Bewerberdaten in der Arztpraxis: Vom Eingang bis zur geregelten Löschung

Eine Bewerbung ist keine Nachricht für das gesamte Praxisteam

Bewerberinnen und Bewerber gelten für § 26 BDSG als Beschäftigte. Die für eine Einstellungsentscheidung erforderlichen Daten dürfen unter den gesetzlichen Voraussetzungen verarbeitet werden. Das bedeutet jedoch nicht, dass alle Beschäftigten einer Praxis die vollständigen Unterlagen sehen müssen.

Legen Sie fest, welche Personen an der konkreten Auswahl beteiligt sind. Für eine fachliche Einschätzung braucht eine Teamleitung beispielsweise passende Qualifikationsnachweise; Bankverbindungen oder private Gesundheitsangaben sind dafür regelmäßig nicht erforderlich. Auch Gesprächsnotizen sollten sachlich bleiben und sich auf die Stellenanforderungen beziehen.

Schon der Eingang sollte geregelt sein

Ein Recruiting-Dienst oder Bewerbungsportal muss ebenfalls in die Prüfung einbezogen werden. Klären Sie seine tatsächliche Rolle, Zugriffsrechte, Verarbeitungsorte und Löschmöglichkeiten. Ein Auftragsverarbeitungsvertrag ist dort erforderlich, wo tatsächlich Auftragsverarbeitung vorliegt; die bloße Bezeichnung „Personalvermittlung“ entscheidet darüber nicht.

Nur Angaben verlangen, die für die Entscheidung benötigt werden

Prüfen Sie jede Frage und jedes Pflichtfeld anhand der ausgeschriebenen Tätigkeit. Qualifikation, Berufserfahrung und Erreichbarkeit lassen sich meist unmittelbar zuordnen. Bei Gesundheitsangaben, privaten Lebensumständen oder zusätzlichen Nachweisen ist genauer zu klären, ob und wann eine Erhebung zulässig und erforderlich ist.

Auch KI zur Bewerberbewertung benötigt eine eigene Prüfung. Lebensläufe gehören nicht beiläufig in ein ungeprüftes öffentliches Tool.

Aufbewahrungsfristen begründen statt eine Zahl übernehmen

Nach Abschluss des Auswahlverfahrens entfällt der ursprüngliche Zweck nicht für sämtliche Unterlagen zwingend am selben Tag. Eine begrenzte weitere Speicherung kann zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein. Umfang und Dauer müssen dazu passen.

Die Datenschutzaufsicht Niedersachsen weist in ihren im Juli 2026 aktualisierten FAQ ausdrücklich darauf hin, dass keine gesetzlich festgelegten Aufbewahrungs- oder Löschfristen für Bewerbungsdaten bestehen. Entscheidend sind unter anderem mögliche Ansprüche und gegebenenfalls ein konkretes Verfahren. Eine pauschale Aussage „Die DSGVO schreibt sechs Monate vor“ wäre daher falsch.

Ein Talentpool für spätere Stellen ist ein eigener Zweck. Dafür braucht es eine passende Grundlage, häufig eine freiwillige, informierte Einwilligung mit begrenztem Zeitraum und einfacher Widerrufsmöglichkeit. Eine Bewerbung auf eine bestimmte Stelle ist keine automatische Zustimmung zu einem dauerhaften Bewerberarchiv.

Fehlversand ist ein Vorfall, der geprüft werden muss

Wird eine Bewerbung an den falschen Empfänger geschickt, informieren Sie intern sofort die zuständige Person. Dokumentieren Sie Inhalt, Empfänger, Zeitpunkt und bereits ergriffene Maßnahmen. Bitten Sie gegebenenfalls um Löschung; verlassen Sie sich aber nicht allein auf eine Rückruffunktion oder eine automatische Lesebestätigung.

Die Praxis bewertet das Risiko und prüft eine Meldung nach Art. 33 DSGVO sowie gegebenenfalls eine Benachrichtigung der betroffenen Person. Eine erforderliche Aufsichtsmeldung erfolgt unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden. Nicht jeder Verstoß löst automatisch Schadensersatz aus: Dafür müssen insbesondere ein materieller oder immaterieller Schaden und der Zusammenhang mit dem Verstoß vorliegen. Eine allgemeine Erheblichkeitsschwelle für immaterielle Schäden gibt es jedoch nicht.