Wie lange dürfen KI-Tools Bewerberdaten speichern?

Das Problem

Die Stelle im Sekretariat ist besetzt. Die Absagen sind verschickt. Doch im Bewerbungsprogramm liegen noch 140 Lebensläufe, Zeugnisse und Fotos, und niemand weiss, wann sie verschwinden. Der Anbieter hat sie vielleicht auf Servern im Ausland gespeichert und, so steht es im Kleingedruckten, womöglich auch für die «Verbesserung des Dienstes» verwendet.

Bewerbungsunterlagen enthalten viel Persönliches: Adresse, Geburtsdatum, Familienstand, frühere Arbeitgeber, manchmal Angaben zur Gesundheit. Je länger solche Daten liegen, desto grösser das Risiko, dass sie bei einem Datenleck oder einer Verwechslung Schaden anrichten. Und ohne klaren Zweck dürfen Sie sie gar nicht behalten.

Diese Seite zeigt, wie Sie Fristen festlegen, den Talentpool sauber regeln und prüfen, ob Ihr KI-Werkzeug tatsächlich löscht.

So lösen Sie es mit KI – Schritt für Schritt

1. Alle Speicherorte finden: Bewerbungen liegen nicht nur im Portal. Denken Sie an E-Mail-Postfächer, Downloads, gemeinsame Laufwerke, Notizen und die KI-Werkzeuge selbst, etwa Chatverläufe, in die Sie Lebensläufe kopiert haben.
2. Zwecke trennen: Unterscheiden Sie: laufendes Verfahren, Aufbewahrung nach Absage, Talentpool, eingestellte Personen. Für jeden Zweck gilt eine eigene Frist.
3. Fristen festlegen: Für abgelehnte Bewerbungen sind wenige Monate üblich. Ein Grund dafür: Wer sich diskriminiert fühlt, kann nach dem Gleichstellungsgesetz innert drei Monaten nach der Ablehnung klagen (Art. 8 GlG). Viele Betriebe orientieren sich deshalb an etwa drei bis vier Monaten. Das ist eine Praxisregel, keine gesetzliche Zahl; lassen Sie sie für Ihren Betrieb bestätigen.
4. Talentpool nur mit Einwilligung: Wollen Sie Unterlagen länger behalten, um sich später zu melden, fragen Sie ausdrücklich nach und nennen Sie die Dauer, zum Beispiel zwölf Monate. Ohne Zustimmung löschen Sie.
5. Löschung im KI-Werkzeug klären: Fragen Sie den Anbieter, ob gelöschte Bewerbungen auch aus Sicherungskopien und aus allfälligen Trainingsdaten verschwinden, und nach der Frist.
6. Löschlauf einrichten: Tragen Sie einen wiederkehrenden Termin ein, an dem eine Person die abgelaufenen Bewerbungen löscht, oder nutzen Sie eine automatische Löschfunktion.
7. Löschung bestätigen: Halten Sie fest, wann was gelöscht wurde. Bei der eingestellten Person kommt ein Teil der Unterlagen in die Personalakte, der Rest wird gelöscht.
8. Auskunft und Löschwünsche bearbeiten: Wenn Bewerbende fragen, was Sie über sie gespeichert haben oder um Löschung bitten, braucht es eine zuständige Person. Siehe Löschkonzept-Vorlage.

Vorlage zum Kopieren

Mit diesem Auftrag erstellen Sie eine Fristenübersicht als Entwurf. Geben Sie keine echten Bewerbungen ein:

Ich bin [Funktion] in einem [Betrieb, Branche, Region] in der Schweiz. Wir nutzen für Bewerbungen [Werkzeuge: Portal, E-Mail, KI-Assistent].
Erstelle mir eine Tabelle mit den Spalten: Datenart, Speicherort, Zweck, vorgeschlagene Aufbewahrungsdauer, Löschverantwortliche, Nachweis.
Berücksichtige diese Fälle: abgelehnte Bewerbung, eingestellte Person, Talentpool mit Einwilligung, Bewerbung per E-Mail, Kopien in KI-Chatverläufen.
Weise bei jeder Frist darauf hin, dass sie ein Vorschlag ist, der rechtlich zu prüfen ist. Erfinde keine Gesetzesartikel.

Ergänzen Sie weitere Speicherorte, die Sie in Schritt 1 gefunden haben, und passen Sie die Dauer an Ihre Regeln an.

Worauf Sie achten müssen

• Zweckbindung: Daten, die für eine Bewerbung erhoben wurden, dürfen nicht ohne Weiteres für anderes verwendet werden, etwa zum Anlernen eines KI-Werkzeugs. Siehe Zweckbindung bei KI.
• Art. 328b OR: Der Arbeitgeber darf nur Daten bearbeiten, die die Eignung für die Stelle betreffen oder für die Durchführung des Arbeitsvertrags erforderlich sind.
• Rückgabe: Bewerbende können ihre Originalunterlagen zurückverlangen. Bei Originalzeugnissen ist das besonders wichtig.
• Backups und Chatverläufe: Gelöscht heisst oft nur «aus der Ansicht entfernt». Fragen Sie nach, wann auch Sicherungen und Verläufe bereinigt werden.
• EU-Bewerbende: Bei Bewerbenden aus der EU kann die DSGVO mit eigenen Löschpflichten gelten.
• Rechtliche Unsicherheit: Konkrete Fristen sind Einschätzungen. Holen Sie bei Streitfällen Fachrat ein.

• Zweck «Statistik»: Wollen Sie anonymisierte Zahlen zu Bewerbungen behalten, etwa Anzahl pro Stelle, entfernen Sie vorher alle Angaben, die Personen erkennbar machen.
• Mehrere Personen mit Zugang: Je mehr Personen auf Bewerbungen zugreifen können, desto eher bleiben Kopien liegen. Beschränken Sie den Zugriff auf die Beteiligten.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Architekturbüro in Winterthur hat im letzten Jahr mehrere Stellen besetzt.

Vorher: Die Lebensläufe liegen im Portal, im E-Mail-Postfach der Assistentin und teilweise in einem KI-Chat, in den sie Unterlagen für Zusammenfassungen kopiert hat. Niemand weiss, was wo liegt. Eine abgelehnte Bewerberin verlangt nach acht Monaten Auskunft, und die Sammlung der Daten dauert Tage.

Nachher: Das Büro legt vier Monate Aufbewahrung nach Absage fest, bietet einen Talentpool mit schriftlicher Einwilligung für zwölf Monate an und setzt einen Termin am Quartalsende zum Löschen. Die Assistentin nutzt für Zusammenfassungen keine echten Lebensläufe mehr in öffentlichen Chat-Werkzeugen. Anfragen beantwortet künftig eine benannte Person.

So hilft Ihnen Alpasana

Für den sicheren Umgang mit Bewerbungsdaten in der eigenen Berufsrolle bietet absofort KI-Weiterbildung für konkrete Berufsrollen an: rollenbezogene Kurse mit Praxisfall, begleitet von einem kostenlosen fachlichen Jobrollen-Assessment zur Kursauswahl. Konkrete Löschfristen für Ihren Betrieb legen Sie mit Ihrer Datenschutzverantwortlichen oder einer Fachperson fest.

Häufige Fragen

Darf ich Bewerbungen ein Jahr aufbewahren «für alle Fälle»?

Ohne Einwilligung und klaren Zweck eher nicht. «Für alle Fälle» ist kein Zweck. Wollen Sie später auf die Person zukommen, fragen Sie vorher nach der Erlaubnis.

Was gilt für Bewerbungen, die per E-Mail kommen?

Das Gleiche. Löschen Sie die Mails samt Anhängen auch aus dem Papierkorb und aus gemeinsamen Postfächern. Legen Sie fest, wer das macht.

Muss mein KI-Anbieter die Daten sofort löschen?

Nicht unbedingt sofort, aber in einer klaren, vertraglich festgehaltenen Frist, und er darf sie nicht ohne Erlaubnis zweckfremd nutzen. Siehe Vertrag zum Ausschluss von KI-Training.

Was ist mit den Unterlagen der eingestellten Person?

Sie gehören, soweit nötig, in die Personalakte, aber nicht der ganze Bewerbungsordner. Entfernen Sie Unterlagen, die für das Arbeitsverhältnis nicht gebraucht werden.