Update Datenschutz Nr. 49
Datenschutz im Bewerbungsprozess
Die DSGVO erlaubt den Mitgliedstaaten nach Art. 88 Abs. 1 für den Bereich des Beschäftigtendatenschutzes eigene Regeln aufzustellen. Deutschland hat davon mit § 26 BDSG Gebrauch gemacht. § 26 Abs. 1 S. 1 BDSG findet bereits bei der Entscheidung über die Begründung eines Beschäftigungsverhältnisses Anwendung und ist damit früh im Bewerbungsverfahren zu berücksichtigen. Im nachfolgenden Text haben wir deshalb schwerpunktmäßig drei Aspekte aus dem Bewerbungsprozess herausgestellt, die datenschutzrechtlich besonders relevant sind.
An wen dürfen Bewerberdaten im Unternehmen weitergeleitet werden?
Ist in einem Unternehmen mit mehr als 20 Mitarbeitern ein Betriebsrat vorhanden, sind dieser Arbeitnehmervertretung vom Unternehmen gemäß § 99 Abs. 1 Satz 1 Betriebsverfassungsgesetz (BetrVG) die Bewerberunterlagen sowie weitere, im Rahmen des Bewerbungsverfahrens erstellte, Schriftstücke vorzulegen. Dies betrifft nicht nur den aussichtsreichsten Bewerber, sondern auch diejenigen Bewerber, die das Unternehmen nicht berücksichtigen möchte. Der potentielle Arbeitgeber muss die Zustimmung des Betriebsrats zur Einstellung des aussichtsreichsten Bewerbers einholen. Die Weitergabe dieser Daten an den Betriebsrat ist eine gemäß § 26 Abs. 1 S. 1 BDSG zulässige Datenverarbeitung, da sie für die Erfüllung der sich aus § 99 BetrVG ergebenden Rechte des Betriebsrats erforderlich ist. Der Betriebsrat benötigt die Unterlagen um zu entscheiden, ob er seine Zustimmung erteilt. Nach Beschlussfassung über die beantragte Zustimmung, spätestens nach einer Woche, muss der Betriebsrat die Unterlagen allerdings wieder zurückgeben. Er darf die erhaltenen Unterlagen weder behalten noch kopieren, sondern muss die Grundsätze der Datenvermeidung und Datensparsamkeit gemäß Art. 5 DSGVO beachten.
Die Bewerbungsunterlagen dürfen auch an potentielle zukünftige Vorgesetzte weitergeleitet werden, wenn diese über die Einstellung und die Besetzung der freien Stelle intern mitentscheiden dürfen. Um festzustellen, ob der Bewerber mit seinen Kompetenzen in das jeweilige Team passt, dürfen die Bewerbungsunterlagen eingesehen werden. Nach der Entscheidung und Rückmeldung muss der potentielle Vorgesetzte die Daten jedoch unverzüglich löschen bzw. zurückgeben. Zudem hat er darauf zu achten, dass die Unterlagen nicht von Dritten eingesehen werden können, z.B. sollten die Unterlagen nicht offen auf dem Schreibtisch liegen gelassen werden.
Wann müssen Bewerberdaten gelöscht werden?
Personenbezogene Daten sind zu löschen, wenn sie für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig sind. Ist der Bewerbungsprozess abgeschlossen, bestehen zwei Alternativen:
Wurde das Bewerbungsverfahren erfolgreich abgeschlossen, d.h. die Stelle wurde mit dem Bewerber besetzt, können die Bewerberdaten in die Personalakte übernommen werden. Teilweise sind sie erforderlich zur Durchführung des Beschäftigungsverhältnisses und teilweise besteht ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO an der Überleitung. Im bestehenden Beschäftigungsverhältnis wird öfters auf die Bewerbungsunterlagen zurückgegriffen, um Weiterbildungsmöglichkeiten, Umsetzungsoptionen, die Zuteilung neuer Aufgaben etc. zu prüfen.
Hat der Bewerber jedoch eine Absage vom Unternehmer erhalten, so sind seine Daten zu löschen. Eine gesetzlich vorgeschriebene Frist zur Löschung gibt es nicht. Von einer sofortigen Löschung ist jedoch abzuraten. Der erfolglose Bewerber hat nämlich noch die Möglichkeit, Ansprüche aus dem Allgemeinen Gleichbehandlungsgesetz (AGG) geltend zu machen. Die Ausschlussfrist für die Geltendmachung beträgt gem. § 15 Abs. 4 AGG zwei Monate. Drei weitere Monate hat der abgelehnte Bewerber dann gemäß dem Arbeitsgerichtsgesetz nach der Geltendmachung Zeit, Klage zu erheben. Da noch mit einer gewissen Bearbeitungs- und Postlaufzeit zu rechnen ist, wird in der Praxis empfohlen, Bewerberdaten maximal 6 Monate zu speichern, um sich ggfs. gegen AGG-Ansprüche zur Wehr setzen zu können. Spätestens dann sind die Daten zu löschen.
Speicherung von Daten in einem Bewerberpool
Oftmals geben Unternehmen abgelehnten Bewerbern die Möglichkeit, in einem so genannten Bewerberpool zu verbleiben. Hierdurch können die Bewerber noch für zukünftige oder andere offene Stellen berücksichtigt werden. Hierfür muss der Bewerber jedoch ausdrücklich in die Speicherung seiner Daten einwilligen. Eine Ablauffrist für die Wirksamkeit einer solchen Einwilligung gibt es zwar nicht, allerdings ist im Sinne von Best Practices zu empfehlen, dass diese Einwilligung nach einem gewissen Zeitraum wieder „aufgefrischt“ wird. Dies bedeutet, dass der Bewerber vom Unternehmen angeschrieben und gefragt wird, ob er weiterhin in die Verarbeitung seiner Daten im Rahmen des Bewerbertools einwilligt. Tut er das nicht, sind die Daten zu löschen.
Schon der Bewerbungsprozess bietet eine Vielzahl von datenschutzrechtlichen Aspekten, die der Arbeitgeber beachten muss. Hierbei muss er stets eine Gratwanderung zwischen seinen Verpflichtungen (z.B. gegenüber dem Betriebsrat), seinen eigenen Interessen (Absicherung ggü. AGG-Ansprüchen) sowie seinen datenschutzrechtlichen Verpflichtungen vornehmen.
