Der Lebenslauf eines abgelehnten Kandidaten ist mehr als nur harmloser administrativer Datenmüll. Er kann den beruflichen Werdegang, Kontaktdaten, demografische Angaben, Interview-Nachweise, Bewertungsergebnisse und Notizen verschiedener Entscheidungsträger enthalten. Bleiben solche Aufzeichnungen in mehreren Systemen ohne definierten Zweck oder Enddatum gespeichert, entsteht für das Unternehmen ein erhebliches Governance-Risiko.
Dieser Leitfaden zur Datenaufbewahrung im Recruiting richtet sich an Unternehmensteams, die schnell agieren müssen, ohne dabei die Kontrolle über Kandidateninformationen zu verlieren. Ziel ist es nicht, alles sofort nach Besetzung einer Stelle zu löschen. Vielmehr geht es darum, die richtigen Daten für einen dokumentierten geschäftlichen, rechtlichen und operativen Zweck aufzubewahren und sie dann konsistent zu löschen oder zu anonymisieren, sobald dieser Zweck entfällt.
Im DACH-Raum sind diese Überlegungen besonders relevant, da die Datenschutz-Grundverordnung (DSGVO) strenge Anforderungen an die Datenverarbeitung stellt. Zudem können Mitbestimmungsrechte des Betriebsrats bei der Einführung und Nutzung von HR-Systemen sowie bei der Gestaltung von Datenrichtlinien eine Rolle spielen. Zukünftig wird auch der EU AI Act die Nutzung von KI-basierten Recruiting-Tools und die damit verbundene Datenaufbewahrung beeinflussen.
Warum eine formale Richtlinie zur Datenaufbewahrung im Recruiting unerlässlich ist
Recruiting-Teams sehen sich oft mit fragmentierten Datenpraktiken konfrontiert. Lebensläufe liegen in einem Bewerbermanagementsystem (ATS), Interviewaufzeichnungen werden auf einer Assessment-Plattform gespeichert, Führungskräfte halten Notizen in E-Mails fest, und Agentur-Einreichungen verbleiben in freigegebenen Ordnern. Jede dieser Quellen kann unterschiedliche Zugriffsrechte, Aufbewahrungseinstellungen und Verantwortlichkeiten aufweisen.
Diese Fragmentierung birgt drei praktische Risiken: Erstens können Teams möglicherweise nicht souverän auf Anfragen von Kandidaten bezüglich Auskunft, Löschung oder Korrektur ihrer Daten reagieren. Zweitens könnten sensible Daten länger als nötig gespeichert werden, was das Risiko im Falle eines Sicherheitsvorfalls erhöht. Drittens besteht die Gefahr, Beweismittel zu früh zu löschen und somit die Möglichkeit zu verlieren, eine Einstellungsentscheidung nachvollziehbar zu begründen.
Eine rechtssichere Richtlinie löst diese Spannung, indem sie jede Kategorie von Recruiting-Daten einem Zweck, einer Aufbewahrungsfrist, einem Verantwortlichen und einer Entsorgungsmaßnahme zuordnet. Sie bietet zudem einstellenden Führungskräften klare Leitlinien: Feedback gehört in den autorisierten Workflow, nicht in persönliche Postfächer oder informelle Chat-Verläufe.
Leitfaden zur Datenaufbewahrung im Recruiting: Zweck vor Frist
Es gibt keine universelle Aufbewahrungsfrist, die für jedes Unternehmen passt. Die Anforderungen variieren je nach Gerichtsbarkeit, Rollentyp, Branche, Tarifvertrag, Prozessrisiko und der Art der gesammelten Daten. Während US-Organisationen möglicherweise bestimmte Aufzeichnungen zur Erfüllung von Gleichbehandlungsverpflichtungen aufbewahren müssen, müssen multinationale Arbeitgeber auch lokale Datenschutzgesetze und Beschränkungen für die grenzüberschreitende Datenverarbeitung berücksichtigen.
Die richtige Frage lautet nicht: „Wie lange dürfen wir Kandidatendaten speichern?“, sondern: „Welcher spezifische Zweck rechtfertigt die Speicherung dieser Daten und für wie lange?“ Gängige Zwecke umfassen die Verwaltung einer aktiven Bewerbung, die Verteidigung einer Einstellungsentscheidung, die Erfüllung von Aufbewahrungspflichten, die Berücksichtigung eines Kandidaten für zukünftige Rollen mit entsprechender Benachrichtigung sowie die Untersuchung einer Beschwerde.
Definieren Sie für jeden Zweck einen Zeitraum, den die Rechtsabteilung, der Datenschutz und die HR-Verantwortlichen mittragen können. Ein Kandidat, der sich auf eine einzelne Position beworben hat, rechtfertigt möglicherweise eine kürzere Aufbewahrungsfrist als ein Kandidat, der sich einer Talent-Community angeschlossen hat. Eine regulierte Rolle kann eine längere Dokumentation erfordern als eine Standard-Unternehmensvakanz. Die Richtlinie sollte festlegen, dass rechtliche Aufbewahrungspflichten routinemäßige Löschfristen außer Kraft setzen.
Erstellen Sie ein Recruiting-Dateninventar, das den realen Workflow widerspiegelt
Eine Richtlinie kann keine Daten regeln, die das Unternehmen nicht identifiziert hat. Recruiting-Prozesse sollten Kandidatendaten vom ersten Kontakt bis zur endgültigen Entsorgung abbilden, einschließlich der Systeme, die von internen Teams, externen Agenturen und Technologieanbietern betrieben werden.
Das Inventar sollte zwischen gewöhnlichen Bewerbungsunterlagen und risikoreicheren Informationen unterscheiden. Ein Lebenslauf und ein Bewerbungsformular sind nicht gleichzusetzen mit einem aufgezeichneten Videointerview, Identitätsnachweisen, Informationen zu Barrierefreiheit/Anpassungen, freiwilligen demografischen Daten oder einem KI-generierten Kompetenzbericht. Diese Aufzeichnungen können unterschiedliche Sensibilitäten und Zugriffsanforderungen aufweisen.
Dokumentieren Sie für jede Datenkategorie die Quelle, den Verarbeitungszweck, das führende System, die autorisierten Benutzer, den geografischen Speicherort, den Auslöser für die Aufbewahrungsfrist und die Löschmethode. Der Auslöser für die Aufbewahrungsfrist ist entscheidend. „Zwei Jahre nach der Erfassung“ ist oft weniger betrieblich zuverlässig als „zwei Jahre nach Abschluss der Stellenausschreibung“ oder „zwei Jahre nach der letzten sinnvollen Interaktion des Kandidaten“.
Ein praktisches Inventar umfasst typischerweise mindestens diese Kategorien:
- Bewerbungen, Lebensläufe, Anschreiben und Kommunikation mit Recruitern
- Interviewnotizen, strukturierte Scorecards, Aufzeichnungen und Transkripte
- Assessment-Ergebnisse, einschließlich Kompetenznachweise und Persönlichkeitsprofile
- Freiwillige demografische Daten, Informationen zu Barrierefreiheit/Anpassungen, Arbeitserlaubnis und Hintergrundprüfungen
- Talent-Pool-Profile, Empfehlungen, Agentur-Einreichungen und zurückgezogene Bewerbungen
- Audit-Logs, die Zugriffe, Bewertungsänderungen, Entscheidungen und Genehmigungen zeigen
Legen Sie Aufbewahrungsregeln nach Kandidatenstatus und Datensensibilität fest
Eine einzige, pauschale Aufbewahrungsregel ist leicht zu kommunizieren, aber oft schwer zu verteidigen. Bessere Richtlinien verwenden eine überschaubare Anzahl von Aufbewahrungsfristen, die auf dem Status und der Sensibilität der Daten basieren.
Für aktive Bewerber sollten die Informationen aufbewahrt werden, die für einen fairen, effizienten Prozess und die Kommunikation mit dem Kandidaten erforderlich sind. Sobald ein Kandidat abgelehnt wird, seine Bewerbung zurückzieht oder die Stelle gestrichen wird, sollte die Frist gemäß dem dokumentierten Aufbewahrungsplan beginnen. Möchte das Unternehmen diese Person für zukünftige Vakanzen berücksichtigen, ist dieser Zweck von der geschlossenen Bewerbung zu trennen und die erforderliche Einwilligung einzuholen oder die notwendige Benachrichtigung bereitzustellen.
Eingestellte Kandidaten erfordern eine klare Übergabe. Nur die für das Onboarding und die Personalverwaltung notwendigen Unterlagen sollten in die Personalakte oder das HR-Informationssystem überführt werden. Interviewnotizen, Ranking-Artefakte und doppelte Lebensläufe sollten nicht automatisch und dauerhaft dem Mitarbeiter folgen, nur weil die Person eingestellt wurde.
Sensible Daten erfordern eine strengere Governance. Informationen zu Unterkünften, staatliche Identifikationsmerkmale, Ergebnisse von Hintergrundüberprüfungen und freiwillige demografische Angaben benötigen in der Regel einen eingeschränkten Zugriff und erfordern möglicherweise kürzere oder gesondert definierte Aufbewahrungsfristen. Diese Unterlagen sollten für allgemeine Personalverantwortliche nicht einsehbar sein, es sei denn, es besteht ein klarer, autorisierter Bedarf.
Im DACH-Raum sind diese Anforderungen durch die Datenschutz-Grundverordnung (DSGVO) besonders streng geregelt. Unternehmen müssen nicht nur die Einhaltung der DSGVO gewährleisten, sondern auch die Mitbestimmungsrechte des Betriebsrats bei der Einführung und Nutzung von Systemen zur Datenverarbeitung und Personalbeurteilung berücksichtigen. Zukünftig wird der EU AI Act zusätzliche Rahmenbedingungen für den Einsatz von KI in HR-Prozessen schaffen, insbesondere im Hinblick auf Transparenz und Risikomanagement.
KI-gestützte Bewertungsnachweise als geregelte Aufzeichnungen behandeln
KI-gestützte Personalbeschaffung liefert nützliche Belege, schafft aber auch eine neue Kategorie von zu kontrollierenden Aufzeichnungen. Signale zur Lebenslaufbewertung, Interviewprotokolle, strukturierte Bewertungen, Kompetenznachweise, Modellausgaben, manuelle Korrekturen durch Prüfende und Übersetzungsartefakte können alle relevant werden für Kandidatenanfragen, interne Audits oder die Anfechtung einer Entscheidung.
Die Lösung besteht nicht darin, jedes Rohsignal unbegrenzt aufzubewahren. Vielmehr geht es darum, festzulegen, welche Belege notwendig sind, um die Entscheidung zu erklären und zu überprüfen, ob der Prozess wie beabsichtigt ablief. Ein Unternehmen kann beispielsweise die strukturierte Bewertungskarte des Kandidaten, Kommentare der Bewertenden, verwendete Kriterien, die Entscheidungsbegründung und den Audit-Trail für einen definierten Zeitraum aufbewahren, während für temporäre Verarbeitungsdateien ein anderer Zeitplan festgelegt wird.
Governance erfordert auch ein Bewusstsein für Versionen. Wenn sich Bewertungskriterien oder Scoring-Modelle ändern, sollte das Unternehmen in der Lage sein zu identifizieren, welche Version für eine bestimmte Kampagne verwendet wurde. Dies unterstützt die Nachvollziehbarkeit, ohne Teams dazu zu zwingen, unbegrenzt doppelte Daten zu speichern.
Plattformen wie MIND Interview können diese Disziplin unterstützen, indem sie Lebenslaufanalysen, asynchrone Interviewnachweise, Bewertungen, Input von Prüfenden und endgültige Entscheidungen in einem einzigen auditierbaren Arbeitsbereich zusammenführen. Der operative Gewinn ist erheblich: Teams können unkontrollierte Kopien reduzieren und gleichzeitig autorisierten Stakeholdern vor einem Live-Interview aussagekräftigere Belege zur Verfügung stellen.
Löschung durchsetzbar machen, nicht nur wünschenswert
Eine Aufbewahrungsrichtlinie ist unwirksam, wenn die Löschung von der Erinnerung eines Recruiters abhängt, alte Stellenausschreibungen zu bereinigen. Unternehmens-Teams benötigen Automatisierung, Ausnahmebehandlung und Nachweise, dass der Prozess stattgefunden hat.
Konfigurieren Sie Systeme so, dass sie Datensätze markieren, die sich dem Ablauf der Aufbewahrungsfrist nähern, den verantwortlichen Eigentümer benachrichtigen, wenn eine Überprüfung erforderlich ist, und berechtigte Daten nach einem wiederkehrenden Zeitplan löschen oder anonymisieren. Definieren Sie, ob Löschung eine irreversible Vernichtung, die Entfernung direkter Identifikatoren, die Archivierung unter eingeschränktem Zugriff oder eine Kombination dieser Maßnahmen bedeutet. Die Definition sollte präzise sein, denn „archivierte“ Daten sind immer noch aufbewahrte Daten.
Ebenso wichtig ist es, Ausnahmen zu identifizieren. Eine Sperre aufgrund eines Rechtsstreits, eine behördliche Anfrage, eine Kandidatenbeschwerde, eine aktive Untersuchung oder eine vertragliche Verpflichtung kann eine vorübergehende Aussetzung der normalen Entsorgung erfordern. Ausnahmedatensätze sollten den Grund, den genehmigenden Eigentümer, den Umfang, das Startdatum und das Überprüfungsdatum enthalten. Wenn die Sperre endet, sollten die Daten in den normalen Löschprozess zurückkehren.
Anbieterverträge verdienen die gleiche Prüfung. Bestätigen Sie, wie Anbieter von Recruiting-Technologien Löschungsanfragen bearbeiten, Backups handhaben, Kundendaten isolieren, Kunden über Vorfälle informieren und Audit-Anforderungen unterstützen. Wenn ein Anbieter keine klaren Antworten geben kann, ist das Unternehmen möglicherweise nicht in der Lage, seine eigenen Richtlinienverpflichtungen zu erfüllen.
Zuständigkeiten über HR, Recht, Datenschutz und IT verteilen
Die Datenaufbewahrung ist nicht allein eine Aufgabe des Recruitings. Talent Acquisition versteht den Einstellungsprozess, aber die Rechtsabteilung interpretiert die Aufbewahrungspflichten, der Datenschutz definiert die Anforderungen an die Datenverarbeitung, IT und Sicherheit verwalten die Systemkontrollen, und der Einkauf regelt die Anbieterverpflichtungen.
Ein praktikables Betriebsmodell weist einen Richtlinienverantwortlichen zu, normalerweise innerhalb der Personal- oder Datenschutzabteilung, zusammen mit Systemverantwortlichen, die die Aufbewahrungseinstellungen konfigurieren. Die Recruiting-Abteilung sollte für die Prozessdokumentation und das Training der Führungskräfte verantwortlich sein. Personalverantwortliche sollten dafür verantwortlich sein, Entscheidungsnachweise in genehmigten Systemen zu erfassen und Schattenakten zu vermeiden. Interne Revision oder Compliance können überprüfen, ob die Richtlinie wie vorgesehen funktioniert.
Überprüfen Sie die Richtlinie mindestens jährlich und immer dann, wenn das Unternehmen eine neue Bewertungsmethode einführt, in eine neue Gerichtsbarkeit expandiert, einen Anbieter wechselt oder eine neue Kategorie von Kandidateninformationen zu sammeln beginnt. Wachstum durch Akquisitionen ist ein weiterer häufiger Auslöser, da akquirierte Teams oft unkontrollierte Recruiting-Archive mitbringen.
Datenaufbewahrung in ein besseres Kandidatenerlebnis verwandeln
Klare Aufbewahrungsregeln sind nicht nur eine Compliance-Kontrolle. Sie signalisieren Respekt gegenüber Kandidaten. Eine prägnante Datenschutzerklärung, eine verständliche Erläuterung der Aufbewahrungsfristen und ein zuverlässiger Prozess für Anfragen können das Vertrauen stärken, selbst wenn der Kandidat kein Angebot erhält.
Für das einstellende Unternehmen ist der Nutzen ebenso praktisch: weniger redundante Daten, schnellere Abrufbarkeit von Entscheidungsnachweisen, weniger unkontrollierte Dateien und eine klarere Verantwortlichkeit über den gesamten Einstellungsprozess hinweg. Das effektivste Aufbewahrungsprogramm ist dasjenige, das in den Recruiting-Workflow eingebettet ist, wo jede Entscheidung dokumentiert wird, jeder Datensatz einen Zweck hat und keine Kandidatendaten einfach aufbewahrt werden, weil niemand entschieden hat, was als Nächstes geschehen soll.