Bewerbung und Datenschutz – So gehen Unternehmer richtig mit Bewerberdaten um
Ein Bewerbungsprozess bringt es naturgemäß mit sich, dass der Bewerber sich dem Unternehmen persönlich vorstellt. Beide Seiten möchten sich gegenseitig kennenlernen, um zu entscheiden, ob eine Zusammenarbeit in Betracht kommt. Aus datenschutzrechtlicher Sicht ist damit aber auch klar, dass der Bewerber dem Unternehmen personenbezogene Daten übermittelt. Auf die sich damit stellenden datenschutzrechtlichen Fragen möchte dieser Beitrag eingehen.
I. Wie lange darf ich Bewerberdaten speichern?
1. Welche Löschfristen muss ich beachten?
Zur Zweckbindung der Datenverarbeitung tritt das sogenannte Recht auf Vergessenwerden hinzu. Danach müssen personenbezogene Daten gelöscht werden, wenn sie „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig“ sind (Art. 17 Abs. 1 lit. a DSGVO). Dies bedeutet, dass Daten gelöscht werden müssen, sobald diese für die Abwicklung der Bewerbung nicht mehr notwendig sind.
Im Regelfall beträgt die Dauer so lange, wie Rechtsstreitigkeiten im Zusammenhang mit der Bewerbung zu erwarten sind. Ein abgelehnter Bewerber kann z.B. aufgrund von Diskriminierungen Schadensersatzansprüche geltend machen (§ 15 Abs. 1, 2 AGG).
Für solche Klagen gibt es Fristen: Die Ansprüche müssen innerhalb von zwei Monaten geltend gemacht und innerhalb von drei weiteren Monaten eingeklagt werden (§ 61b ArbGG). Zu diesen fünf Monaten wird ein Sicherheitszuschlag von einem Monat hinzugerechnet, um andere zivilrechtliche Ansprüche abzudecken.
Daher dürfen Bewerbungsunterlagen abgelehnter Bewerber oder eine Dokumentation der Auswahlentscheidung im Regelfall bis zum Ablauf von sechs Monaten nach Abschluss des Bewerbungsverfahrens gespeichert werden. Danach sollten die Daten grundsätzlich gelöscht werden, es sei denn, es gibt eine rechtliche Grundlage für eine längere Speicherung. Diese kann z.B. in der ausdrücklichen Einwilligung des Bewerbers zur Speicherung der Daten in einem Bewerberpool oder in der Verfolgung / Abwehr rechtlicher Ansprüche liegen.
2. Wann müssen Bewerbungen gelöscht werden?
Bewerbungsunterlagen müssen ohne weitere Rechtsgrundlage zur längerfristigen Speicherung spätestens sechs Monate nach Zugang der Absage gelöscht oder vernichtet werden.
3. Und wie ist es, wenn ich den Bewerber eingestellt habe?
Wenn ein Bewerber eingestellt wird, müssen die Daten gelöscht werden, deren Speicherung nicht für die Berufsausübung erforderlich ist. Nach dem Grundsatz der Zweckbindung und dem Prinzip der Datensparsamkeit müssen nicht mehr benötigte Daten gelöscht werden.
II. Zweckbindung der Datenverarbeitung
Die DSGVO kennt den Grundsatz der Zweckbindung, wonach personenbezogene Daten nur „für festgelegte, eindeutige und legitime Zwecke“ verarbeitet werden dürfen (Art. 5 Abs. 1 lit. b DSGVO).
1. Zu welchem Zweck darf ich Bewerbungsdaten verwenden?
Ein legitimer Verarbeitungszweck im Zusammenhang mit dem Bewerbungsprozess ist in Art. 88 Abs. 1 DSGVO i.V.m. § 26 BDSG definiert. Danach dürfen personenbezogene Daten des Beschäftigten „für Zwecke des Beschäftigungsverhältnisses“ verarbeitet werden, wenn dies für „die Entscheidung über die Begründung eines Beschäftigungsverhältnisses (…) erforderlich ist“. Außerdem erteilt der Bewerber mit der Zusendung der Bewerbung, gem. Art. 6 Abs. 1 lit. a DSGVO, seine Einwilligung zur Datenverarbeitung für diesen Zweck.
2. Ist eine Weiterverarbeitung der Daten möglich?
Eine darüber hinausgehende Datenverarbeitung, die nicht durch eine Einwilligung gedeckt ist und nicht dem Zweck der Entscheidung über die Begründung eines Beschäftigungsverhältnisses entspricht, ist nur zulässig, wenn der neue Verarbeitungszweck mit dem ursprünglichen Zweck kompatibel ist. Dies ist oft unklar, daher empfiehlt es sich, eine Einwilligung einzuholen, wenn die Daten für einen neuen Zweck weiterverwendet werden sollen.
Im Zweifel sollten Bewerberdaten nicht zu anderen Zwecken als zur betreffenden Bewerbung verwendet werden.
3. Wer darf eine Bewerbung einsehen?
Innerhalb eines Unternehmens dürfen nur Personen, die am Bewerbungsprozess beteiligt sind, die Bewerbung einsehen. Unbeteiligte Personen dürfen die Daten nicht einsehen oder weitergegeben werden. Dies entspricht dem Grundsatz der Datenminimierung in der DSGVO.
4. Darf ich Bewerbungen für andere offene Stellen verwenden oder an Tochtergesellschaften weiterleiten?
Ob Unterlagen eines Bewerbers für eine andere Stelle verwendet werden dürfen, hängt von der Formulierung der Bewerbung ab. Die Einwilligung des Bewerbers muss den Zweck der Datenverarbeitung auf weitere Bewerbungsverfahren ausweiten. Grundsätzlich dürfen Daten nicht an Dritte oder Tochtergesellschaften weitergeleitet werden, es sei denn, der Bewerber hat der Weitergabe ausdrücklich zugestimmt.
5. Sind Bewerbungsunterlagen vertraulich?
Besondere Vertraulichkeitspflichten sind gesetzlich nicht normiert, jedoch dürfen Daten aus Bewerbungsunterlagen nur ihrem Zweck entsprechend verarbeitet werden. Daher sollten sie vertraulich behandelt werden.
III. Ergebnis
Unternehmer sollten sicherstellen, dass die Löschfrist von in der Regel sechs Monaten eingehalten wird. Zudem sollten Bewerberdaten vertraulich behandelt und nur für den Zweck der Bewerbung verwendet werden.
Bilquelle: Bild 4453054 von geralt auf pixabay