GDPR fürs Hiring: Welche Kandidatinnen-Daten du behalten kannst, wie lange und was zu löschen

Das Prinzip, das zählt

GDPRs Lawful-Basis-Framework stellt zwei Fragen zu jeder Kandidatinnen-Datei: warum hast du sie und wie lange brauchst du sie. Wenn du beides nicht klar beantworten kannst, solltest du sie nicht haben.

Die meisten Hiring-Daten-Compliance-Issues sind keine exotischen Edge-Cases. Sie sind Defaults.

Verteidigungsfähige Defaults

Lawful Basis

Für eine aktive Kandidatin: Legitimate-Interest oder Contract-Preparatory. Du brauchst keine Zustimmung zur Bewertung — sie hat sich beworben.

Für eine passive Kandidatin in einem Talent-Pipeline-Pool: Consent, mit klarem Opt-in und klarer Retention-Periode.

Misch nicht. Wenn du unter einer Basis sammelst und unter anderer nutzt, hast du ein Problem.

Retention

• Aktive Kandidatinnen: für die Dauer des Hiring-Prozesses plus vernünftiges Defense-Window (6-12 Monate nach Rejection in EU).
• Eingestellte Kandidatinnen: Übergang zu Employee-Data.
• Talent-Pipeline: nur mit explizitem Consent.

Alles älter sollte auto-gelöscht werden.

Daten-Minimierung

Sammle, was die Rollen-Bewertung erfordert, nicht alles, was du wollen könntest. Foto auf Resume? Nicht nötig. Geburtsdatum? Nicht nötig. National-ID? Definitiv nicht.

Spezial-Kategorie-Daten

Rasse, Ethnie, Gesundheit, sexuelle Orientierung, Religion, politische Ansichten, Biometrie — Spezial-Kategorie. Strengere Anforderungen. Vermeide, außer du hast spezifischen Compliance-Use.

Praktische Compliance-Checkliste

• Privacy-Notice auf der Application-Seite
• Lawful Basis pro Daten-Kategorie dokumentiert
• Retention-Period dokumentiert und automatisch durchgesetzt
• DSAR-Prozess dokumentiert und getestet
• Right-to-Erasure-Prozess dokumentiert und getestet
• Sub-Processors gelistet mit DPAs
• Cross-Border-Transfer-Mechanismus dokumentiert
• Breach-Notification-Prozess mit benanntem Owner und 72-Stunden-SLA

Häufige Failure-Modes

• Forever-Retention. Kandidatinnen-Daten von 2019 noch im ATS. Löschen oder rechtfertigen.
• Unrestricted Access. Jede Recruiterin hat Zugriff auf alles. Wende Least-Privilege an.
• Recordings ohne Retention. Wähle Periode (90 Tage üblich).
• Vendor-Sprawl. Jeder neue Vendor fügt Sub-Processor hinzu. Auditiere jährlich.

Was ClarityHire tut

Konfigurierbare Retention pro Daten-Kategorie, automatische Löschung am Retention-Ende, DSAR-Export, Scoped-Role-Based-Access, Processor-Dokumentation. Compliance ist ein Prozess, kein Produkt — aber das Produkt sollte den Prozess handhabbar machen.

Dieser Post ist allgemeine Anleitung, keine Rechtsberatung. Für spezifische Jurisdiktion arbeite mit Counsel.