Für ein laufendes Bewerbungsverfahren dürfen Sie die erforderlichen Daten bis zur Entscheidung speichern; für einen Talentpool brauchen Sie danach einen eigenen, klar erklärten Speicherzweck und in der Praxis eine freiwillige, dokumentierte Einwilligung. Eine pauschale DSGVO-Frist für alle Bewerberdaten gibt es nicht. In Deutschland sind sechs Monate nach Zugang einer Absage ein verbreiteter Orientierungswert für die Bewerbungsakte, während die Poolfrist separat festgelegt, kommuniziert und technisch durchgesetzt werden muss. Dieser Beitrag beschreibt den Rahmen mit Rechtsstand 20. August 2026 und ist keine Rechtsberatung.

Ein Talentpool ist eine Auswahl von Personen, deren Profil für spätere Stellen vorgehalten wird und die dafür erreichbar bleiben möchten. Er ist nicht das Archiv aller früheren Bewerbungen. Wer beide Datenbestände gleich behandelt, vermischt zwei Zwecke: die Entscheidung über eine konkrete Stelle und die mögliche Ansprache zu einer künftigen Stelle. Für die operative Seite der späteren Ansprache hilft eine Strategie zur Talentpool-Reaktivierung; sie ersetzt aber keine Speicherregel.

Das laufende Verfahren und der Talentpool haben verschiedene Zwecke

Im laufenden Verfahren geht es darum, Eignung, Verfügbarkeit und Prozessschritte für eine konkrete Vakanz zu prüfen. Für Bewerberdaten ist in Deutschland § 26 Absatz 1 BDSG relevant: Die Verarbeitung darf für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich sein. Dazu können Bewerbung, Gesprächsnotizen und eine nachvollziehbare Auswahlentscheidung gehören. Datenminimierung bleibt dabei wichtig: Was für die konkrete Entscheidung nicht gebraucht wird, gehört nicht automatisch in die Akte.

Mit Absage, Einstellung oder Rückzug endet dieser unmittelbare Zweck. Ein Pool verfolgt dagegen die spätere Wiederansprache zu passenden Rollen. Deshalb sollte die Einwilligung für den Pool nicht in einer allgemeinen Bewerbungsbestätigung verschwinden. Sie braucht einen eigenen Opt-in, der Zweck, gespeicherte Datenarten, Dauer oder deren Kriterien, mögliche Kontaktwege und Widerruf verständlich erklärt. Der Hub zu Bewerbungsflut und CV-Screening zeigt, warum ein strukturierter Prozess auch vor der Poolentscheidung wichtig ist: Weniger Daten auf Vorrat bedeuten weniger Lösch- und Nachweisaufwand.

Einwilligung ist die Grundlage für die freiwillige Poolspeicherung

Für die Speicherung nach Abschluss eines Verfahrens sollte die Aufnahme in den Talentpool eine freiwillige Entscheidung der Person sein. Freiwillig heißt praktisch: Die Bewerbung oder der weitere Prozess dürfen nicht davon abhängen; die Auswahl darf nicht vorausgewählt sein; ein Nein darf keinen Nachteil erzeugen. Die Einwilligung muss getrennt, verständlich und spezifisch sein. Nach Artikel 7 DSGVO muss der Verantwortliche sie nachweisen können, und der Widerruf muss jederzeit ebenso leicht möglich sein wie die Erteilung.

In Deutschland verstärkt § 26 Absatz 2 BDSG diesen Blick auf die Freiwilligkeit und verlangt bei einer Einwilligung zudem die Aufklärung über Zweck und Widerrufsrecht. Bewahren Sie deshalb nicht nur ein Ja oder Nein auf. Dokumentieren Sie mindestens den Zeitpunkt, die gezeigte Textversion, den konkreten Zweck, die gewählte Pooldauer und den Widerrufsweg. Eine alte Zustimmung zu einer Bewerbung ist keine stillschweigende Dauererlaubnis für neue Stellen.

Talentpool DSGVO Speicherdauer: Warum sechs Monate nicht für den Pool gelten

Die DSGVO nennt keine allgemeine Monatszahl. Sie verlangt in Artikel 5 Absatz 1 Buchstabe e und Artikel 17 DSGVO, identifizierbare Daten nur so lange aufzubewahren, wie es für den Zweck erforderlich ist, und sie zu löschen, wenn der Zweck entfällt oder eine wirksam erteilte Einwilligung widerrufen wird, soweit keine Ausnahme greift. Für die Bewerbungsakte nach einer Absage kommt zusätzlich ein Nachweisinteresse in Betracht. Die Speicherdauer muss daher zum jeweiligen Zweck passen, nicht zu einer pauschalen ATS-Einstellung.

Der häufig genannte deutsche Orientierungswert von sechs Monaten erklärt sich aus zwei gesetzlichen Fristen, ist aber selbst keine DSGVO-Vorgabe: Ein Anspruch nach § 15 Absatz 4 AGG muss grundsätzlich innerhalb von zwei Monaten schriftlich geltend gemacht werden; eine Entschädigungsklage muss nach § 61b Absatz 1 ArbGG innerhalb von drei Monaten nach dieser schriftlichen Geltendmachung erhoben werden. Sechs Monate schaffen daher oft einen administrativen Puffer für die Dokumentation einer Auswahlentscheidung. Tarifliche Besonderheiten, weitere Ansprüche und der Einzelfall können eine andere Bewertung erfordern; lassen Sie die konkrete Frist rechtlich prüfen.

Arbeiten Sie mit drei getrennten Fristen statt mit einem Ablaufdatum

Eine praxistaugliche Regel ist das Drei-Uhren-Modell. Die Verfahrensuhr läuft für die konkrete Bewerbung und endet mit dem Abschluss des Auswahlprozesses. Die Nachweisuhr steuert die begrenzte Aufbewahrung von Unterlagen, die für die Verteidigung einer Auswahlentscheidung erforderlich sein können. Die Pooluhr beginnt nur nach der gesonderten Einwilligung und endet zum angekündigten Datum oder mit Widerruf. Diese drei Uhren dürfen nicht zu einem einzigen Feld „Bewerber gespeichert bis“ zusammengezogen werden.

Für die Pooluhr gibt es keine seriöse Universalzahl. Wählen Sie eine Dauer, die zu den Rollen, dem versprochenen Kandidatennutzen und der realistischen Pflegefrequenz passt, und nennen Sie sie im Opt-in. Vor Ablauf können Sie um eine neue, bewusste Entscheidung bitten. Bleibt sie aus, endet die aktive Poolnutzung. Ein strukturiertes CV-Screening kann die Datenbasis im Verfahren verbessern; es rechtfertigt jedoch keine längere Poolspeicherung als angekündigt.

Ein Löschkonzept muss technisch ausführbar und nachweisbar sein

Ein Löschkonzept legt fest, welche Datenarten für welchen Zweck gespeichert werden, wer die Frist verantwortet und welche technische Aktion am Ende folgt. Es sollte nicht nur den sichtbaren Profil-Datensatz erfassen, sondern auch Anhänge, Interviewnotizen, Bewertungen, Exporte, Zugriffsrollen und Wiederherstellungsabläufe berücksichtigen. Bei Ablauf der Pooluhr oder bei Widerruf muss der Datensatz aus der aktiven Suche und Ansprache verschwinden; anschließend ist zu prüfen, ob er gelöscht oder, soweit sinnvoll und wirklich anonym, anonymisiert wird.

Nachweisbarkeit bedeutet nicht, eine komplette abgelaufene Bewerbung für immer als Löschbeleg zu behalten. Sinnvoller ist ein revisionsfähiges Ereignisprotokoll mit Regel, Zeitpunkt, verantwortlichem System und Ergebnis der Löschung. So lässt sich zeigen, dass die Regel ausgeführt wurde, ohne den ursprünglichen Lebenslauf weiter aufzubewahren. Die Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO wird damit zu einer operativen Aufgabe statt zu einer nachträglichen Excel-Recherche.

Information vor der Poolspeicherung und Vorsicht bei alten Importen

Die Datenschutzhinweise müssen vor der Poolspeicherung verständlich erklären, wer verantwortlich ist, wofür die Daten verwendet werden, auf welcher Grundlage, wie lange oder nach welchen Kriterien sie gespeichert werden, welche Empfänger und Übermittlungen relevant sind und wie Auskunft, Berichtigung, Löschung, Beschwerde und Widerruf funktionieren. Werden Daten direkt bei der Person erhoben und später für den Pool weiterverarbeitet, ist die neue Zweckinformation vor dieser Weiterverarbeitung wichtig. Bei Daten, die nicht direkt erhoben wurden, gelten die Informationsanforderungen aus Artikel 13 und 14 DSGVO abhängig von der Herkunft.

Beim Import eines alten Bewerberbestands sollte zuerst nicht die Datenmenge, sondern die Nachweisqualität geprüft werden: Gibt es eine belegbare Pool-Einwilligung, deckt sie genau diesen Zweck ab, ist ihr Wortlaut noch verständlich und ist die angekündigte Laufzeit noch offen? Fehlt einer dieser Punkte, gehört das Profil nicht automatisch in den aktiven Pool. Bitten Sie gegebenenfalls um einen neuen, getrennten Opt-in, statt den Import als Einwilligung zu behandeln. Das schützt auch die Datenqualität, weil Menschen dabei Rolle, Kontaktweg und Interesse selbst aktualisieren können.

Die Fristen gehören in den Workflow, nicht in eine Erinnerungsdatei

Ein geeignetes Werkzeug sollte beim Abschluss eines Verfahrens nicht einfach „im Pool behalten“ anbieten, sondern die getrennten Zwecke sichtbar machen: Bewerbungsakte mit Nachweisfrist, Pool-Einwilligung mit Ablaufdatum und ein unverzüglicher Widerrufsweg. Automatische Fristläufe können Profile rechtzeitig zur Erneuerung vorlegen, den Zugriff nach Ablauf sperren und Löschaufgaben auslösen. Entscheidend ist, dass Automatisierung die festgelegte Regel ausführt, nicht dass sie die Rechtsgrundlage errät.

Ein Kandidatenportal mit selbst verwaltbarem Profil kann die freiwillige Poolbeziehung praktisch machen: Kandidatinnen und Kandidaten aktualisieren Angaben, ändern ihre Sichtbarkeit oder verlassen den Pool selbst. Sprad Atlas unterstützt Kandidatenportal und Talentpool-Verwaltung; die fachliche Festlegung von Fristen, Berechtigungen und Löschregeln bleibt dennoch beim verantwortlichen Unternehmen. Wer Systeme bewertet, sollte diese Funktionen neben den Themen im Vergleich von KI-Recruiting-Tools gezielt prüfen.

Die offene Grenze: Kein Tool entscheidet den rechtlichen Einzelfall

Automatische Fristen und Selbstverwaltung reduzieren vergessene Datensätze, beweisen aber nicht von allein, dass jede Aufbewahrung zulässig ist. Ein System kann nicht zuverlässig bewerten, ob ein konkreter Anspruch, eine besondere Datenkategorie, eine Betriebsvereinbarung oder eine nationale Regel eine andere Behandlung verlangt. Legen Sie deshalb Verantwortlichkeiten, Freigaben und Eskalationen fest und prüfen Sie den Prozess mit Datenschutz, Rechtsberatung und gegebenenfalls Betriebsrat.

Häufige Fragen zur Speicherdauer im Talentpool

Darf ich Bewerberdaten immer sechs Monate speichern?

Nein. Sechs Monate sind in Deutschland ein häufiger Orientierungswert für die Dokumentation nach einer Absage, weil AGG- und arbeitsgerichtliche Fristen berücksichtigt werden. Für den Talentpool reicht diese Begründung nicht; dort braucht es einen eigenen Zweck und eine transparente Pooldauer.

Muss die Talentpool-Einwilligung separat erfolgen?

Für die freiwillige Speicherung über das abgeschlossene Verfahren hinaus sollte sie separat und klar erkennbar eingeholt werden. So können Sie Zweck, Laufzeit und Widerruf verständlich erklären und die Entscheidung dokumentieren.

Was passiert bei einem Widerruf?

Der Widerruf beendet die künftige Verarbeitung auf Grundlage dieser Einwilligung. Entfernen Sie das Profil aus aktiver Poolsuche und Ansprache und führen Sie die Löschprüfung nach Ihrem Konzept durch; mögliche gesetzliche Ausnahmen sollten Sie rechtlich bewerten lassen.

Dürfen alte Bewerbungen in einen neuen Talentpool importiert werden?

Nur ein vorhandener Datensatz ist keine Poolberechtigung. Prüfen Sie die belegte Einwilligung, ihren Zweck und ihre Laufzeit; fehlt das, holen Sie vor einer Aktivierung eine neue bewusste Entscheidung ein oder übernehmen Sie das Profil nicht.

Reicht ein automatischer Löschjob als Nachweis?

Er ist ein wichtiger Teil, aber nicht der ganze Nachweis. Dokumentieren Sie auch Datenarten, Fristregel, Zuständigkeit, tatsächliche Ausführung und den Umgang mit Exporten sowie Sicherungen.