Source: http://www.argedaten.at/php-generiert/Datensicherheit_Austria_Wien_Telekommunikation_Besteht_L%C3%83%C2%B6schungspflicht_bei_erfolglosen_Bewerbungen.html
Timestamp: 2020-07-04 00:19:12
Document Index: 64820374

Matched Legal Cases: ['Art 5', '§ 16', '§ 91', 'Art 5', 'Art. 13', 'Art 13', 'Art. 13', 'Art 15', 'Art 44', 'Art 91', 'Art 15', '§ 16', 'Art 83', 'Art 82']

Besteht Löschungspflicht bei erfolglosen Bewerbungen?
DSGVO Art 5, 13, 15-22, 44-49, 82-83; ABGB § 16; ArbVG § 91
Auch bei Bewerberdaten gilt Zweckbindungsgrundsatz - Informationspflicht des Verantwortlichen - Mögliche Aufbewahrungsfrist - Längere zulässige Aufbewahrung der Bewerbungsunterlagen - Löschungspflicht des Verantwortlichen - Beschränkungspflicht bei Zugang und Zugriff auf Bewerberdaten - Betroffenenrechte der Bewerber - Verletzung der Privatsphäre - Sanktion und Schadenersatz - Conclusio
Ein Unternehmen erhebt und speichert Bewerberdaten, um den passenden Kandidaten für eine Stellenausschreibung zu finden (Zweck). Nach Ablauf des Bewerbungsprozesses fällt der Zweck â€šStelle besetzenâ€˜ weg, womit auch die Daten zu löschen wären. Gemäß Datenschutz-Grundverordnung (DSGVO) muss jede Bewerbung rechtzeitig gelöscht, vernichtet oder zurückgesandt werden.
Auch bei Bewerberdaten gilt Zweckbindungsgrundsatz
Unternehmen in Österreich erhalten Initiativbewerbungen bzw. Bewerbungen für eine aktuelle Stellenausschreibung. Im Bewerbungsverfahren sind gemäß Art 5 DSGVO nur solche Daten zu erheben die zur Begründung des Beschäftigungsverhältnisses erforderlich sind. Verantwortliche des Unternehmens sind verpflichtet, die von Bewerbern erhaltenen personenbezogenen Daten gemäß der DSGVO zu verarbeiten und zu löschen. Personenbezogene Daten umfassen auch Zeugnisse, Urkunden und Gesprächsinhalte aus einer Bewerbung. Die nicht ordnungsgemäße Verarbeitung, Übermittlung und Löschung von erhaltenen Bewerberdaten kann datenschutzrechtliche Folgen haben.
Informationspflicht des Verantwortlichen
Gemäß Art. 13 Abs. 1 und Abs. 2 DSGVO ist ein Unternehmen verpflichtet Bewerber bei Eingang der Bewerbungsunterlagen über die Art der Datenerhebung zu unterrichten. Das beinhaltet insbesondere Angaben zum Verarbeitungszweck sowie zur Dauer des Aufbewahrungszeitraums. Als praktisches Beispiel ist an eine Unterrichtung gemäß Art 13 DSGVO im Zuge einer automatischen Eingangsbestätigung zu denken. Art. 13 DSGVO listet die Informationen auf, die darin enthalten sein müssen.
Längere zulässige Aufbewahrung der Bewerbungsunterlagen
Grundsätzlich sind Bewerberdaten zu löschen, wenn sie zur Erfüllung des Datenverarbeitungszwecks nicht mehr benötigt werden und keine rechtmäßige Grundlage für eine weitere Aufbewahrung mehr besteht.
Als Rechtfertigung für eine längere Aufbewahrung der Bewerbungsunterlagen werden im Wesentlichen die folgenden drei Möglichkeiten (Zwecke) angeführt:
(1)	Auf Wunsch des Bewerbers, zum Kontakt bei neuen offenen Stellen
(2)	Aus Eigeninteresse des Unternehmens, die erhaltenen personenbezogenen Daten in einem Bewerberregister aufzunehmen, zum Kontakt bei neuen offenen Stellen
(3)	Zur Aufbewahrung für den Fall eines Diskriminierungsverfahrens als Beweisgrundlage (6 Monate)
Die oben genannten Fälle erfordern jedoch eine schriftliche Einwilligung der Bewerber oder eine gesetzliche Grundlage für ein überwiegendes berechtigtes Interesse des Unternehmens.
Als überwiegendes berechtigtes Interesse des Unternehmens wäre eine längere Aufbewahrungsfrist der Daten hinsichtlich der Geltendmachung von Ansprüchen des Gleichbehandlungsgesetzes gemäß Art 15 vorstellbar. Dafür muss das Unternehmen die Bewerbungsunterlagen und alle schriftlichen Notizen während des Bewerbungsgespräches zur Entlastung geltend machen können. Für den Fall, dass ein Rechtsstreit bei einem Gericht oder Gleichbehandlungskommission anhängig ist, dürfen die Daten bis zum rechtskräftigen Abschluss des Verfahrens gespeichert werden.
Löschungspflicht des Verantwortlichen
Zusammengefasst sind personenbezogene Daten von Bewerbern zu löschen, wenn
- die Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.
- der Bewerber die Einwilligung zur Verarbeitung der Daten widerruft.
- der Bewerber einen rechtmäßigen Widerspruch gegen die Verarbeitung der Daten einlegt.
- die Daten unrechtmäßig verarbeitet werden.
Beschränkungspflicht bei Zugang und Zugriff auf Bewerberdaten
Jedem Bewerber sollte die Möglichkeit gegeben werden, seine Bewerbungsunterlagen verschlüsselt zu versenden. Die DSGVO möchte verhindern, dass personenbezogene Daten bei ungesichertem elektronischen Versand von Dritten mitgelesen werden können. Um den Bewerbungsprozess sicherer zu gestalten, sollten Unternehmen für Bewerber beispielsweise einen verschlüsselten Kanal zur Verfügung stellen.
Personenbezogene Daten von Bewerbern dürfen im Unternehmen nur denjenigen Personen zugänglich gemacht werden, die mit dem Bewerbungsverfahren beauftragt sind. In der Regel ist der Arbeitgeber, die/der zukünftige Vorgesetzte beispielsweise als Abteilungsleiter der Bewerber und die Personalabteilung für Aufnahmeprozesse von neuen Mitarbeitern zuständig.
Die Einwilligung eines Bewerbers ist einzuholen, wenn sich ein Bewerber explizit auf eine ausgeschriebene Stelle beworben hat, die Bewerbung jedoch für andere Stellen in anderen Abteilungen berücksichtigt werden soll. Die Weitergabe der Informationen von Bewerbern im Konzern stellt eine Übermittlung gemäß Art 44 bis 49 DSGVO dar. Die Einwilligung des Bewerbers ist zwingend.
Betriebsräte eines Unternehmens sind gemäß Art 91 ArbVG berechtigt in die Bewerbungsunterlagen Einsicht zu nehmen.
Die Weitergabe an unberechtigte Personen sind datenschutzrechtlich unzulässig und werden sanktioniert.
Betroffenenrechte der Bewerber
Die Bewerber können gemäß Art 15-22 DSGVO insbesondere folgende Betroffenenrechte geltend machen:
Neben den datenschutzrechtlichen Aspekten sind auch zivilrechtliche Anforderungen zu beachten. Die dauerhafte Aufbewahrung von Bewerberunterlagen kann das Persönlichkeitsrecht des Bewerbers verletzen. Wenn das Persönlichkeitsrecht verletzt ist, dann hat der Bewerber einen Anspruch auf Löschung/Vernichtung der Daten. Eine gesetzliche Regelung, auf die entsprechende Persönlichkeitsrechte gestützt werden können, ist § 16 ABGB, der den Schutz der Privatsphäre festlegt.
Sanktionen und Schadenersatz
Gemäß Art 83 Abs 5 DSGVO können Geldstrafen von bis zu 20 Mio. Euro bzw. 4% des weltweiten Umsatzes für Datenschutzverletzungen im Zuge bzw. nach Ablauf des Bewerbungsverfahren durch die Datenschutzbehörde verhängt werden. Neben der Geldstrafe enthält der Art 82 Abs 1 DSGVO eine Anspruchsgrundlage zum Ersatz materieller und immaterieller Schäden für Datenschutzverletzungen. Die Zivilgerichte sind für Schadenersatzklagen zuständig.
Unternehmen sind verpflichtet eine zeitgerechte Löschung der personenbezogenen Daten der Bewerber zu veranlassen. Weiters sind die Bewerber zum Zeitpunkt der Datenerhebung zu informieren. Die Verarbeitung und Übertragung von Daten müssen auf gesichertem Wege erfolgen. Schließlich sind Unternehmen gezwungen alle Betroffenenrechte einzuhalten.
mehr --> Ist die Weitergabe von Gehaltsdaten an externe Stellen zulässig?
mehr --> Welche Rechte hat ein Betroffener bei Datenschutzverletzung?
mehr --> Wann muss eine Datenschutz-Beschwerde bei Gericht eingebracht ...
- Informationsrecht - DSB - Wien - Telekommunikation - Datenschutzrat - Datenschutzkommission - DSR - DSK - privacy-day.at - privacyday.at - datenschutz-seminare@at - hacking - RFID - social media - informationelle Selbstbestimmung - datenschutz tagung - DSG 2000 - e-commerce - phishing - data protection - privacy - data security - data protection officer - Vienna - internet - telecommunication