Die Datenschutz-Grundverordnung

Die europäische Datenschutz-Grundverordnung ist seit dem 25. Mai 2018 in Kraft. Das Ziel dieser Verordnung ist der Schutz personenbezogener Daten zur Verhinderung von Missbrauch. Die Vereinbarung gilt in allen Ländern der Europäischen Union. Verstöße dagegen ziehen Strafen nach sich. Nach der DSGV dürfen personenbezogene Daten nur gespeichert werden, wenn ein berechtigter Zweck dazu vorliegt. Sie müssen gelöscht werden, sobald dieser Zweck nicht mehr besteht.

Der Datenschutz bei Bewerbungsunterlagen

Auch Bewerberdaten unterliegen dem Datenschutz. Nur die zweckgebundene Nutzung, Verarbeitung und Speicherung dieser Daten ist gesetzlich erlaubt. Eine Einwilligung der Bewerber*innen zur Verarbeitung der eingereichten Daten ist in der Regel nicht notwendig, da sie ja implizit mit der Einsendung der Bewerbungsunterlagen gegeben wurde.

Wer darf die Bewerbungsunterlagen einsehen und bearbeiten?

Im Fall einer Bewerbung dürfen nur die für die Einstellung von Kandidaten zuständigen Personen im Unternehmen die Bewerbungsunterlagen einsehen und verarbeiten. Sie dürfen die Daten nicht an Unbeteiligte weitergeben und sind auch zur Verschwiegenheit verpflichtet. Berechtigt sind zum Beispiel Sachbearbeiter im Personalbereich, Teamleiter, ggf. Geschäftsführer sowie Führungskräfte und potenzielle Vorgesetzte, die später mit den Bewerber*innen zusammenarbeiten werden. Falls es im Unternehmen Betriebsräte gibt, dürfen auch sie die Daten einsehen, da sie für die Einstellung von neuem Personal mitverantwortlich sind. Sollte eine Bewerbung zwar nicht auf die ausgeschriebene Stelle, aber auf eine andere im Unternehmen offene Stelle passen, dürfen die Unterlagen erst nach Zustimmung des Bewerbers bzw. der Bewerberin weitergegeben werden.

Informationspflicht des Arbeitgebers

Der Arbeitgeber hat nach Art. 13 und 14 der DSGVO seiner Informationspflicht nachzukommen. Das bedeutet, das Unternehmen sollte nach Eingang der Bewerbung über ein Bewerberportal oder per E-Mail eine (möglicherweise automatisierte) E-Mail verschicken, die darüber informiert,

• welche personenbezogenen Daten erhoben wurden,
• wer im Unternehmen die Daten verarbeitet,
• wie lange die Daten gespeichert werden und
• dass die Bewerber*innen ein Recht auf Auskunft, auf Berichtigung der Daten und auf Löschung haben.

Das gilt auch für Initiativbewerbungen.

Verarbeitungsverzeichnis

Außerdem ist der Arbeitgeber verpflichtet, ein Verarbeitungsverzeichnis zu führen, in dem alle Verarbeitungsschritte dokumentiert werden. Im Fall einer Prüfung durch Aufsichtsbehörden kann so leicht nachgewiesen werden, wie die Daten verarbeitet werden. Außerdem hilft es dabei, die Löschungsfristen einzuhalten und Anfragen von Betroffenen problemlos zu beantworten.

Aufbewahrungsfrist von Bewerberdaten

Ist die Stelle erfolgreich besetzt worden, besteht kein Grund mehr, die Daten weiterhin zu speichern. Das Unternehmen ist verpflichtet, alle Daten zu löschen. Das gilt auch für Notizen, die sich die mit der Bewerbung befassten Personen während des Vorstellungsgesprächs gemacht haben. Bewerbungsunterlagen, die auf dem Postweg zugeschickt wurden, können entweder vernichtet oder zurückgeschickt werden. Allerdings darf der Arbeitgeber die Bewerbungsunterlagen (einschließlich der Dokumentation über das Verfahren) sechs Monate lang aufbewahren, um sich gegebenenfalls gegen Diskriminierungsvorwürfe schützen zu können. Wenn Bewerber*innen der Meinung sind, dass sie aufgrund von Rasse, Geschlecht, Alter oder anderen Gründen, die gegen das Gleichbehandlungsgesetz verstoßen, einen Nachteil beim Einstellungsverfahren erfahren haben, können sie innerhalb von zwei Monaten Schadenersatz- und Entschädigungsansprüche geltend machen. Um sich gegen solche Vorwürfe wehren zu können, dürfen die Unterlagen maximal ein halbes Jahr lang aufbewahrt werden.

Ausnahme von der Verpflichtung zur Löschung der Daten

Die Daten von Bewerber*innen, die ausdrücklich einer Speicherung zugestimmt haben, dürfen weiterhin aufbewahrt werden. Dies kann sowohl für Bewerber*innen als für das Unternehmen nützlich sein, falls die erfolgreiche Kandidatin das Unternehmen wieder verlässt oder eine andere, ähnliche Stelle besetzt werden muss. Größere Firmen arbeiten gern mit sogenannten Kandidaten-Pools, um im Bedarfsfall ohne Stellenausschreibung schnell geeignete neue Mitarbeiter*innen erreichen zu können. Das ist auch im Rahmen der DSGV möglich, jedoch sollten unbedingt von allen Kandidat*innen, deren Daten dort aufbewahrt werden, eine schriftliche Einverständnisverklärung eingeholt werden. Kandidat*innen, die Interesse an Ihrem Unternehmen haben, stimmen dem in der Regel gern zu.

Vorsicht Falle!

Was auf den ersten Blick so einfach aussieht, hat jedoch auch seine Tücken. Auch bei bester Absicht kann es vorkommen, dass Daten nicht gelöscht bzw. nicht so vollständig vernichtet werden, wie es die Vorschrift verlangt.

Vorsicht bei E-Mail-Bewerbungen

Es ist mittlerweile Usus, dass Bewerbungen per E-Mail zugeschickt werden. Sind mehrere Personen am Auswahlprozess beteiligt, wird die E-Mail oft an alle betreffenden Personen weitergeleitet – so weit, so gut. Nach Besetzung der Stelle muss aber unbedingt darauf geachtet werden, dass die betreffende E-Mail und deren Anhänge von jedem Computer gelöscht werden – denken Sie auch an den Gesendet-Ordner. Auch alle Ausdrucke müssen vernichtet werden. Eine Lösungsmöglichkeit ist ein speziell dafür eingerichtetes E-Mail-Postfach, in dem nur die Bewerbungen landen. Denkbar ist auch ein Bewerbermanagement-System, auf das nur berechtigte Personen Zugriff haben. So wird verhindert, dass E-Mails mit sensiblen Daten herumgeschickt werden und dass die Daten an verschiedenen Orten gelöscht werden müssen.

Vorsicht beim Entsorgen der Ausdrucke

Es ist im Sinne des Datenschutzes nicht ausreichend, Ausdrucke oder schriftlich eingereichte Bewerbungsunterlagen einfach in den Altpapier-Container zu werfen. Die Daten müssen unleserlich gemacht werden, beispielsweise durch Schreddern.

Vorsicht bei ausrangierten Festplatten

Daten können mit einfachen Softwaretools wiederhergestellt werden, auch wenn sie gelöscht wurden. Deshalb müssen besondere Vorsichtsmaßnahmen ergriffen werden, damit Bewerberdaten nicht von ausrangierte Festplatten wiederhergestellt werden können.

Social Monitoring

Wie sieht es mit dem Schutz von Daten aus, die die Bewerber*innen selbst ins Internet gestellt haben? Ist es zulässig, die Kandidat*innen zu googeln, um sich ein besseres Bild von ihnen machen zu können? Dieses als Social Monitoring bezeichnete Verfahren ist aus datenschutzrechtlicher Sicht umstritten. Im Allgemeinen kann man davon ausgehen, dass die Recherche in beruflichen Netzwerken wie XING oder LinkedIn zulässig ist, besonders dann, wenn in den Bewerbungen selbst auf entsprechende Einträge hingewiesen wurde. Nachforschungen in privaten Netzwerken wie Facebook oder Instagram gelten dagegen eher als unzulässig.