Bewerbung, dort landen Ihre Daten!

Bewerbung, aber sicher!

Bewerbung, dort landen Ihre Daten!

Die Suche nach einer passenden Stelle erfordert viel Geduld. Ist das passende Angebot dann doch dabei, heißt es bewerben, aber schnell! Denn ein berühmtes Sprichwort besagt „Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen“ (Sokrades).

Also ran an den PC, Daten eintippen, Anschreiben formulieren und los. Jetzt heißt es abwarten. Nach einiger Zeit erhalten Sie die ernüchternde oder erfreuliche Antwort. Soweit so gut, aber was passiert mit den vielen persönlichen Daten?

Auch hier gilt der Schutz Ihrer personenbezogenen Daten!

Weitergabe und Sichtung der Bewerberdaten

Bei der Einsicht der Bewerbungsunterlagen werden außer dem personalverantwortlichen Mitarbeiter auch der Geschäftsführer, der Betriebsrat und weitere Personen hinzugezogen. Die Daten werden geprüft und verglichen. Natürlich sind alle Betroffenen zur Verschwiegenheit verpflichtet. Wer ist geeignet und wer nicht. Dennoch gilt auch bei Bewerberdaten, die Weitergabe muss streng begrenzt sein. Mitarbeiter die mit dem Bewerberprozess nicht im Zusammenhang stehen, dürfen die Daten nicht einsehen.

Aufbewahrungsfristen

Bewerberdaten dürfen in dem Zeitraum aufbewahrt werden indem die Stelle noch nicht besetzt ist. Danach muss das Unternehmen die Daten, sowie alle zugehörigen Informationen im vernichten.

Außer: der Bewerber stimmt der Speicherung seiner Angaben zu.

Natürlich ist für das Bewerbungsverfahren eine Einwilligungserklärung unumgänglich.

Rechtsgrundlagen für die Verarbeitung von Bewerberdaten

Die Verarbeitung personenbezogener Daten im Bewerbungsverfahren stützt sich auf § 26 Abs. 1 BDSG in Verbindung mit Art. 88 DSGVO. Danach dürfen personenbezogene Daten von Beschäftigten verarbeitet werden, wenn dies für die Begründung des Beschäftigungsverhältnisses erforderlich ist. Bewerber gelten nach § 26 Abs. 8 BDSG als Beschäftigte im Sinne des Gesetzes.

Außerdem kann die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden, da die Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich ist.

Welche Daten dürfen im Bewerbungsverfahren erhoben werden?

Nach dem Grundsatz der Datenminimierung dürfen nur solche Daten erhoben werden, die für die Beurteilung der Eignung des Bewerbers erforderlich sind:

• Zulässig: Name, Kontaktdaten, Qualifikationen, Berufserfahrung, Zeugnisse, Arbeitszeugnisse, Sprachkenntnisse, fachliche Kompetenzen
• Bedingt zulässig: Führungszeugnis (nur bei berechtigtem Interesse), Gesundheitszustand (nur bei tätigkeitsbezogener Relevanz), Schwerbehinderung (nur bei öffentlichen Arbeitgebern zur Erfüllung der Beschäftigungspflicht)
• Unzulässig: Familienplanung, Schwangerschaft, Gewerkschaftszugehörigkeit, politische Überzeugung, sexuelle Orientierung, religiöse Zugehörigkeit (außer bei Tendenzbetrieben)

Informationspflichten gegenüber Bewerbern

Arbeitgeber müssen Bewerber gemäß Art. 13 DSGVO bereits bei Erhebung der Daten umfassend informieren. Dies geschieht idealerweise durch eine Datenschutzinformation in der Stellenausschreibung oder auf der Karriereseite des Unternehmens. Die Information muss folgende Angaben enthalten:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (sofern vorhanden)
• Zwecke und Rechtsgrundlagen der Datenverarbeitung
• Empfänger der Bewerberdaten (z. B. Fachabteilung, Betriebsrat)
• Speicherdauer der Bewerbungsunterlagen
• Hinweis auf Betroffenenrechte

Bewerberdaten und der Betriebsrat

Der Betriebsrat hat nach § 99 BetrVG ein Mitbestimmungsrecht bei Einstellungen. Dazu muss er die Bewerbungsunterlagen aller Bewerber einsehen können. Diese Datenweitergabe ist nach § 26 Abs. 1 BDSG gerechtfertigt, da sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Allerdings gelten auch hier die Grundsätze der Datenminimierung.

Aufbewahrungsfristen für Bewerbungsunterlagen

Die Aufbewahrung von Bewerbungsunterlagen abgelehnter Bewerber ist nur für einen begrenzten Zeitraum zulässig:

• Regelfall: Die Unterlagen sollten spätestens 6 Monate nach Abschluss des Bewerbungsverfahrens gelöscht werden. Diese Frist orientiert sich an der Klagefrist des Allgemeinen Gleichbehandlungsgesetzes (AGG).
• Bewerberpool: Möchte der Arbeitgeber die Unterlagen für zukünftige Stellenbesetzungen aufbewahren, bedarf es einer ausdrücklichen Einwilligung des Bewerbers nach Art. 6 Abs. 1 lit. a DSGVO.
• Bei Einstellung: Die Bewerbungsunterlagen werden Teil der Personalakte und unterliegen den entsprechenden Aufbewahrungsfristen.

Digitale Bewerbungsverfahren und Datenschutz

Moderne Bewerbungsverfahren nutzen zunehmend digitale Tools und Plattformen:

Bewerbermanagementsysteme (ATS)

Applicant Tracking Systems automatisieren den Bewerbungsprozess. Bei der Auswahl eines ATS muss auf DSGVO-Konformität geachtet werden: Datenverarbeitung in der EU, Auftragsverarbeitungsvertrag, automatische Löschung nach Fristablauf und transparente Informationspflichten.

KI im Bewerbungsverfahren

Der Einsatz von Künstlicher Intelligenz zur Vorauswahl von Bewerbern wirft besondere datenschutzrechtliche Fragen auf. Nach Art. 22 DSGVO haben Betroffene das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden. KI-gestützte Vorauswahl muss transparent gestaltet und durch menschliche Überprüfung ergänzt werden.

Video-Bewerbungen und Online-Interviews

Bei Video-Interviews müssen die verwendeten Plattformen datenschutzkonform sein. Es gelten besondere Anforderungen an die Datensicherheit, Speicherdauer und die Information der Bewerber über die Aufzeichnung und Speicherung.

Häufige Fehler im Bewerberdatenschutz

Als externer Datenschutzbeauftragter beobachten wir regelmäßig folgende Verstöße:

• Bewerbungsunterlagen werden unbegrenzt aufbewahrt
• Bewerber werden nicht über die Datenverarbeitung informiert
• Bewerbungen werden intern unkontrolliert weitergeleitet
• Es fehlt ein Löschkonzept für abgelehnte Bewerbungen
• Bewerberdaten werden ohne Einwilligung an Schwesterunternehmen weitergegeben

Empfehlungen für Arbeitgeber

Die DATUREX GmbH empfiehlt Unternehmen in Dresden und Sachsen, einen strukturierten Bewerbungsprozess zu implementieren, der den datenschutzrechtlichen Anforderungen entspricht. Gerne unterstützen wir Sie bei der Erstellung von Datenschutzhinweisen für Bewerber, der Implementierung von Löschkonzepten und der Schulung Ihrer Personalverantwortlichen.

Social-Media-Recruiting und Datenschutz

Das Recruiting über soziale Netzwerke wie LinkedIn, XING oder Facebook ist weit verbreitet, wirft aber datenschutzrechtliche Fragen auf. Grundsätzlich dürfen Arbeitgeber öffentlich zugängliche Profile von Bewerbern einsehen, wenn dies für die Beurteilung der fachlichen Eignung relevant ist.

Jedoch gibt es klare Grenzen:

• LinkedIn/XING: Berufliche Profile dürfen eingesehen werden, da sie für berufliche Zwecke erstellt wurden
• Facebook/Instagram: Private Profile sollten nicht systematisch durchsucht werden. Informationen über das Privatleben, politische Einstellungen oder den Gesundheitszustand dürfen nicht für die Personalauswahl herangezogen werden
• Active Sourcing: Das direkte Ansprechen potenzieller Kandidaten über berufliche Netzwerke ist grundsätzlich zulässig, muss aber datenschutzrechtliche Grundsätze beachten

Unternehmen sollten eine Social-Media-Recruiting-Richtlinie erstellen, die klare Vorgaben für die Personalverantwortlichen enthält.

Hintergrundüberprüfungen und Background Checks

Hintergrundüberprüfungen von Bewerbern sind nur in engen Grenzen zulässig. Das allgemeine Persönlichkeitsrecht des Bewerbers setzt der Recherche Grenzen:

• Polizeiliches Führungszeugnis: Nur bei berechtigtem Interesse und tätigkeitsbezogener Relevanz (z. B. Arbeit mit Kindern, sicherheitsrelevante Positionen)
• SCHUFA-Abfrage: Nur bei Positionen mit finanziellem Verantwortungsbereich und mit Einwilligung des Bewerbers
• Referenzeinholung: Nur beim aktuellen Arbeitgeber mit ausdrücklicher Zustimmung des Bewerbers
• Gesundheitsprüfung: Nur bei tätigkeitsbezogener Notwendigkeit (z. B. Lebensmittelbranche, Piloten)

Datenschutz bei Initiativbewerbungen

Initiativbewerbungen stellen besondere Anforderungen an den Datenschutz. Da keine konkrete Stelle ausgeschrieben ist, ist die Rechtsgrundlage für die Verarbeitung eingeschränkter. Unternehmen sollten:

1. Den Bewerber zeitnah über den Eingang der Bewerbung informieren
2. Eine Datenschutzinformation bereitstellen
3. Die Einwilligung zur Aufnahme in den Bewerberpool einholen
4. Die Bewerbung nach spätestens 6 Monaten löschen, wenn keine passende Stelle besetzt werden konnte
5. Regelmäßig die Einwilligung zur weiteren Speicherung erneuern

Absageschreiben und Datenschutz

Auch das Absageschreiben unterliegt datenschutzrechtlichen Anforderungen. Folgende Punkte sind zu beachten:

• Der Absagegrund muss nicht mitgeteilt werden, darf aber auch nicht diskriminierend sein
• Die Bewerbungsunterlagen müssen nach der AGG-Frist von 6 Monaten gelöscht werden
• Auf die Möglichkeit der Aufnahme in den Bewerberpool kann hingewiesen werden
• Bewerbungsunterlagen dürfen nicht an Dritte weitergegeben werden

Ausländische Bewerber und internationale Datenübermittlung

Bei der Verarbeitung von Bewerberdaten ausländischer Bewerber müssen besondere Regelungen beachtet werden. Werden Bewerbungen aus Drittstaaten (außerhalb der EU) bearbeitet, gelten die strengen Anforderungen der DSGVO an die internationale Datenübermittlung. Unternehmen müssen sicherstellen, dass ein angemessenes Datenschutzniveau im Empfängerland gewährleistet ist oder geeignete Garantien wie Standardvertragsklauseln vorliegen.

Die DATUREX GmbH unterstützt Unternehmen in Dresden und Sachsen bei der Entwicklung datenschutzkonformer Bewerbungsprozesse und der Schulung von Personalverantwortlichen zu allen Aspekten des Bewerberdatenschutzes.

Datenschutz bei der Personalvermittlung und Zeitarbeit

Bei der Einschaltung von Personalvermittlern oder Zeitarbeitsfirmen ergeben sich besondere datenschutzrechtliche Anforderungen. Die Personalvermittlung ist kein Auftragsverarbeiter, sondern ein eigenständiger Verantwortlicher, der die Bewerberdaten im Rahmen seiner Vermittlungstätigkeit verarbeitet. Dennoch muss die Datenweitergabe an den Personalvermittler auf einer Rechtsgrundlage basieren, in der Regel auf der Einwilligung des Bewerbers.

Bei Zeitarbeit wird der Leiharbeitnehmer vom Verleiher an den Entleiher überlassen. Beide Parteien verarbeiten personenbezogene Daten des Arbeitnehmers. Der Austausch von Daten zwischen Verleiher und Entleiher muss auf das für die Durchführung der Arbeitnehmerüberlassung Erforderliche beschränkt sein.

Aufbewahrung von Bewerbungsunterlagen bei öffentlichen Arbeitgebern

Für öffentliche Arbeitgeber gelten besondere Regelungen bei der Aufbewahrung von Bewerbungsunterlagen. Das Personalaktenrecht des öffentlichen Dienstes schreibt vor, dass Bewerbungsunterlagen spätestens 6 Monate nach Abschluss des Auswahlverfahrens an die Bewerber zurückgegeben oder vernichtet werden müssen. Bei beamtenrechtlichen Konkurrentenklagen kann die Aufbewahrungsfrist auf die Dauer des Rechtsstreits verlängert werden.

Whistleblowing und Bewerberdaten

Das Hinweisgeberschutzgesetz, das 2023 in Kraft getreten ist, kann auch im Kontext des Bewerbungsprozesses relevant werden. Bewerber, die im Rahmen ihrer Bewerbung auf Datenschutzverstöße des Unternehmens aufmerksam werden und diese melden, genießen den Schutz des Gesetzes. Unternehmen dürfen keine Repressalien gegen solche Bewerber ergreifen, und die Vertraulichkeit der Identität des Hinweisgebers muss gewahrt werden.

Zusammenfassung: Bewerberdatenschutz professionell umsetzen

Der datenschutzkonforme Umgang mit Bewerberdaten ist nicht nur eine rechtliche Pflicht, sondern auch ein wichtiger Faktor im Employer Branding. Unternehmen, die den Bewerberdatenschutz ernst nehmen und transparent kommunizieren, hinterlassen bei Bewerbern einen professionellen Eindruck. Die wichtigsten Maßnahmen sind: Erstellen Sie eine transparente Datenschutzinformation für Bewerber und veröffentlichen Sie diese in jeder Stellenanzeige. Implementieren Sie ein Löschkonzept für Bewerbungsunterlagen mit der 6-Monats-Frist. Schulen Sie alle am Bewerbungsprozess beteiligten Mitarbeiter regelmäßig zum Datenschutz. Holen Sie bei der Aufnahme in den Bewerberpool eine ausdrückliche Einwilligung ein. Schließen Sie mit Recruiting-Plattformen und Personalvermittlern datenschutzkonforme Vereinbarungen. Mit diesen Maßnahmen schützen Sie nicht nur die Rechte der Bewerber, sondern minimieren auch Ihr Haftungsrisiko und stärken Ihre Arbeitgebermarke.