Arbeitsrecht 02/2019

Datenschutz im Bewerbungsverfahren

Abgelehnte Bewerber stellen seit dem Inkrafttreten der europäischen Datenschutzgrundverordnung (DS-GVO) und dem Bundesdatenschutzgesetz neue Fassung (BDSG n.F.) nicht nur eine latente Gefahr wegen möglicher Verstöße gegen das allgemeine Gleichbehandlungsgesetz (AGG) dar, sondern auch wegen vermeintlicher Verstöße gegen den Datenschutz. So könnte ein abgelehnter Bewerber vermeintliche Verstöße gegen Vorschriften des Datenschutzes im Bewerbungsverfahren bei den Aufsichtsbehörden anzeigen, was Kontrollen derselben nach sich ziehen könnte, zumal die Datenschutzbehörden ab Januar 2019 verstärkte Kontrollen angekündigt haben.

Was ist also zu beachten für ein DSGVO-konformes Bewerbungsverfahren?

1. Eine Einwilligung des Bewerbers zur Verarbeitung personenbezogener Daten im Bewerbungsverfahren ist entgegen der landläufigen Ansicht nicht erforderlich und zwar auch dann nicht, wenn das Bewerbungsverfahren online durchgeführt wird. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, soweit dies für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist.

Werden also die personenbezogenen Daten von Bewerbern nur insoweit verarbeitet, als dass dies für das Bewerbungsverfahren und die Entscheidung zur Einstellung erforderlich ist, können diese Daten ohne Einwilligung verarbeitet werden. Die Begrenzung der Erforderlichkeit der Datenverarbeitung für das Bewerbungsverfahren und die Einstellung ist allerdings zwingend zu beachten. Mit anderen Worten: Die Vorschriften des Datenschutzes stehen einer Verarbeitung solcher Daten entgegen, die für die Entscheidung über die Einstellung keinerlei Rolle spielen.

2. Auch wenn es für die Verarbeitung von personenbezogenen Daten für die Zwecke des Beschäftigungsverhältnisses keiner Einwilligung bedarf, müssen dennoch die in der DSGVO normierten Informationspflichten beachtet werden. Art. 13 DSGVO bestimmt die Informationspflicht bei der Datenerhebung unmittelbar „bei der betroffenen Person“, also bei dem Bewerber selbst. Dies bedeutet, dass Folgendes mitzuteilen ist:

• der Name und die Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters
• die Kontaktdaten des Datenschutzbeauftragten
• die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen sowie die Rechtsgrundlage der Verarbeitung
• die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten.

In der Praxis stellt sich oft die Frage, wie man diese Informationspflicht gegenüber Bewerbern erfüllen kann. Da nahezu alle Arbeitgeber zwischenzeitlich über eine Homepage verfügen, ließe sich dort unter dem Tab „Datenschutz“ eine zusätzliche Informationsmitteilung, die den Vorgaben des Art. 13 DS-GVO entspricht, platzieren. Aber Achtung: Bei Bewerbungen durch E-Mail oder Brief muss die Informationsplicht aktiv erfüllt werden, damit der Nachweis der Erfüllung der Informationspflicht erbracht werden kann. Viele Unternehmen versenden die Information über die Erhebung der personenbezogenen Daten in Bewerbungsverfahren mit der Eingangsbestätigung zu der jeweiligen Bewerbung.

Der potenzielle Arbeitgeber kann die Bewerbungsunterlagen innerhalb des Unternehmens an solche Personen weitergeben, die unmittelbar mit dem Bewerbungsverfahren zu tun haben. Dies gilt auch für externe Partner, die ggf. Bewerbungsgespräche durchführen. Es ist allerdings darauf zu achten, dass durch technische und organisatorische Maßnahmen sichergestellt ist, dass der Kreis der Empfänger der Bewerberunterlagen möglichst klein gehalten wird.

3. Was passiert mit den Daten von Bewerbern, denen eine Absage erteilt worden ist?

Art. 5 Abs. 1 b) DS-GVO beinhaltet den Grundsatz der zweckgebundenen Datenverarbeitung. Der Zweck der Datenverarbeitung zur Begründung eines Arbeitsverhältnisses erledigt sich aber mit der Absage an den Bewerber. Dennoch müssen die Daten nach allgemeiner Auffassung nicht sofort gelöscht werden, denn unter Umständen ist das Bewerbungsverfahren mit der Absage noch gar nicht erledigt. Mehr und mehr machen abgelehnte Bewerber Ansprüche aus dem Bewerbungsverfahren geltend (Kostenerstattung, Schadensersatz wegen vermeintlicher Ungleichbehandlung oder eben wegen Verletzung des Datenschutzes). Allgemein wird daher empfohlen, die Bewerbungsunterlagen noch über einen Zeitraum von bis zu vier Monaten aufzubewahren, bevor sie sodann allerdings gelöscht werden müssen. Die Löschung sollte auch in einem entsprechenden Verarbeitungsverzeichnis nach Art. 30 Abs. 1 DSVGO so vorgesehen sein.

Da die Aufsichtsbehörden für das Jahr 2019 eine verstärkte Überwachung der Einhaltung der Vorgaben des Datenschutzes angekündigt haben, raten wir eine entsprechende Umsetzung im Bewerbungsverfahren an.

Bei der Umsetzung stehen wir Ihnen auch gerne beratend zur Seite.

Rechtsanwalt Dr. jur. Wolfgang Leister
Fachanwalt für Arbeitsrecht