Datenschutz von Bewerberdaten

Der Datenschutz spielt nicht nur in den Medien, sondern auch in Unternehmen dank BDSG und DSGVO eine immer wichtigere Rolle. Er betrifft nicht nur Arbeitnehmer, sondern auch schon Bewerber!

Mit der EU-Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG), die beide seit dem 25.05.2018 auch für Arbeitgeber verbindlich sind, ist der Datenschutz in aller Munde. Arbeitgeber sollten diese Regelungen unbedingt beachten, drohen ihnen bei Verstößen erhebliche Geldbußen und Strafen.

Praxisfall:

Ein Arbeitgeber speichert die Daten eines abgelehnten Bewerbers und verwendet sie nach anderthalb Jahren wieder, weil er eine neue Stelle besetzen möchte. Darf er das und falls ja, unter welchen Voraussetzungen?

Arbeitgeber wissen zwar, dass sie die Daten ihrer Arbeitnehmer schützen müssen, doch wie dies mit Daten von Bewerbern aussieht, ist häufig unklar. Deshalb geht es hier um den Schutz eben dieser Daten, vor allem weil sich die Praxis im Bewerbungsverfahren geändert hat, Bewerber ihre Unterlagen per E-Mail versenden und Unternehmen elektronische Bewerbungen erwarten.

Ausgangspunkt ist § 26 BDSG, wonach der Arbeitgeber personenbezogene Daten von Beschäftigten für das Beschäftigungsverhältnis verarbeiten darf, wenn das für die Entscheidung über die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Er darf diese Daten auch verarbeiten, wenn dies zur Ausübung oder Erfüllung von Rechten und Pflichten der Interessenvertretung der Beschäftigten, die sich aus einem Gesetz, Tarifvertrag oder einer Betriebs- bzw. Dienstvereinbarung ergeben, erforderlich ist.

Personenbezogene Daten sind alle Informationen, die sich auf eine natürliche Person beziehen wie Name, Alter, Familienstand, Anschrift oder E-Mail-Adresse (Art. 4 Nr. 1 DSGVO).

Verarbeitung ist jeder mit oder ohne Hilfe von automatisierten Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie Erheben, Erfassen, Organisationen, Ordnen, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Vorbereitung oder andere Formen der Bereitstellung, Abgleich, Verknüpfung, Einschränkung, Löschen oder Vernichtung (Art. 4 Nr. 2 DSGVO).

Beschäftigte sind auch Bewerber für ein Beschäftigungsverhältnis (§ 26 Abs. 8 BDSG). Der Datenschutz gilt also schon, wenn sich ein Beschäftigungsverhältnis anbahnt.

Der Arbeitgeber darf demnach im Bewerbungsverfahren nur die für den Auswahlprozess benötigten Angaben der Bewerbungsunterlagen verwenden. Er darf die Daten auch grundsätzlich nur bis zum Zeitpunkt der Entscheidung über die Einstellung verwenden. Danach muss er die Unterlagen grundsätzlich vernichten oder an den Bewerber zurückgeben.

Der Arbeitgeber darf sie allerdings auch noch nach der Auswahlentscheidung speichern, wenn das zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Das ist etwa der Fall, wenn der Arbeitgeber mit Klagen von abgelehnten Bewerbern auf Zahlung einer Entschädigung wegen Diskriminierung (§ 15 AGG) rechnen muss. Bei einem Verstoß gegen das Benachteiligungsverbot muss er nämlich den dadurch entstandenen Schaden ersetzen, da er Bewerber nicht wegen ihrer Rasse oder ethnischen Herkunft, des Geschlechts, der Religion oder Weltanschauung, einer Behinderung, des Alters oder der sexuellen Identität benachteiligen darf.

Einen Anspruch wegen des Verstoßes gegen das Benachteiligungsverbot muss der Bewerber innerhalb von zwei Monaten schriftlich beim Arbeitgeber geltend machen. Die Frist beginnt bei einer Bewerbung mit dem Zugang der Ablehnung beim Bewerber. Eine Klage auf Entschädigung muss er innerhalb von drei Monaten, nachdem er den Anspruch schriftlich geltend gemacht hat, erheben (§ 61b ArbGG). Diese Fristen sollte der Arbeitgeber bei der Aufbewahrung der Daten beachten.

Oft ist es jedoch so, dass der Arbeitgeber einen Bewerber für eine Stelle nicht berücksichtigt hat, er aber vielleicht für eine zukünftige Stelle bei ihm in Betracht kommt (Prinzip Bewerberdatenbank). Der Arbeitgeber möchte daher länger über die Bewerberdaten verfügen. Der Bewerber muss dieser verlängerten Speicherung jedoch ausdrücklich zustimmen.

Die Daten sind nämlich nicht mehr für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich, da der Arbeitgeber den Bewerber zuletzt abgelehnt hat. Eine solche Einwilligung ist auch notwendig, wenn der Bewerber eine Initiativbewerbung einreicht und der Arbeitgeber sie für einen längeren Zeitraum speichern will.

Lösung Praxisfall:
Grundsätzlich dürfte der Arbeitgeber die Bewerberdaten also nicht mehr verwenden, da auch die Fristen für etwaige Entschädigungsansprüche des Bewerbers nach dem AGG abgelaufen sind. Sollte der Bewerber aber der längeren Speicherung seiner Daten zugestimmt haben, darf der Arbeitgeber ausnahmsweise auch noch nach anderthalb Jahren auf sie zurückgreifen.

Die Einwilligung muss freiwillig sein. Dabei ist zu berücksichtigen, dass ein Arbeitnehmer in einem Beschäftigungsverhältnis vom Arbeitgeber abhängig ist sowie die Umstände, unter denen er die Einwilligung erteilt (§ 16 Abs. 2 S. 1 BGDSG). Freiwilligkeit liegt etwa vor, wenn der Arbeitnehmer einen rechtlichen oder wirtschaftlichen Vorteil erreicht oder er und der Arbeitgeber gleich gelagerte Interessen verfolgen (§ 26 Abs. 2 S. 2 BDSG).

Auch wenn bei Bewerbern noch kein Beschäftigungsverhältnis und damit noch kein Abhängigkeitsverhältnis zum Arbeitgeber besteht, kann auch bei ihnen die Freiwilligkeit fraglich sein, da sie oft auf ein Arbeitsverhältnis hoffen und schlechtere Chancen befürchten, wenn sie nicht einwilligen. Man muss im Einzelfall unter Berücksichtigung der Umstände klären, ob die Einwilligung des Bewerbers freiwillig ist. Eine Drucksituation liegt bei einem Bewerber aber wohl nicht mehr vor, wenn das Bewerbungsverfahren abgeschlossen ist und er keinen Erfolg hatte.

Die Einwilligung muss schriftlich erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist (§ 26 Abs. 2 S. 3 BDSG). Dies dient auch dem Schutz des Arbeitgebers, da er dafür verantwortlich ist, dass der Datenschutz eingehalten wird und er dies im Zweifel auch beweisen muss (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht).

Der Arbeitgeber muss den Bewerber dabei vor Abgabe der Einwilligung auch über den Zweck der Datenverarbeitung und über sein Widerrufsrecht in Textform aufklären (§ 26 Abs. 2 S. 4 BDSG). Der Bewerber kann die Einwilligung nämlich jederzeit widerrufen (Art. 7 Abs. 3 DSGVO). Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung allerdings nicht berührt. Der Widerruf muss dabei so einfach wie die Erteilung der Einwilligung sein.

Praxistipp:
Arbeitgeber mit Onlinebewerbungsportalen sollten eine entsprechende Datenschutzerklärung einarbeiten und mit einem Kontrollkästchen versehen. Der Bewerber sollte seine Unterlagen erst hochladen können, wenn er die Datenschutzerklärung zur Kenntnis genommen und das Kontrollkästchen angeklickt hat.

Auch schon während des Bewerbungsverfahrens muss der Arbeitgeber geeignete Maßnahmen ergreifen, um sicherzustellen, dass die folgenden Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden (§ 26 Abs. 5 BDSG, Art. 5 DSGVO): Er muss die Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für den Bewerber nachvollziehbaren Weise verarbeiten (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz).

Diese Daten muss er für festgelegte, eindeutige und legitime Zwecke erheben und darf sie nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeiten (Zweckbindung). Erhebt der Arbeitgeber also die personenbezogenen Daten eines Bewerbers, darf er sie auch nur für die Stellenbesetzung verwenden.

Die Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Datenminimierung). Der Arbeitgeber darf also keine Daten erheben, die für die Besetzung der Stelle nicht notwendig sind.

Sie müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Der Arbeitgeber muss alle angemessenen Maßnahmen treffen, damit die Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden (Richtigkeit).

Er muss sie in einer Form speichern, die die Identifizierung des Bewerbers nur solange ermöglicht, wie es für die Zwecke, für die er sie verarbeitet, erforderlich ist (Speicherbegrenzung).

Die Daten muss er in einer Weise verarbeiten, die ihre angemessene Sicherheit gewährleisten, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen (Integrität und Vertraulichkeit).

Neben diesen Grundsätzen hat der Arbeitgeber gegenüber dem Bewerber auch diverse Informationspflichten. Diese unterscheiden sich danach, ob der Arbeitgeber die Daten direkt beim Bewerber (Art. 13 DSGVO) oder über andere erhebt (Art. 14 DSGVO).

Angeben muss er in beiden Fällen beispielsweise:

• den Namen und die Kontaktdaten des Verantwortlichen für den Datenschutz,
• falls vorhanden die Kontaktdaten des Datenschutzbeauftragten,
• die Zwecke, für die er die personenbezogenen Daten verarbeitet und die Rechtsgrundlage für die Verarbeitung (regelmäßig § 26 BDSG)

Näheres ergibt sich aus den oben genannten Regelungen der DSGVO.

Der Arbeitgeber muss daneben auch die Rechte des Bewerbers berücksichtigen: So kann der Bewerber von ihm eine Bestätigung darüber verlangen, ob er ihn betreffende personenbezogene Daten verarbeitet. Ist dies der Fall, hat er ein Recht auf Auskunft über diese Daten und auf weitere Informationen, die in Art. 15 DSGVO aufgezählt sind. Der Arbeitgeber muss ihm eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen. Stellt der Bewerber den Antrag elektronisch, muss er die Informationen in einem gängigen elektronischen Format zur Verfügung stellen, sofern der Bewerber nichts anderes angibt.

Praxistipp:
Der Arbeitgeber sollte darauf achten, dass auch die richtige Person die Auskunft mit den personenbezogenen Daten erhält. Er sollte alle vertretbaren Mittel nutzen, um die Identität eines Auskunft suchenden Bewerbers zu überprüfen. Möchte ein Bewerber eine telefonische Auskunft, sollte der Arbeitgeber ihn über eine bereits vorliegende Telefonnummer zurückrufen.

Der Bewerber kann vom Arbeitgeber auch unverzüglich die Berichtigung von personenbezogenen Daten verlangen, die ihn betreffen und unrichtig sind. Unter Berücksichtigung der Zwecke der Verarbeitung kann er die Vollständigkeit unvollständiger personenbezogener Daten auch durch eine ergänzende Erklärung verlangen (Art. 16 DSGVO).

Er kann vom Arbeitgeber schließlich auch verlangen, dass ihn betreffende personenbezogene Daten unverzüglich gelöscht werden. Der Arbeitgeber muss diese Daten dann auch unverzüglich löschen, sofern einer der in Art. 17 DSGVO genannten Gründe zutrifft. Dabei muss der Arbeitgeber jedoch beachten, dass das Löschungsrecht des Bewerbers in einigen Fällen ausgeschlossen ist, s. Art. 17 Abs. 3 DSGVO.