DSGVO-Informationspflicht bei ungewollten Initiativbewerbungen

Bei vielen Unternehmen gehen Bewerbungen ein, ohne, dass zuvor eine Stellenausschreibung veröffentlicht und unabhängig einer Stellenausschreibung um Bewerbungen gebeten wurde – sogenannte Initiativbewerbungen. Daraufhin kommt mitunter die Frage auf, ob bei direkter Löschung der Bewerbungsdaten noch Informationspflichten hinsichtlich der Verarbeitung der Bewerbungsdaten bestehen und, ob es einen Unterschied machen würde, wenn zusätzlich eine Absage-Rückmeldung mit dem Hinweis auf einen Mangel offener Stellen erfolgen würde.

Informationspflichten trotz direktem Löschen ungewollter Initiativbewerbungen?

Für Bewerbungsdaten einer (natürlichen) Person, die diese selbst an ein Unternehmen übermittelt hat, kommt hinsichtlich etwaiger Informationspflichten zur Datenverarbeitung grundsätzlich Art. 13 DSGVO in Betracht.

Für das Auslösen der darin genannten Informationspflichten müssten aber laut Art. 13 Abs.1 DSGVO von dem Unternehmen personenbezogene Daten bei der betroffenen Person „erhoben“ werden:

„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

• den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
• gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
• die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
• wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden; […]“

Wann kann von einer „Erhebung“ („erheben“) gesprochen werden?

„Erheben bezeichnet damit einen Vorgang, durch den die erhebende Stelle erstmalig für den [von ihr] verfolgten Zweck Kenntnis von den betreffenden Daten erhält oder die Verfügungsmacht über die Daten begründet.“
(Roßnagel in Simitis/Hornung/Spiecker, Datenschutzrecht, 2. Aufl. 2025, Art. 4 Rn. 15)
[Einfügung durch uns]

Da das Unternehmen aber nicht zur Übermittlung der Bewerbungsdaten in irgendeiner Form aufgefordert hat, sondern diese auf eine ungewollte Initiativbewerbung zurückgeht, erhält das Unternehmen zunächst keine Kenntnis von den betreffenden Daten für einen von ihr verfolgten Zweck. Es verfolgt hinsichtlich dieser Daten schließlich keinen Zweck.

Das Merkmal der „Erhebung“ im Sinne von Art. 13 Abs.1 DSGVO wäre daher auch mit dem bloßen Erhalt der Daten nicht erfüllt (so auch der bayerische Landesbeauftragte für den Datenschutz).

Wenn die Daten vom Unternehmen nach Erhalt umgehend gelöscht werden, also weder zu dem von den Bewerbenden beabsichtigten als auch irgendeinem anderen Zweck verwendet werden, dürfte das Merkmal des Erhebens auch dadurch nicht erfüllt werden. Zumal eine Datenerhebung in Form einer Datenlöschung widersprüchlich wäre und die Erfüllung der Informationspflichten aus Art. 13 DSGVO in dem Fall sinnlos erscheint.

Rückmeldung mit Folgen für die Informationspflicht?

Wie sieht es aber aus, wenn das Unternehmen z. B. per E-Mail oder Briefpost rückmeldet, dass derzeit keine offenen Stellen verfügbar sind, ggf. auch mit dem Zusatz, dass die Bewerbungsdaten gelöscht werden/wurden?

In dem Fall dürfte eine Informationspflichten nach sich ziehende Erhebung personenbezogener Daten durch das Unternehmen im Sinne von Art. 13 Abs.1 DSGVO darin zu sehen sein, dass ein personenbezogenes Bewerbungsdatum, z. B. die E-Mail-Adresse oder die Anschrift der Bewerbenden, zum Zweck der Rückmeldung über nicht vorhandene offene Stellen verwendet und ggf. gespeichert wurde. (vgl. Roßnagel in Simitis/Hornung/Spiecker, Datenschutzrecht, 2. Aufl. 2025, Art. 4 Rn. 15)

Da Art. 13 Abs.1 DSGVO den Zeitpunkt der Erhebung der Daten als Informationszeitpunkt vorschreibt, sollte die Rückmeldung des Unternehmens auch die von Art. 13 DSGVO geforderten Informationen enthalten.

Entscheidung nach Aufwand oder nicht?

Um sich gegenüber den unerwünschten Initiativbewerbenden Informationsaufwand nach Art. 13 DSGVO zu ersparen, müssten deren Bewerbungsdaten direkt nach Erhalt gelöscht werden.

Wenn jedoch z. B. aus Imagegründen eine Rückmeldung an die Bewerbenden erfolgen soll, wäre darauf zu achten, dass die Informationspflichten aus Art. 13 DSGVO erfüllt werden – z. B. mittels Direktverlinkung der entsprechenden Datenschutzhinweise in einer E-Mail oder deren Beifügung zu einem Postschreiben.