Ein aktueller Fall zeigt, wie schnell fehlende Prozesse bei Bewerber- und Mitarbeiterdaten zu einem erheblichen Datenschutzrisiko werden können.
Eine E-Mail erreicht die Personalabteilung: Ein ehemaliger Bewerber möchte, dass seine personenbezogenen Daten gelöscht werden.
Eigentlich ein alltäglicher Vorgang. Und trotzdem können genau solche Anfragen für Unternehmen zum Problem werden.
Das zeigt eine im September 2026 veröffentlichte Entscheidung der französischen Datenschutzaufsicht CNIL. Gegen das IT- und Engineering-Unternehmen EXTIA wurde ein Bußgeld in Höhe von 300.000 Euro verhängt. Im Mittelpunkt standen unter anderem Löschanfragen von Bewerbern und ehemaligen Mitarbeitern.
Mehr als drei Viertel der Anfragen waren problematisch
Das Unternehmen hatte im Jahr 2024 insgesamt 265 Löschanfragen erhalten. Nach Angaben der Datenschutzaufsicht waren mehr als drei Viertel davon entweder nicht oder nicht zufriedenstellend bearbeitet worden.
Besonders interessant für Unternehmen: Ein Teil der Daten wurde durchaus automatisch gelöscht. Das allein genügte der Aufsichtsbehörde jedoch nicht. Denn wer eine Löschanfrage stellt, hat grundsätzlich auch Anspruch darauf zu erfahren, was mit seiner Anfrage passiert ist. Bei 166 Betroffenen erfolgte nach Feststellung der CNIL keine entsprechende Information. Weitere 27 Personen erhielten ihre Antwort verspätet. Die gesetzlich vorgesehene Frist beträgt grundsätzlich einen Monat.
Damit zeigt der Fall sehr deutlich:
Ein technischer Löschprozess ersetzt keinen organisatorischen Prozess für Betroffenenrechte.
Das eigentliche Risiko liegt häufig zwischen den Abteilungen
In vielen Unternehmen stellt sich weniger die Frage, ob personenbezogene Daten grundsätzlich gelöscht werden können.
Die entscheidenderen Fragen lauten:
Kommt eine Anfrage überhaupt bei der richtigen Stelle an?
Erkennt ein Mitarbeiter eine beiläufig formulierte E-Mail als datenschutzrechtliche Anfrage?
Wer prüft, welche Daten vorhanden sind?
Wer koordiniert die Löschung in unterschiedlichen Systemen?
Und wer stellt sicher, dass der Betroffene rechtzeitig eine Antwort erhält?
Gerade bei Bewerberdaten kann das schnell komplex werden. Informationen können sich beispielsweise im Bewerbermanagementsystem, in E-Mail-Postfächern, in Dateiablagen oder bei externen Dienstleistern befinden.
Ähnliches gilt für ehemalige Beschäftigte und Kunden.
Betroffenenrechte sind keine Aufgabe „für irgendwann“
Die DSGVO sieht verschiedene Rechte vor. Dazu gehören beispielsweise Auskunft, Berichtigung und – unter bestimmten Voraussetzungen – die Löschung personenbezogener Daten.
Für Unternehmen bedeutet das: Es sollte bereits vor der ersten Anfrage klar sein, wie damit umgegangen wird.
Ein guter Prozess beantwortet mindestens vier Fragen:
- Wo können Anfragen eingehen?
- Wer muss informiert werden?
- Wer koordiniert die Bearbeitung?
- Wie wird sichergestellt, dass die gesetzliche Frist eingehalten wird?
Dabei reicht es nicht, ausschließlich das Datenschutzteam oder den Datenschutzbeauftragten zu kennen. Auch Mitarbeiter im Empfang, Vertrieb, Personalbereich oder Kundenservice sollten wissen, dass eine Betroffenenanfrage schnell weitergeleitet werden muss.
Was Unternehmen jetzt prüfen sollten
Nutzen Sie den aktuellen Fall als Anlass für einen kurzen Praxischeck:
Wissen Ihre Mitarbeiter, wohin sie Lösch- oder Auskunftsanfragen weiterleiten müssen?
Gibt es eine zentrale Stelle oder einen festgelegten Prozess?
Werden eingehende Anfragen dokumentiert?
Gibt es eine Kontrolle der Bearbeitungsfristen?
Und ist geregelt, wie nach erfolgter Bearbeitung gegenüber dem Betroffenen geantwortet wird?
Wenn Sie eine dieser Fragen nicht eindeutig beantworten können, lohnt es sich, den Prozess noch einmal anzusehen.
Denn genau das macht der aktuelle Fall deutlich: Datenschutz scheitert häufig nicht an komplizierten gesetzlichen Anforderungen. Er scheitert an fehlenden oder nicht konsequent umgesetzten Abläufen.
HUBIT unterstützt Sie gerne dabei, Ihre bestehenden Prozesse für Betroffenenanfragen zu überprüfen und praxistauglich aufzustellen.
Quelle: CNIL, Entscheidung gegen EXTIA; Bußgeldentscheidung vom 21. Juli 2026, Veröffentlichung vom 9. September 2026.