Welche Auskunft schuldet der Arbeitgeber abgelehnten Bewerbern?

Auskunft nach Art. 15 DSGVO ist für abgelehnte Bewerber zum Geschäftsmodell geworden. Auf die Absage folgt die Aufforderung, die Ablehnungsgründe mitzuteilen und unverzüglich vollständige Auskunft über alle gespeicherten Daten zu erteilen. Wird die Auskunft nicht, zu spät oder unvollständig erteilt, folgt die Klage auf Schadensersatz nach Art. 82 DSGVO – wirtschaftlich attraktiv für den Bewerber, weil der Arbeitgeber nach § 12a ArbGG selbst im Fall des Obsiegens auf seinen Anwaltskosten sitzen bleibt. Dieser Leitfaden zeigt, was Arbeitgeber tatsächlich schulden, wo die Grenzen liegen und wie lange Bewerbungsunterlagen aufbewahrt werden sollten.

Was umfasst der Auskunftsanspruch eines abgelehnten Bewerbers?

Er umfasst sämtliche zur Bewerbung gespeicherten personenbezogenen Daten. Daten, die der Arbeitgeber im Zuge einer Stellenbewerbung verarbeitet, sind personenbezogene Daten im Sinne der DSGVO. Das gilt für Anschreiben, Lebenslauf, Zeugnisse und Gesprächsnotizen ebenso wie für die dokumentierten Auswahl- und Ablehnungsgründe. Der Anspruch aus Art. 15 Abs. 1 DSGVO besteht in zwei Stufen: Der Bewerber kann zunächst die Bestätigung verlangen, ob Daten über ihn verarbeitet werden, und – wenn das der Fall ist – Auskunft über diese Daten sowie über die in Art. 15 Abs. 1 lit. a bis h DSGVO aufgeführten Zusatzinformationen. Dazu gehören die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer, die Betroffenenrechte und die Herkunft der Daten, wenn sie nicht beim Bewerber selbst erhoben wurden.

Hinzu tritt der Anspruch auf eine Kopie der verarbeiteten Daten nach Art. 15 Abs. 3 DSGVO. Diese Kopie bezieht sich auf die Daten, nicht auf das Dokument, das sie enthält. Die Grundsätze entsprechen denen im laufenden Arbeitsverhältnis, die wir im Beitrag zum Auskunftsanspruch nach Art. 15 DSGVO im Arbeitsverhältnis im Einzelnen darstellen. Der praktische Unterschied liegt im Datenbestand: Im Bewerbungsverfahren ist er klein, überschaubar und vollständig rekonstruierbar. Das macht Fehler bei der Auskunft besonders gut nachweisbar.

Ein besonderes rechtliches Interesse muss der Bewerber nicht darlegen. Art. 15 Abs. 1 DSGVO verlangt kein Motiv, und die Rechtsprechung akzeptiert es, dass ein Bewerber Auskunft einholt, um die Rechtmäßigkeit der Verarbeitung zu überprüfen und daraus gegebenenfalls weitere Ansprüche abzuleiten.

Welche Frist gilt für die Auskunft an einen abgelehnten Bewerber?

Ein Monat ab Eingang des Antrags. Nach Art. 12 Abs. 3 Satz 1 DSGVO ist unverzüglich, jedenfalls aber innerhalb eines Monats zu reagieren. Die Frist läuft ab Eingang des Antrags, nicht ab dem Zeitpunkt, zu dem die Personalabteilung ihn intern zur Kenntnis nimmt. Genau hier entstehen die meisten Verstöße, weil Auskunftsverlangen abgelehnter Bewerber typischerweise in ein Recruiting-Postfach fallen und dort als erledigte Bewerbung behandelt werden.

Ist der Antrag komplex oder gehen zahlreiche Anträge ein, kann die Frist um bis zu zwei weitere Monate verlängert werden. Das setzt voraus, dass der Bewerber innerhalb des ersten Monats über die Verlängerung und die Gründe unterrichtet wird. Diese Unterrichtung ist der wichtigste Rettungsanker des Arbeitgebers und kostet wenig – sie muss aber innerhalb der ersten Monatsfrist heraus. Vor der Auskunft darf und sollte die Identität des Antragstellers geprüft werden, wenn begründete Zweifel bestehen (Art. 12 Abs. 6 DSGVO). Ein pauschaler Ausweiswunsch ohne solche Zweifel verzögert die Frist dagegen nicht.

Müssen die Ablehnungsgründe mitgeteilt werden?

Soweit sie gespeichert sind, ja – als Datenauskunft, nicht als Begründung der Entscheidung. Hier liegt die eigentliche Konfliktzone. Ist die Bewerbung schon in der Vorauswahl anhand von Formalqualifikation und Papierform ausgeschieden, sind die gespeicherten Gründe meist objektiv und unproblematisch. Kam der Bewerber in die engere Auswahl und hat ein Vorstellungsgespräch stattgefunden, geben häufig subjektive Einschätzungen den Ausschlag. Notizen wie ein Vermerk zur fehlenden Passung im Team oder zum Auftreten im Gespräch sind personenbezogene Daten und damit auskunftspflichtig, sobald sie in der Bewerberakte oder im Bewerbermanagementsystem liegen.

Arbeitgeber offenbaren solche Einschätzungen naturgemäß ungern, und das aus einem nachvollziehbaren Grund: Jede mitgeteilte subjektive Erwägung kann im Nachhinein als Indiz für eine Benachteiligung wegen eines Merkmals aus § 1 AGG gelesen werden. Der Grat ist schmal. Hinterlässt ein älterer Bewerber nach dem internen Vermerk den Eindruck mangelnder Dynamik und entscheidet sich das Unternehmen für einen jüngeren, ist der Weg von der Leistungsbewertung zur Altersdiskriminierung kurz. Wie das Bundesarbeitsgericht solche Indizien bewertet, zeigt unser Überblick zum AGG im Bewerbungsverfahren.

Die Konsequenz für die Praxis ist nicht, weniger zu dokumentieren, sondern anders. Wer die Auswahlentscheidung von Anfang an an überprüfbaren, anforderungsbezogenen Kriterien festmacht und diese Kriterien dokumentiert, kann Auskunft erteilen, ohne sich ein AGG-Indiz zu bauen. Wer subjektive Eindrücke frei formuliert in der Akte ablegt, erzeugt genau das Material, das er später herausgeben muss. Für das Gespräch selbst gilt derselbe Gedanke, siehe dazu die unzulässigen Fragen im Bewerbungsgespräch.

Welche Empfänger der Bewerberdaten muss der Arbeitgeber nennen?

Alle, an die Daten tatsächlich weitergegeben wurden – auch konzerninterne und ausländische Stellen. Art. 15 Abs. 1 lit. c DSGVO verlangt Auskunft über die Empfänger oder Kategorien von Empfängern. Diese Angabe ist in Bewerbungsverfahren die häufigste Fehlerquelle und gleichzeitig der Punkt, an dem gezielt angesetzt wird. Ins Visier geraten deshalb vor allem Arbeitgeber, bei denen Bewerbungen nicht ausschließlich im eigenen Haus bearbeitet werden, etwa durch einen Personalberater, eine Konzern-Servicegesellschaft, die Holding oder eine Stelle im Ausland.

Wie folgenreich eine unvollständige Empfängerangabe ist, zeigt eine Entscheidung des Arbeitsgerichts Düsseldorf (Urteil v. 6.2.2025 – 12 Ca 3221/24). Dort hatte der Arbeitgeber auf das Auskunftsverlangen erklärt, die Daten seien ausschließlich unternehmensintern an die zuständigen Entscheidungsträger und die Personalabteilung weitergegeben worden. Nachdem der Bewerber eigene Recherchen vorgelegt hatte, räumte das Unternehmen ein, dass die Daten auch an Empfänger im Ausland und an das Headquarter weitergeleitet worden waren. Die unvollständige und teilweise falsche Auskunft genügte dem Gericht für die Annahme eines immateriellen Schadens in Form eines Kontrollverlusts.

Praktisch heißt das: Der Arbeitgeber braucht vor dem ersten Auskunftsverlangen eine belastbare Landkarte, wer Bewerberdaten erhält. Dazu gehören das Bewerbermanagementsystem und dessen Dienstleister, externe Recruiter, fachliche Entscheider außerhalb der Personalabteilung, konzernverbundene Gesellschaften und jeder Transfer in ein Drittland. Wer diese Landkarte erst nach Eingang des Auskunftsverlangens zeichnet, arbeitet unter Zeitdruck und produziert genau die Lücken, die später den Schaden begründen. Unterstützung dabei ist Teil unserer Beratung zum Beschäftigtendatenschutz.

Wann darf der Arbeitgeber die Auskunft verweigern?

Nur in engen Ausnahmefällen, und die Beweislast liegt beim Arbeitgeber. Die DSGVO kennt kein allgemeines Verweigerungsrecht bei unliebsamen Anträgen. In Betracht kommen im Wesentlichen zwei Wege, und beide sind schmal.

• Offenkundig unbegründeter oder exzessiver Antrag. Art. 12 Abs. 5 DSGVO erlaubt die Zurückweisung, wenn der Antrag offenkundig unbegründet oder exzessiv ist, insbesondere im Fall häufiger Wiederholung. Die Beweislast für den offenkundig unbegründeten oder exzessiven Charakter trägt nach Art. 12 Abs. 5 Satz 3 DSGVO der Arbeitgeber. Ein einmaliges Auskunftsverlangen nach einer Absage erfüllt diese Voraussetzungen nicht.
• Geheimhaltungsbedürftige Informationen Dritter. Nach § 29 Abs. 1 Satz 2 BDSG entfällt die Auskunftspflicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen überwiegender berechtigter Interessen eines Dritten, geheim gehalten werden müssen. Das trifft Geschäftsgeheimnisse, nicht aber die Ablehnungsgründe in einem gewöhnlichen Bewerbungsverfahren.

Ebenso wenig erfolgversprechend ist in der Regel der Einwand des Rechtsmissbrauchs als Anwendungsfall der Exzessivität nach Art. 12 Abs. 5 DSGVO. Art. 15 Abs. 1 DSGVO setzt kein besonderes rechtliches Interesse voraus, und selbst wenn ein Bewerber es planvoll darauf anlegt, verantwortliche Stellen auf Auskunft in Anspruch zu nehmen, die Einhaltung der Vorschriften zu überprüfen und im Fall der Nichteinhaltung Ansprüche geltend zu machen, liegt darin nach dem Arbeitsgericht Düsseldorf ein Rechtsgebrauch und kein Rechtsmissbrauch (Urteil v. 6.2.2025 – 12 Ca 3221/24).

Etwas anderes gilt, wenn das Auskunftsersuchen den Regelungszweck des Art. 15 Abs. 1 DSGVO verfehlt, weil die Kenntnis der eigenen Daten für das verfolgte Ziel schlechthin unerheblich ist. Das kommt in Betracht, wenn das Ersuchen systematisch und ausschließlich darauf abzielt, einen Schadensersatzanspruch zu erzeugen. Darlegungs- und Beweislast trägt auch dafür der Arbeitgeber. Ein objektiver Anhaltspunkt ist es, wenn der Bewerber Schadensersatz bereits vor Ablauf der Monatsfrist des Art. 12 Abs. 3 Satz 1 DSGVO geltend macht, also zu einem Zeitpunkt, zu dem die Auskunft noch gar nicht fällig war. Wer den Rechtsmissbrauch einwenden will, sollte den Ablauf daher lückenlos dokumentieren – Eingangsdatum, Bearbeitungsschritte, Zeitpunkt der Zahlungsaufforderung. Zur Abwehr des vergleichbaren Einwands im AGG siehe unseren Beitrag zur AGG-Entschädigung und ihrer Abwehr sowie den Insight zum AGG-Hopping vor dem Arbeitsgericht Berlin.

Wie lange dürfen Bewerbungsunterlagen aufbewahrt werden?

Eine gesetzliche Höchstfrist gibt es nicht, die AGG-Fristen geben den Maßstab. Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO spricht für eine möglichst zeitnahe Löschung. Das Verteidigungsinteresse spricht dagegen. Aus den Geltendmachungsfristen des AGG lässt sich eine belastbare Orientierung ableiten: Der Bewerber muss den Anspruch nach § 15 Abs. 4 AGG innerhalb von zwei Monaten schriftlich geltend machen, und nach § 61b Abs. 1 ArbGG ist die Klage innerhalb von drei Monaten nach der schriftlichen Geltendmachung zu erheben. Solange diese Fristen laufen, braucht der Arbeitgeber seine Auswahldokumentation.

Die Tabelle ist eine Praxisorientierung, keine gesetzliche Frist. Sinnvoll ist es, die Aufbewahrungsdauer im Löschkonzept festzuschreiben und in der Absage selbst über die Speicherdauer zu informieren. Dann ist die Angabe zur Speicherdauer nach Art. 15 Abs. 1 lit. d DSGVO bereits belegt und der spätere Löschzeitpunkt nicht erklärungsbedürftig. Ob die AGG-Geltendmachungsfristen künftig verlängert werden, ist Gegenstand eines Gesetzgebungsvorhabens – wer heute ein Löschkonzept aufsetzt, sollte die Fristen deshalb als Parameter und nicht als feste Zahl anlegen.

Was ist das kleinere Risiko, löschen oder aufbewahren?

Beides hat Kosten, und die Richtung des Risikos ist genau entgegengesetzt. Wer die Daten eines abgelehnten Bewerbers unverzüglich löscht, minimiert das datenschutzrechtliche Risiko. Auf ein Auskunftsverlangen ist dann nur noch eine pflichtgemäße Negativauskunft zu erteilen, also die Mitteilung, dass keine personenbezogenen Daten mehr verarbeitet werden (dazu OLG Dresden, Urteil v. 18.11.2025 – 4 U 543/25). Der Auskunftsanspruch bleibt bestehen, sein Inhalt schrumpft aber auf einen Satz. Damit sinkt die Fehleranfälligkeit, und eine erfolgreiche Klage nach Art. 82 DSGVO wird unwahrscheinlich.

Auf der anderen Seite gerät der Arbeitgeber genau dadurch in das Beweislastproblem des AGG. Nach § 22 AGG trägt er die Beweislast dafür, dass kein Verstoß gegen das Benachteiligungsverbot vorgelegen hat, sobald der Bewerber Indizien beweist, die eine Benachteiligung wegen eines in § 1 AGG genannten Grundes vermuten lassen. Ohne Auswahldokumentation ist dieser Beweis kaum zu führen. Verschärfend kommt hinzu, dass nach der Rechtsprechung des Europäischen Gerichtshofs bereits die Verweigerung jeglicher Information über das Auswahlverfahren als Gesichtspunkt beim Nachweis diskriminierungsindizierender Tatsachen herangezogen werden kann (EuGH, Urteil v. 19.4.2012 – C-415/10). Sofortige Löschung und Negativauskunft können das AGG-Risiko also sogar erhöhen. Wie stark Gerichte auf Indizien aus dem Verfahren abstellen, zeigen die Insights zur Beweislast für die Stellenanzeige und zur Ausschreibung ohne freie Stelle.

Was in jedem Fall ausfällt, ist der Mittelweg, mit der Löschung zu warten, bis ein Auskunftsverlangen eingeht, und dann zu löschen. Das Arbeitsgericht Düsseldorf hat dazu rechtskräftig entschieden: Löscht das Unternehmen die Daten in Kenntnis des Auskunftsantrags, statt Auskunft zu erteilen, und gibt es keine nachvollziehbare Erklärung für die Missachtung des Auskunftsanspruchs ab, darf sich der Bewerber zu Recht Sorgen darüber machen, was das Unternehmen dazu veranlasst hat. Diese berechtigte Sorge kann einen Kontrollverlust und damit einen Schaden nach Art. 82 Abs. 1 DSGVO begründen (Urteil v. 4.12.2024 – 8 Ca 3409/24). Der Löschzeitpunkt muss also vor dem Auskunftsverlangen liegen und aus dem Löschkonzept folgen, nicht aus der Reaktion darauf.

Wie sollte ein Löschkonzept für Bewerberdaten aussehen?

Es muss den Löschzeitpunkt vorab festlegen und automatisch auslösen. Ein Konzept, das erst im Konfliktfall angewendet wird, hat seinen Zweck verfehlt. Die tragenden Elemente sind überschaubar.

• Empfängerverzeichnis. Vorab dokumentieren, welche internen Stellen, Dienstleister, Konzerngesellschaften und Drittlandsempfänger Bewerberdaten erhalten. Diese Liste ist die Grundlage jeder korrekten Auskunft nach Art. 15 Abs. 1 lit. c DSGVO.
• Getrennte Ablage. Bewerbungsunterlagen, Auswahldokumentation und interne Kommunikation getrennt führen. Nur so lässt sich Auskunft erteilen, ohne den gesamten Vorgang zu offenbaren, und nur so lässt sich vollständig löschen.
• Fester Löschlauf. Den Löschzeitpunkt an das Absagedatum knüpfen und technisch auslösen, nicht der Erinnerung einzelner Mitarbeiter überlassen.
• Definierter Eingangskanal. Auskunftsverlangen aus dem Recruiting-Postfach unverzüglich an eine benannte Stelle weiterleiten. Die Monatsfrist läuft ab Eingang beim Unternehmen, nicht ab interner Kenntnisnahme.
• Anforderungsbezogene Auswahlkriterien. Die Auswahlentscheidung an überprüfbaren Kriterien festmachen und diese dokumentieren, statt subjektive Eindrücke frei zu formulieren. Vorbereitend dazu die Hinweise zur diskriminierungsfreien Stellenanzeige.
• Sonderfall Schwerbehinderung. Die zusätzlichen Verfahrenspflichten laufen parallel und erzeugen eigene Dokumentation, siehe die Pflichten gegenüber schwerbehinderten Bewerbern.

Welche Fehler führen zu Schadensersatz nach Art. 82 DSGVO?

Die vollständig ausgebliebene, die verspätete und die unvollständige Auskunft – mit unterschiedlichem Risiko. Der Anspruch aus Art. 82 Abs. 1 DSGVO setzt einen Verstoß, einen Schaden und die Kausalität zwischen beiden voraus. Das Verschulden wird nach Art. 82 Abs. 3 DSGVO vermutet. Dass ein Verstoß gegen das Auskunftsrecht überhaupt taugliche Grundlage eines Schadensersatzanspruchs sein kann, hat der Europäische Gerichtshof geklärt (Urteil v. 19.3.2026 – C-526/24). Entscheidend ist deshalb der Schaden, und dort verläuft die eigentliche Verteidigungslinie. Welche Fehler wie bewertet werden, haben wir im Insight zum Schadensersatz nach einer Bewerberabsage im Detail aufgearbeitet.

Nach der Rechtsprechung des Bundesarbeitsgerichts begründet die verspätete Erfüllung des Auskunftsanspruchs für sich genommen noch keinen Kontrollverlust und damit keinen immateriellen Schaden (Urteil v. 20.2.2025 – 8 AZR 61/24). Anders liegt es bei der unvollständigen oder falschen Auskunft, insbesondere bei verschwiegenen Empfängern. Dort hat das Arbeitsgericht Düsseldorf einen Kontrollverlust angenommen (Urteil v. 6.2.2025 – 12 Ca 3221/24). Für die Praxis folgt daraus eine klare Priorität: Eine Auskunft, die vollständig und richtig ist, darf notfalls einige Tage später kommen. Eine Auskunft, die pünktlich ist, aber Empfänger verschweigt, ist der teurere Fehler.

Zum wirtschaftlichen Bild gehört schließlich § 12a ArbGG. Vor dem Arbeitsgericht trägt jede Partei ihre eigenen Anwaltskosten, und zwar auch dann, wenn sie vollständig gewinnt. Für den Arbeitgeber ist die Abwehr einer solchen Klage damit immer ein Verlustgeschäft, und genau darauf ist die Forderung kalkuliert. Das verschiebt die Frage von der Rechtslage zur Prozessökonomie und macht die Vergleichsentscheidung zu einer betriebswirtschaftlichen, nicht zu einer rechtlichen. Wie wir solche Verfahren führen, beschreibt unsere Seite zur Prozessführung für Arbeitgeber.

Häufige Fragen zum Auskunftsanspruch abgelehnter Bewerber

Als Anwalt für Arbeitsrecht in Köln begleiten wir als Kanzlei für Arbeitsrecht Arbeitgeber, Personalabteilungen und Recruiting-Verantwortliche bei Auskunftsverlangen abgelehnter Bewerber, beim Aufbau von Löschkonzepten und Empfängerverzeichnissen und bei der Abwehr von Schadensersatz- und Entschädigungsklagen. Als Anwalt für Arbeitgeber verbinden wir dabei die datenschutzrechtliche Seite aus unserer Beratung zum Beschäftigtendatenschutz mit der arbeitsrechtlichen Verteidigung in der Prozessführung.

Sie haben ein Auskunftsverlangen eines abgelehnten Bewerbers erhalten oder wollen Ihr Bewerbungsverfahren datenschutz- und AGG-sicher aufstellen? Nehmen Sie Kontakt mit uns auf – die Erstberatung ist für Sie kostenfrei.