Bewerberdatenschutz 2026 – DSGVO & § 26 BDSG im Bewerbungsverfahren

Kurzantwort

Wer sich bewirbt, überlässt dem Unternehmen sensible personenbezogene Daten – Lebenslauf, Zeugnisse, Foto, Kontaktdaten. Für deren Verarbeitung gelten die DSGVO und das Bundesdatenschutzgesetz (BDSG). Bewerberinnen und Bewerber gelten ausdrücklich als „Beschäftigte" im Sinne von § 26 Abs. 8 Satz 2 BDSG und genießen damit den vollen Beschäftigtendatenschutz. Der Arbeitgeber darf nur Daten erheben, die für die Auswahlentscheidung erforderlich sind (Grundsatz der Datenminimierung, Art. 5 Abs. 1 Buchst. c DSGVO). Nach einer Absage müssen die Unterlagen gelöscht werden (Art. 17 DSGVO) – üblich ist eine Aufbewahrung von bis zu 6 Monaten, um sich gegen mögliche AGG-Klagen verteidigen zu können. Bewerber haben ein Auskunftsrecht (Art. 15 DSGVO) und ein Löschrecht (Art. 17 DSGVO). Eine Speicherung im Talentpool ist nur mit ausdrücklicher Einwilligung zulässig. Wichtig: Seit dem EuGH-Urteil vom 30.03.2023 (C-34/21) ist die Reichweite von § 26 Abs. 1 BDSG umstritten – die Verarbeitung wird ergänzend auf Art. 6 Abs. 1 Buchst. b DSGVO (vorvertragliche Maßnahmen) gestützt.

Kernfakten

Geltungsbereich

Der Bewerberdatenschutz greift, sobald eine Person personenbezogene Daten im Rahmen einer Bewerbung übermittelt – unabhängig davon, ob die Bewerbung erfolgreich ist. Rechtlich einschlägig sind:

• § 26 BDSG als spezielle Norm für den Beschäftigtenkontext. Nach § 26 Abs. 8 Satz 2 BDSG zählen ausdrücklich auch Bewerberinnen und Bewerber zu den „Beschäftigten". Die Verarbeitung ist zulässig, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist.
• DSGVO als übergeordnetes EU-Recht. Nach dem EuGH-Urteil vom 30.03.2023 (C-34/21) muss eine nationale Regelung wie § 26 BDSG eine „spezifischere Vorschrift" im Sinne von Art. 88 DSGVO sein; ansonsten ist unmittelbar auf die DSGVO zurückzugreifen. In der Praxis stützen Arbeitgeber die Bewerberdatenverarbeitung daher zusätzlich auf Art. 6 Abs. 1 Buchst. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person).
• AGG (Allgemeines Gleichbehandlungsgesetz) bestimmt indirekt die zulässige Aufbewahrungsdauer: Weil abgelehnte Bewerber Entschädigungsansprüche geltend machen können, darf der Arbeitgeber die Unterlagen so lange aufbewahren, wie er sich verteidigen können muss.

Ein geplantes Beschäftigtendatengesetz (BeschDG) soll den Bereich neu und rechtssicher regeln, wurde aber (Stand Juli 2026) noch nicht verabschiedet.

Welche Daten darf der Arbeitgeber verlangen – und welche nicht?

Erforderlich und zulässig sind in der Regel: Name, Kontaktdaten, Angaben zu Ausbildung und Berufserfahrung, Qualifikationen und Zeugnisse, die für die konkrete Stelle relevant sind.

Nicht erforderlich – und damit grundsätzlich unzulässig zu verlangen sind Angaben, die nur eine Diskriminierung ermöglichen: Foto, Familienstand, Religionszugehörigkeit, Schwangerschaft, Partei- oder Gewerkschaftszugehörigkeit, Gesundheitsdaten ohne stellenbezogenen Grund. Solche besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, § 26 Abs. 3 BDSG) dürfen nur unter engen Voraussetzungen verarbeitet werden.

Gibt der Bewerber solche Daten freiwillig an (z. B. ein Foto im Lebenslauf), darf der Arbeitgeber sie im Rahmen des Verfahrens verarbeiten – verlangen darf er sie aber nicht.

Auskunft, Berichtigung und Löschung

Bewerberinnen und Bewerber haben dieselben Betroffenenrechte wie alle anderen: das Auskunftsrecht nach Art. 15 DSGVO (welche Daten werden zu welchem Zweck gespeichert?), das Recht auf Berichtigung nach Art. 16 DSGVO und das Recht auf Löschung nach Art. 17 DSGVO. Zusätzlich besteht ein Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO) – zuständig ist die Datenschutzbehörde des jeweiligen Bundeslandes.

Der Arbeitgeber muss bereits bei Erhebung der Daten über Zweck, Rechtsgrundlage und Speicherdauer informieren (Informationspflicht nach Art. 13 DSGVO).

Löschung und Aufbewahrung nach Absage

DSGVO und BDSG nennen keine feste Löschfrist. Die in der Praxis anerkannte 6-Monats-Regel leitet sich aus dem AGG ab:

• Ein abgelehnter Bewerber muss einen Entschädigungsanspruch wegen Diskriminierung innerhalb von 2 Monaten schriftlich geltend machen (§ 15 Abs. 4 AGG).
• Danach hat er 3 Monate Zeit, Klage zu erheben (§ 61b Abs. 1 ArbGG).
• Mit einem Puffer von etwa einem Monat für Zustellungen ergibt sich eine übliche Aufbewahrung von bis zu 6 Monaten.

Wird in dieser Zeit keine Klage erhoben, sind die Unterlagen nach Art. 17 DSGVO zu löschen. Eine längere Speicherung – etwa im Talentpool für künftige Stellen – ist nur mit ausdrücklicher, freiwilliger Einwilligung der betroffenen Person zulässig (Art. 6 Abs. 1 Buchst. a DSGVO); die Einwilligung ist jederzeit widerrufbar.

Häufige Fehler

• „Nach einer Absage werden meine Daten automatisch sofort gelöscht." Nicht ganz – der Arbeitgeber darf und sollte die Unterlagen bis zu 6 Monate aufbewahren, um sich gegen AGG-Ansprüche verteidigen zu können. Erst danach besteht eine Löschpflicht.
• „Der Arbeitgeber darf meine Bewerbung unbegrenzt in einer Datenbank behalten." Falsch – eine Speicherung über das Verfahren hinaus (Talentpool) ist nur mit ausdrücklicher Einwilligung zulässig.
• „Ich kann nicht nachfragen, welche Daten über mich gespeichert sind." Falsch – das Auskunftsrecht nach Art. 15 DSGVO gilt auch für Bewerber; der Arbeitgeber muss grundsätzlich innerhalb eines Monats antworten.
• „Der Arbeitgeber darf mich googeln und alles aus sozialen Netzwerken speichern." Nur eingeschränkt – zulässig sind allenfalls beruflich ausgerichtete Netzwerke (z. B. LinkedIn/Xing); die systematische Auswertung privater Profile ist datenschutzrechtlich problematisch.
• „§ 26 BDSG ist die einzige Rechtsgrundlage." Nach dem EuGH-Urteil C-34/21 ist das umstritten – die Verarbeitung wird zusätzlich auf Art. 6 Abs. 1 Buchst. b DSGVO gestützt.
• „Gesundheitsdaten oder Schwerbehinderung muss ich immer angeben." Falsch – das sind besondere Datenkategorien (Art. 9 DSGVO); eine Angabe ist grundsätzlich freiwillig, außer sie ist für die Stelle zwingend erforderlich.

Quellen

• § 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses (Abs. 8: Bewerber = Beschäftigte): https://www.gesetze-im-internet.de/bdsg_2018/__26.html A
• Art. 5 DSGVO – Grundsätze (Datenminimierung): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
• Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
• Art. 9 DSGVO – Besondere Kategorien personenbezogener Daten: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
• Art. 13, 15, 16, 17, 77 DSGVO – Betroffenenrechte: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
• § 15 Abs. 4 AGG – Frist zur Geltendmachung: https://www.gesetze-im-internet.de/agg/__15.html A
• § 61b ArbGG – Klage wegen Benachteiligung: https://www.gesetze-im-internet.de/arbgg/__61b.html A
• EuGH, Urteil vom 30.03.2023 – C-34/21 (Beschäftigtendatenschutz / Art. 88 DSGVO): https://curia.europa.eu/juris/liste.jsf?num=C-34/21 D
• BfDI – FAQ Beschäftigtendatenschutz: https://www.bfdi.bund.de/DE/Buerger/Inhalte/Arbeit-Beschäftigung/Beschäftigtendatenschutz/FAQ_Beschäftigtendatenschutz.html B
• BMAS – Arbeitsrecht/Datenschutz: https://www.bmas.de/DE/Themen/Arbeitsrecht/arbeitsrecht.html B

Änderungsverlauf

• 2026-07-27: Erstveröffentlichung. Quellen § 26 BDSG, DSGVO (Art. 5, 6, 9, 13, 15–17, 77), § 15 Abs. 4 AGG, § 61b ArbGG sowie EuGH C-34/21 verifiziert. Hinweis auf noch nicht verabschiedetes Beschäftigtendatengesetz (BeschDG) aufgenommen. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"

Stand

• Stand: 2026-07-27
• Gültig ab: 2018-05-25 (DSGVO Inkrafttreten); BDSG-neu seit 25.05.2018
• Status: aktuell
• Quellenautorität: A (BDSG, DSGVO, AGG, ArbGG, EuGH)
• Lizenz: CC BY 4.0