Die Stelle ist besetzt, die Absagen sind raus. Die sieben Bewerbungen, die nicht genommen wurden, liegen weiter im Postfach — als Anhang, weitergeleitet an den Meister, ausgedruckt in einem Ordner im Büro. Gelöscht hat sie niemand, weil niemand wusste, wann das dran ist.
Zwei Jahre später fragt eine der abgelehnten Personen, welche Daten der Betrieb über sie gespeichert hat. Oder die Aufsichtsbehörde fragt. Dann ist die Antwort peinlich, und sie ist teuer.
Der Grund für das Liegenlassen ist meist derselbe: Man hat nach einer gesetzlichen Frist gesucht und keine gefunden. Es gibt sie tatsächlich nicht. Was es gibt, sind zwei Klagefristen — und aus denen rechnet sich der Termin aus, an dem die Unterlagen weg müssen.
Es gibt keine gesetzliche Löschfrist für Bewerbungen
Der Landesbeauftragte für den Datenschutz Niedersachsen beantwortet die Frage in einem Satz. In seiner FAQ zu Aufbewahrungs- und Löschfristen von Bewerbungsunterlagen mit Stand Juli 2026 heißt es: „Es gibt in Niedersachsen weder gesetzlich festgelegte Aufbewahrungs- noch Löschfristen für Bewerbungsdaten."
Das ist keine Erlaubnis, sie zu behalten. Es ist das Gegenteil.
Ohne besondere Frist gilt der allgemeine Maßstab der DSGVO. Artikel 5 Absatz 1 Buchstabe e verlangt, personenbezogene Daten „in einer Form" zu speichern, „die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist".
Artikel 17 Absatz 1 Buchstabe a zieht daraus die Konsequenz: Zu löschen ist, wenn die Daten „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig" sind. Der Zweck einer Bewerbung ist die Besetzung dieser einen Stelle. Ist sie besetzt, ist der Zweck erledigt.
Für die Verarbeitung selbst nennt die Aufsichtsbehörde für nicht-öffentliche Stellen zwei Grundlagen: Artikel 6 Absatz 1 Buchstabe b DSGVO für das Bewerbungsverfahren, weil es um die Begründung eines Beschäftigungsverhältnisses geht, und Artikel 6 Absatz 1 Buchstabe f für eine Speicherung, die darüber hinausgeht. Ergänzend gelten Bewerberinnen und Bewerber nach § 26 Absatz 8 Satz 2 BDSG ausdrücklich als Beschäftigte.
Warum du trotzdem nicht sofort löschen solltest
Die Aufbewahrung nach der Absage hat einen eigenen Zweck, und der heißt Verteidigung. Artikel 17 Absatz 3 Buchstabe e nimmt Verarbeitungen aus, die „zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen" erforderlich sind.
Der Anspruch, um den es geht, steht im Allgemeinen Gleichbehandlungsgesetz. Wer sich bei der Auswahl benachteiligt sieht, kann nach § 15 AGG Schadensersatz und Entschädigung verlangen. Bei einer Nichteinstellung darf die Entschädigung nach § 15 Absatz 2 höchstens drei Monatsgehälter betragen, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre.
Entscheidend ist § 22 AGG. Beweist die eine Seite Indizien, „die eine Benachteiligung wegen eines in § 1 genannten Grundes vermuten lassen", trägt die andere Seite die Beweislast dafür, dass kein Verstoß vorlag. Diese andere Seite ist der Betrieb. Wer die Unterlagen und den Auswahlvermerk zu früh gelöscht hat, kann diesen Beweis nicht mehr führen.
Die Uhr startet mit der Absage, nicht mit dem Eingang
Zwei Fristen laufen nacheinander.
§ 15 Absatz 4 AGG: Der Anspruch „muss innerhalb einer Frist von zwei Monaten schriftlich geltend gemacht werden". Und weiter: „Die Frist beginnt im Falle einer Bewerbung oder eines beruflichen Aufstiegs mit dem Zugang der Ablehnung."
§ 61b Absatz 1 ArbGG: Die Klage auf Entschädigung „muss innerhalb von drei Monaten, nachdem der Anspruch schriftlich geltend gemacht worden ist, erhoben werden".
Zwei Monate plus drei Monate. Fünf Monate ab dem Zugang der Absage ist damit die längste Spanne, in der eine Klage noch ankommen kann. Die Aufsichtsbehörde in Niedersachsen verweist auf denselben Zusammenhang und nennt beispielhaft „eine Klagefrist von drei Monaten" aus § 61b ArbGG in Verbindung mit § 15 AGG.
Die verbreitete Angabe „sechs Monate" ist deshalb keine gesetzliche Frist, sondern die Fünf-Monats-Rechnung mit einem Monat Puffer für Postlauf und Zustellung. Als Praxis ist sie gebräuchlich: Die Aufsichtsbehörde in Rheinland-Pfalz nennt in ihren eigenen Datenschutzhinweisen für Bewerbungen sechs Monate nach Abschluss des Verfahrens, danach würden die Unterlagen „vernichtet oder Ihnen zurückübersandt, sofern aufgrund eines evtl. anhängenden Klageverfahrens keine längere Aufbewahrungsfrist notwendig ist".
Wer zurückzieht, wird nicht sofort gelöscht
Zieht jemand die Bewerbung vor dem Ende des Verfahrens zurück, liegt der Reflex nahe, die Unterlagen umgehend zu vernichten. Die Aufsichtsbehörde in Niedersachsen widerspricht ausdrücklich: Die Daten sind „nach der Rücknahme der Bewerbung vor Abschluss des Auswahlverfahrens nicht unverzüglich zu löschen". Sie sind so lange aufzubewahren, „wie es für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aus dem Auswahlverfahren erforderlich ist" — also nach derselben Rechnung wie bei einer Absage.
Ein Punkt kommt seit diesem Jahr dazu. Die Entgelttransparenzrichtlinie (EU) 2023/970 war nach ihrem Artikel 34 bis zum 7. Juni 2026 umzusetzen. Sie gibt Stellenbewerbern in Artikel 5 ein Recht auf Information über das Einstiegsentgelt oder dessen Spanne und verbietet die Frage nach der bisherigen Entgeltentwicklung. Die Aufsichtsbehörde weist darauf hin, dass mit Ablauf der Umsetzungsfrist einzelne Bestimmungen unmittelbar Wirkung entfalten können — mit Folgen dafür, wie lange Unterlagen zur Verteidigung gegen mögliche Ansprüche aufzubewahren sind.
Der Bewerberpool braucht eine echte Einwilligung
„Wir behalten Ihre Unterlagen gern für künftige Stellen" ist ein netter Satz und ohne Zustimmung keine Rechtsgrundlage. Die Aufsichtsbehörde in Niedersachsen knüpft die längerfristige Speicherung an eine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a und Artikel 7 DSGVO, bei Gesundheitsdaten zusätzlich nach Artikel 9 Absatz 2 Buchstabe a — und daran, dass die Person dadurch einen Vorteil im Sinne der Kriterien des § 26 Absatz 2 Satz 1 BDSG hat.
Diese Vorschrift verlangt dreierlei: Die Freiwilligkeit kann insbesondere vorliegen, „wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird". Die Einwilligung „hat schriftlich oder elektronisch zu erfolgen". Und der Arbeitgeber hat über den Zweck und über das Widerrufsrecht nach Artikel 7 Absatz 3 DSGVO „in Textform" aufzuklären.
Dazu kommen zwei Empfehlungen derselben Behörde: den weiteren Verwendungszweck klar zu definieren und den Aufbewahrungszeitraum zeitlich zu begrenzen — und vor der erneuten Verwendung der Unterlagen nachzufragen, ob die Einwilligung noch Bestand hat.
Löschen heißt: an allen Stellen löschen
Eine Bewerbung liegt selten an einem Ort. Der häufigste Fall ist der Weg über
das Postfach: Die Mail kommt an bewerbung@, wird an die Geschäftsführung
weitergeleitet, der Anhang landet auf einem Rechner, eine Kopie wird
ausgedruckt. Wer nur den Ordner im Postfach leert, hat nichts gelöscht.
Vier Stellen bleiben regelmäßig übrig:
- Weitergeleitete Mails in anderen Postfächern, samt Anhang.
- Der gesendete Ordner mit der Absage und der zitierten Bewerbung darunter.
- Papier. Ausdrucke gehören in die Aktenvernichtung, nicht in den Papierkorb.
- Dritte. Wurde ein Personaldienstleister oder eine Stellenbörse eingeschaltet, muss die Löschung auch dort ausgelöst werden — und dafür braucht es einen Auftragsverarbeitungsvertrag.
Wo überall Kopien von Betriebsdaten entstehen, ohne dass es jemand angeordnet hat, steht unter Schatten-IT im Betrieb.
Was jetzt zu tun ist
- Einen festen Ablageort bestimmen. Ein Ordner, ein Zugriffskreis. Eine Bewerbung, die in vier Postfächern liegt, lässt sich nicht fristgerecht löschen.
- Die Löschregel aufschreiben: sechs Monate ab Zugang der Absage, Verlängerung nur, solange ein Verfahren läuft. Diese Zeile gehört ins Verzeichnis von Verarbeitungstätigkeiten und ins Löschkonzept.
- Die Bewerber informieren. Artikel 13 Absatz 2 Buchstabe a DSGVO verlangt, „die Dauer, für die die personenbezogenen Daten gespeichert werden" oder die Kriterien dafür mitzuteilen — spätestens mit der Eingangsbestätigung.
- Den Pool trennen. Wer aufgenommen werden soll, gibt eine schriftliche oder elektronische Einwilligung mit Zweck, Dauer und Widerrufsrecht.
- Einen Termin setzen. Einmal im Quartal die abgeschlossenen Verfahren durchgehen. Ohne Termin passiert es nicht.
Der technische Teil — getrennte Postfächer, Aufbewahrungsregeln, Vernichtung von Papier und Datenträgern — gehört zur laufenden IT-Betreuung und lässt sich einrichten, statt ihn jedes Mal von Hand zu erledigen.
Die verbindliche Einordnung gehört nicht hierher: Ob im konkreten Fall länger aufbewahrt werden darf, wie ein Auswahlvermerk aussehen muss und was bei einer Klage vorzulegen ist, beantworten eine Anwältin oder ein Anwalt für Arbeits- und Datenschutzrecht.