Ein Bewerbungsformular ist kein gewöhnliches Kontaktformular. Wer sich bewirbt, sendet Lebenslauf, Zeugnisse, Kontaktdaten, Gehaltsvorstellungen, Verfügbarkeiten und manchmal freiwillige Zusatzinformationen. Für Website-Betreiber entsteht dadurch ein besonders sensibler Datenfluss: Die Daten kommen über die öffentliche Website, landen in E-Mail-Postfächern, Bewerbermanagement-Systemen, Cloud-Speichern oder WordPress-Plugins und werden intern von mehreren Personen gelesen.
Gerade kleine Unternehmen setzen Bewerbungsformulare oft schnell um: ein Formular-Plugin, ein Upload-Feld, eine Empfängeradresse, fertig. Datenschutz beginnt aber vor dem Absenden. Betreiber sollten klären, welche Daten wirklich benötigt werden, wer sie erhält, wie lange sie gespeichert bleiben und wie Bewerberinnen und Bewerber verständlich informiert werden. Wer diese Fragen erst nach der ersten Anfrage oder Beschwerde stellt, hat den Prozess schon zu spät betrachtet.
Warum Bewerbungsdaten besonders sorgfältig behandelt werden müssen
Bewerbungsdaten sagen viel über eine Person aus. Ausbildung, berufliche Stationen, Zeugnisse, Foto, Anschreiben, frühere Arbeitgeber und private Kontaktdaten können ein sehr genaues Bild ergeben. In Deutschland ist neben der DSGVO auch § 26 BDSG für Beschäftigtendaten relevant. Er betrifft unter anderem Datenverarbeitungen im Zusammenhang mit Beschäftigungsverhältnissen und deren Anbahnung.
Für Website-Betreiber heißt das nicht, dass jedes Bewerbungsformular kompliziert sein muss. Es heißt aber, dass der Zweck klar sein sollte: Auswahlverfahren für eine konkrete Stelle oder Initiativbewerbung. Daten, die dafür nicht gebraucht werden, gehören nicht in Pflichtfelder. Je schlanker das Formular, desto geringer das Risiko.
Pflichtfelder kritisch reduzieren
Viele Bewerbungsformulare fragen mehr ab, als für den ersten Schritt nötig ist. Geburtsdatum, Familienstand, vollständige Adresse, Social-Media-Profile, Foto oder Gehaltswunsch sind nicht immer erforderlich. Besonders heikel wird es, wenn Freitextfelder Bewerber dazu verleiten, Gesundheitsdaten, familiäre Details oder andere sensible Informationen einzutragen.
Ein guter Prüfprozess beginnt mit jedem einzelnen Feld. Warum brauchen wir dieses Feld? Ist es Pflicht oder optional? Kann es später im Prozess abgefragt werden? Wird die Information wirklich ausgewertet? Wenn niemand eine klare Antwort hat, sollte das Feld entfernt oder zumindest optional gemacht werden.
Dateiuploads sind ein eigenes Risiko
Der Upload von Lebenslauf und Zeugnissen ist praktisch, aber technisch anspruchsvoll. Dateien können personenbezogene Daten enthalten, sehr groß sein oder Schadcode transportieren. Betreiber sollten Dateitypen begrenzen, Größenlimits setzen, Uploads serverseitig prüfen und sicherstellen, dass Dateien nicht öffentlich abrufbar sind. Der Upload-Ordner darf nicht versehentlich über eine direkte URL erreichbar sein.
Auch Speicherorte sind wichtig. Werden Dateien im WordPress-Medienordner gespeichert? In einem Formular-Plugin? Direkt per E-Mail versendet? In ein Bewerbermanagement-System übertragen? Jede Variante hat andere Risiken. Ein öffentlich erreichbarer Upload-Pfad ist für Bewerbungsdaten besonders problematisch. Besser sind geschützte Speicherorte mit klaren Rollenrechten.
Empfänger und interne Rollen festlegen
Bewerbungsdaten sollten nicht an eine allgemeine Sammeladresse gehen, auf die viele Personen Zugriff haben. Sinnvoller ist ein klarer Empfängerkreis: HR, Geschäftsführung oder die zuständige Fachabteilung. Wer Zugriff hat, sollte fachlich beteiligt sein. Weiterleitungen an private E-Mail-Adressen oder unklare Verteilerlisten sollten vermieden werden.
Bei kleinen Unternehmen ist der Personenkreis oft überschaubar. Trotzdem lohnt sich eine kurze Rollenliste: Wer nimmt Bewerbungen entgegen? Wer entscheidet über die Einladung? Wer löscht Daten nach Abschluss? Wer antwortet auf Datenschutzanfragen? Diese Liste verhindert, dass Bewerbungsdaten im Alltag breit gestreut werden.
Löschfristen vorab definieren
Bewerbungsdaten dürfen nicht unbegrenzt gespeichert bleiben, nur weil sie technisch noch im Postfach oder Plugin liegen. Betreiber sollten festlegen, wann Daten nicht berücksichtigter Bewerber gelöscht werden und ob eine längere Aufnahme in einen Bewerberpool nur mit passender Einwilligung erfolgt. Auch Backups und E-Mail-Archive müssen in die praktische Planung einbezogen werden.
Wichtig ist ein umsetzbarer Prozess. Eine Löschfrist in der Datenschutzerklärung hilft wenig, wenn niemand die Formulareinträge, Uploads und E-Mail-Anhänge findet. Deshalb sollte das Bewerbungsformular möglichst mit einem zentralen Speicherort und einem regelmäßigen Löschreview verbunden sein.
Datenschutzerklärung und Formularhinweis abstimmen
Bewerberinnen und Bewerber müssen verstehen, was mit ihren Daten passiert. Die Datenschutzerklärung sollte erklären, welche Daten im Bewerbungsprozess verarbeitet werden, für welche Zwecke, auf welcher Grundlage, wer Empfänger sein kann, wie lange Daten gespeichert werden und welche Rechte bestehen. Direkt am Formular kann ein kurzer Hinweis auf die ausführliche Information verlinken.
Der Hinweis sollte nicht wie ein pauschaler Rechtstext wirken. Besser ist klare Sprache: Welche Unterlagen sollen hochgeladen werden? Wohin wird die Bewerbung gesendet? Wer kann sie lesen? Was passiert bei einer Initiativbewerbung? Der Kontaktformular-Beitrag zeigt, warum auch scheinbar einfache Formulare mehrere Datenflüsse auslösen können.
Dienstleister und Bewerbermanagement-Systeme prüfen
Viele Unternehmen nutzen externe Recruiting-Tools. Dann reicht die Prüfung der eigenen Website nicht aus. Betreiber sollten klären, ob ein Auftragsverarbeitungsvertrag nötig ist, welche Subdienstleister eingebunden sind, wo Daten gespeichert werden, welche Exporte möglich sind und wie Löschung funktioniert. Auch Karriere-Widgets oder eingebettete Stellenanzeigen können externe Datenflüsse erzeugen.
Bei WordPress-Plugins gilt: Ein Bewerbungsformular-Plugin verarbeitet oft mehr als nur Felder. Es speichert Dateien, sendet E-Mails, schreibt Datenbankeinträge und bietet Admin-Ansichten. Updates, Rechte, Sicherheitsmeldungen und Exportfunktionen gehören daher in die Plugin-Prüfung.
Initiativbewerbungen getrennt bewerten
Initiativbewerbungen sind praktisch, weil sie jederzeit möglich sind. Datenschutzorganisatorisch sind sie aber anspruchsvoller als Bewerbungen auf eine konkrete Stelle. Bei einer konkreten Stelle ist der Zweck enger und der Kreis der Empfänger meist klar. Bei Initiativbewerbungen kann die Bewerbung länger im Unternehmen liegen, mehreren Abteilungen gezeigt oder in einem Pool gespeichert werden.
Deshalb sollte das Formular klar unterscheiden: Bewerbung auf eine ausgeschriebene Stelle oder Initiativbewerbung. Wenn Daten länger gespeichert werden sollen, braucht es eine transparente Information und eine belastbare Grundlage. Bewerber sollten verstehen, ob ihre Unterlagen nur für die aktuelle Auswahl oder auch für spätere Stellen berücksichtigt werden.
Sicherheit im Übertragungsweg
HTTPS ist Pflicht, aber nicht genug. Bewerbungsdaten sollten während Übertragung, Speicherung und interner Weitergabe geschützt sein. Das umfasst TLS, sichere Admin-Zugänge, starke Passwörter oder Passkeys, Zwei-Faktor-Authentifizierung, eingeschränkte WordPress-Rollen, Protokollierung und regelmäßige Updates. Wer Bewerbungen als E-Mail-Anhang versendet, sollte sich bewusst sein, dass diese Anhänge schnell in vielen Postfächern liegen.
Für besonders vertrauliche Bewerbungen kann ein geschütztes Bewerberportal sinnvoller sein als E-Mail-Weiterleitung. Entscheidend ist, dass der Sicherheitsstandard zum Risiko passt und nicht nur das Formular selbst, sondern der gesamte Prozess betrachtet wird.
Prüfliste für Website-Betreiber
Prüfen Sie zuerst die Felder: Welche sind wirklich notwendig? Dann den Upload: Wo landen Dateien, wer kann sie abrufen und wann werden sie gelöscht? Danach die Empfänger: Welche Personen erhalten Zugriff? Anschließend die Information: Passt die Datenschutzerklärung zum tatsächlichen Prozess? Zum Schluss die Technik: Plugin, E-Mail, Speicherort, Rollen, TLS und Backup.
Diese Prüfung sollte bei jeder neuen Stelle wiederholt werden, wenn das Formular angepasst wird. Gerade Karriere-Seiten wachsen oft über Jahre. Ein altes Initiativbewerbungsformular kann noch Daten sammeln, obwohl niemand mehr den Prozess pflegt.
Testbewerbungen und Staging nicht vergessen
Viele Agenturen testen Bewerbungsformulare mit echten E-Mail-Adressen, Beispiel-Lebensläufen oder Kopien produktiver Daten. Das ist unnötig riskant. Für Tests sollten synthetische Daten genutzt werden. Staging-Systeme dürfen keine echten Bewerbungen enthalten, wenn sie nicht genauso geschützt sind wie die produktive Website.
Auch nach Formularänderungen sollte ein kurzer Testplan existieren: Pflichtfelder, Upload, Fehlermeldungen, Empfänger, Speicherung, Datenschutzhinweis und Löschung. So wird nicht nur die Funktion geprüft, sondern auch der Datenschutzprozess. Das reduziert spätere Rückfragen deutlich und macht spätere Anpassungen nachvollziehbarer.
Fazit: Recruiting braucht einen klaren Datenweg
Ein gutes Bewerbungsformular macht den Einstieg für Bewerber einfach und schützt gleichzeitig ihre Daten. Das gelingt, wenn Betreiber Daten minimieren, Uploads absichern, Empfänger begrenzen, Löschfristen planen und transparent informieren. Datenschutz ist hier kein Zusatz, sondern Teil eines professionellen Bewerbungsprozesses.
Der beste nächste Schritt ist eine Formular-Inventur: Felder, Speicherorte, Empfänger und Löschfristen auflisten. Schon diese Übersicht zeigt meist, welche Risiken schnell reduziert werden können.
