Kurz gesagt: Nach DSGVO und RODO gibt es keine einheitliche Zahl an Monaten für jeden Lebenslauf. Artikel 5 verlangt, Daten nur so lange zu speichern, wie es der Zweck erfordert. Für erfolglose Bewerber empfehle ich höchstens 6 Monate nach Ende des Prozesses, für kleine Teams. Das ist meine Einschätzung, wie wir Einstellungen durchführen, nicht „das Gesetz“. Polnische Gerichte können eine längere Speicherung zur Abwehr von Ansprüchen erlauben. Der Talentpool läuft nach einer eigenen Frist und braucht eine Einwilligung.
Dieser Beitrag dient der Information. Er ist keine Rechtsberatung. Sprechen Sie mit einem Rechtsberater für Ihr Land und Ihren Fall.
Was verlangen DSGVO und RODO tatsächlich bei der Aufbewahrung?
Sie verlangen zuerst einen Zweck, dann eine begründete Dauer und die Löschung, sobald dieser Zweck endet.
Artikel 5 DSGVO regelt die Speicherbegrenzung: personenbezogene Daten dürfen nicht länger in identifizierbarer Form aufbewahrt werden, als es für die Verarbeitungszwecke nötig ist. Sie dokumentieren die Dauer und können zeigen, warum sie passt. Der ICO-Leitfaden zur Speicherbegrenzung sagt im Kern dasselbe: Unterlagen erfolgloser Bewerber nicht länger aufbewahren, als es für die Frist möglicher Ansprüche nötig ist, außer es gibt einen klaren geschäftlichen Grund.
RODO ist schlicht der polnische Name der DSGVO (Verordnung (EU) 2016/679). Es ist dieselbe Verordnung. Polnische Arbeitgeber folgen für eingestellte Mitarbeiter zusätzlich den Regeln des Arbeitsgesetzbuchs.
Der Hinweis von ByteLaw zur Informationspflicht ist hier praktisch: Nennen Sie in der Stellenanzeige oder im Online-Bewerbungsformular, wie lange Sie Bewerberdaten verarbeiten, mit einer konkreten Frist oder klaren Kriterien.
Warum gibt es für Bewerbungen zwei Fristen?
Weil die Verteidigung gegen Ansprüche und der Talentpool unterschiedliche Zwecke mit unterschiedlichen Rechtsgrundlagen sind.
| Zweck | Übliche Rechtsgrundlage | Was Sie dürfen | Frist |
|---|---|---|---|
| Geschlossene Stelle, mögliche Abwehr eines Diskriminierungsvorwurfs | Häufig berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) | Begrenzte Daten zur Verteidigung speichern; nicht wiederverwenden, um neue Stellen anzubieten | Polen: Das NSA-Urteil von 2024 kann Speicherung etwa bis zur Verjährungsfrist erlauben (oft mit bis zu ~3 Jahren diskutiert). In Großbritannien liegt die Praxis oft bei Monaten. Meine Präferenz für kleine Teams: höchstens 6 Monate. |
| Talentpool für künftige Stellen | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) | Nur für neue Stellen kontaktieren, wenn die Person eingewilligt hat | Zeitraum laut Einwilligungstext. Nosowski (aus dem Umfeld von ByteLaw) behandelt Einwilligungen für künftige Rekrutierung oft als in der Regel nicht länger als etwa ein Jahr. |
| Laufende Bewerbung für eine Stelle | Schritte vor einem Vertrag / gesetzliche Pflichten, soweit anwendbar | Diese Stelle bearbeiten | Bis der Prozess endet, dann Zweck wechseln oder löschen |
Michał Nosowski auf Wśród Danych geht weiterhin von einem strikten Standard aus: erfolglose Bewerber zeitnah nach Prozessende löschen. Danach diskutiert er den NSA-Weg für die Aufbewahrung zur Verteidigung und behandelt den Talentpool mit einer separaten Einwilligung.
Das NSA-Urteil vom 20. Februar 2024 (III OSK 2700/22) ist das polnische Grundsatzurteil, auf das sich Menschen bei der Aufbewahrung zur Verteidigung erfolgloser Bewerber berufen. Die Gazeta Prawna berichtet, dass Arbeitgeber diese Daten für mögliche Diskriminierungsklagen bis zu etwa drei Jahre speichern dürfen (nicht frei wiederverwenden). Dürfen ist das Schlüsselwort. Es ist keine weiche Pflicht, jeden Lebenslauf drei Jahre aufzubewahren. Ich bevorzuge trotzdem höchstens 6 Monate für kleine Teams, wenn kein laufender Streit besteht.
Welchen Zeitplan empfehle ich einem kleinen Arbeitgeber?
Ein kurzer schriftlicher Zeitplan, den Sie in Ihre Datenschutzerklärung aufnehmen können.
| Datensatz | Meine Empfehlung für kleine Teams | Hinweise |
|---|---|---|
| Erfolgloser Bewerber (diese Stelle) | Höchstens 6 Monate nach Prozessende | Unsere Einschätzung. Früher löschen oder anonymisieren, wenn Sie das Verteidigungsfenster nicht brauchen. Das polnische Recht erlaubt längere Speicherung nur zur Verteidigung. |
| Talentpool | Nur mit Einwilligung bei der Bewerbung; Dauer wie angegeben (oft Monate, in der Praxis oft höchstens 1 Jahr) | Ohne Einwilligung kommt niemand in den Pool. |
| Personalakte eingestellter Mitarbeiter (Polen) | Beschäftigung plus 10 Jahre danach bei Einstellungen nach 2019 (typischer gesetzlicher Weg) | Richten Sie sich für Ihren Fall nach gov.pl und dem Arbeitsgesetzbuch. |
| Gelöschte Stelle in Canvider | Zugehörige Daten nach 30 Tagen entfernen | Produktregel. |
| Discover People-Vorschauen in Canvider | Etwa 48 Stunden | Produktregel. |
Wenn Sie in Großbritannien und Polen einstellen, schreiben Sie beide Fristen in die Datenschutzerklärung. Tun Sie nicht so, als würde eine einzige Zahl jeden Zweck abdecken.
Wenn Sie später das Tool wechseln, reist die Aufbewahrung mit Ihnen. Lesen Sie wie Sie das ATS wechseln, ohne Bewerberdaten zu verlieren, was sich sauber exportieren lässt und was nicht. Die DSGVO gilt außerdem neben den Regeln für KI-Screening. Das behandeln wir in EU AI Act und KI-Tools im Recruiting.
Was macht Canvider bei der Aufbewahrung von Bewerberdaten?
Wir halten die beiden Fristen im Produktverhalten getrennt.
- Ohne Einwilligung in future opportunities bei der Bewerbung wird die Person nicht im Talent Pool gespeichert. Das heißt nicht, dass wir die Bewerbung automatisch löschen.
- Delete Candidate ist die vollständige Löschung.
- Eine Stelle, die als Deleted markiert ist, entfernt zugehörige Daten nach 30 Tagen.
- Discover People-Vorschauen bleiben etwa 48 Stunden erhalten.
- Ein Kunde hat uns gebeten, keine Daten in Dienste außerhalb der DSGVO einzugeben. Canvider sendet keine Bewerberdaten an Dienste außerhalb der DSGVO.
Wenn Sie eine kurze Checkliste wollen: Schreiben Sie die Fristen in Anzeige oder Formular (der Hinweis von ByteLaw), trennen Sie die Einwilligung für den Talentpool von der Bewerbung selbst, löschen Sie Daten auch aus E-Mails und gemeinsamen Laufwerken, und holen Sie einen lokalen Rechtsberater dazu, sobald ein Anspruch auftaucht.
Kürzere Aufbewahrung mit klaren Zwecken schafft Vertrauen bei Bewerbern. Außerdem macht sie Ihren Recruiting-Stack nachvollziehbar.
Häufig gestellte Fragen
Wie lange sollte ich erfolglose Bewerbungen nach der DSGVO aufbewahren?
Die DSGVO nennt keine feste Zahl an Monaten. Artikel 5 verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck nötig ist. Für kleine Teams empfehle ich in der Praxis höchstens 6 Monate nach Ende des Auswahlprozesses für erfolglose Bewerber. Danach löschen oder anonymisieren Sie die Daten, es sei denn, ein laufender Streit braucht sie länger. Das ist keine Rechtsberatung.
Unterscheidet sich RODO bei Lebensläufen von der DSGVO?
Nein. RODO ist der polnische Name für dieselben EU-Regeln der DSGVO. Polnische Arbeitgeber folgen außerdem den Regeln des Arbeitsgesetzbuchs. Die polnische Rechtsprechung (NSA 2024) kann erlauben, Daten erfolgloser Bewerber länger zu speichern, allein zur Abwehr von Diskriminierungsansprüchen, oft diskutiert bis etwa 3 Jahre. Ich bevorzuge trotzdem einen kürzeren Zeitplan von 6 Monaten für kleine Teams, wenn der Zweck es erlaubt.
Kann ich abgelehnte Bewerber ohne Einwilligung im Talentpool behalten?
Nein. Ein Talentpool für künftige Stellen braucht eine gesonderte Einwilligung nach Artikel 6 Abs. 1 lit. a DSGVO. Unterlagen aufzubewahren, um Ansprüche zu einer geschlossenen Stelle abzuwehren, ist ein anderer Zweck. Er stützt sich oft auf ein berechtigtes Interesse und ist kein Freibrief, Menschen wegen neuer Stellen anzuschreiben. Beide Fristen zu vermischen, ist ein häufiger HR-Fehler.
Löscht Canvider Bewerbungen automatisch, wenn jemand nicht in künftige Möglichkeiten einwilligt?
Nein. Ohne Einwilligung in future opportunities bei der Bewerbung wird die Person nicht im Talent Pool gespeichert. Das ist nicht dasselbe, wie die Bewerbung zu löschen. Die vollständige Löschung ist Delete Candidate. Eine Stelle, die als Deleted markiert ist, entfernt die zugehörigen Daten nach 30 Tagen.