//
AVG-bewaartermijnen voor kandidaatdata: wat mag wel en niet? [2026]
Hoe lang mag je sollicitatiegegevens bewaren? Korter dan de meeste bureaus denken: vier weken zonder toestemming, een jaar met toestemming. Deze gids legt per type gegeven uit welke termijn geldt, hoe je toestemming juridisch waterdicht regelt, en wat de NVP Sollicitatiecode 2025 heeft aangescherpt. Voor recruitmentbureaus en in-house recruiters.
Bewaartermijnen voor kandidaatdata
De drie kerntermijnen, geldige toestemming, de NVP-code 2025, en wat er gebeurt als je het niet regelt.
In het kort
- De Autoriteit Persoonsgegevens hanteert als richtlijn dat je sollicitatiegegevens binnen 4 weken na afronding van de procedure verwijdert.
- Met expliciete toestemming mag je gegevens maximaal 1 jaar bewaren, bijvoorbeeld in een talentpool. Daarna moet je actief opnieuw toestemming vragen; stilzwijgend verlengen mag niet.
- Voor aangenomen kandidaten gelden andere regels: loongegevens bewaar je 7 jaar na uitdiensttreding vanwege fiscale verplichtingen.
- De NVP Sollicitatiecode 2025 scherpt heractivatie, AI-transparantie en salaristransparantie aan.
- De meeste bureaus bewaren kandidaatdata langer dan toegestaan, vaak zonder het te beseffen. Boetes lopen op tot 4 procent van de jaaromzet.
Wat valt onder sollicitatiegegevens?
Veel breder dan recruiters denken. Onder de AVG vallen alle persoonsgegevens die je tijdens een wervingsproces verzamelt: het CV en de motivatiebrief, gespreksnotities en interview-aantekeningen, assessmentresultaten en testscores, pre-employment screening en referentiechecks, e-mailcorrespondentie met de kandidaat, LinkedIn-profielinformatie die je opslaat in je ATS, notities in je CRM (ook handgeschreven), en video-interviews met transcripties.
Twee categorieën worden in de praktijk het vaakst vergeten:
WhatsApp-berichten
Ze staan niet in het ATS en glippen daardoor buiten elke schoonmaakronde. Berichten met of over een kandidaat zijn gewoon persoonsgegevens en vallen onder dezelfde termijnen.
Interne notities
"Twijfelt aan motivatie" of "wil hoger salaris" voelt als eigen werkmateriaal, maar is dat niet. Ook deze notities vallen onder de bewaartermijn en moeten bij een inzageverzoek worden gedeeld.
De drie kerntermijnen
4 weken
Standaard voor afgewezen kandidaten, zonder toestemming
1 jaar
Met expliciete toestemming, de basis onder elke talentpool
7 jaar
Loongegevens van aangenomen kandidaten, na uitdiensttreding
Termijn 1: 4 weken (standaard)
Voor afgewezen kandidaten geldt: 4 weken na afronding van de sollicitatieprocedure moeten alle gegevens verwijderd of geanonimiseerd zijn. De Autoriteit Persoonsgegevens noemt deze termijn in haar richtlijnen voor werving en selectie. De AVG zelf noemt geen concrete termijn, maar verwijst naar het beginsel van opslagbeperking (artikel 5 lid 1 sub e AVG).
Let op wat "afronding" betekent: het moment dat de kandidaat is afgewezen, niet het moment dat de vacature is ingevuld. Een kandidaat die in ronde twee afvalt, heeft dus een eerder afrondingsmoment dan de aangenomen kandidaat.
Termijn 2: 1 jaar (met toestemming)
Geeft de kandidaat expliciet toestemming om gegevens langer te bewaren, dan mag dat maximaal 1 jaar na afronding van de procedure. Dit is de juridische basis onder talentpools, ook wel "in portefeuille houden" genoemd. Toestemming is alleen geldig als die aan vier voorwaarden voldoet:
Vrijwillig
Geen voorwaarde voor de sollicitatie. Een kandidaat moet kunnen weigeren zonder gevolgen.
Specifiek
"Voor toekomstige vacatures bij ons bureau" is geldig. "Voor marketing en alle andere doelen" niet.
Geïnformeerd
De kandidaat weet welke gegevens je bewaart, waarvoor, en hoe lang.
Aantoonbaar
Je kunt bewijzen dat de toestemming is gegeven. Een vinkje met timestamp en log volstaat, een mondelinge afspraak niet.
Termijn 3: 7 jaar (aangenomen kandidaten)
Voor kandidaten die je in dienst neemt geldt een andere regeling. De Belastingdienst eist dat je loongegevens, identiteitsgegevens en contractinformatie tot 7 jaar na uitdiensttreding bewaart. Voor overige personeelsgegevens gelden kortere termijnen, vaak 2 jaar. De sollicitatietermijnen en de werkgeverstermijnen zijn dus twee gescheiden regimes; het ene rekt het andere niet op.
Bewaartermijnen per type gegeven
Dit is het overzicht om bij de hand te houden bij het inrichten van je ATS of het beoordelen van je bestand:
| Type gegeven | Bewaartermijn | Voorwaarde |
|---|---|---|
| CV en motivatiebrief, afgewezen | 4 weken | Geen |
| CV en motivatiebrief, talentpool | 1 jaar | Expliciete toestemming |
| Gespreksnotities, afgewezen | 4 weken | Geen |
| Assessmentresultaten | 4 weken | Geen, ongeacht uitkomst |
| Referentiechecks | 4 weken | Geen |
| E-mails en appjes, afgewezen | 4 weken | Geen |
| Identiteitsbewijs, aangenomen | 5 jaar na uitdiensttreding | Werkgeversverplichting |
| Loongegevens, aangenomen | 7 jaar na uitdiensttreding | Fiscale verplichting |
| Algemene personeelsgegevens | 2 jaar na uitdiensttreding | Werkgeversverplichting |
| Sollicitatiegegevens openbaar bestuur | 1 maand / 1 jaar in portefeuille | Toestemming voor portefeuille |
Wat verandert de NVP Sollicitatiecode 2025?
De Nederlandse Vereniging voor Personeelsmanagement & Organisatieontwikkeling publiceerde in september 2025 een vernieuwde Sollicitatiecode. De code heeft geen wettelijke status, maar rechters en de Autoriteit Persoonsgegevens gebruiken haar om te beoordelen of een werkgever zorgvuldig heeft gehandeld. Drie wijzigingen raken je bewaarbeleid:
Actief opnieuw toestemming vragen
Na 1 jaar moet je expliciet vragen of de kandidaat in de pool wil blijven. Stilzwijgend verlengen mag niet. Reageert de kandidaat niet, dan verwijder je de gegevens.
Transparantie over AI-gebruik
Zet je AI in voor screening, ranking of matching, dan moet de kandidaat dat weten. Dit raakt bewaartermijnen indirect: AI-uitkomsten zoals scores en rankings zijn ook persoonsgegevens en vallen onder dezelfde termijnen.
Salaristransparantie
Geen bewaartermijn-punt, wel onderdeel van een zorgvuldige procedure: de salarisindicatie hoort in de vacaturetekst te staan.
Heractivatie: zo vraag je opnieuw toestemming
Het einde van het bewaarjaar is het moment waarop de regel het vaakst wordt overtreden. Niet uit onwil, maar omdat niemand op dat moment aan die ene kandidaat denkt. Drie manieren om het wel te regelen:
Geautomatiseerd e-mailverzoek
Een week voor het einde van de termijn krijgt de kandidaat een mail met twee knoppen: "Ja, bewaar mijn gegevens nog een jaar" of "Nee, verwijder mijn gegevens". De keuze wordt vastgelegd met timestamp.
Kandidatenportaal
De kandidaat logt in en beheert zelf welke gegevens bewaard blijven en hoe lang. Werkt goed bij bureaus die al een portaal hebben, minder bij bureaus zonder login-systeem.
Handmatige outreach
Voor kandidaten met hoge waarde is een persoonlijk telefoontje effectiever dan automatisering. Leg de toestemming dan wel vast, want bij een controle moet die aantoonbaar zijn.
Moderne ATS-systemen kunnen dit proces automatiseren, inclusief anonimiseren wanneer een kandidaat niet reageert. Heractivatie is trouwens meer dan een compliance-klus: het is een natuurlijk contactmoment met kandidaten die een jaar geleden interesse toonden. Wie het goed aanpakt, houdt niet alleen zijn bestand rechtmatig maar ook warm.
Wat als je het niet goed regelt?
Drie risico's, in oplopende ernst:
1. Een klacht of inzageverzoek. Kandidaten kunnen klagen via de Autoriteit Persoonsgegevens of een privacy-advocaat. Vaak begint het met een inzageverzoek op grond van artikel 15 AVG: de kandidaat vraagt om alle gegevens die je over hem hebt. Je hebt dan 4 weken om compleet te leveren, inclusief interne notities, e-mails en appjes. Wie zijn bestand niet op orde heeft, komt daar op dat moment achter.
2. Een boete van de Autoriteit Persoonsgegevens. De maximale boete is 4 procent van de wereldwijde jaaromzet of 20 miljoen euro, het hoogste van de twee. In de praktijk legt de AP voor middelgrote overtredingen boetes op die in de tonnen lopen. De AP controleert actief op werving en selectie.
3. Reputatieschade. AVG-overtredingen zijn openbaar zichtbaar via boetebesluiten, media en reviews. Een bureau dat slordig met kandidaatdata omgaat, verliest precies wat het verkoopt: het vertrouwen van kandidaten en opdrachtgevers. Van de drie risico's herstelt deze het langzaamst.
Zo krijg je het praktisch op orde
Bewaartermijnen naleven hoeft geen dagtaak te zijn. Vier stappen die het grootste deel van het risico wegnemen:
Zet de termijnen in je ATS
Vrijwel elk modern ATS ondersteunt automatische bewaartermijnen per status (afgewezen, talentpool, aangenomen). Instellen kost een middag en voorkomt jaren aan stille overtredingen.
Automatiseer de heractivatie-flow
Kies optie A, B of C hierboven en leg elke toestemming vast met timestamp. Geen reactie betekent verwijderen of anonimiseren.
Maak afspraken over kanalen buiten het ATS
WhatsApp, mailboxen en losse notities vallen buiten elke automatische schoonmaak. Spreek af wat het team daar wel en niet vastlegt, en ruim periodiek op.
Gebruik een migratie als schoonmaakmoment
Oude data importeren in een nieuw ATS is een nieuw verwerkingsmoment onder de AVG. Beoordeel per profiel of de grondslag nog geldig is en neem de rest niet mee.
Spadework-tip
Rechtmatig bewaren en commercieel benutten zijn twee kanten van dezelfde medaille: allebei vragen ze een actueel, opgeschoond bestand. Een database vol verouderde profielen is niet alleen een AVG-risico, je mist er ook de kansen in die je wél mag benutten. Check daarom eerst of je bestand AI-ready is.
Veelgestelde vragen
De Autoriteit Persoonsgegevens hanteert als richtlijn 4 weken na afronding van de sollicitatieprocedure. Met expliciete toestemming van de kandidaat mag je gegevens maximaal 1 jaar bewaren, bijvoorbeeld in een talentpool. Voor aangenomen kandidaten gelden aparte werkgeverstermijnen tot 7 jaar na uitdiensttreding.
Nee. Zonder expliciete toestemming moet je na 4 weken alle gegevens verwijderen of anonimiseren. "Toekomstig contact" of "we doen alleen ons werk" is geen wettelijke grondslag onder de AVG. Wil je een kandidaat in portefeuille houden, dan regel je dat met aantoonbare toestemming.
Ja. Bij open sollicitaties zonder concrete vacature is de "afronding" het moment waarop je de kandidaat laat weten dat er momenteel niets passends is. Vanaf dat moment loopt de termijn van 4 weken, tenzij de kandidaat toestemming geeft voor langer bewaren.
Anonimiseren betekent dat gegevens niet meer naar een persoon zijn terug te leiden: naam, contactgegevens, foto en identificeerbare details verwijderen. Statistieken zoals "200 sollicitaties in maart" mogen blijven. Pseudonimiseren (een nummer met een sleutel) is geen anonimiseren en valt nog steeds onder de AVG.
Publieke profielen raadplegen mag, ze opslaan in je ATS niet zonder rechtmatige grondslag. De praktische route: noteer naam en profiellink kortdurend in een sourcing-lijst, benader de kandidaat, en sla pas op in het ATS als die reageert en akkoord gaat met opslag.
Verouderde data importeren is een nieuw verwerkingsmoment onder de AVG. Je moet beoordelen welke gegevens nog rechtmatig zijn (geldige toestemming, binnen de termijn) en de rest niet meenemen. Veel bureaus gebruiken een migratie daarom als moment voor een grote schoonmaakronde.
Voor aangenomen kandidaten gelden werkgeverstermijnen: loongegevens bewaar je 7 jaar na uitdiensttreding (fiscale plicht), het identiteitsbewijs 5 jaar, en algemene personeelsgegevens doorgaans 2 jaar. Deze termijnen staan los van de sollicitatietermijnen en zijn verplichtingen, geen keuzes.
