Datenschutz bei Online-Bewerbungen: So verhält sich ein Unternehmen richtig!

Heutzutage schreiben viele Unternehmen ihre offenen Stellen nur noch im Internet aus. Sei es auf der eigenen Homepage oder in einem entsprechenden Stellenportal. Davon gibt es mittlerweile so viele wie Sand am Meer: große und kleine, kostenpflichtige und kostenlose aber auch viele branchenspezifische Portale. Sucht ein Unternehmen also online nach einer neuen Fachkraft ist damit zu rechnen, dass daraufhin sehr viele Online-Bewerbungen in das E-Mail Postfach flattern. Abgesehen von der Aufgabe, diese zu sichten, auszuwerten und zu beantworten, gibt es auch datenschutzrechtliche Auflagen, die es während eines solchen Prozesses zu beachten gilt. Im weiteren Verlauf soll es also darum gehen, wie man als Betrieb richtig mit Bewerberdaten umgeht, ohne gegen den Datenschutz zu verstoßen.

Bereits im ersten Schritt des Bewerbungsprozesses, dem Erstellen einer Stellenausschreibung, müssen Unternehmen mögliche Bewerber über die Verarbeitung ihrer Daten aufklären. Der Hintergrund ist natürlich, dass Jobanwärter dem potenziellen Arbeitgeber Informationen über sich mitteilen, die zu den personenbezogenen Daten zählen. Diese Informationen sind umfassend und weitreichend und in besonderem Maße schutzwürdig. Bereits die Tatsache, dass sich eine bestimmte, identifizierbare Person beworben hat, ist ein sensibles Datum. Auch wenn die Bewerber diese Daten freiwillig preisgeben, so ist das Unternehmen in der Pflicht damit besonders achtsam umzugehen.

Im Verlauf des Auswahlprozesses werden die Daten der Bewerber vom Betrieb verarbeitet. Ein Beispiel dafür wäre etwa der Download eines E-Mail-Anhangs auf den Unternehmensserver. Bereits der Empfang der Mail auf den vom Unternehmen oder einem Dienstleister betriebenen Server stellt eine Verarbeitung in Form der Speicherung dar. Seit dem 25. Mai 2018 gilt die EU-weite Datenschutzgrundverordnung (DSGVO), die dem Arbeitgeber für solche Prozesse eine „Informationspflicht (…) bei der betroffenen Person“ (Art. 13 DSGVO) über die Handhabung ihrer Daten vorschreibt, also ein spezieller Datenschutzhinweis für Bewerber.

Besonders für Stellenausschreibungen ist es ratsam, dass Unternehmen eine spezielle E-Mail-Adresse einrichten. So lässt sich das datenschutzrechtliche Problem vermeiden, dass unbefugte Mitarbeiter Zugriff auf das Postfach und somit auf die personenbezogenen Daten der Jobanwärter haben.

Dennoch kommt es vor, dass sich Interessenten initiativ bewerben, d. h. ohne, dass es eine Stellenausschreibung gegeben hat. Diese Art von Bewerbung wird oft an Kontakt- oder Informations-E-Mail-Adressen gesendet, die auf der Unternehmenshomepage zu finden sind. Für einen solchen Fall sollte ein Betrieb daher seine Mitarbeiter einweisen, wie mit dem Erhalt einer Bewerbung in einem allgemeinen Postfach umzugehen ist. So ist es etwa möglich, die jeweilige E-Mail unverzüglich an die zuständige Person (z. B. in der Personalabteilung) weiterzuleiten und sie anschließend aus dem für alle zugänglichen E-Mail-Postfach zu löschen.

Der Zugriff auf personenbezogene Daten ist laut DSGVO grundsätzlich streng zu limitieren. Dies gilt auch für den Auswahlprozess derjenigen, die zu einem Bewerbungsgespräch eingeladen werden. Bis allerdings eine solche Einladung erfolgt, ist die Bewerbung häufig durch einige Hände gegangen. Das liegt daran, dass die Entscheidung nicht immer nur von einer Person getroffen wird. Oftmals haben auch die Geschäftsführung, der Betriebsrat oder Projektleiter ein Mitspracherecht bei der Auswahl. Allerdings gilt in Bezug auf die DSGVO, dass nur jene Personen die Bewerbungsunterlagen einsehen dürfen, die Teil des Auswahlverfahrens sind. Dadurch ist die Weitergabe und Einsicht der Unterlagen streng begrenzt und zweckgebunden. Darüber hinaus gilt für alle Beteiligten eine Schweigepflicht.

Personenbezogene Daten dürfen laut DSGVO nur dann erhoben, verarbeitet und aufbewahrt werden, wenn es dafür eine bestimmte Zweckbindung gibt. Also beispielsweise die Ausschreibung einer vakanten Stelle und die daraufhin eingehenden Bewerbungen. Doch damit ist es nicht getan. In der DSGVO ist außerdem festgehalten, dass nach Erfüllung des Zwecks, die dazu gesammelten Daten nicht mehr zugänglich sein dürfen. Damit ist folglich die Löschung des Datenpools – also die gesammelten Daten aller Bewerber auf diese Stelle – gemeint.

Wie lange dürfen also Bewerberdaten genau gespeichert werden? Tatsächlich nur bis die ausgeschriebene Stelle besetzt und ein angemessener Zeitrahmen zur internen Organisation verstrichen ist (ca. 2 – 6 Monate). Dabei ist auch zu berücksichtigen, dass das Unternehmen aus eigenem Interesse berücksichtigt und verpflichtet sein kann, Bewerberdaten in einem solchen Zeitraum aufzubewahren. Beispielsweise aus Gründen im Hinblick auf das AGG, dort § 15 Abs. 4. Eine Datenspeicherung darüber hinaus gilt als unzulässig. Eine Ausnahme gibt es allerdings, und zwar, wenn Bewerber im Auswahlprozess ausdrücklich zugestimmt haben, dass ihre Daten über den Bewerbungszeitraum hinaus gespeichert werden dürfen. Dies könnte beispielsweise den Hintergrund haben, dass das Unternehmen dadurch bei einer erneut zu besetzenden Position auf den Bewerber zurückkommen möchte.

Nach Zweckerfüllung, also der erfolgreichen Besetzung einer ausgeschriebenen Stelle, sind alle personenbezogenen Daten (E-Mails, Ausdrucke, etc.) zu vernichten. Das bedeutet auch den Papierkorb des Computers oder Download Ordner zu leeren und ebenfalls alle analogen Dokumente datenschutzkonform zu shreddern. Ansonsten handelt es sich um einen Verstoß gegen die DSGVO.

Für eine solche Situation ist es hilfreich, wenn der interne oder externe Datenschutzbeauftragte die zuständigen Mitarbeiter schult. Eine solche Schulung kann Antworten auf Fragen geben, wie grundsätzlich mit Bewerberdaten umgegangen werden soll. Auf diese Weise stellt ein Unternehmen sicher, dass es nicht gegen die DSGVO verstößt und im Zweifel ein Bußgeld zahlen muss.

Sogenannte Pre-Employment-Screenings oder auch Background-Checks sind eine Methode, bei der sich Arbeitgeber über Bewerber informieren. Dazu nehmen sie beispielsweise die Social Media Kanäle der Bewerber genauestens unter die Lupe bevor es zu einem Jobangebot kommt. Dies dient einerseits der Verifikation, ob ein potenzieller neuer Mitarbeiter im Rahmen seiner Bewerbung auch korrekte Angaben gemacht hat und soll andererseits auch weitergehende Informationen über die Person an sich sammeln. Ein solches Screening zählt bereits zur Datenerhebung und daher stellt sich in Bezug auf den Datenschutz die Frage der Rechtmäßigkeit. Bislang ist dies in Deutschland noch nicht gesetzlich eindeutig geklärt.

Grundsätzlich ist jedoch hervorzuheben, dass auch hier immer die Zweck- und Verhältnismäßigkeit gilt. Das bedeutet, dass nur solche Daten erhoben oder gesammelt werden dürfen, die dem Zwecke des Beschäftigungsverhältnisses dienen und dies darüber hinaus in einem verhältnismäßigen Rahmen stattfindet, also keiner Ausforschung gleichkommt. Das bedeutet auch, dass die zu besetzende Stelle eine entsprechende Qualifikation des Bewerbers vorsieht und demnach als schutzwürdig gilt. Dann rechtfertigt sie eine Überprüfung der fachlichen Eignung des Bewerbers, welche über die Daten der eingereichten Bewerbung hinausgehen. Im Umkehrschluss bedeutet das ebenfalls, dass das jeweilige Screening immer eine Einzelfallentscheidung ist.

Etwas anders wird hier die Bewertung durch berufsorientierte Netzwerke wie Xing oder LinkedIn gesehen. Dadurch, dass ein Bewerber auf diesen Plattformen ein Profil besitzt, präsentiert er sich seinen beruflichen Kontakten oder Interessenten und ist sich bewusst, dass potenzielle Arbeitgeber jederzeit sein Profil einsehen können. Ein Screening dieser berufsorientierten Social Media Profile ist demnach weniger kritisch, als eines von z. B. privaten Facebook oder Instagram Profilen. Dennoch gilt hier generell die zukünftige Entwicklung im Bereich des Pre-Employment-Screenings in Verbindung mit der DSGVO zu beobachten und abzuwarten.