Ein Versand via Outlook an interne Empfänger bedeutet nicht automatisch, das die Mail beim Absender raus aus dem Unternehmen gehen und beim internen Empfänger wieder ins Unternehmen reinkommen. Das Mailsystem kann so konfiguriert sein, das die Mails im Intranet bleiben. Das lässt sich aber über die Internetkopfzeilen der Mail nachvollziehen.

Rein theoretisch können die Daten natürlich auch im internen Netz von einer unbefugten Person abgefangen werden. Dies ließe sich nur mit Ende-zu-Ende-Verschlüsselung vermeiden. Im Falle von extern eingehenden Bewerbungen aber auch völlig überflüssig, weil die (unverschlüsselt zugesandten) Unterlagen beim Eingang ja bereits abgegriffen werden könnten.

Letztendlich sehe ich hier aber eher den Datenschutzbeauftragten gefragt. Die Problematik stellt sich nicht nur beim internen Versand von Bewerbungsunterlagen sondern grundsätzlich bei interner Kommunikation, die schützenswerte Daten enthält.