Datenschutz im Einstellungsprozess beachten

Vereinssoftware campai klärt auf. Jeder Verein benötigt (ehrenamtliche) Mitarbeiter*innen, um die anfallenden Aufgaben zu bewältigen. Im Laufe eines Bewerbungsverfahrens erhält man eine Vielzahl von sensiblen Informationen über die Bewerber*innen. Neben dem ersten Eindruck kann man möglicherweise auch Rückschlüsse auf gesundheitliche Einschränkungen oder andere höchstpersönliche Lebensumstände ziehen. Dabei gilt es ein geeignetes Prozedere zu entwickeln, um den Schutz dieser personenbezogenen Daten zu gewährleisten. Doch was muss aus datenschutzrechtlicher Sicht sichergestellt werden und welche Maßnahmen müssen ergriffen werden? Darüber möchten wir Ihnen folgend einen Überblick geben.

Was muss aus datenschutzrechtlicher Sicht sichergestellt werden?

In den vorherigen Blog-News haben wir Ihnen u.a. aufgezeigt, dass jede Datenverarbeitung eine Rechtsgrundlage und einen konkreten Zweck benötigt. Im Vergleich zu vorherigen Beispielen ist die Auswahl einer geeigneten Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten im Bewerbungsprozess weniger kompliziert. Zu beachten sind die EU Datenschutz-Grundverordnung (folgend „DSGVO“) und das Bundesdatenschutzgesetz (folgend „BDSG“). Da sich die Arbeitsmärkte in jedem Mitgliedsstaat der EU historisch unterschiedlich entwickelt haben und sich die Marktformen teilweise sehr unterscheiden, hat der EU-Gesetzgeber keine Regelung zur Harmonisierung geschaffen, sondern die Datenverarbeitung der Arbeitswelt den Mitgliedsstaaten überlassen. Daher existiert in der DSGVO eine sog. Öffnungsklausel in Art. 88 DSGVO. Aufgrund dieser Öffnungsklausel hat der deutsche Gesetzgeber die Möglichkeit eigene Regelungen zum Beschäftigtendatenschutz zu schaffen. Dieser Möglichkeit ist er mit § 26 BDSG nachgekommen. Nach dieser Norm dürfen potenzielle Arbeitgeber personenbezogenen Daten im Bewerbungsverfahren verarbeiten, die „für die Begründung, Durchführung und die Beendigung des Arbeitsverhältnisses erforderlich sind“. Somit wäre eine geeignete Rechtsgrundlage in Art. 88 Abs. 1 DSGVO in Verbindung mit § 26 Abs. 1 BDSG gefunden. Der Zweck liegt in der Begründung eines Beschäftigungsverhältnisses. Darüber müssen die Bewerber*innen informiert werden (z.B als Hinweis in einem Bewerbungs-Portal). Um den sogenannten Informationspflichten (Art. 13 DSGVO und Art. 14 DSGVO) nachzukommen, sollten Sie nach Eingang der Bewerbung folgende Informationen mitteilen:

§  Welche personenbezogenen Daten erhoben werden (Lebenslauf, Zeugnisse usw.)

§  Wer die Daten verarbeitet (HR-Bereich, Geschäftsführer*in, Vorstandsmitglieder*innen, die die Stelle ausgeschrieben haben etc.)

§  Welche Empfänger die Daten erhalten (bspw. involvierte Dienstleister)

§  Woher die Daten stammen (eigene Bewerbung, Übermittlung durch Dienstleister)

§  Speicherdauer (die Aufbewahrungsfrist der Bewerbungsunterlagen)

§  Rechte der Bewerber*innen (Recht auf Auskunft (Art. 15 DSGVO), Recht auf Berichtigung der Daten (Art. 16 DSGVO), Recht auf Löschung (nach Art. 17 DSGVO)

Arbeitgeber*innen sind zudem auch verpflichtet, ein Verarbeitungsverzeichnis (folgend „VVT“) zu führen. Hier werden alle Verarbeitungen personenbezogener Daten transparent dokumentiert. Diese Übersicht erleichtert sowohl Betroffenenanfragen, Prüfungen durch Aufsichtsbehörden sowie das Einhalten der festgeschriebenen Löschfristen von Bewerbungsunterlagen.

Was ist in jedem Bewerbungsprozess zu beachten? Welche Maßnahmen sollten Sie ergreifen?

Bei der Auswahl geeigneter Arbeitnehmer*innen für eine Stelle und der Anbahnung eines Arbeitsvertrages müssen sich Arbeitgeber*innen ein ungefähres Bild über die einzustellende Person machen. Um zu klären, ob diese fachlich oder persönlich ins Unternehmen passt, müssen bestimmte Informationen über sie in Erfahrung gebracht werden. Dabei ist es wichtig zu beachten, dass Sie nur diese Informationen abfragen, die tatsächlich für das jeweilige Verfahren und die Auswahlentscheidung zwingend notwendig sind. Selbstverständlich können Sie sämtliche Angaben über den schulischen und beruflichen Werdegang und entsprechende Qualifikationen, Zeugnisse und sonstige Nachweise verlangen. Umgekehrt sind Angaben zu Gesundheitsdaten, Partei- oder Gewerkschaftszugehörigkeiten oder zum Familienstand oder Freizeitaktivitäten für eine Einstellungsentscheidung nicht erforderlich und deren Abfrage daher in der Regel nicht erlaubt. Die Auswahlverfahren haben sich in der heutigen Zeit geändert. Arbeitgeber*innen wissen, dass in Bewerbungen häufig die gleichen Formulierungen stehen und die Angaben sich ähneln. Um sich dahingehend ein vermeintlich „echtes“ Bild über die Bewerber*innen zu verschaffen, wird vermehrt in sozialen Netzwerken nach Informationen gesucht. Doch hier ist Vorsicht geboten. Soziale Netzwerke, welche eher privat genutzt werden, wie Facebook, TikTok und Instagram sollten eher nicht einbezogen werden. Informationen, welche Sie bei Xing oder LinkedIn finden, sind eher beruflichen Netzwerken zuzuschreiben und können in der Regel ohne Probleme verarbeitet werden.  

Einsicht und Weitergabe von Bewerbungsunterlagen

Wie bereits erwähnt, enthalten Bewerbungsunterlagen sehr sensible Daten. Daher haben Bewerber*innen das Recht von einem ordentlichen und erwartbaren Umgang mit denen Daten auszugehen. Der Zugriff auf diese Daten sollte daher beschränkt werden und nur solchen Personen ermöglicht werden, die über die Einstellung entscheiden. Das kann ein zuständiger Sachbearbeiter im Personalbereich, ggf. der Vereinsvorsitzende oder eine Fachbereichsleiterin sein. Keinesfalls sollten die Daten in einem allgemein zugänglichen Ordner abgelegt werden oder auf dem Schreibtisch für jedermann offen herumliegen.

Löschen von Bewerberdaten

Stellt sich heraus, dass der Bewerber nicht eingestellt wird, sollten die personenbezogenen Daten nach Art. 17 Abs. 1 lit. a) DSGVO gelöscht werden. Hierbei ist zu beachten, dass personenbezogene Daten weiter aufbewahrt werden dürfen, solange sie für die Verteidigung von Rechtsansprüchen benötigt werden (siehe Art. 17 Abs. 1 lit. e) DSGVO). In Deutschland haben Bewerber*innen innerhalb von zwei Monaten nach Kenntniserlangung einer vermeintlichen Diskriminierung (bspw. Ablehnung aufgrund eines religiösen Symbols) die Möglichkeit, Ihren Anspruch nach dem Allgemeinen Gleichbehandlungsgesetzes (AGG) einzuklagen. Solange Arbeitgeber*innen mit einer solchen Klage rechnen müssen, können die Bewerberdaten aufbewahrt werden. Danach werden Arbeitgeber*innen die Bewerberdaten nicht mehr zur Abwehr von Ansprüchen benötigen und sind demnach zu löschen.

Zusammenfassung 

Die Suche nach neuen Mitarbeiter*innen hat sich in den letzten Jahren verändert. Es werden Online-Portale oder die eigene Webseite für Ausschreibungen genutzt, weil Zeitungsannoncen nicht mehr die gewünschte Reichweite haben. Neben den sorgfältigen Umgang mit den Daten, ist eine genaue Dokumentation im VVT als auch eine entsprechende Information (Art. 13 und 14 DSGVO) für die Bewerber*innen erforderlich. Bedenken Sie auch, dass Sie Bewerberdaten nur begrenzt aufzubewahren sind. 

Weitere Informationen finden Sie unter:

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg; Unsere Freiheiten: Daten nützen – Daten schützen; Ratgeber Beschäftigtendatenschutz, 4. Auflage; Stand April 2020; online aufrufbar unter: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2020/04/Ratgeber-Besch%C3%A4ftigtendatenschutz.pdf 

‍