DSGVO-Checkliste für Recruiting 2026 - Schritt für Schritt sauber

Vier Kerne. Eins - rechtmäßige Grundlage für die Datenverarbeitung (in der Regel: Einwilligung oder Vertragsanbahnung). Zwei - Zweckbindung: Bewerbungs-Daten nur für Bewerbungs-Zwecke. Drei - Datenminimierung: nicht mehr fragen als nötig. Vier - Aufbewahrungs-Begrenzung: Daten nicht länger speichern als nötig.

Plus zwei prozedurale Pflichten: Information vor der Datenerhebung und Auskunft auf Anfrage. Der Rest sind Spezialfälle (besondere Kategorien wie Gesundheit, Drittland-Transfer, etc.). Eine praxisnahe Einordnung liefert unser Artikel DSGVO im Recruiting - was du wirklich tun musst.

Konkret in Artikeln: die Rechtsgrundlage für das normale Verfahren ist Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich), flankiert von § 26 Abs. 1 BDSG als Beschäftigten-Sondernorm. Wichtig 2026: Der EuGH (C-34/21) hat § 26 BDSG teilweise für unionsrechtswidrig erklärt, deshalb stützt man sich sicherheitshalber direkt auf Art. 6 Abs. 1 lit. b + Art. 88 DSGVO. Besondere Daten (Lichtbild, Gesundheit) fallen unter Art. 9, Information unter Art. 13/14, Auskunft unter Art. 15 (Frist: 1 Monat), Löschung unter Art. 17, das Auto-Entscheidungs-Verbot unter Art. 22, der AVV unter Art. 28, das Verzeichnis der Verarbeitungstätigkeiten unter Art. 30, die TOMs unter Art. 32.

Die meistgestellte Frage hat eine saubere Antwort. Ein:e abgelehnte:r Bewerber:in kann nach § 15 Abs. 4 AGG binnen 2 Monaten eine Entschädigung wegen Diskriminierung geltend machen. Kommt es zur Klage, brauchst du die Bewerbungsunterlagen als Beweis - die Berechtigtes-Interesse-Grundlage, um sie über die 2 Monate hinaus zu behalten. Rechnet man Prozessdauer und Postlauf dazu, landen Behörden und Datenschützer bei 6 Monaten ab Absage als sicherem Standard. In Österreich sind es wegen § 29 GlBG eher 7 Monate.

Das bedeutet auch: früher löschen ist kein Sicherheitsplus, sondern ein Beweis-Risiko. Und länger behalten ohne Grund ist der Verstoß, den Aufsichtsbehörden am häufigsten abmahnen. Die 6-Monats-Frist mit automatischer Anonymisierung am Ende ist deshalb der ruhigste Weg - genau das macht KI BMS pro Talent automatisch.

Mythos 1 - 'Wir brauchen für jede Bewerbung eine Einwilligungs-Checkbox.' Falsch. Das normale Bewerbungsverfahren läuft über Art. 6 Abs. 1 lit. b DSGVO; eine Einwilligung ist überflüssig und sogar problematisch, weil sie jederzeit widerrufbar wäre. Eine ausdrückliche Einwilligung brauchst du nur für den Talent-Pool (Speicherung über das Verfahren hinaus) - und die muss freiwillig, befristet (Behörden empfehlen 1-2 Jahre) und jederzeit widerrufbar sein.

Mythos 2 - 'Foto und Geburtsdatum gehören ins Bewerbungsformular.' Nein. Datenminimierung (Art. 5) heißt: frag nur, was stellenrelevant ist. Lichtbild, Geburtsdatum, Familienstand, Konfession sind es fast nie - und ein verlangtes Foto ist obendrein ein AGG-Diskriminierungs-Risiko. Wenn ein Foto im Lebenslauf mitkommt, nutze es nur im Verfahren und nimm es nicht in Präsentationen oder Datenbanken auf.

Mythos 3 - 'Drittland-Transfer betrifft uns nicht.' Doch, sobald dein ATS, dein Sourcing-Tool oder dein Mail-Provider Daten in die USA spiegelt. Dann brauchst du eine Transfer-Grundlage (Angemessenheitsbeschluss EU-US Data Privacy Framework oder Standardvertragsklauseln nach Art. 44 ff.). Der einfachste Weg, das Thema komplett zu vermeiden: ein in der EU gehostetes Tool. KI BMS hostet in Deutschland und legt den AVV nach Art. 28 auf Anfrage in einem Werktag bei.

Sechs Schritte. Jeder dauert <5 Minuten in einem modernen ATS. In KI BMS sind die meisten Defaults schon richtig - du musst nur einmal hinsehen.