Für wen gilt Bewerberdatenschutz 2026?

Der Bewerberdatenschutz greift, sobald eine Person personenbezogene Daten im Rahmen einer Bewerbung übermittelt – unabhängig davon, ob die Bewerbung erfolgreich ist. Rechtlich einschlägig sind: § 26 BDSG als spezielle Norm für den Beschäftigtenkontext. Nach § 26 Abs. 8 Satz 2 BDSG zählen ausdrücklich auch Bewerberinnen und Bewerber zu den „Beschäftigten".

Welche häufigen Fehler gibt es bei Bewerberdatenschutz 2026?

„Nach einer Absage werden meine Daten automatisch sofort gelöscht." Nicht ganz – der Arbeitgeber darf und sollte die Unterlagen bis zu 6 Monate aufbewahren, um sich gegen AGG-Ansprüche verteidigen zu können. Erst danach besteht eine Löschpflicht. „Der Arbeitgeber darf meine Bewerbung unbegrenzt in einer Datenbank behalten." Falsch – eine Speicherung über das Verfahren hinaus (Talentpool) ist nur mit ausdrücklicher…

Bewerberdatenschutz 2026 – DSGVO & § 26 BDSG im Bewerbungsverfahren In Kraft

Kurzantwort Wer sich bewirbt, überlässt dem Unternehmen sensible personenbezogene Daten – Lebenslauf, Zeugnisse, Foto, Kontaktdaten. Für deren Verarbeitung gelten die **DSGVO** und das **Bundesdatenschutzgesetz (BDSG)**. **Bewerberinnen und Bewerber gelten ausdrücklich als „Beschäftigte"** im Sinne von **§ 26 Abs. 8 Satz 2 BDSG** und genießen damit den vollen Beschäftigtendatenschutz. Der Arbeitgeber darf nur Daten erheben, die für die **Auswahlentscheidung erforderlich** sind (Grundsatz der **Datenminimierung**, Art. 5 Abs. 1 Buchst. c DSGVO). Nach einer Absage müssen die Unterlagen **gelöscht** werden (Art. 17 DSGVO) – üblich ist eine Aufbewahrung von **bis zu 6 Monaten**, um sich gegen mögliche **AGG-Klagen** verteidigen zu können. Bewerber haben ein **Auskunftsrecht** (Art. 15 DSGVO) und ein **Löschrecht** (Art. 17 DSGVO). Eine Speicherung im **Talentpool** ist nur mit **ausdrücklicher Einwilligung** zulässig. **Wichtig:** Seit dem EuGH-Urteil vom 30.03.2023 (C-34/21) ist die Reichweite von § 26 Abs. 1 BDSG umstritten – die Verarbeitung wird ergänzend auf Art. 6 Abs. 1 Buchst. b DSGVO (vorvertragliche Maßnahmen) gestützt.

Kernfakten

Punkt	Wert
Bewerber = Beschäftigte	Ja, § 26 Abs. 8 Satz 2 BDSG
Rechtsgrundlage Bewerbungsverfahren	§ 26 Abs. 1 BDSG + Art. 6 Abs. 1 Buchst. b DSGVO (vorvertragliche Maßnahmen)
Grundsatz	Datenminimierung, Art. 5 Abs. 1 Buchst. c DSGVO
Zulässige Daten	Nur was für die Auswahlentscheidung erforderlich ist
Auskunftsrecht Bewerber	Art. 15 DSGVO
Recht auf Löschung	Art. 17 DSGVO
Recht auf Berichtigung	Art. 16 DSGVO
Regel-Aufbewahrung nach Absage	bis zu 6 Monate (Verteidigung gegen AGG-Ansprüche)
AGG-Geltendmachungsfrist	2 Monate, § 15 Abs. 4 AGG
AGG-Klagefrist	3 Monate ab Geltendmachung, § 61b Abs. 1 ArbGG
Talentpool / längere Speicherung	Nur mit ausdrücklicher Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO)
Besondere Datenkategorien (z. B. Gesundheit)	Verbot mit Erlaubnisvorbehalt, Art. 9 DSGVO / § 26 Abs. 3 BDSG
Informationspflicht Arbeitgeber	Art. 13 DSGVO (Datenschutzhinweise bei Erhebung)
Aufsichtsbehörde / Beschwerderecht	Art. 77 DSGVO (zuständige Landesdatenschutzbehörde)
EuGH-Rechtsprechung	C-34/21 vom 30.03.2023 – nationale Generalklausel muss Art. 88 DSGVO genügen
Geplante Reform	Beschäftigtendatengesetz (BeschDG) angekündigt 2024, Stand 07/2026 nicht in Kraft

Geltungsbereich

Der Bewerberdatenschutz greift, sobald eine Person personenbezogene Daten im Rahmen einer Bewerbung übermittelt – unabhängig davon, ob die Bewerbung erfolgreich ist. Rechtlich einschlägig sind:

§ 26 BDSG als spezielle Norm für den Beschäftigtenkontext. Nach § 26 Abs. 8 Satz 2 BDSG zählen ausdrücklich auch Bewerberinnen und Bewerber zu den „Beschäftigten". Die Verarbeitung ist zulässig, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist.
DSGVO als übergeordnetes EU-Recht. Nach dem EuGH-Urteil vom 30.03.2023 (C-34/21) muss eine nationale Regelung wie § 26 BDSG eine „spezifischere Vorschrift" im Sinne von Art. 88 DSGVO sein; ansonsten ist unmittelbar auf die DSGVO zurückzugreifen. In der Praxis stützen Arbeitgeber die Bewerberdatenverarbeitung daher zusätzlich auf Art. 6 Abs. 1 Buchst. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person).
AGG (Allgemeines Gleichbehandlungsgesetz) bestimmt indirekt die zulässige Aufbewahrungsdauer: Weil abgelehnte Bewerber Entschädigungsansprüche geltend machen können, darf der Arbeitgeber die Unterlagen so lange aufbewahren, wie er sich verteidigen können muss.

Ein geplantes Beschäftigtendatengesetz (BeschDG) soll den Bereich neu und rechtssicher regeln, wurde aber (Stand Juli 2026) noch nicht verabschiedet.

Welche Daten darf der Arbeitgeber verlangen – und welche nicht?

Erforderlich und zulässig sind in der Regel: Name, Kontaktdaten, Angaben zu Ausbildung und Berufserfahrung, Qualifikationen und Zeugnisse, die für die konkrete Stelle relevant sind.

Nicht erforderlich – und damit grundsätzlich unzulässig zu verlangen sind Angaben, die nur eine Diskriminierung ermöglichen: Foto, Familienstand, Religionszugehörigkeit, Schwangerschaft, Partei- oder Gewerkschaftszugehörigkeit, Gesundheitsdaten ohne stellenbezogenen Grund. Solche besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, § 26 Abs. 3 BDSG) dürfen nur unter engen Voraussetzungen verarbeitet werden.

Gibt der Bewerber solche Daten freiwillig an (z. B. ein Foto im Lebenslauf), darf der Arbeitgeber sie im Rahmen des Verfahrens verarbeiten – verlangen darf er sie aber nicht.

Auskunft, Berichtigung und Löschung

Bewerberinnen und Bewerber haben dieselben Betroffenenrechte wie alle anderen: das Auskunftsrecht nach Art. 15 DSGVO (welche Daten werden zu welchem Zweck gespeichert?), das Recht auf Berichtigung nach Art. 16 DSGVO und das Recht auf Löschung nach Art. 17 DSGVO. Zusätzlich besteht ein Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO) – zuständig ist die Datenschutzbehörde des jeweiligen Bundeslandes.

Der Arbeitgeber muss bereits bei Erhebung der Daten über Zweck, Rechtsgrundlage und Speicherdauer informieren (Informationspflicht nach Art. 13 DSGVO).

Löschung und Aufbewahrung nach Absage

DSGVO und BDSG nennen keine feste Löschfrist. Die in der Praxis anerkannte 6-Monats-Regel leitet sich aus dem AGG ab:

Ein abgelehnter Bewerber muss einen Entschädigungsanspruch wegen Diskriminierung innerhalb von 2 Monaten schriftlich geltend machen (§ 15 Abs. 4 AGG).
Danach hat er 3 Monate Zeit, Klage zu erheben (§ 61b Abs. 1 ArbGG).
Mit einem Puffer von etwa einem Monat für Zustellungen ergibt sich eine übliche Aufbewahrung von bis zu 6 Monaten.

Wird in dieser Zeit keine Klage erhoben, sind die Unterlagen nach Art. 17 DSGVO zu löschen. Eine längere Speicherung – etwa im Talentpool für künftige Stellen – ist nur mit ausdrücklicher, freiwilliger Einwilligung der betroffenen Person zulässig (Art. 6 Abs. 1 Buchst. a DSGVO); die Einwilligung ist jederzeit widerrufbar.

Häufige Fehler

„Nach einer Absage werden meine Daten automatisch sofort gelöscht." Nicht ganz – der Arbeitgeber darf und sollte die Unterlagen bis zu 6 Monate aufbewahren, um sich gegen AGG-Ansprüche verteidigen zu können. Erst danach besteht eine Löschpflicht.
„Der Arbeitgeber darf meine Bewerbung unbegrenzt in einer Datenbank behalten." Falsch – eine Speicherung über das Verfahren hinaus (Talentpool) ist nur mit ausdrücklicher Einwilligung zulässig.
„Ich kann nicht nachfragen, welche Daten über mich gespeichert sind." Falsch – das Auskunftsrecht nach Art. 15 DSGVO gilt auch für Bewerber; der Arbeitgeber muss grundsätzlich innerhalb eines Monats antworten.
„Der Arbeitgeber darf mich googeln und alles aus sozialen Netzwerken speichern." Nur eingeschränkt – zulässig sind allenfalls beruflich ausgerichtete Netzwerke (z. B. LinkedIn/Xing); die systematische Auswertung privater Profile ist datenschutzrechtlich problematisch.
„§ 26 BDSG ist die einzige Rechtsgrundlage." Nach dem EuGH-Urteil C-34/21 ist das umstritten – die Verarbeitung wird zusätzlich auf Art. 6 Abs. 1 Buchst. b DSGVO gestützt.
„Gesundheitsdaten oder Schwerbehinderung muss ich immer angeben." Falsch – das sind besondere Datenkategorien (Art. 9 DSGVO); eine Angabe ist grundsätzlich freiwillig, außer sie ist für die Stelle zwingend erforderlich.

Änderungsverlauf

2026-07-27: Erstveröffentlichung. Quellen § 26 BDSG, DSGVO (Art. 5, 6, 9, 13, 15–17, 77), § 15 Abs. 4 AGG, § 61b ArbGG sowie EuGH C-34/21 verifiziert. Hinweis auf noch nicht verabschiedetes Beschäftigtendatengesetz (BeschDG) aufgenommen. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"

Stand

Stand: 2026-07-27
Gültig ab: 2018-05-25 (DSGVO Inkrafttreten); BDSG-neu seit 25.05.2018
Status: aktuell
Quellenautorität: A (BDSG, DSGVO, AGG, ArbGG, EuGH)
Lizenz: CC BY 4.0

Quellen

§ 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses (Abs. 8: Bewerber = Beschäftigte): https://www.gesetze-im-internet.de/bdsg_2018/__26.html A
Art. 5 DSGVO – Grundsätze (Datenminimierung): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
Art. 9 DSGVO – Besondere Kategorien personenbezogener Daten: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
Art. 13, 15, 16, 17, 77 DSGVO – Betroffenenrechte: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
§ 15 Abs. 4 AGG – Frist zur Geltendmachung: https://www.gesetze-im-internet.de/agg/__15.html A
§ 61b ArbGG – Klage wegen Benachteiligung: https://www.gesetze-im-internet.de/arbgg/__61b.html A
EuGH, Urteil vom 30.03.2023 – C-34/21 (Beschäftigtendatenschutz / Art. 88 DSGVO): https://curia.europa.eu/juris/liste.jsf?num=C-34/21 A
BfDI – FAQ Beschäftigtendatenschutz: https://www.bfdi.bund.de/DE/Buerger/Inhalte/Arbeit-Besch%C3%A4ftigung/Besch%C3%A4ftigtendatenschutz/FAQ_Besch%C3%A4ftigtendatenschutz.html A
BMAS – Arbeitsrecht/Datenschutz: https://www.bmas.de/DE/Themen/Arbeitsrecht/arbeitsrecht.html A

Letzte Änderung:: 2026-07-27
Letzte Prüfung:: 2026-07-27
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.