Source: https://www.mission-datenschutz.de/beschaeftigtendatenschutz/datenschutz-bei-bewerbungen-26-bdsg-und-art-88-dsgvo-beschaeftigtendatenschutz
Timestamp: 2019-07-15 18:23:18
Document Index: 206219815

Matched Legal Cases: ['Art 88', '§ 26', '§ 26', 'Art 13', 'Art 30', '§ 26', '§ 26', '§ 15', '§ 15', '§ 29', 'Art. 82', 'Art. 13', 'Art. 82']

Datenschutz bei Bewerbungen und in Bewerbungsprozessen
In Kategorie(n): Art 88 DSGVO, Beschäftigtendatenschutz, § 26 BDSG - 05. Dezember 2018 von Rechtsanwalt Thomas Feil
Im Bereich der Unternehmen und Behörden brachte die Einführung der EU-Datenschutzgrundverordnung (DSGVO) und des neuen Bundesdatenschutzgesetz (BDSG) einige Veränderungen mit sich. Ein rechtskonformer Umgang mit personenbezogenen Daten gewann an Bedeutung, dies gilt nicht nur für Kunden und Mitarbeiter des Unternehmens, sondern ebenso die Bewerber. Bei der Verarbeitung dieser Bewerberdaten ist einiges spezifisch zu beachten.
Die richtige Rechtsgrundlage § 26 BDSG
Sichtung der Bewerbungsdaten
Informationspflichten bei Bewerbern Art 13 DSGVO
Dokumentation im Verzeichnis das Verarbeitungstätigkeiten Art 30 DSGVO
Sonderfall Online-Bewerbungen
Vorteile einer datenschutzkonformen Verarbeitung der Bewerberdaten
Die DSGVO sieht im Allgemeinen vor, dass jeder Verarbeitung personenbezogener Daten eine entsprechende Rechtsgrundlage zugrunde liegt. Artikel 88 DSGVO bezieht sich auf den Datenschutz im Beschäftigungskontext und überschneidet sich inhaltlich mit § 26 BDSG. So ist eine Verarbeitung der Daten rechtskonform, wenn dies der Entscheidung über ein Beschäftigungsverhältnis dient. In Absatz 8 von § 26 BDSG werden außerdem ausdrücklich die Bewerberinnen und Bewerber genannt. Somit regelt dieser Paragraph aus datenschutzrechtlicher Sicht die grundlegenden Verarbeitungen der Daten, wie das Einsehen der Bewerbungsunterlagen oder die Einladung zu einem Vorstellungsgespräch. Die weitere Verarbeitung und im Besonderen die Aufbewahrung der Daten fordert möglicherweise eine Einwilligung von Seiten des Bewerbers.
Generell dürfen Bewerbungsunterlagen nicht für jeden beliebigen Mitarbeiter des Unternehmens zugänglich sein. Nur die Personen, die direkt mit der möglichen Anstellung zu tun haben, dürfen Zugriff erhalten. Auch wenn es im Unternehmen üblich ist, im Bewerbungsverfahren Zweit- und Drittmeinungen einzuholen, muss die Weitergabe der personenbezogenen Daten streng begrenzt bleiben. Alle Beteiligten sind in diesem Fall zur Verschwiegenheit verpflichtet.
Ebenso wie die Kunden eines Unternehmens haben auch die Bewerber nach Artikel 13 und 14 DSGVO ein Recht darauf, zum Zeitpunkt der Erhebung, sprich des Eingangs der Bewerbungsunterlagen, über die Verarbeitung ihrer personenbezogenen Daten informiert zu werden.
Dies umfasst im Normalfall eine Auskunft über die Art der personenbezogenen Daten, wie Bewerberstammdaten, Zeugnisse und Qualifikationen, und die Quelle der Daten, also ob sie direkt beim Bewerber erhoben wurden oder von anderen Dienstleistern stammen. Des Weiteren sollte über die Speicherdauer und die Rechte des Bewerbers informiert werden, sowie darüber, an wen die Daten weitergegeben werden, wie beispielsweise an den Betriebsrat oder die Personalabteilung.
In der Realität kann der Verantwortliche seine Informationspflichten auf unterschiedlichen Wegen erfüllen. Bei einer Online-Bewerbung per E-Mail können die Informationen einer automatisierten Eingangsbestätigung angehängt werden. Handelt es sich um ein Online-Bewerberportal, sollten die Informationen unmittelbar zur Verfügung gestellt werden.
Auch wenn heute das sogenannte Social Monitoring, also die Internetrecherche in sozialen Netzwerken über den Bewerber, bereits zu den Standardverfahren bei einer Bewerbung zählt, ist hierbei Vorsicht geboten. Selbst bei öffentlichem Zugang der Daten des Bewerbers in einem sozialen Netzwerk, darf der Arbeitgeber sie bei der Entscheidungsfindung nur berücksichtigen, wenn dieser kein schutzwürdiges Interesse des Bewerbers entgegensteht.
So ist eine ausschließliche Internetrecherche bei speziell dafür vorgesehenen Portalen wie XING oder LinkedIn zu empfehlen. Von der Verwendung privater Daten, wie beispielsweise bei Facebook, ist abzuraten.
Artikel 30 DSGVO verpflichtet den Verantwortlichen dazu, ein Verzeichnis über seine Verarbeitungstätigkeiten personenbezogener Daten zu führen. Dies betrifft auch die Verarbeitung der Bewerberdaten und kann besonders für das Einhalten der Betroffenenrechte relevant werden. Muss das Unternehmen im Fall einer Beschwerde des Bewerbers seinen Rechenschaftspflichten gegenüber der Aufsichtsbehörde nachkommen, ist ein solches Verzeichnis mit vollständiger Auflistung der Datenverarbeitung von Bewerbungen unbedingt notwendig.
Im Ausnahmefall muss zusätzlich eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erstellt werden.
Eines der wichtigsten Grundprinzipien im Datenschutz ist die Zweckbindung bei der Verarbeitung personenbezogener Daten. Die Erhebung, Nutzung und Verarbeitung muss einen vorab eindeutig festgelegten Zweck dienen. Im Fall einer Bewerbung geben die Bewerber ihre Zustimmung dazu bereits durch die Zusendung ihrer Daten.
Ist der Zweck der Verarbeitung erfüllt, gibt die DSGVO eine sofortige Löschung vor. Dies gilt nicht nur für die Daten die der Verantwortliche direkt vom Bewerber erhalten hat, sondern auch für Informationen aus einem Bewerbungsgespräch in Form von Notizen des Arbeitgebers oder für erbrachte Probearbeiten.
Eine Bewerbung per E-Mail ist heute nicht unüblich und erleichtert in vielerlei Hinsicht den Bewerbungsvorgang, so auch bei der Weitergabe der Bewerberdaten an berechtigte Personen innerhalb des Unternehmens.
Für eine Bewerbung auf elektronischem Weg gelten die gleichen Richtlinien wie für eine herkömmliche Bewerbung in Papierform, allerdings sind bei der Umsetzung einige Dinge zu beachten. Ein Problem beim datenschutzkonformen Umgang mit den Daten des Bewerbers kann vor allem die Löschung jener sein. Nach Zweckerfüllung müssen nicht nur die Original-E-Mail, sondern auch sämtliche Kopien dieser und Ausdrucke der Bewerbung gelöscht werden. Im konkreten Unternehmen kann dies ggf. eine entsprechende Schulung erfordern, so dass nicht durch versehentliche Ablage auf dem PC unberechtigterweise Bewerberdaten gespeichert bleiben, was einen Datenschutzverstoß bedeuten würde.
Wird der Bewerber als Kandidat für eine Arbeitsstelle abgelehnt, sollte es zu einer umgehenden Löschung kommen. Ausgenommen davon sind nur die Daten der Bewerber, die zu einer längeren Speicherung der Daten eine Einwilligung erteilt haben. In größeren Unternehmen kann dies bei der Aufnahme der Bewerberdaten in einen Kandidaten-Pool der Fall sein. Hier bleiben Daten bestehen, sollte zu einem späteren Zeitpunkt eine passende Stelle frei werden.
Ganz unmittelbar nach Zweckerfüllung bzw. Ablehnung des Bewerbers sollte es dennoch nicht zur Löschung kommen, da Bewerber aufgrund des Allgemeinen Gleichbehandlungsgesetztes (AGG) das Recht haben gegen den potentiellen Arbeitgeber zu klagen. Aus § 15 Absatz 4 AGG ergibt sich eine maximal sechsmonatige Löschungsfrist. Nach § 15 AGG hat der Kläger seinen Anspruch innerhalb von zwei Monaten nach Zugang der Ablehnung geltend zu machen. Des Weiteren hat der Kläger eine Zeitspanne von drei Monaten zur Verfügung, in der der Anspruch mittels einer Klage geltend gemacht werden kann. Unter zusätzlicher Berücksichtigung normaler Postlaufzeiten ergibt sich ein sicherer Rahmen von sechs Monaten, in dem der Arbeitgeber noch mit einer Klage rechnen muss und die Daten gespeichert bleiben dürfen.
In Österreich sieht es ähnlich aus. Der sechsmonatigen Frist des § 29 Absatz 1 GIBG rechnet die österreichische Datenschutzbehörde einen zusätzlichen Monat für den Klageweg an, so dass sich eine Löschungsfrist von sieben Monaten ergibt.
Im Moment entsteht eine rechtliche Diskussion, ob aufgrund der 3-jährigen Verjährungsfrist für Ansprüche aus Art. 82 DSGVO, insbesondere auf Schmerzensgeld, zum Nachweis der Einhaltung der gesetzlichen Vorgaben zu den Informationspflichten aus Art. 13 und 14 DSGVO personenbezogene Daten der Bewerber länger gespeichert werden dürfen oder sogar “müssen”. Die Argumentation und der Verweis auf das Schmerzensgeld nach Art. 82 DSGVO erscheint schlüssig, auch wenn im Moment noch nicht so viele Gerichte ein Schmerzensgeld in wahrnehmbarer Höhe zusprechen.
Bei der konkreten Vernichtung nach Ablauf der Löschfrist dürfen Bewerbungen nicht einfach auf dem Müll entsorgt werden, da enthaltene Daten so leicht an Unberechtigte gelangen könnten.
Der Verantwortliche muss sicherstellen, dass keine Bewerbung mehr rekonstruiert werden kann. Liegt eine Bewerbung im Original in Papierform vor, muss diese im Normalfall nach spätestens zwei bis drei Monaten an den Bewerber zurückgesandt werden, soweit nicht deren Vernichtung vorgegeben wurde. Für Kopien, Ausdrucke und zu vernichtende Originale der Bewerbung empfiehlt sich das Schreddern. Auch bei elektronischer Aufbewahrung der Daten muss ein einwandfreies Löschen gewährleistet sein. Beim einfachen Löschen der Daten, können diese Mithilfe einfachster Softwaretools wiederhergestellt werden. Im Zweifelsfall ist es die Aufgabe des Datenschutzbeauftragten des Unternehmens die Mitarbeiter entsprechend zu schulen, um eventuelle Datenschutzverstöße durch unzulängliche Vernichtungsmaßnahmen vorzubeugen.
Handelt es sich bei den Betroffenen weder um geldbringende Kunden, noch um wichtige Mitarbeiter des Unternehmens, sondern um Bewerber, scheint der Aufwand für einen datenschutzrechtlich vertretbaren Umgang mit den Daten verhältnismäßig hoch.
Dennoch ist der Datenschutz auch bereits bei Bewerbern ein relevantes Thema, werden dadurch das Bewerbermanagement verbessert und Beschwerden und Bußgelder für das Unternehmen vermieden. Wird eine datenschutzkonforme Verarbeitung personenbezogener Daten gewährleistet, wirkt das Unternehmen nach außen seriös und vertrauenswürdig den angehenden Bewerbern gegenüber.
Betrug bei Jobsuche: Vorsicht bei Weitergabe von Personalausweisdaten und Video-Ident