Bei vielen Unternehmen gehen Bewerbungen ein, ohne, dass zuvor eine Stellenausschreibung veröffentlicht und unabhängig einer Stellenausschreibung um Bewerbungen gebeten wurde – sogenannte Initiativbewerbungen. Daraufhin kommt mitunter die Frage auf, ob bei direkter Löschung der Bewerbungsdaten noch Informationspflichten hinsichtlich der Verarbeitung der Bewerbungsdaten bestehen und, ob es einen Unterschied machen würde, wenn zusätzlich eine Absage-Rückmeldung mit dem Hinweis auf einen Mangel offener Stellen erfolgen würde.
Der Inhalt im Überblick
Informationspflichten trotz direktem Löschen ungewollter Initiativbewerbungen?
Für Bewerbungsdaten einer (natürlichen) Person, die diese selbst an ein Unternehmen übermittelt hat, kommt hinsichtlich etwaiger Informationspflichten zur Datenverarbeitung grundsätzlich Art. 13 DSGVO in Betracht.
Für das Auslösen der darin genannten Informationspflichten müssten aber laut Art. 13 Abs.1 DSGVO von dem Unternehmen personenbezogene Daten bei der betroffenen Person „erhoben“ werden:
„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:
- den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
- gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
- die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
- wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden; […]“
Wann kann von einer „Erhebung“ („erheben“) gesprochen werden?
„Erheben bezeichnet damit einen Vorgang, durch den die erhebende Stelle erstmalig für den [von ihr] verfolgten Zweck Kenntnis von den betreffenden Daten erhält oder die Verfügungsmacht über die Daten begründet.“
(Roßnagel in Simitis/Hornung/Spiecker, Datenschutzrecht, 2. Aufl. 2025, Art. 4 Rn. 15)
[Einfügung durch uns]
Da das Unternehmen aber nicht zur Übermittlung der Bewerbungsdaten in irgendeiner Form aufgefordert hat, sondern diese auf eine ungewollte Initiativbewerbung zurückgeht, erhält das Unternehmen zunächst keine Kenntnis von den betreffenden Daten für einen von ihr verfolgten Zweck. Es verfolgt hinsichtlich dieser Daten schließlich keinen Zweck.
Das Merkmal der „Erhebung“ im Sinne von Art. 13 Abs.1 DSGVO wäre daher auch mit dem bloßen Erhalt der Daten nicht erfüllt (so auch der bayerische Landesbeauftragte für den Datenschutz).
Wenn die Daten vom Unternehmen nach Erhalt umgehend gelöscht werden, also weder zu dem von den Bewerbenden beabsichtigten als auch irgendeinem anderen Zweck verwendet werden, dürfte das Merkmal des Erhebens auch dadurch nicht erfüllt werden. Zumal eine Datenerhebung in Form einer Datenlöschung widersprüchlich wäre und die Erfüllung der Informationspflichten aus Art. 13 DSGVO in dem Fall sinnlos erscheint.
Rückmeldung mit Folgen für die Informationspflicht?
Wie sieht es aber aus, wenn das Unternehmen z. B. per E-Mail oder Briefpost rückmeldet, dass derzeit keine offenen Stellen verfügbar sind, ggf. auch mit dem Zusatz, dass die Bewerbungsdaten gelöscht werden/wurden?
In dem Fall dürfte eine Informationspflichten nach sich ziehende Erhebung personenbezogener Daten durch das Unternehmen im Sinne von Art. 13 Abs.1 DSGVO darin zu sehen sein, dass ein personenbezogenes Bewerbungsdatum, z. B. die E-Mail-Adresse oder die Anschrift der Bewerbenden, zum Zweck der Rückmeldung über nicht vorhandene offene Stellen verwendet und ggf. gespeichert wurde. (vgl. Roßnagel in Simitis/Hornung/Spiecker, Datenschutzrecht, 2. Aufl. 2025, Art. 4 Rn. 15)
Da Art. 13 Abs.1 DSGVO den Zeitpunkt der Erhebung der Daten als Informationszeitpunkt vorschreibt, sollte die Rückmeldung des Unternehmens auch die von Art. 13 DSGVO geforderten Informationen enthalten.
Entscheidung nach Aufwand oder nicht?
Um sich gegenüber den unerwünschten Initiativbewerbenden Informationsaufwand nach Art. 13 DSGVO zu ersparen, müssten deren Bewerbungsdaten direkt nach Erhalt gelöscht werden.
Wenn jedoch z. B. aus Imagegründen eine Rückmeldung an die Bewerbenden erfolgen soll, wäre darauf zu achten, dass die Informationspflichten aus Art. 13 DSGVO erfüllt werden – z. B. mittels Direktverlinkung der entsprechenden Datenschutzhinweise in einer E-Mail oder deren Beifügung zu einem Postschreiben.
Die Argumentation, dass der Erhalt einer Initiativbewerbung keine Erhebung darstellt, da es sich hierbei nicht um einen vom Verantwortlichen verfolgten Zweck handelt, greift meiner Meinung nach etwas zu kurz. Oft liest man auf den Unterseiten mit den veröffentlichten Stellenangeboten Formulierungen wie: „Über Ihre Initiativbewerbung freuen wir uns.“ oder „Ihre Initiativbewerbung können Sie an die folgende Adresse richten.“ Damit lässt sich nicht mehr abstreiten, dass der Erhalt von Initiativbewerbungen Teil des verfolgten Zwecks des Bewerbermanagements ist.
Genau, im Fall der von Ihnen genannten erwünschten Initiativbewerbungen wäre das Erhebungsmerkmal erfüllt. In dem Blogbeitrag wurden jedoch nur unerwünschte Initiativbewerbungen thematisiert. Ihr Hinweis ist aber als Ergänzung zur Verdeutlichung und Abgrenzung sehr hilfreich.
Welche Informationen müssen wir als Unternehmen mitteilen, wenn wir eine unaufgeforderte Initiativbewerbung erhielten und darauf antworten würden, dass wir aktuell keine freien Stellen zu Verfügung hätten und anschließend sofort die Bewerbung löschen würden? Einen Datenschutzverantwortlichen haben wir nicht, da dies für unser Unternehmen nicht gesetzlich vorgeschrieben ist.
Sie geben im Artikel an:
• „den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
• […]
• die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
• wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden; […]“
Wäre der Verantwortliche die Person, welche die E-Mail initiativ lesen würde oder wäre es hier die Geschäftsführung des Unternehmens oder alle Personen, welche in Kontakt mit der Bewerbung kommen?
Der Zweck der Verarbeitung wäre die Antwort per E-Mail/die Absage? Was ist hier in diesem Fall mit der Rechtsgrundlage der Verarbeitung gemeint?
Welche Aufgaben entstünden uns als Unternehmen aus dem letzten Punkt der Aufzählung?
Über Ihre Rückmeldung würde ich mich sehr freuen.
Vielen Dank
Der „Verantwortliche“ im Sinne der DSGVO (Art. 4 Nr. 7) ist die natürliche oder juristische Person, Behörde oder sonstige Stelle, die allein oder gemeinsam über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. In Ihrem Fall ist dies Ihr Unternehmen als juristische Person – nicht einzelne Mitarbeiter, die die Bewerbung lesen.
Der Zweck der Verarbeitung ist die Bearbeitung der Bewerbung, beispielsweise zur Absage. Die Rechtsgrundlage kann je nach Einzelfall Art. 6 Abs. 1 lit. b (Erfüllung vorvertraglicher Maßnahmen), lit. a (Einwilligung) oder lit. f (berechtigtes Interesse) sein.
Aus den Informationspflichten ergeben sich für Sie insbesondere die Pflicht, dem Bewerber Auskunft über den Verantwortlichen, den Zweck und die Rechtsgrundlage der Verarbeitung sowie seine Rechte zu geben.