//
Hoe lang mag je kandidaatgegevens bewaren? Bewaartermijnen onder de AVG [2026]
De Autoriteit Persoonsgegevens hanteert een richtlijn van 4 weken voor sollicitatiegegevens, met toestemming maximaal 1 jaar. Voor uitzend- en detacheringsbureaus komen daar wettelijke termijnen van 2, 5 en 7 jaar bij. In deze gids zetten we alle bewaartermijnen op een rij, met rekenvoorbeeld en een werkbaar beleid in vijf stappen.
Bewaartermijnen voor kandidaatgegevens
Van de 4-wekenrichtlijn tot de fiscale bewaarplicht van 7 jaar: alle termijnen voor recruitment- en staffingbureaus op een rij.
In het kort
- De AVG kent geen vaste bewaartermijn, maar de Autoriteit Persoonsgegevens adviseert: verwijder sollicitatiegegevens binnen 4 weken na het einde van de procedure.
- Met actieve toestemming van de kandidaat mag je gegevens maximaal 1 jaar bewaren. Daarna vraag je opnieuw toestemming; stilzwijgend verlengen mag niet.
- Voor uitzendbureaus gelden aanvullende wettelijke termijnen: 2 jaar voor bemiddelingsgegevens, 5 jaar voor identiteitsbewijzen en 7 jaar voor de loonadministratie.
- De AP beboette een recruitmentbureau met €6.000 voor het negeren van verwijderverzoeken. Het wettelijke plafond ligt op €20 miljoen of 4% van de jaaromzet.
- Een actueel, schoon databasebeleid is niet alleen een AVG-plicht: het is ook de basis voor betrouwbare opportunity-signalen uit je eigen bestand.
Wat zegt de AVG over de bewaartermijn van kandidaatgegevens?
De AVG noemt nergens een concrete bewaartermijn voor kandidaatgegevens. Wat de wet wél vastlegt, is het beginsel van opslagbeperking (artikel 5 AVG): je mag persoonsgegevens niet langer bewaren dan noodzakelijk voor het doel waarvoor je ze verzamelde. Voor een sollicitatieprocedure is dat doel helder: de juiste kandidaat vinden voor één specifieke vacature. Is de procedure afgerond, dan vervalt in principe de noodzaak, en daarmee de grondslag om de gegevens te bewaren.
De Autoriteit Persoonsgegevens heeft dit beginsel concreet gemaakt met een richtlijn: verwijder sollicitatiegegevens uiterlijk 4 weken na het einde van de procedure. Die bewaartermijn geldt voor álle gegevens die je tijdens de procedure verzamelde: het cv, de motivatiebrief, gespreksnotities, assessmentresultaten en e-mailwisselingen. Ook de aantekeningen die een recruiter "even voor zichzelf" maakte, vallen eronder.
Tijdens de procedure zelf heb je meestal geen toestemming nodig. De meeste bureaus baseren de verwerking op gerechtvaardigd belang (artikel 6 lid 1f AVG): je hebt een bedrijfsbelang bij het invullen van een vacature, en de kandidaat verwacht dat je zijn gegevens daarvoor gebruikt. Wil je gegevens ná de procedure bewaren, bijvoorbeeld voor toekomstige vacatures, dan verschuift de grondslag naar toestemming.
Waarom is de toezichthouder hier zo scherp op? Vanwege de afhankelijkheidsrelatie. Een kandidaat die vreest dat weigeren zijn kansen schaadt, geeft geen vrije toestemming. Daarom stelt de Autoriteit Persoonsgegevens strenge eisen aan de manier waarop je die toestemming vraagt, daarover later meer. Voor bureaus die, zoals de klanten van Spadework, hun eigen database als belangrijkste kapitaal zien, is dit het juridische fundament onder dat kapitaal: zonder geldige grondslag geen database.
De 4-wekenrichtlijn en de bewaartermijn van 1 jaar met toestemming
De 4-wekenrichtlijn van de Autoriteit Persoonsgegevens is strikt genomen geen harde wettelijke termijn, maar een invulling van het noodzakelijkheidsbeginsel. Gemotiveerd afwijken kan in uitzonderingsgevallen, bijvoorbeeld als een afgewezen kandidaat een klacht indient en je de gegevens nodig hebt voor je verweer. Maar structureel afwijken, bijvoorbeeld door standaard alles een jaar te bewaren zonder toestemming, is niet toegestaan. Hoe groot dat probleem in de praktijk is, bleek uit onderzoek van DirectResearch onder Nederlandse werkgevers: minimaal 40% zou alle verzamelde cv's moeten wissen of anonimiseren om aan de regels te voldoen.
Wil je een kandidaat wel in beeld houden voor toekomstige vacatures, dan is de route: vraag actieve toestemming. Met die toestemming mag je de gegevens maximaal 1 jaar bewaren. Na dat jaar vervalt de bewaartermijn niet stilzwijgend, je moet opnieuw toestemming vragen. De NVP Sollicitatiecode, de breed gedragen gedragscode voor werving en selectie, bevestigt beide termijnen: 4 weken zonder toestemming, 1 jaar met toestemming, en geen stilzwijgende verlenging.
Voor recruitmentbureaus is dat jaarlijkse contactmoment geen last, maar een kans. Een bureau dat elk jaar contact opneemt om de inschrijving te verversen, checkt meteen of het cv nog klopt, of de wensen zijn veranderd en of er beweging zit in iemands situatie. Precies het soort signalen waar plaatsingen uit voortkomen. Zo wordt de bewaartermijn een ingebouwde reden voor warm contact, in plaats van een administratieve verplichting. Bureaus die met Spadework werken, zien dat terug in de praktijk: een database die je actief onderhoudt, blijft niet alleen AVG-proof, maar levert ook meer op. Meer daarover in het artikel over je eigen netwerk als omzetmotor.
Bewaartermijnen voor uitzend- en detacheringsbureaus: 2, 5 en 7 jaar
Voor staffingbureaus die kandidaten ook daadwerkelijk plaatsen of verlonen, gelden naast de AP-richtlijn wettelijke bewaarplichten. Die termijnen komen niet uit de AVG, maar uit fiscale en arbeidsrechtelijke wetgeving, en ze zijn wél hard.
| Gegevenstype | Bewaartermijn | Grondslag |
|---|---|---|
| Sollicitatiegegevens (afgewezen kandidaat) | 4 weken | AP-richtlijn, opslagbeperking AVG |
| Talentpool / toekomstige vacatures | Max 1 jaar | Actieve toestemming kandidaat |
| Bemiddelingsgegevens uitzendkracht | Max 2 jaar | Na laatste werkdag, branchenorm ABU/NBBU |
| Kopie identiteitsbewijs + loonbelastingverklaring | 5 jaar | Wettelijke plicht, na einde kalenderjaar uitdiensttreding |
| Loonadministratie | 7 jaar | Fiscale bewaarplicht Belastingdienst |
Let op het verschil in karakter. De eerste twee termijnen zijn maxima: langer bewaren mag niet zonder nieuwe toestemming. De laatste twee zijn minima: eerder weggooien mag niet, omdat de Belastingdienst de gegevens moet kunnen controleren. Een verwijderverzoek van een oud-uitzendkracht hoef je voor die fiscale gegevens dus niet in te willigen; de wettelijke plicht gaat voor.
Rekenvoorbeeld: één uitzendkracht, drie termijnen
Een uitzendkracht werkt zijn laatste dag op 31 december 2025. De bemiddelingsgegevens (cv, plaatsingshistorie, gespreksnotities) mag je bewaren tot uiterlijk 31 december 2027. De kopie van het identiteitsbewijs en de loonbelastingverklaring bewaar je tot en met 31 december 2030 (5 jaar na het einde van het kalenderjaar van uitdiensttreding). De loonadministratie bewaar je tot en met 2032. Drie verschillende einddata voor één persoon: precies daarom hoort de bewaartermijn per gegevenstype in je systeem vastgelegd te staan, niet per dossier.
Hoe je die termijnen technisch inregelt, verschilt per ATS. De meeste systemen ondersteunen automatische anonimisering of verwijdering per gegevenscategorie. In het artikel over ATS-integraties voor recruitmentbureaus lees je hoe je dat soort processen aan je eigen systeem koppelt.
Toestemming vragen voor een langere bewaartermijn: zo doe je het goed
Toestemming is onder de AVG alleen geldig als die vrij, specifiek, geïnformeerd en ondubbelzinnig is. Voor het verlengen van de bewaartermijn van kandidaatgegevens betekent dat concreet vier dingen.
Ten eerste: de kandidaat moet actief handelen. Een vooraf aangevinkt vakje of een zin in de kleine lettertjes ("door te solliciteren ga je akkoord met opname in onze talentpool") telt niet. Een aparte, onaangevinkte checkbox of een expliciete ja op een directe vraag wel. Ten tweede: wees specifiek over het doel. "Wij bewaren je gegevens om je te benaderen voor passende toekomstige vacatures" is specifiek; "wij bewaren je gegevens voor onze dienstverlening" is dat niet. Ten derde: noem de bewaartermijn. De kandidaat moet weten dat je de gegevens maximaal 1 jaar bewaart en dat je daarna opnieuw contact opneemt. Ten vierde: intrekken moet net zo makkelijk zijn als geven. Eén mailtje of één klik moet genoeg zijn, en je verwerkt de intrekking direct.
Documenteer elke toestemming: wanneer gegeven, waarvoor, via welk kanaal. Bij een controle of klacht is de bewijslast aan jou. Een goed ingericht ATS legt dit automatisch vast bij het kandidaatprofiel.
En maak van het toestemmingsmoment een gespreksmoment. De vraag "mogen we je in beeld houden?" is meteen de vraag "waar sta je nu, en wat zoek je?". Bureaus die dat gesprek jaarlijks voeren, houden niet alleen hun grondslag op orde, maar zien ook eerder wanneer er iets schuift in iemands situatie. Hoe je dat soort beweging herkent zonder aannames te doen over iemands zoekstatus, lees je in het artikel over latent werkzoekenden AVG-veilig herkennen.
Wat kost het negeren van bewaartermijnen? Boetes en risico's
De Autoriteit Persoonsgegevens grijpt in de recruitmentsector aantoonbaar in. Een Nederlands recruitmentbureau kreeg een boete van €6.000 omdat het verwijderverzoeken van drie personen negeerde: oud-kandidaten die vroegen hun gegevens te wissen, maar wier dossiers gewoon in de database bleven staan. Het bedrag lijkt bescheiden, maar de zaak laat zien waar de toezichthouder op let: niet alleen op datalekken, maar ook op alledaags databasebeheer.
Het wettelijke plafond ligt vele malen hoger: maximaal €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Daar komt bij dat elke betrokkene het recht heeft om inzage of verwijdering te vragen, en dat je daar binnen één maand op moet reageren. Een bureau met tienduizenden verouderde dossiers dat die verzoeken niet kan afhandelen, heeft niet één probleem maar een structureel risico.
Naast de boete is er de zachtere schade, en die is voor een bureau vaak groter. Kandidaten zijn je product én je klant. Wie in het nieuws komt omdat het slordig met kandidaatgegevens omgaat, merkt dat in elke wervingscampagne daarna. Omgekeerd is aantoonbaar nette omgang met gegevens een verkoopargument richting opdrachtgevers, die onder de AVG medeverantwoordelijk kunnen zijn voor wat hun leveranciers met persoonsgegevens doen.
De risico's zitten vrijwel altijd in vergeten data, niet in actieve data.
Dossiers die niemand meer aanraakt, waarvan de toestemming stilzwijgend verliep, waar geen contactmoment meer tegenover staat: daar ontstaan de problemen. Een database die je actief gebruikt en onderhoudt, zoals bureaus doen die met Spadework warm werven vanuit hun eigen netwerk, heeft dat probleem structureel minder.
Bewaartermijnen en datakwaliteit: één beleid, twee problemen opgelost
De AVG vraagt niet alleen dat je gegevens op tijd verwijdert, maar ook dat de gegevens die je bewáárt juist en actueel zijn (het juistheidsbeginsel, artikel 5 lid 1d AVG). Een database vol cv's van vijf jaar oud, verlopen telefoonnummers en functietitels van twee werkgevers geleden voldoet daar niet aan, ook al staat elke bewaartermijn keurig in het systeem.
Dat juridische probleem is tegelijk een commercieel probleem. Verouderde data betekent recruiters die bellen naar nummers die niet meer bestaan, profielen voorstellen die niet meer kloppen en kansen missen omdat de werkelijke situatie van een kandidaat onzichtbaar is. In het artikel over de schone recruitmentdatabase als fundament rekenen we voor hoe datakwaliteit doorwerkt in de betrouwbaarheid van elk signaal dat je eruit haalt.
De twee problemen hebben dezelfde oplossing: een vast ritme van opschonen en verversen. Verwijder wat verwijderd moet worden, actualiseer wat blijft, en leg vast wanneer je dat deed. Voor het actualiseren hoeft dat niet handmatig: de Up-to-databaser van Spadework signaleert welke profielen in je database verouderd zijn en waar beweging zit, zodat jij weet welke dossiers aandacht nodig hebben. Jij bepaalt wat er met elk dossier gebeurt, Spadework doet het spitwerk. En belangrijk voor je AVG-beleid: Spadework werkt uitsluitend op de eigen database van je bureau, met mensen die daar al met een grondslag in staan. Er komt geen externe of gekochte data binnen, dus ook geen nieuwe verwerkingsvragen.
Zo wordt het bewaartermijnenbeleid geen aparte compliance-exercitie, maar onderdeel van hetzelfde ritme dat je database commercieel waardevol houdt. Een dossier dat actueel genoeg is om op te vertrouwen, is vrijwel altijd ook een dossier waarvan de grondslag op orde is.
Bewaartermijnen in de praktijk: een werkbaar beleid in vijf stappen
Een bewaartermijnenbeleid hoeft geen dik document te zijn. Vijf stappen maken het verschil tussen papieren compliance en een database waar je op kunt bouwen.
Leg termijnen vast per gegevenstype
Niet per dossier, maar per categorie: sollicitatiegegevens, talentpool, bemiddelingsgegevens, fiscale gegevens. Gebruik de tabel uit dit artikel als startpunt en neem het op in je verwerkingsregister.
Automatiseer verwijdering en anonimisering in je ATS
Handmatig opschonen gebeurt niet. Stel automatische regels in per categorie en laat het systeem signaleren welke dossiers hun einddatum naderen.
Maak van elke toestemmingsvraag een contactmoment
De jaarlijkse verversing van toestemming is een natuurlijke reden om te bellen. Je hoort meteen waar iemand staat, en dat gesprek levert vaker een plaatsing op dan een koude campagne.
Richt een proces in voor inzage- en verwijderverzoeken
Eén mailbox, één verantwoordelijke, reactie binnen een maand. De enige recruitmentboete van de AP tot nu toe ging precies hierover.
Gebruik je database actief
Een database waar je dagelijks in werkt, veroudert niet ongemerkt. De Spadework Suite signaleert beweging in je eigen bestand, jij ververst profielen en pakt de kansen op. Zo blijft je grondslag actueel en je netwerk warm.
Wie deze vijf stappen doorvoert, ontdekt dat het bewaartermijnenbeleid en het commerciële databasebeleid hetzelfde beleid zijn. Elke opgeschoonde, geactualiseerde inschrijving is een betrouwbaarder signaal, en elke verversing een kans op een gesprek. Hoe je vanuit die actuele database structureel omzet haalt, lees je in van database naar omzet. Jij kent deze mensen. Jij ziet ze op tijd. Jij bepaalt wat je ermee doet.
Veelgestelde vragen
De Autoriteit Persoonsgegevens adviseert sollicitatiegegevens uiterlijk 4 weken na het einde van de procedure te verwijderen. Dat geldt voor cv, brief, gespreksnotities, assessments en e-mails. Alleen met actieve toestemming van de kandidaat mag je de gegevens langer bewaren, tot maximaal 1 jaar.
Ja, maar alleen met actieve toestemming van de kandidaat, en dan maximaal 1 jaar. De toestemming moet vrij, specifiek en intrekbaar zijn: een vooraf aangevinkt vakje telt niet. Na dat jaar vraag je opnieuw toestemming; stilzwijgend verlengen is volgens de NVP Sollicitatiecode niet toegestaan.
Bemiddelingsgegevens mag een uitzendbureau maximaal 2 jaar na de laatste werkdag bewaren. Daarnaast gelden wettelijke minimumtermijnen: de kopie van het identiteitsbewijs en de loonbelastingverklaring 5 jaar na het einde van het kalenderjaar van uitdiensttreding, en de loonadministratie 7 jaar (fiscale bewaarplicht).
Tijdens de sollicitatieprocedure is gerechtvaardigd belang meestal de grondslag: je hebt een bedrijfsbelang bij het invullen van de vacature. Voor het bewaren ná de procedure, bijvoorbeeld in een talentpool, is actieve toestemming van de kandidaat vereist. Voor fiscale gegevens geldt een wettelijke plicht als grondslag.
Boetes onder de AVG kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet. In de praktijk beboette de Autoriteit Persoonsgegevens een recruitmentbureau met €6.000 voor het negeren van verwijderverzoeken. Ook reputatieschade weegt zwaar: kandidaten en opdrachtgevers letten op zorgvuldige gegevensomgang.
Met een actieve, aparte handeling: een onaangevinkte checkbox of een expliciete ja. Benoem het doel (benaderen voor passende vacatures), de bewaartermijn (maximaal 1 jaar) en de mogelijkheid om toestemming op elk moment in te trekken. Documenteer wanneer en hoe de toestemming is gegeven.
Spadework werkt uitsluitend op de eigen database van je bureau, met kandidaten die daar al met een grondslag in staan, en voegt geen externe data toe. De Up-to-databaser signaleert welke profielen verouderd zijn, zodat jij gericht kunt opschonen en verversen. Jij beoordeelt elk dossier zelf.
