Source: https://www.dr-datenschutz.de/bewerbertools-das-digitale-bewerbermanagement/
Timestamp: 2020-08-04 16:48:30
Document Index: 60272460

Matched Legal Cases: ['Art. 5', 'Art. 15', 'Art. 28', 'Art. 5', 'BGH', 'Art. 28', 'Art. 26']

Bewerbertools - Chancen und Risiken der digitalen Bewerbung
Der Bewerbungsprozess stellt Arbeitgeber oftmals vor Herausforderungen. Insbesondere bei größeren (Konzern-) Unternehmen kann hier schnell Chaos entstehen, wo keines sein soll. Abhilfe schaffen immer öfter digitale Bewerbertools. Schnell, effektiv, modern und kostensparend – die positiven Aspekte sind verlockend, doch gibt es auch hier einige Feinheiten zu beachten. Wo wir in der Vergangenheit vertieft auf die Grundlagen des E-Recruitment und spezielle Techniken wie das Videointerview eingingen, möchten wir uns anlässlich des europäischen Datenschutztages mit diesem Beitrag vertieft dem Bereich der Bewerbermanagement-Plattformen widmen.
Bewerbermanagement wird hip
Die Digitalisierung hat unsere Welt fest im Griff. Wo Behörden noch allzu häufig dem technischen Fortschritt hinterherhinken, schreitet die Privatwirtschaft mit Riesenschritten voran. In Zeiten, in welchen Kunden per Chatbot sekundenschnelle Rückmeldung erhalten und selbst Steuererklärungen mit wenigen Klicks online eingereicht werden können, drängt sich der Wunsch nach einfachen, klar strukturierten und übersichtlichen Prozessen auf.
Solche Prozesse kommen zudem auch dem datenschutzrechtlich Verantwortlichen zugute: Ein wesentlicher Teil der Pflichten eines Verantwortlichen betrifft die in Art. 5 Abs. 2 DSGVO normierte Rechenschaftspflicht. Die Einhaltung der datenschutzrechtlichen Grundsätze muss danach von jedem Verantwortlichen nachgewiesen werden können. Es leuchtet ein, dass dieser Pflicht nur dann effektiv nachgekommen werden kann, wenn Prozesse ausreichend transparent und übersichtlich gestaltet sind. Dies fällt insbesondere in komplexen Unternehmensstrukturen recht schwer, da Daten oft über verschiedene Abteilungen verteilt sind und der nötige Überblick fehlt.
Abhilfe versprechen verschiedene Anbieter sogenannter Bewerbertools bzw. Bewerbermanagement-Plattformen. Hierbei wird dem Verantwortlichen meist durch eine Cloud-basierte Plattform eine Infrastruktur an die Hand gegeben, die es ermöglicht, den gesamten Bewerbungsprozess – vom ersten Kontakt über Bewerbungsgespräche bis hin zum Vertragsschluss – umfassend abzubilden. Eingekleidet wird das Ganze bestenfalls noch in ein hippes, pastellfarbenes Gewand voller sympathischer Profilbildchen.
Der Arbeitgeber kann hier flexibel entscheiden, welche Mitarbeiter aus welchen Fachabteilungen oder gar Konzernunternehmen in den Bewerbungsprozess eingebunden werden sollen, über integrierte Chatprogramme besteht ein direkter Kontakt zum Bewerber und auch die Terminfindung für Vorstellungsgespräche wird zum Kinderspiel.
Der Bewerber selbst hat die Möglichkeit, eigene Profile anzulegen, Lebensläufe online zu stellen oder gar private Social-Media-Accounts zu verknüpfen. Dies schafft unmittelbar eine spürbare Nähe zwischen den Akteuren und vermittelt beiden Seiten ein Gefühl gesteigerter Kontrolle. Vorbei scheinen die Zeiten, in denen ein Bewerber monatelang auf die Beantwortung eines Bewerbungsschreibens wartet, dass er nie erhalten wird.
Bewerbertools: Chancen für das Datenschutzmanagement
Die Zentralisierung eines oft sehr sensiblen Feldes wie dem des Bewerbermanagements bringt in datenschutzrechtlicher Hinsicht zunächst einige Vorteile.
Durch die Abbildung aller Daten innerhalb eines Tools fällt das Management von Löschverpflichtungen deutlich leichter. Löschroutinen oder bestenfalls sogar ein ganzes Löschkonzept können so deutlich leichter eingeführt werden. Viele Tools bieten automatische Erinnerungs- oder gar Löschfunktionen an.
Es besteht die einfache Möglichkeit, Einwilligungen von Bewerbern nachhaltig zu dokumentieren. Dies wird insbesondere dann relevant, wenn Bewerber in sog. Bewerberpools aufgenommen werden, die Daten also länger als für den konkreten Bewerbungsprozess gespeichert werden sollen.
Dem Bewerber werden Kontrollmöglichkeiten eingeräumt, die er im klassischen Bewerbungsverfahren nicht hat. Oftmals besteht für den Bewerber die Möglichkeit, Daten selbst aus dem Profil zu löschen, diese exportieren zu lassen oder sie zu korrigieren. Die Ausübung von Betroffenenrechten nach den Art. 15 ff. DSGVO kann somit deutlich leichter gehandhabt werden. Auch können Betroffenenrechte meist direkt innerhalb des Tools geltend gemacht werden. Der Weg einer – irgendwo im Unternehmen eingegangenen – Betroffenenanfrage über mehrere E-Mail-Konten, der hoffentlich letztendlich beim zuständigen Mitarbeiter mündet, wird so weitestgehend vermieden.
Altbekannte Risiken in neuem Gewand
Allerdings ist auch hier nicht alles Gold, was glänzt. Nicht jeder Dienstleister bietet ein adäquates Schutzniveau. Es sollte besonders darauf geachtet werden, in welchen Ländern die zugehörigen Clouds betrieben und mit welcher Bereitschaft Auskunft über technische und organisatorische Maßnahmen beim Dienstleister gegeben werden. Hier gilt es, besser zweimal hinzuschauen, denn die Auswahl geeigneter Dienstleister gehört schon nach Art. 28 Abs. 1 DSGVO zu grundlegenden Pflichten des Verantwortlichen.
Das größte Gefahrenpotenzial birgt jedoch – wie so oft – die konkrete Anwendung durch das Unternehmen und seine Mitarbeiter selbst:
Bewerbertools verfügen meistens über Rollenkonzepte, welche die Zugriffsbefugnisse einzelner Mitarbeiter auf Bewerberdaten regeln. Um dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO gerecht zu werden, muss auch hier das sog. „Need to know“-Prinzip beachtet werden. Zugriff auf die Daten eines Bewerbers dürfen somit nur solche Mitarbeiter haben, deren Einbindung für die Durchführung des Bewerbungsverfahrens auch erforderlich ist. Personen, die lediglich ein Interesse an der Bewerbung haben könnten oder nur möglicherweise etwas Konstruktives beizutragen haben, sollten nicht per se, sondern nur nach sorgfältiger Prüfung einbezogen werden. Dies gilt umso mehr, als in Bewerbungsunterlagen in der Regel sehr sensible Daten enthalten sind.
Der Verpflichtung, nicht mehr benötigte Daten nach Beendigung des Bewerbungsverfahrens zu löschen, muss aktiv nachgekommen werden. Hierbei können automatische Wiedervorlagefristen sicherlich unterstützen. Auch wenn automatische Löschroutinen implementiert werden können, müssen diese dennoch regelmäßig überprüft werden.
Viele Tools bieten Bewerbern die Möglichkeit, sich per Social Login anzumelden oder zumindest den eigenen Facebook- oder LinkedIn-Account zu verknüpfen. Verzichtet werden sollte jedoch auf ein aktives „Anreichern“ der Bewerberdaten mit Daten aus dem Social-Media-Profil. Dies gilt insbesondere für privat genutzte Facebook-Accounts, da der Bewerber zwar wohl grundsätzlich damit einverstanden ist, dass der Arbeitgeber durch die Verknüpfung Name, Profilbild und E-Mail-Adresse erhält. Er jedoch nicht damit rechnen muss, dass sämtliche privaten Informationen Teil des Bewerbungsprozesses werden.
Auch der Einsatz von Analysetools wie Google Analytics sollte überdacht werden. So wird man – folgt man der Ansicht der Aufsichtsbehörden sowie der DSK – einen Einsatz von Drittanbieter-Analysetools nur mit Einwilligung des Betroffenen rechtssicher gestalten können. Zumindest sollte dem Verantwortlichen das bestehende Risiko bewusst sein und hinreichend abgewogen werden.
Es sollte auf sog. „Tell a Friend“- oder Drittempfehlungs-Funktionen verzichtet werden. Zwar erscheint die Idee, von eigenen Mitarbeitern auf geeignete potenzielle Bewerber aufmerksam gemacht werden zu können, zunächst sehr attraktiv. Jedoch stellen sich bei der erstmaligen Ansprache eines unbeteiligten Dritten oftmals wettbewerbsrechtliche Probleme, da auch eine Ansprache mit dem Ziel, einen potenziellen Arbeitnehmer anzuwerben, als werbliche Ansprache im Sinne des Gesetzes gegen den unlauteren Wettbewerb (UWG) gewertet werden kann (vgl. BGH Urteil vom 12.09.2013, Az.: I ZR 208/12).
Zwar bieten die Tools stets eine eigene Datenschutzerklärung an, jedoch ist diese in einer Vielzahl von Fällen entweder lückenhaft oder zumindest anpassungsbedürftig. Es sollte hier bestenfalls eine eigene Datenschutzerklärung vorgehalten und im Tool integriert werden.
Zudem können alle bisher genannten Grundregeln meistens nicht alleine softwareseitig umgesetzt werden, sondern müssen in der täglichen Praxis von den beteiligten Mitarbeitern gelebt werden. Hierfür sollten bei Einführung eines solchen Tools eindeutige interne Richtlinien vorgehalten werden. Auch die regelmäßige Durchführung von Schulungen bietet sich an, um eine Sensibilisierung für die riskanten Bereiche des Verfahrens zu erreichen.
Vertragliche Aspekte auch im Konzern nicht vernachlässigen
Regelmäßig wird der Anbieter eines solchen Tools als Auftragsverarbeiter i.S.d. Art. 28 DSGVO auftreten. Dass hier ein entsprechender Vertrag zu schließen ist, wurde von uns bereits thematisiert.
Vor eine weitere organisatorische Herausforderung wird ein Verantwortlicher jedoch dann gestellt, wenn das Tool nicht nur ein Unternehmen abbilden soll, sondern in einer komplexen Konzernstruktur mit mehreren beteiligten Unternehmen eingesetzt wird. Dann stellt sich zum einen die Frage, welche Parteien nun die oben erwähnten Auftragsverarbeitungsverträge schließen sollen.
Zum anderen ist denkbar, dass Verantwortliche aus Fachbereichen mehrerer Konzernunternehmen bei bestimmten Bewerbungsverfahren gemeinsam tätig werden, beispielsweise, weil der Muttergesellschaft eigene Mitbestimmungsbefugnisse im Bewerbungsprozess der Tochterunternehmen zustehen. In diesen Fällen muss geprüft werden, ob ein Fall der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO vorliegt.
Eine Möglichkeit, besonders bei vielen Beteiligten das Vertragsmanagement übersichtlich zu halten, könnte hier in Rahmenvereinbarungen liegen, die die Rechtsverhältnisse innerhalb des Konzerns regeln und auch ein Management von möglicherweise erforderlichen Auftragsverarbeitungsverträgen mit Dienstleistern erleichtern können.
Es sollte deshalb im Einzelfall genau geprüft werden, welche Unternehmen in welcher Funktion am Bewerbungsprozess teilnehmen. Erst mit ausreichend transparenten Datenflüssen innerhalb des Konzerns kann die Einschätzung hinsichtlich der zu ergreifenden datenschutzrechtlichen Schritte sinnvoll gestaltet werden.
Bei richtigem Einsatz sind Bewerbertools eine gute Alternative
Bei ausreichender Sensibilisierung der HR-Abteilung, bedachter Auswahl von Dienstleistern und einem maßvollen Einsatz von möglichen Zusatzfunktionen wie Tracking oder Social-Media-Verknüpfung kann der Einsatz von digitalen Bewerbungsmanagement-Tools viele Prozesse im Bewerbungsverfahren schneller, moderner und übersichtlicher Gestalten. Die Chancen mit Blick auf strukturierte Datenschutzmanagement-Prozesse sind durchaus vorhanden, gleichwohl bergen gesteigerte Möglichkeiten auch neue Risiken.
In jedem Fall ist zu empfehlen, den Datenschutzbeauftragten frühzeitig bei der Implementierung neuer Tools – besonders im HR-Bereich – einzubinden.
Mehr zum Thema: Arbeitgeber, Arbeitnehmer, Berechtigungskonzept, Bewerbungsdaten, Bewerbungsverfahren