Um sich gegen solche Ansprüche verteidigen zu können, dürfen die Unterlagen für einen angemessenen Zeitraum darüber hinaus aufbewahrt werden; in der Praxis hat sich ein Korridor von etwa vier bis sechs Monaten nach Abschluss des Verfahrens etabliert. Danach gilt: löschen, vollständig und auch in den Nebenablagen — E-Mail-Postfächer und geteilte Ordner eingeschlossen. Genau an diesen Nebenablagen scheitert die Löschpraxis am häufigsten, weil die Hauptakte ordentlich geführt wird, die Kopien aber vergessen werden.

Wer Unterlagen länger behalten will, etwa für einen Talentpool, braucht dafür die ausdrückliche Einwilligung der Person — mit klarer Information, wofür und wie lange. Der stillschweigend wachsende Bewerberordner ist keine Personalreserve, sondern ein Verstoß mit Verfallsdatum. Sauberer ist der umgekehrte Weg: Am Ende jedes Verfahrens aktiv fragen, wer in den Pool aufgenommen werden möchte — wer zustimmt, ist eine echte Reserve; wer nicht antwortet, wird gelöscht.

Der internationale Sonderfall: Daten über Grenzen

Internationales Recruiting fügt zwei Ebenen hinzu, die im Inlandsfall fehlen. Die erste ist die Übermittlung in Drittländer: Die Westbalkanstaaten außerhalb der EU gelten datenschutzrechtlich als Drittländer ohne Angemessenheitsbeschluss. Daten dürfen dorthin — etwa an Sourcing-Partner — nur mit geeigneten Garantien fließen, in der Praxis meist über die Standardvertragsklauseln der EU-Kommission. Wer mit Partnern im Ausland arbeitet, muss diese Grundlage vertraglich geschaffen haben, bevor die erste Bewerbung fließt. Das ist keine Formalie: Ohne diese Grundlage ist jede einzelne Übermittlung rechtswidrig, ganz gleich wie sorgfältig danach gearbeitet wird.

Die zweite Ebene ist die Auftragsverarbeitung: Verarbeitet ein Dienstleister Bewerberdaten im Auftrag des Betriebs, braucht es einen Auftragsverarbeitungsvertrag mit den gesetzlich vorgegebenen Inhalten. Dazu kommen die Informationspflichten: Bewerberinnen und Bewerber müssen bei der Erhebung erfahren, wer ihre Daten wofür verarbeitet, an wen sie gehen und wie lange sie gespeichert werden — verständlich und vollständig, nicht versteckt im Kleingedruckten. Und schließlich die Betroffenenrechte: Auskunft, Berichtigung, Löschung — jederzeit und unentgeltlich. Wer auf eine Auskunftsanfrage nicht antworten kann, weil niemand weiß, wo die Daten überall liegen, hat das eigentliche Problem schon vorher — nämlich keinen Überblick über die eigenen Datenflüsse. Eine einfache Übersicht, welche Daten an welcher Stelle liegen und wer darauf zugreift, ist deshalb die halbe Miete; sie macht aus jeder Anfrage einen Routinevorgang statt einer Suchaktion.

Die Pflichten als Prozess: Fünf Schritte zur sauberen Praxis

Aus den Regeln wird ein handhabbarer Ablauf in fünf Schritten. Erstens die Rechtsgrundlage je Verarbeitungszweck klären: Auswahlverfahren über die gesetzliche Grundlage, alles darüber hinaus über Einwilligung. Zweitens die Informationspflicht erfüllen, mit einer klaren Datenschutzinformation am Beginn des Verfahrens. Drittens die Vertragsbasis mit allen Beteiligten schaffen: Auftragsverarbeitungsverträge mit Dienstleistern, Standardvertragsklauseln mit Partnern in Drittländern. Viertens Fristen und Löschroutinen festlegen — wer löscht wann was, dokumentiert und regelmäßig. Fünftens die Zuständigkeit benennen: eine Person im Betrieb, die den Überblick hält, Auskunftsanfragen beantworten kann und die Löschroutinen tatsächlich auslöst, statt sie nur zu dokumentieren.

DSGVO-Konformität ist damit kein Papierberg, sondern ein einmal sauber aufgesetzter Prozess, der danach mitläuft. Der Aufwand konzentriert sich auf den Anfang — Verträge, Information, Fristenplan — und sinkt danach auf das Niveau einer Routine, die im Alltag kaum noch auffällt. Für Betriebe ist sie zugleich ein Auswahlkriterium für Dienstleister: Wer auf die Frage nach Standardvertragsklauseln und Löschfristen keine klare Antwort hat, hat den internationalen Teil seines Geschäfts nicht zu Ende gedacht. Wie der Gesamtprozess der internationalen Rekrutierung rechtlich aufgestellt ist, ordnet unser Überblick zur Arbeitsmigration nach Deutschland 2026 ein; den zeitlichen Rahmen liefert der Beitrag zur Dauer der internationalen Rekrutierung.

Quellen: Datenschutz-Grundverordnung; Bundesdatenschutzgesetz; Allgemeines Gleichbehandlungsgesetz; Bundesagentur für Arbeit (Vakanzzeiten 2026).