Bewerberdaten löschen: Welche Frist gilt, und wie automatisiert man sie?

Die Zahl setzt sich aus zwei Fristen und einem Puffer zusammen. Ein Entschädigungsanspruch wegen Benachteiligung muss innerhalb von zwei Monaten schriftlich geltend gemacht werden, bei Bewerbungen beginnt diese Frist mit dem Zugang der Ablehnung. Ist der Anspruch geltend gemacht, muss die Klage innerhalb von drei Monaten danach erhoben werden. Zwei plus drei Monate ergeben fünf, der Rest ist Sicherheitsabstand für Zustellung und Postlauf.

Daraus folgt eine Aufbewahrung, keine Aufbewahrungspflicht. Das Unternehmen darf die Unterlagen so lange behalten, wie es sie zur Verteidigung gegen einen möglichen Anspruch braucht. Sobald dieser Zweck entfällt, greift der allgemeine Grundsatz: Personenbezogene Daten sind unverzüglich zu löschen, wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind. Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist.

Für den Workflow heißt das, dass der Startpunkt nicht das Eingangsdatum der Bewerbung ist, sondern das Datum der Absage. Zwei Bewerbungen, die am selben Tag eingehen und deren Absagen sechs Wochen auseinanderliegen, haben zwei verschiedene Löschdaten. Ein Workflow, der stur sechs Monate auf das Eingangsdatum rechnet, löscht den einen Datensatz zu früh und den anderen zu spät.

Bevor ein Automatisierungsprojekt sinnvoll startet, braucht es eine Festlegung, welche Datenart wann gelöscht wird. Dafür gibt es eine Norm. Die Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten erschien im Mai 2016 als DIN 66398 und gibt Empfehlungen für Aufbau, Ausgestaltung und Zuordnung der Verantwortung.

Ihre Systematik ist genau das, was ein Workflow braucht. Sie arbeitet mit Datenarten, also Gruppen von Datenobjekten, die für denselben Zweck verarbeitet werden, mit Löschklassen, die Datenarten mit gleicher Frist und gleichem Startzeitpunkt zusammenfassen, und mit Löschregeln, die für jede Löschklasse Frist und Startzeitpunkt festlegen. Eine Löschregel lässt sich eins zu eins in einen Workflow übersetzen, eine allgemeine Aussage über sechs Monate nicht.

Die Norm selbst ist inzwischen zurückgezogen und seit September 2025 durch DIN EN ISO/IEC 27555 ersetzt, methodisch folgt die Nachfolgenorm demselben Vorgehen. Für die Praxis ändert sich wenig: Wer bereits ein Konzept nach der alten Norm hat, kann es weiterverwenden, und wer neu anfängt, arbeitet mit derselben Logik.

Es gibt einen zweiten Grund, das Konzept vorzuziehen. Im Verzeichnis der Verarbeitungstätigkeiten sind, wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien zu dokumentieren. Und schon bei der Erhebung ist über die Speicherdauer zu informieren oder über die Kriterien für ihre Festlegung. Beides setzt voraus, dass die Fristen überhaupt festgelegt sind.

Ein Löschworkflow, der alles löscht, was älter ist als die Frist, richtet Schaden an. Vier Fälle brauchen eine eigene Behandlung, und alle vier lassen sich als Bedingung im Ablauf abbilden.

Der erste Fall ist die Einwilligung in die längere Speicherung, etwa für einen Bewerberpool. Sie verlängert die Frist, verlangt aber ein eigenes Enddatum und einen dokumentierten Widerrufsweg. Der zweite Fall ist ein laufendes Verfahren: Solange ein Anspruch geltend gemacht wurde oder eine Klage anhängig ist, entfällt der Zweck gerade nicht.

Der dritte Fall ist die Einstellung. Wird die Person eingestellt, wandern die relevanten Unterlagen in die Personalakte und folgen deren Fristen, nicht denen des Bewerbungsverfahrens. Der vierte Fall sind handels- und steuerrechtliche Aufbewahrungspflichten für die Dokumente, die dabei entstehen. Empfangene Handelsbriefe und Wiedergaben abgesandter Handelsbriefe sind sechs Jahre aufzubewahren, Buchungsbelege acht Jahre, Handelsbücher und Jahresabschlüsse zehn Jahre. Diese Fristen beginnen mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist, also nicht am Tag der Entstehung.

Der unterschiedliche Fristbeginn ist der häufigste Fehler in selbstgebauten Löschroutinen. Eine Frist ab Absagedatum und eine Frist ab Jahresende lassen sich nicht in derselben Berechnung abbilden. Im Workflow gehören sie in zwei getrennte Zweige.

Löschen ist eine Aufgabe ohne Rückmeldung. Niemand merkt, dass sie liegen geblieben ist, bis jemand fragt. Genau deshalb ist sie der klassische Kandidat für Automatisierung: Sie ist wiederkehrend, terminabhängig und liefert im Erfolgsfall kein sichtbares Ergebnis.

Der Moment, in dem es auffällt, ist ein Auskunftsverlangen. Auf Antrag ist die geplante Speicherdauer zu nennen oder sind die Kriterien für ihre Festlegung mitzuteilen, und beantwortet werden muss innerhalb eines Monats. Die Frist lässt sich um zwei weitere Monate verlängern, worüber innerhalb des ersten Monats zu informieren ist. Wer in dieser Zeit erst herausfinden muss, in welchen Systemen die Unterlagen einer abgelehnten Person noch liegen, hat ein Problem, das sich nicht mehr kurzfristig lösen lässt.

Der Rahmen für den Ernstfall ist ebenfalls bekannt. Verstöße gegen die Grundsätze der Verarbeitung und gegen Betroffenenrechte können mit Geldbußen bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das ist die Obergrenze und nicht der Regelfall, aber sie beschreibt die Größenordnung, in der sich das Thema bewegt.

Der Ablauf besteht aus fünf Schritten, und der erste ist der, der am häufigsten fehlt. Am Anfang steht nicht das Löschen, sondern das Setzen des Löschdatums. Sobald eine Absage rausgeht, schreibt der Workflow ein berechnetes Feld in den Datensatz: Absagedatum plus Frist der zutreffenden Löschklasse. Damit ist die Entscheidung einmal getroffen und muss später nicht rekonstruiert werden.

Der zweite Schritt ist ein Zeitplan, der täglich prüft, welche Datensätze fällig sind. Der dritte Schritt ist die Ausnahmeprüfung: Einwilligung vorhanden, Verfahren anhängig, Person eingestellt, Aufbewahrungspflicht einschlägig. Trifft eine davon zu, wandert der Datensatz in eine Ausnahmeliste statt in die Löschung.

Der vierte Schritt ist die eigentliche Löschung in allen beteiligten Systemen, der fünfte das Protokoll. Das Protokoll ist der Teil, der den Nachweis trägt, und es darf selbst keine Kopie der gelöschten Inhalte werden. Es enthält eine interne Kennung, die angewandte Löschregel, das Datum und das Ergebnis je System, sonst nichts.

Zu den geeigneten technischen Maßnahmen zählt die Verordnung ausdrücklich Pseudonymisierung und Verschlüsselung sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Für einen Löschworkflow heißt der zweite Teil konkret: eine wiederkehrende Stichprobe, die prüft, ob in den Zielsystemen tatsächlich nichts mehr liegt. Ein Workflow, der meldet, er habe gelöscht, ist noch kein Nachweis, dass gelöscht wurde.

Bewerbungsunterlagen liegen selten an einer Stelle. Typisch sind das Bewerbermanagementsystem, das Postfach der ausschreibenden Führungskraft, ein geteiltes Laufwerk mit Auswahlnotizen, ein Kalender mit Gesprächsterminen und manchmal ein Videotool mit Aufzeichnungen. Eine Löschung, die nur im Bewerbermanagementsystem stattfindet, ist keine.

Für jedes dieser Systeme stellt sich zusätzlich die Frage nach dem Dienstleister. Wer im Auftrag verarbeiten lässt, darf nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Und der Auftragsverarbeiter muss die Daten nach Abschluss der Erbringung löschen oder zurückgeben und alle Informationen zum Nachweis der Einhaltung bereitstellen.

Praktisch entscheidet sich hier, ob ein Workflow überhaupt gebaut werden kann. Systeme mit einer API zum Löschen lassen sich anbinden. Systeme ohne eine solche Schnittstelle bekommen im Ablauf eine Aufgabe für einen Menschen, mit Frist und Rückmeldung. Das ist kein Schönheitsfehler, sondern die ehrliche Variante: Eine Teilautomatisierung mit sichtbarer Restliste ist besser als eine Vollautomatisierung, die zwei Systeme stillschweigend auslässt.

Die Löschung selbst ist eine mechanische Handlung und eignet sich für die Automatisierung. Die Einordnung, ob eine Ausnahme vorliegt, ist es in zwei Fällen nicht. Ob ein Anspruch geltend gemacht wurde, hängt an einer Bewertung des Schreibens, das eingegangen ist, und ob eine Einwilligung wirksam ist, hängt daran, wie sie eingeholt wurde.

Bauen Sie deshalb an diesen beiden Stellen eine Freigabe ein, statt eine Regel zu schreiben, die raten muss. Der Workflow legt vor, ein Mensch bestätigt, und die Bestätigung landet im Protokoll. Das kostet wenige Minuten je Fall und ist genau der Teil, den später jemand nachvollziehen können muss.

Der zweite Punkt betrifft das, was der Workflow beim Löschen anrichten kann. Eine Löschung ist nicht umkehrbar. Testen Sie den Ablauf deshalb zuerst mit einem reinen Berichtsmodus, der nur meldet, was er löschen würde, und lassen Sie diesen Modus ein bis zwei Zyklen laufen, bevor Sie die Löschung scharf schalten. Die Abweichungen, die dabei auffallen, sind fast immer Fristberechnungen mit dem falschen Startdatum.