Der Umgang mit Bewerberdaten nach dem neuen Datenschutzrecht

Bereits im Stellenbesetzungsverfahren erhält ein Arbeitgeber individuelle personenbezogene Daten von Bewerbern, bevor er diese überhaupt persönlich kennenlernt. Bewerber für ein Beschäftigungsverhältnis gelten bereits als Beschäftigte im Sinne des Datenschutzes, sodass der Bewerbungsprozess im Unternehmen an die datenschutzrechtlichen Anforderungen der Datenschutzgrundverordnung (DSGVO) und des neuen Bundesdatenschutzgesetzes angepasst werden muss, die ab dem 25.05.2018 als unmittelbar geltendes Recht zwingend zu beachten sind.

Die Rechte der Bewerber 

Mit der Sichtung von Bewerbungsunterlagen verarbeiten Sie personenbezogene Daten der potentiell neuen Arbeitnehmer. Die Verarbeitung personenbezogener Daten muss rechtmäßig sein, d. h. die Verarbeitung muss aufgrund einer Einwilligung oder auf einer Rechtsgrundlage erfolgen. Für die Verarbeitung von Bewerberdaten steht Ihnen als Rechtsgrundlage § 26 BDSG zur Verfügung. Danach dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigtenverhältnisses verarbeitet werden, wenn dies erforderlich ist für die Begründung, Durchführung oder Beendigung des Beschäftigtenverhältnisses oder auf Grundlage von Kollektivvereinbarungen. Der Bewerbungsprozess dient der Begründung von Arbeitsverhältnissen, sodass es Ihnen die Norm erlaubt, personenbezogene Daten von Bewerbern zu verarbeiten. 

Unabhängig davon, auf welchem Weg eine Bewerbung zu Ihnen kommt – sei es als klassische schriftliche Bewerbung per Post oder online via E-Mail – ist es nach neuem Datenschutzrecht erforderlich, einem Stellenbewerber alle Betroffenenrechte zu garantieren, die die DSGVO vorsieht. Dazu gehören: 

• das Auskunftsrecht, 
• das Recht auf Berichtigung,
• das Recht auf Löschung/Vergessen werden, 
• das Recht auf Einschränkung der Verarbeitung, 
• das Recht auf Widerspruch, 
• das Recht auf Datenübertragbarkeit und 
• das Beschwerderecht bei einer Aufsichtsbehörde. 

Der Unternehmer als Verantwortlicher im Sinne des Datenschutzes sollte daher jedem Bewerber unverzüglich eine Eingangsbestätigung seiner Bewerbung nebst Datenschutzinformation zukommen lassen. Hierin enthalten sein muss auch ein Löschkonzept für die Bewerberdaten. Bei der Entwicklung eines solchen Konzepts und des Schreibens sind wir Ihnen gerne behilflich. 

Löschung von Bewerberdaten

Personenbezogene Daten von Bewerbern, mit denen kein Arbeitsverhältnis oder Ausbildungsverhältnis zustande kommt, dürfen weder gesammelt noch gespeichert werden, es sei denn die Bewerber sind damit einverstanden. Hierzu ist eine Einwilligung einzuholen, die aus Dokumentationsgründen schriftlich zu erfolgen hat. Kommt der Bewerber nicht zum Zuge, sollten schriftliche Bewerbungsmappen nach Abschluss des Stellenbesetzungsverfahrens an den Bewerber zurückgeschickt und Online-Bewerbungen gelöscht werden. 

Die Löschpflicht besteht, sobald die angegebene Stelle besetzt oder endgültig nicht besetzt wurde. Grundsätzlich sollten Bewerberdaten aber auch nicht zu schnell gelöscht werden. Sie müssen ggf. damit rechnen, das abgelehnte Bewerber auf Grundlage des Allgemeinen Gleichbehandlungsgesetzes (AGG) gegen Sie klagen, was eine verlängerte Aufbewahrung der Bewerbung rechtfertigen kann: Sie können die Daten so lange vorhalten, wie Sie mit einer Klage bzw. Geltendmachung einer Entschädigung rechnen müssen. Die außergerichtliche Geltendmachungsfrist nach AGG beträgt 2 Monate (§ 15 Abs. 4 AGG). Hier sollte noch ein Sicherheitspuffer aufgeschlagen werden. Datenschutzaufsichtsbehörden tolerieren in der Regel eine Aufbewahrung von Bewerbungen für 6 Monate nach Abschluss des Stellenbesetzungsverfahrens. Im Falle eines Gerichtsprozesses können die Unterlagen bis zum rechtskräftigen Abschluss des Verfahrens aufbewahrt werden. 

Speicherung von Daten in einer Bewerbungsdatenbank 

Oftmals befindet sich der Arbeitgeber in der Situation, Bewerbungen von mehreren interessanten Kandidaten zu erhalten. Um auf die Bewerbung später zurückgreifen zu können, besteht das Interesse, die Bewerberdaten in eine Bewerbungsdatenbank einzupflegen. Bitte erliegen Sie hierbei nicht der Vorstellung, dass alleine Ihre gut gemeinte Annahme, Sie handeln im Interesse des Bewerbers, ausreichend ist. Auch § 26 BDSG bietet für die Speicherung von Daten in einer Bewerbungsdatenbank keine ausreichende Rechtsgrundlage mehr. Die Bewerber müssen hierzu freiwillig und schriftlich, in informierter Weise und unmissverständlich für den Einzelfall einwilligen. Auch hierzu beraten wir Sie gerne und entwickeln entsprechende Musterschreiben speziell für Ihr Unternehmen. 

Weitere datenschutzrechtliche Anforderungen an den Bewerbungsprozess

Das Bewerbungsmanagement sollte eine separate Verarbeitungstätigkeit in Ihrem Verzeichnis über Verarbeitungstätigkeiten bilden. Nach DSGVO ist der Verantwortliche, d. h. in der Regel der Unternehmenschef, für die Einhaltung der DSGVO verantwortlich. Die Beweislast für die ordnungsgemäße Umsetzung des Datenschutzes liegt beim Unternehmen. Eine lückenlose Dokumentation ist daher unabdingbar. 

Der Bewerber kann vom Verantwortlichen eine Bestätigung darüber verlangen, ob und wenn ja welche personenbezogenen Daten verarbeitet werden. Hier bestehen kurze Fristen. Als Unternehmen müssen Sie auf solche Auskunftsrechte vorbereitet sein und sollten entsprechende Muster vorhalten. Bei der Umsetzung des (Beschäftigten-)Datenschutzes helfen wir Ihnen gerne! 

RAin Nadine Kanis, LL.M. oec. 

Fachanwältin für Arbeitsrecht 

Betriebliche Datenschutzbeauftragte