PIPEDA und die Aufbewahrung von Bewerberdaten – ein Praxisleitfaden

Für die Aufbewahrung von Bewerberdaten ist nach PIPEDA der jeweilige Zweck entscheidend: Eine Organisation, die PIPEDA unterliegt, darf personenbezogene Daten nur so lange aufbewahren, wie sie für die bei der Erhebung genannten Zwecke erforderlich sind. Es gibt in Kanada keine allgemeine Regel, nach der jeder Lebenslauf nach 30 Tagen, einem Jahr oder zwei Jahren gelöscht werden muss. Ihr Aufbewahrungsplan muss die für den Arbeitgeber geltende Rechtsordnung, den Zweck des Datensatzes, das Auskunftsrecht der Kandidatinnen und Kandidaten sowie etwaige gesetzliche Aufbewahrungspflichten berücksichtigen.

Dieser Leitfaden bietet Ihnen einen praktischen Rahmen, keine Rechtsberatung. Welche kanadischen Datenschutzvorschriften greifen, hängt von der Organisation, der Provinz, der Rolle, dem Datenfluss und der Art des Datensatzes ab. Stimmen Sie den Aufbewahrungsplan für Ihr Unternehmen mit einer kanadischen Rechtsberatung für Datenschutz und Arbeitsrecht ab.

Was verlangt PIPEDA bei der Aufbewahrung von Bewerberdaten?

PIPEDA verpflichtet die dem Gesetz unterliegenden Organisationen, den Zweck der Erhebung von Bewerberdaten festzulegen, die Nutzung auf diesen Zweck zu beschränken und die Daten nur so lange aufzubewahren, wie es dieser Zweck erfordert. Werden die Daten nicht mehr benötigt, sollten sie sicher vernichtet, gelöscht oder anonymisiert werden.

Das Office of the Privacy Commissioner of Canada (OPC) leitet aus diesem Grundsatz in seinem Leitfaden zur Beschränkung von Nutzung, Weitergabe und Aufbewahrung fünf praktische Pflichten ab:

1. Dokumentieren Sie den Zweck jeder Datenerhebung sowie jeden Zweck, der später hinzukommt.
2. Legen Sie Mindest- und Höchstaufbewahrungsfristen fest.
3. Bewahren Sie Entscheidungsunterlagen lange genug auf, damit die betroffene Person ihr Auskunftsrecht ausüben kann.
4. Überprüfen Sie die Datenbestände, damit keine Daten über die vorgesehene Frist hinaus erhalten bleiben.
5. Vernichten oder anonymisieren Sie Daten mit Schutzmaßnahmen, die ihrer Sensibilität angemessen sind.

Es geht also um einen Lebenszyklus, nicht um eine einzelne Zahl. Ein Lebenslauf, der gerade geprüft wird, dient einem aktuellen Einstellungszweck. Derselbe Lebenslauf in einem vorsorglich angelegten Talentpool dient dem Abgleich mit künftigen Stellen. Interviewnotizen müssen nach einer Entscheidung möglicherweise noch eine Zeit lang für ein Auskunftsersuchen oder eine Beschwerde vorgehalten werden. Wer alle drei Datensätze als ein einziges unbefristetes „Kandidatenprofil“ behandelt, verschleiert diese Unterschiede.

Gilt PIPEDA für jeden kanadischen Arbeitgeber?

Nein. Die Beschäftigungsvorschriften von PIPEDA gelten unmittelbar für Unternehmen und Einrichtungen unter Bundesaufsicht. Für andere Arbeitgeber können dagegen Datenschutzgesetze der Provinzen für den privaten Sektor maßgeblich sein. Die erste Frage zur Aufbewahrung lautet daher nicht „Wie viele Monate?“, sondern „Welches Recht gilt für diese Organisation und diesen Datensatz?“

Der Leitfaden des OPC zu PIPEDA und Beschäftigtendaten nennt bundesrechtlich regulierte Bereiche wie Banken, Telekommunikation, Rundfunk, Luftfahrt und provinzübergreifenden Verkehr. Durch den Digital Privacy Act wurden diese bundesrechtlichen Beschäftigungsvorschriften auch auf Bewerberinnen und Bewerber ausgeweitet.

Die Zusammenfassung der PIPEDA-Anforderungen des OPC und seine Fragen und Antworten zum Verhältnis von Bundes- und Provinzrecht erläutern dieses Nebeneinander. Schreiben Sie nicht einfach „PIPEDA-konform“ über eine landesweite Richtlinie und gehen Sie davon aus, dass damit alle Fragen geklärt sind.

Eine brauchbare Dokumentation der Zuständigkeit sollte die einstellende juristische Person, die Branche, den Arbeitsort der Kandidatin oder des Kandidaten, die Provinz des Arbeitgebers, die Speicherorte, die Auftragsverarbeiter und grenzüberschreitende Datenflüsse nennen. Eine Rechtsberatung kann die Regeln dann den Tatsachen zuordnen, statt anhand der Postanschrift des Kandidaten Mutmaßungen anzustellen.

Was zählt zu den personenbezogenen Daten von Kandidaten?

Zu den personenbezogenen Daten von Kandidatinnen und Kandidaten gehören sowohl ihre eigenen Angaben als auch die im Einstellungsverfahren entstandenen Einschätzungen oder Schlussfolgerungen. Ein Löschvorgang, der nur den hochgeladenen Lebenslauf entfernt, kann den Großteil der sensiblen Daten zurücklassen.

Nach Auffassung des OPC umfassen personenbezogene Daten sachliche oder subjektive Angaben zu einer identifizierbaren Person. In einem Recruiting-System können dazu gehören:

• Name, Kontaktdaten, Standort und Identifikatoren;
• Lebenslauf, beruflicher Werdegang, Ausbildung und Links zum Portfolio;
• Gehaltsvorstellungen und Verfügbarkeit;
• Interviewaufzeichnungen, Transkripte und Metadaten zur Terminplanung;
• Notizen, Bewertungen, Stimmen und Empfehlungen der Interviewer;
• Code-Aufgaben und Kommentare der Prüfer;
• Referenzauskünfte und Ergebnisse von Hintergrundprüfungen;
• E-Mails, Ablehnungsgründe, Angaben zu erforderlichen Anpassungen und Beschwerden;
• abgeleitete Kompetenzen, Ranglisten, Risikohinweise oder KI-generierte Zusammenfassungen.

Einige dieser Felder sind sensibler als andere. Doch keines davon wird dadurch unbedenklich, dass Personalverantwortliche es erstellt haben und nicht der Kandidat selbst. Der Leitfaden des OPC zum Datenschutz am Arbeitsplatz empfiehlt, nur die für einen genannten Zweck erforderlichen Daten zu erheben und ihre Verwendung transparent zu machen. Er schlägt sogar vor, Kandidaten in Interviews das Weichzeichnen ihres Videohintergrunds zu ermöglichen, damit nicht unbeabsichtigt weitere Daten erfasst werden.

Beginnen Sie mit einem Datenverzeichnis, das alle Speicherorte und Verarbeitungsschritte der Unterlagen abdeckt: Ihr Karriereportal, das Bewerbermanagementsystem (ATS), E-Mails, Kalender, Videoplattformen, Bewertungswerkzeuge, gemeinsam genutzte Dokumente, Exporte, Sicherungskopien und Analysesysteme. Wenn die Richtlinie nur den Datensatz im ATS erfasst, beschreibt sie nicht die tatsächlichen Bewerbungsunterlagen.

Legt PIPEDA eine feste Aufbewahrungsfrist für Bewerberdaten fest?

PIPEDA schreibt keine einheitliche Frist für sämtliche Bewerberdaten vor. Gefordert sind begründete Mindest- und Höchstfristen, die sich nach Zweck, Auskunftsrechten, gesetzlichen Anforderungen und sicherer Entsorgung richten.

Das PIPEDA-Instrument zur Selbstbewertung des OPC fordert Organisationen auf, Mindest- und Höchstfristen festzulegen und entscheidungsrelevante Daten so lange aufzubewahren, dass die betroffene Person nach der Entscheidung darauf zugreifen kann. Damit lassen sich zwei gegensätzliche Fehler vermeiden:

• Alles unbefristet aufbewahren: „Vielleicht stellen wir diese Person irgendwann ein“ ist keine brauchbare Höchstfrist.
• Unmittelbar nach der Ablehnung löschen: Kandidatinnen und Kandidaten können weiterhin ein Auskunftsrecht haben, während für die Organisation eine Beschwerde, Untersuchung, Verjährungsfrist oder andere Aufbewahrungspflicht relevant sein kann.

PIPEDA sieht außerdem eine besondere Löschsperre vor, wenn die Daten bereits Gegenstand eines Auskunftsersuchens sind. Unterabschnitt 8(8) verpflichtet die Organisation, diese Daten aufzubewahren, bis die betroffene Person ihre Rechtsbehelfe nach dem Gesetz ausgeschöpft hat. Ein Löschvorgang braucht daher eine Sperrfunktion, nicht nur eine Fristautomatik.

Die endgültige Frist beruht auf einer dokumentierten rechtlichen und praktischen Abwägung. Darin sollte festgehalten sein, warum die Organisation einen Datensatz benötigt, welches Ereignis die Frist auslöst, was die Löschung aussetzt und was nach Fristablauf geschieht. Wer die Angabe „24 Monate“ von einem anderen Unternehmen übernimmt, ohne diese Überlegungen nachzuvollziehen, hat zwar eine Zahl, aber noch keinen belastbaren Aufbewahrungsplan.

Wie sollten Sie Bewerberunterlagen nach Typ trennen?

Trennen Sie Datensätze nach Zweck und Ereignis im Lebenszyklus, bevor Sie eine Frist zuweisen. Der folgende Plan arbeitet bewusst mit auslösenden Ereignissen und Entscheidungskriterien statt mit erfundenen kanadischen Fristen.

Die 24-Monats-Regel für Datenschutzverletzungen ist eng begrenzt. Abschnitt 6 der Breach of Security Safeguards Regulations verlangt, dass jede Datenschutzverletzung nach ihrer Feststellung durch die Organisation 24 Monate lang dokumentiert wird. Sie verlangt nicht, den zugrunde liegenden Lebenslauf, die Interviewaufzeichnung oder das gesamte Kandidatenprofil 24 Monate lang aufzubewahren. Gestalten Sie die Dokumentation so, dass sie den Vorfall belegt, ohne ein zweites Archiv personenbezogener Daten zu schaffen.

Wie erstellen Sie einen belastbaren Aufbewahrungsplan?

Ein belastbarer Aufbewahrungsplan für Bewerberdaten ordnet jeder Datenklasse einen Zweck, eine verantwortliche Person, einen Auslöser, eine Frist, eine Sperrregel und eine überprüfte Entsorgungsmaßnahme zu. Er muss systemübergreifend funktionieren und darf nicht bloß aus einem Absatz bestehen, den niemand praktisch umsetzen kann.

1. Zuständigkeit vor der Frist bestimmen

Halten Sie die einstellende juristische Person, die Branche, die Provinz, den Arbeitsort, den öffentlich- oder privatrechtlichen Status und grenzüberschreitende Datenflüsse fest. Kennzeichnen Sie Arbeitgeber in Alberta, British Columbia und Quebec sowie bundesrechtlich regulierte Arbeitgeber, damit deren besondere Rechtsordnungen berücksichtigt werden. Nehmen Sie Anforderungen aus Arbeitsrecht, Menschenrechtsschutz, Prozessrecht, Steuerrecht und branchenspezifischem Recht in dieselbe Prüfung auf.

2. Die vollständigen Bewerberdaten erfassen

Listen Sie alle Systeme und Felder auf, die vor, während und nach einer Einstellungsentscheidung vorhanden sind. Berücksichtigen Sie Kopien in E-Mails, Kalendereinträgen, Bewertungswerkzeugen, Videodiensten, Exporten, Data-Warehouses, Supportanfragen und Sicherungskopien. Weisen Sie jeder Kopie eine verantwortliche Person zu.

3. Einen Zweck pro Datensatzklasse festlegen

„Recruiting“ ist zu weit gefasst. Unterscheiden Sie zwischen der Bewertung für eine aktuelle Stelle, dem Abgleich mit künftigen Stellen, dem Umgang mit erforderlichen Anpassungen, der Betrugsprävention, Entscheidungsnachweisen und Nachweisen zu Sicherheitsvorfällen. Der Zweck bestimmt sowohl die Nutzung als auch die Aufbewahrung.

4. Fristbeginn und Sperren festlegen

Verwenden Sie ein maschinenlesbares Ereignis wie rejected_at, withdrawn_at, hired_at, den Ablauf einer Einwilligung oder den Abschluss eines Falls. Benennen Sie die Ereignisse, die eine Entsorgung aussetzen: ein Auskunftsersuchen, eine Beschwerde, eine Untersuchung, eine Anordnung zur Beweissicherung oder eine andere Löschsperre aus rechtlichen Gründen. Ermächtigen Sie jeweils eine Person, die Sperre aufzuheben.

5. Mindest- und Höchstfristen festlegen

Die Mindestfrist muss berechtigte Auskunftsrechte und rechtliche Erfordernisse wahren. Die Höchstfrist verhindert, dass eine Aufbewahrung „für alle Fälle“ dauerhaft wird. Dokumentieren Sie die von der Rechtsberatung bestätigte Begründung zusammen mit der Frist und prüfen Sie sie erneut, wenn sich Recht, Zweck oder System ändern.

6. Löschung und Anonymisierung genau festlegen

Legen Sie fest, was endgültig gelöscht, überschrieben, abgetrennt, aggregiert oder beibehalten wird. Berücksichtigen Sie Anhänge, aus Lebensläufen extrahierte Daten, Freitextnotizen, Suchindizes, Caches, Replikate und Sicherungskopien von Auftragsverarbeitern. Halten Sie fest, ob die Löschung sofort erfolgt oder die Daten nach einem dokumentierten Zyklus aus Sicherungskopien verschwinden.

7. Den Plan testen und nachweisen

Spielen Sie den Ablauf mit einem Musterprofil bis zum Fristende durch. Prüfen Sie Primärdatensatz, Anhänge, Suchergebnisse, Exporte, Integrationen und Wiederherstellungsverfahren. Bewahren Sie ein Testprotokoll auf, ohne das Kandidatenprofil wiederherzustellen, das Sie entfernen wollten.

Überprüfen Sie den Plan zumindest dann, wenn Sie einen Auftragsverarbeiter hinzufügen, ein neues Feld erheben, eine KI-Analyse einführen, in einer weiteren Provinz tätig werden oder den Einstellungszweck ändern. Eine statische Richtlinie kann keine sich wandelnde Datenlandschaft steuern.

Können Sie Daten abgelehnter Kandidatinnen und Kandidaten für künftige Stellen aufbewahren?

Sie können einen Talentpool nur führen, wenn der Abgleich mit künftigen Stellen ein klarer, rechtmäßiger Zweck mit eigenen Aufbewahrungsregeln und -mechanismen ist. Wandeln Sie eine abgelehnte Bewerbung für eine bestimmte Stelle nicht stillschweigend in unbefristete Daten für die Kandidatensuche bei allen späteren Stellen um.

PIPEDA verlangt, dass Zwecke spätestens bei der Datenerhebung angegeben werden. In der PIPEDA-Entscheidung 2012-003 stellte das OPC fest, dass eine arbeitssuchende Person nicht hinreichend darüber informiert worden war, warum personenbezogene Daten erhoben wurden. Die Lehre daraus ist eindeutig: Eine vage Datenschutzerklärung kann einen bei der Erhebung verschwiegenen Zweck nicht nachträglich heilen.

Ein hilfreicher Talentpool-Hinweis erklärt Kandidatinnen und Kandidaten:

• was der Abgleich mit künftigen Stellen bedeutet;
• welche Daten aufbewahrt und genutzt werden;
• welche Aufbewahrungs- oder Verlängerungsfrist gilt;
• ob Personalverantwortliche, Auftragsverarbeiter oder KI-gestützte Werkzeuge darauf zugreifen;
• wie die Person ihre Einwilligung zurücknimmt oder Auskunft verlangt;
• was bei Fristablauf gelöscht oder anonymisiert wird;
• wie die für den Datenschutz verantwortliche Person erreichbar ist.

Reduzieren Sie die Prüfung nicht auf ein Kontrollkästchen. Für Beschäftigungsverhältnisse unter Bundesaufsicht sieht PIPEDA Fälle vor, in denen keine Einwilligung für Daten erforderlich ist, die zur Begründung, Verwaltung oder Beendigung des Beschäftigungsverhältnisses notwendig sind. Eine vorherige Information bleibt gleichwohl wichtig. Die Vorschriften der Provinzen unterscheiden sich. Entscheidend sind ein für Kandidaten verständlicher Zweck und eine Rechtsgrundlage, die sich anwaltlich vertreten lässt.

Was muss Ihr ATS-Anbieter leisten?

Ein ATS kann Ihren Aufbewahrungsplan umsetzen, doch durch die Auslagerung geht die Verantwortung des Arbeitgebers nicht auf den Anbieter über. Der Arbeitgeber muss nachvollziehen, wohin die Daten gelangen, und durch Verträge und Aufsicht für angemessenen Schutz sorgen.

Nach dem Rechenschaftsgrundsatz von PIPEDA bleibt eine Organisation für Daten verantwortlich, die sie zur Verarbeitung an Dritte übermittelt. In der Entscheidung des OPC von 2020 zur ausgelagerten Verarbeitung stellte das OPC außerdem klar, dass eine grenzüberschreitende Verarbeitung nicht verboten ist. Die Organisation sollte jedoch transparent handeln, Risiken bewerten und vertragliche sowie fortlaufende Kontrollen einsetzen.

Verlangen Sie von einem ATS-Anbieter konkrete Antworten:

• Können sich die Aufbewahrungsfristen für Bewerbungen, Talentpool-Einträge und eingestellte Personen unterscheiden?
• Welches Ereignis im Lebenszyklus löst die jeweilige Frist aus?
• Kann ein Auskunftsersuchen oder eine Löschsperre aus rechtlichen Gründen die Löschung ausgewählter Datensätze aussetzen?
• Was geschieht mit Lebensläufen, Notizen, E-Mails, extrahierten Feldern und Audit-Ereignissen?
• Wie werden Unterauftragsverarbeiter, Suchindizes, Replikate und Sicherungskopien behandelt?
• Können Sie den vollständigen Datensatz einer Person exportieren und berichtigen?
• Kann der Anbieter die Löschung nachweisen oder die Frist erklären, nach der Daten aus Sicherungskopien verschwinden?
• Was geschieht bei Vertragsende mit sämtlichen Daten?

Ihr Vertrag sollte die Verarbeitung auf dokumentierte Zwecke beschränken, angemessene Schutzmaßnahmen verlangen, Sicherheitsvorfälle und Unterauftragsverarbeiter abdecken und die Rückgabe oder Löschung überprüfbar machen. Eine Sicherheitsseite mit dem Hinweis „verschlüsselt“ beantwortet die Fragen zur Aufbewahrung nicht.

Das ist besonders wichtig, weil Bewerbungsunterlagen ungewöhnlich viele Daten enthalten. Die Datenschutzverletzung bei Mercor zeigte, wie Lebensläufe, Identitätsdokumente und Aufzeichnungen aus Interviews ein ATS zu einem besonders wertvollen Angriffsziel machen können. Ein möglichst kleiner, sachlich begründeter Datenbestand lässt sich leichter schützen als ein Archiv, für das sich niemand mehr verantwortlich fühlt.

Reicht das Löschen von Identifikatoren aus, um Bewerberdaten zu anonymisieren?

Nein. Allein das Entfernen eines Namens oder einer E-Mail-Adresse macht Bewerberdaten noch nicht anonym. Beruflicher Werdegang, Standort, Links zum Portfolio, seltene Kompetenzen, Interviewtexte und andere Datensätze können die Person weiterhin identifizierbar machen.

In der PIPEDA-Entscheidung 2026-001 erklärte das OPC, eine Organisation müsse bei einer Anonymisierung nachweisen können, dass weder allein noch in Verbindung mit anderen verfügbaren Daten eine ernsthafte Möglichkeit der Reidentifizierung besteht. Die Bewertung ist fortlaufend vorzunehmen, da sich Verfahren zur Reidentifizierung und verfügbare Datensätze verändern.

Treffen Sie für jeden Bewerberdatensatz nach Fristablauf eine bewusste Entscheidung:

• Löschen: Entfernen Sie den Datensatz und die zugehörigen Inhalte, wenn kein fortbestehender Zweck vorliegt.
• Anonymisieren: Wandeln Sie die Daten unumkehrbar um und dokumentieren Sie die Prüfung des Reidentifizierungsrisikos.
• Aggregieren: Bewahren Sie nur Statistiken auf, die sich nicht mehr auf eine identifizierbare Person beziehen.
• Sperren: Bewahren Sie nur die Datensätze auf, die unter eine dokumentierte Löschsperre aus rechtlichen Gründen oder wegen eines Auskunftsersuchens fallen.

Pseudonymisierung ist keine Anonymisierung. Wird ein Name durch eine interne Kennung ersetzt und zugleich ein Zuordnungsschlüssel aufbewahrt, bleiben die Daten personenbezogen. Auch eine Freitextnotiz aus einem Interview kann eine Person identifizieren, nachdem strukturierte Felder entfernt wurden.

Wie unterstützt Kit die Aufbewahrung von Bewerberdaten?

Kit bietet konfigurierbare Aufbewahrungsfristen, getrennte Hinweise für Bewerbungen und den Talentpool, Einwilligungsnachweise, Verlängerungen und eine automatisierte Anonymisierung. Sie entscheiden weiterhin, welches Recht gilt, wählen die Frist, verwalten Sperren und lassen die daraus abgeleitete Richtlinie von einer Rechtsberatung prüfen.

Der Kit-Leitfaden zu Datenschutz und Einwilligung von Kandidatinnen und Kandidaten erläutert die aktuellen Funktionen:

• eine konfigurierbare Aufbewahrungsfrist von 1 bis 60 Monaten mit einem Standardwert von 24 Monaten;
• bearbeitbare Hinweise zur Bewerbung und Einwilligungstexte für den Talentpool;
• Speicherung des Zeitstempels, des exakt angezeigten Textes und der verschlüsselten IP-Adresse bei der Einreichung;
• eine Anfrage zur Verlängerung des Talentpool-Eintrags 30 Tage vor Ablauf und eine Erinnerung 7 Tage vor Ablauf;
• automatische Anonymisierung nach der Karenzzeit im Anschluss an den Fristablauf, wenn die Einwilligung nicht erneuert wird;
• Anonymisierung abgelehnter oder zurückgezogener Bewerbungen nach Ablauf der Aufbewahrungsfrist, wobei Bewerbungen, die zu einer Einstellung geführt haben, von diesem automatisierten Vorgang ausgenommen sind.

Diese Funktionen setzen einen schriftlichen Plan in Abläufe um, die das System ausführen kann. Sie bestimmen weder die zuständige kanadische Rechtsordnung noch richten sie eine Löschsperre aus rechtlichen Gründen ein. Ebenso wenig garantieren sie, dass jede Kopie bei einem Auftragsverarbeiter verschwunden ist, oder weisen nach, dass eine bestimmte Umwandlung den Reidentifizierungstest des OPC erfüllt. Setzen Sie das Produkt als Baustein des umfassenderen Programms ein.

Trennen Sie zunächst laufende Bewerbungen vom Abgleich mit künftigen Stellen. Ergänzen Sie einen klaren Datenschutzhinweis, eine von der Rechtsberatung bestätigte Aufbewahrungsfrist, eine verantwortliche Person und einen geprüften Entsorgungsweg. Überprüfen Sie den Plan anschließend immer dann, wenn sich Zweck, Provinz, Auftragsverarbeiter oder Daten ändern. Wenn Sie diese Kontrollen direkt in den Einstellungsprozess integrieren möchten, können Sie eine kostenlose Testversion starten und den Datenschutz für Kandidaten konfigurieren, bevor die nächste Stelle veröffentlicht wird.