Brauche ich für ein Bewerbungsformular eine Einwilligung der Bewerber?

Für das Bewerbungsverfahren selbst in der Regel nicht. Die Verarbeitung dient der Anbahnung eines Beschäftigungsverhältnisses und stützt sich auf Art. 6 Abs. 1 lit. b DSGVO, im deutschen Recht ergänzend auf § 26 BDSG. Eine Einwilligung brauchst du erst, wenn du die Unterlagen über das konkrete Verfahren hinaus nutzen willst, etwa für einen Talentpool. Das ist keine Rechtsberatung.

Wie lange darf ich Bewerbungsunterlagen nach einer Absage aufbewahren?

Eine gesetzlich festgelegte Frist gibt es nicht. Die Unterlagen dürfen so lange bleiben, wie du sie zur Verteidigung gegen mögliche Ansprüche brauchst. Maßgeblich sind die Fristen aus § 15 Abs. 4 AGG und § 61b ArbGG. In der Praxis wird daraus häufig eine Richtgröße von rund sechs Monaten nach Zugang der Absage abgeleitet. Danach löschst du die Daten, sofern kein Verfahren läuft und keine Einwilligung für eine längere Speicherung vorliegt.

Darf ich im Bewerbungsformular ein Foto oder das Geburtsdatum verlangen?

Als Pflichtangabe solltest du beides nicht abfragen. Für die Eignung sind Foto und Geburtsdatum in aller Regel nicht erforderlich, und sie können Rückschlüsse auf Merkmale zulassen, nach denen das AGG eine Benachteiligung verbietet. Wenn jemand freiwillig ein Foto im Lebenslauf mitschickt, ist das seine Entscheidung.

Ist eine Bewerbung per E-Mail sicherer als über ein Formular?

Meist ist es umgekehrt. E-Mails mit Anhängen landen in Postfächern, werden weitergeleitet und liegen oft unbefristet in mehreren Ordnern. Ein Formular überträgt die Daten verschlüsselt an eine Stelle, von der aus du Zugriff und Löschung steuern kannst. Entscheidend ist, dass du die Daten danach nicht wieder unkontrolliert per E-Mail verteilst.

Bewerbungsformular DSGVO-konform: Felder, Fristen, Anhänge

Ein Bewerbungsformular sammelt mehr persönliche Daten als fast jedes andere Formular auf deiner Website: Lebenslauf, Zeugnisse, Kontaktdaten, oft auch Gehaltsvorstellungen. Damit dein Bewerbungsformular DSGVO-konform ist, musst du drei Fragen klären: Welche Felder darfst du abfragen, wie lange darfst du die Daten behalten und wie nimmst du Anhänge sicher an? Dieser Artikel beantwortet sie und zeigt, wie du das in Formenio umsetzt.

Keine Rechtsberatung

Dieser Artikel ordnet die Rechtslage zum Stand Oktober 2026 ein, ersetzt aber keine Rechtsberatung. Prüfe Formular, Datenschutzhinweise und Löschkonzept im Zweifel mit deiner oder deinem Datenschutzbeauftragten oder einer Anwältin bzw. einem Anwalt.

Die allgemeinen Grundlagen zu Rechtsgrundlagen, Datensparsamkeit und Auftragsverarbeitung findest du im Artikel DSGVO-konforme Online-Formulare. Hier geht es um die Besonderheiten im Bewerbungsverfahren.

Rechtsgrundlage: Bewerber zählen als Beschäftigte

Im deutschen Datenschutzrecht gelten Bewerberinnen und Bewerber als Beschäftigte. Das regelt § 26 Abs. 8 Satz 2 BDSG. Sie haben also vergleichbare Rechte wie deine Mitarbeitenden.

Ob § 26 Abs. 1 BDSG als Rechtsgrundlage noch trägt, ist seit einem Urteil des Europäischen Gerichtshofs aus dem Jahr 2023 (Rechtssache C-34/21) umstritten. Für die Praxis ändert das weniger, als es klingt: Die DSGVO gilt unmittelbar, und Art. 6 Abs. 1 lit. b DSGVO erlaubt die Verarbeitung, soweit sie für die Anbahnung eines Beschäftigungsverhältnisses erforderlich ist. So ordnet es auch die Information zum Bewerberdatenschutz des Hamburgischen Datenschutzbeauftragten ein. Ein eigenes Beschäftigtendatenschutzgesetz gibt es zum Stand dieses Artikels nicht.

Daraus folgt der wichtigste Maßstab für dein Formular: Erforderlichkeit. Jede Angabe muss sich mit der Frage begründen lassen, ob du sie brauchst, um über die Bewerbung zu entscheiden.

Keine Einwilligungs-Checkbox für das Verfahren

Für das Bewerbungsverfahren selbst brauchst du keine Einwilligung. Eine Checkbox „Ich willige in die Verarbeitung meiner Daten ein“ ist hier nicht nötig und eher schädlich: Eine Einwilligung kann jederzeit widerrufen werden. Ein gut sichtbarer Link zu deinen Datenschutzhinweisen für Bewerber genügt.

Welche Felder im Bewerbungsformular zulässig sind

Ein schlankes Bewerbungsformular ist datenschutzfreundlicher und wird häufiger zu Ende ausgefüllt. Diese Aufteilung hat sich bewährt:

Feld	Pflicht?	Begründung
Vor- und Nachname	ja	Zuordnung der Bewerbung
E-Mail-Adresse	ja	Rückmeldung, Einladung, Absage
Stelle (Auswahlfeld)	ja	Zuordnung zum richtigen Verfahren
Lebenslauf (Datei-Upload)	ja	Grundlage der Eignungsprüfung
Anschreiben oder Motivation	nach Bedarf	nur, wenn du es wirklich liest
Zeugnisse (Datei-Upload)	optional	oft erst im späteren Schritt nötig
Telefonnummer	optional	erleichtert die Terminabsprache
Frühestmögliches Eintrittsdatum	optional	Planung
Gehaltsvorstellung	optional	nur, wenn sie für die Vorauswahl zählt

Was du nicht abfragen solltest

Das Allgemeine Gleichbehandlungsgesetz (AGG) verbietet Benachteiligungen unter anderem wegen Alter, Geschlecht, ethnischer Herkunft, Religion, Behinderung und sexueller Identität. Felder, die solche Rückschlüsse erlauben, gehören nicht in ein Bewerbungsformular, auch nicht als freiwillige Angabe:

Foto. Für die Eignung nicht erforderlich. Wer eines im Lebenslauf mitschickt, entscheidet das selbst.
Geburtsdatum und Alter. Nur in Ausnahmefällen relevant, etwa bei gesetzlichen Altersgrenzen.
Familienstand, Kinder, Schwangerschaft.
Religion, Gesundheit, Gewerkschaftszugehörigkeit. Das sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und im Formular tabu.
Staatsangehörigkeit. Wenn es um die Arbeitserlaubnis geht, frag gezielt danach, ob eine Arbeitserlaubnis vorliegt.

Frag nach dem, was du entscheidest

Statt „Geburtsdatum“ für eine Ausbildungsstelle mit Altersvorgabe reicht oft eine Ja/Nein-Frage wie „Bist du zum Ausbildungsbeginn mindestens 18 Jahre alt?“. Du bekommst die Information, die du brauchst, und nicht mehr.

Anhänge sicher annehmen statt per E-Mail

Lebensläufe und Zeugnisse per E-Mail anzunehmen, ist bequem, aber schwer zu kontrollieren. Anhänge landen in persönlichen Postfächern, werden an Fachabteilungen weitergeleitet und liegen dann in mehreren Ordnern, oft ohne Löschdatum. Ein Datei-Upload im Formular bündelt alles an einer Stelle.

So setzt du das in Formenio um:

Datei-Upload-Feld für Lebenslauf und Zeugnisse anlegen. Das Feld gibt es ab dem Starter-Plan. Speicherplatz und maximale Dateigröße hängen vom Plan ab, Details zeigt die Preisübersicht.
Downloads nur nach Anmeldung. Hochgeladene Dateien lädst du nach dem Login in deinem Formenio-Konto herunter. Ein weitergeleiteter Link allein öffnet die Datei nicht.
Benachrichtigung schlank halten. Per Workflow bekommst du bei jeder Bewerbung eine E-Mail. Nimm darin nur Name und Stelle auf und sieh dir die Unterlagen in Formenio an, statt Inhalte in Postfächer zu kopieren.
Verschlüsselte Übertragung und Serverstandort. Formenio überträgt die Daten per TLS und speichert sie auf Servern in Deutschland. Den Auftragsverarbeitungsvertrag (AVV) schließt du direkt ab.

Wer intern Zugriff braucht, sollte ihn über ein gemeinsames Konto bekommen, nicht über weitergeleitete Mails. Formulare im Team teilen kannst du im Business-Plan.

Bewerbungsfrist und Datenschutzhinweis

Zwei Einstellungen machen das Formular übersichtlicher und rechtlich sauberer:

Bewerbungsfrist setzen. Über „Antworten nach Datum oder Limit begrenzen“ nimmt das Formular nach Ablauf der Frist keine Bewerbungen mehr an. So sammelst du keine Daten für Stellen, die längst besetzt sind.

Datenschutzhinweis direkt am Absenden-Button. Nach Art. 13 DSGVO musst du Bewerber bei der Erhebung informieren: wer verantwortlich ist, wofür die Daten genutzt werden, wer sie erhält und wie lange sie gespeichert bleiben. Setze dafür einen kurzen Hinweis mit Link zu deinen Datenschutzhinweisen für Bewerber als Beschreibung an das letzte Feld, damit er unmittelbar über dem Absenden-Button steht. Den Absenden-Text änderst du in den Grundeinstellungen, etwa auf „Bewerbung absenden“.

Einen fertigen Ausgangspunkt mit Datei-Upload für Anschreiben und Lebenslauf bietet die Vorlage für ein Online-Bewerbungsformular. Streiche zuerst die Felder, die du nicht brauchst, und ergänze danach, was fehlt.

Aufbewahrungsfristen für Bewerberdaten

Für Bewerbungsunterlagen gibt es keine gesetzlich festgelegte Aufbewahrungs- oder Löschfrist. Das betont auch der Landesbeauftragte für den Datenschutz Niedersachsen in seiner FAQ zu Löschfristen von Bewerbungsdaten. Du darfst die Unterlagen so lange aufbewahren, wie du sie zur Verteidigung gegen mögliche Rechtsansprüche brauchst.

Maßgeblich sind zwei Fristen:

Nach § 15 Abs. 4 AGG müssen abgelehnte Bewerber einen Entschädigungsanspruch innerhalb von zwei Monaten nach Zugang der Absage schriftlich geltend machen.
Nach § 61b ArbGG muss die Klage innerhalb von drei Monaten nach dieser Geltendmachung erhoben werden.

In der Praxis wird daraus häufig eine Richtgröße von rund sechs Monaten nach Zugang der Absage abgeleitet, mit etwas Puffer für Zustellung und Postlauf. Danach löschst du die Unterlagen, sofern kein Verfahren läuft. Zieht jemand seine Bewerbung zurück, gilt nach Auffassung des LfD Niedersachsen dasselbe: Löschen erst, wenn die Unterlagen nicht mehr zur Verteidigung gebraucht werden.

Entgelttransparenz im Blick behalten

Der LfD Niedersachsen weist darauf hin, dass die EU-Entgelttransparenzrichtlinie (EU) 2023/970 Anforderungen an die Aufbewahrung von Bewerbungsunterlagen beeinflussen kann. Ob sich daraus für dich längere Fristen ergeben, solltest du mit deiner Datenschutzberatung klären.

Löschen organisieren

Eine Frist hilft nur, wenn jemand sie einhält. Halte dein Löschkonzept einfach:

Pro Stelle ein eigenes Formular oder ein Auswahlfeld für die Stelle. So lassen sich abgeschlossene Verfahren gesammelt bearbeiten.
Status setzen. Mit der Workflow-Aktion „Status setzen“ hältst du den Stand fest, etwa „eingegangen“, „abgesagt“ oder „eingestellt“. So ist klar, für welche Bewerbungen die Frist läuft.
Löschtermin im Kalender. Trage beim Versand der Absagen direkt den Löschtermin ein.
Kopien mitdenken. CSV-Exporte, heruntergeladene Lebensläufe und Benachrichtigungsmails gehören ebenfalls ins Löschkonzept.

Die Unterlagen der eingestellten Person wandern in die Personalakte. Für sie gelten dann die Regeln des Beschäftigungsverhältnisses.

Talentpool nur mit Einwilligung

Möchtest du gute Bewerbungen für spätere Stellen aufheben, brauchst du eine Einwilligung. Der Hamburgische Datenschutzbeauftragte nennt als Mindestinhalt den Zweck, die gespeicherten Daten, die Speicherdauer und den Hinweis auf den jederzeitigen Widerruf.

Im Formular legst du dafür eine optionale Checkbox ohne Vorauswahl an. Die Bewerbung darf nicht davon abhängen, ob jemand zustimmt.

Muster – Checkbox (optional, nicht vorausgewählt): Ja, ihr dürft meine Bewerbungsunterlagen nach Abschluss dieses Verfahrens für 12 Monate speichern und mich für passende andere Stellen kontaktieren. Ich kann diese Einwilligung jederzeit per E-Mail an jobs@beispiel.de widerrufen.

Die Dauer im Muster ist ein Beispiel. Wähle einen Zeitraum, der zu deinen typischen Besetzungszyklen passt, und frag vor Ablauf erneut nach.

Checkliste für dein Bewerbungsformular

Fazit

Ein DSGVO-konformes Bewerbungsformular braucht keine Häkchen-Sammlung. Es braucht wenige, begründbare Felder, einen sicheren Weg für Anhänge, klare Informationen am Absenden-Button und eine Löschfrist, die du tatsächlich einhältst. Wer das einmal pro Stelle sauber aufsetzt, schützt die Bewerber und erspart sich verstreute Lebensläufe in Postfächern. Welche Funktionen Formenio dafür mitbringt, zeigt die Funktionsübersicht.