Kurze Antwort: Ein Volumen von 20 Bewerbungen im Monat lässt sich mit einer kostenlosen Bewerbermanagement-Software technisch leicht bewältigen, aber das rechtliche Risiko entsteht nicht durch die Software selbst sondern durch die Aufbewahrungs- und Löschprozesse der Bewerberdaten. In Deutschland dürfen Daten im Hinblick auf mögliche AGG-Widersprüche in der Regel höchstens 6 Monate nach der Absage aufbewahrt werden; die meisten kostenlosen Tools haben keine automatische Löschung und keinen Datenverarbeitungsvertrag nach EU-Standards.
Das Erste, was ihr bei der Auswahl einer kostenlosen Software prüfen müsst, ist der Datenverarbeitungsvertrag (AVV) den ihr mit dem Anbieter schließt. Die Server müssen innerhalb der Europäischen Union stehen und das System darf keine Daten an Dritte weitergeben. Wenn im kostenlosen Plan kein Vertrag unterschrieben werden kann oder Daten in Drittländer übertragen werden, solltet ihr dieses Tool von vornherein aussortieren.
Der zweite kritische Punkt ist die automatische Datenlöschung. 20 Bewerbungen mögen wenig erscheinen aber das sind 240 Kandidaten pro Jahr, deren personenbezogene Daten betroffen sind. Nach einer Absage könnt ihr die Daten ohne ausdrückliche Einwilligung des Kandidaten nicht im System behalten. Kostenlose Tools bieten in der Regel keine automatische Anonymisierung oder Löschung nach 180 Tagen; in dem Fall müsst ihr die Kandidaten per Kalender manuell löschen, und ein einziges vergessenes Profil birgt bei einer Beschwerde schon ein Bußgeldrisiko.
Wenn euer Budget knapp ist, habt ihr zwei Alternativen: Entweder ihr bindet die Löschtermine an einen verbindlichen internen Audit-Kalender und geht mit einem kostenlosen EU-Anbieter los, der einen Vertrag anbietet, oder ihr plant Budget für Einstiegspakete im Bereich von 30-50 EUR monatlich ein, die eine grundlegende Compliance-Automatisierung enthalten.