Datenschutz bei Online-Bewerbungen

INHALTE DES BEITRAGS

Gesetzlicher Erlaubnistatbestand zur Datenverarbeitung im Arbeitsverhältnis des § 26 BDSG
Umgang mit besonders geschützten personenbezogenen Daten
Grundsatz der Datensparsamkeit
Hinweis an die Bewerber
Mitteilung der Informationspflichten durch den potenziellen Arbeitgeber
Zugang zu den Bewerberdaten
Verschlüsselung der Daten
Löschen der Daten

Sowohl die Datenschutz-Grundverordnung (DS-GVO) als auch das neue Bundesdatenschutzgesetz verbieten im Grundsatz zunächst jede Verarbeitung personenbezogener Daten. Nur dann, wenn die Verarbeitung solcher personenbezogener Daten ausdrücklich auf einen sogenannten Erlaubnistatbestand der DS-GVO oder des BDSG gestützt werden kann, ist die Verarbeitung von Daten zulässig. Das gilt auch für das Arbeitsverhältnis. Die DS-GVO nennt vier verschiedene Gründe, aufgrund derer die Verarbeitung von personenbezogenen Daten zulässig ist.

Diese vier Gründe (juristisch: Erlaubnistatbestände) lauten wie folgt:

• Der Betroffene hat in die Verarbeitung seiner personenbezogenen Daten ausdrücklich eingewilligt.
• Die Datenverarbeitung dient zur Durchführung oder Erfüllung eines Vertrages.
• Die Datenverarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung notwendig.
• Die Datenverarbeitung dient der Wahrung berechtigter Interessen.

Das BDSG lässt über § 26 BDSG im Rahmen von Beschäftigungsverhältnissen die Verarbeitung personenbezogener Daten in vielen Fallgestaltungen zu. Dort, wo eine Datenverarbeitung nicht bereits aufgrund der Gesetzesvorschrift des § 26 BDSG möglich ist, kann der Arbeitgeber versuchen, eine entsprechende Einwilligung des Arbeitnehmers zur Datenverarbeitung zu erlangen.

Gesetzlicher Erlaubnistatbestand zur Datenverarbeitung im Arbeitsverhältnis des § 26 BDSG

§ 26 Abs. 1 BDSG eröffnet dem Arbeitgeber bereits eine weiten Erlaubnis, um Daten im Rahmen eines Beschäftigungsverhältnisses verarbeiten zu dürfen. Danach dürfen personenbezogene Daten von Beschäftigten für die Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach dessen Begründung für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Ausdrücklich erlaubt § 26 BDSG somit die Verarbeitung personenbezogener Daten für das Bewerbungsverfahren und auch im späteren Arbeitsverhältnis.

Im Rahmen von Bewerbungsverfahren dürfen Daten der Bewerbungsunterlagen grundsätzlich gespeichert werden. Im Rahmen von Bewerberfragebögen dürfen dadurch ermittelte Daten gespeichert werden, sofern die Daten zulässig erhoben wurden. Unzulässig werden Daten im Rahmen von Bewerbungsverfahren erhoben, wenn hiernach nicht gefragt werden darf (z. B. geschlechts-/altersdiskriminierende Frage nach Familienplanung, Alter).

Umgang mit besonders geschützten personenbezogenen Daten

Der Arbeitgeber muss jedoch besondere Vorsicht walten lassen, wenn er besonders geschützte Daten – die datenschutzrechtlichen Vorschriften sprechen von besonderen Kategorien personenbezogener Daten – im Bewerberverfahren oder später im Arbeitsverhältnis verarbeiten will. Denn § 26 Abs. 3 BDSG gestattet dem Arbeitgeber auch grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten. Solche besonderen Kategorien personenbezogener Daten sind in Art. 9 DS-GVO benannt. Es handelt sich dabei um besonders sensible Daten, die einem besonderen Datenschutz obliegen. Zu diesen besonders geschützten personenbezogenen Daten gehören die rassistische und ethnische Herkunft, die politische Meinung, die religiöse oder weltanschauliche Überzeugung und die Gewerkschaftszugehörigkeit. Ferner unterfällt die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer Person,  Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung diesem besonderen Schutz.

§ 26 Abs. 3 BDSG erlaubt die Verarbeitung solcher besonderen Kategorien personenbezogener Daten grundsätzlich auch im Rahmen eines Bewerbungsverfahrens-/Beschäftigungsverhältnisses, macht allerdings Einschränkungen bzw. gibt dem Arbeitgeber weitere Prüfungen auf. Denn § 26 Abs. 3 BDSG lässt die Verarbeitung solcher besonderen Kategorien personenbezogener Daten zwar auch dann zu, wenn dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist. Grundsätzlich ist die Verarbeitung dieser sensiblen Daten im Rahmen eines Beschäftigungsverhältnisses aufgrund § 26 Abs. 3 BDSG nur zulässig, sofern dies aufgrund der arbeits- bzw. sozialrechtlichen Vorschriften notwendig ist.

Wenn ein Arbeitsverhältnis besteht, müssen z. B. aufgrund der Abführung der Kirchensteuer Frage der Religionszugehörigkeit bei ausländischer Herkunft des Vorliegens der Aufenthalts-/Arbeitserlaubnis gespeichert werden. Darüber hinaus verlangt § 26 Abs. 3 BDSG allerdings, dass kein Grund zu der Annahme bestehen dürfe, dass schutzwürdige Interessen der betreffenden Personen an dem Ausschluss der Verarbeitung überwiegen.

Dies bedeutet, der Arbeitgeber muss bei diesen besonders sensiblen Daten vor einer Verarbeitung  abwägen, ob schutzwürdige Interessen der betreffenden Person dem Interesse des Arbeitgebers an der Verarbeitung solcher Daten überwiegen. Das dürfte im Rahmen eines Bewerbungsverfahrens in der Regel nicht der Fall sein und die Erhebung sowie weitere Verarbeitung solcher besonders geschützten personenbezogenen Daten widerspricht in der Regel auch dem Allgemeinen Gleichbehandlungsgesetz, welches im zweiten Teil des Beitrages behandelt wird. Die Frage der Religionszugehörigkeit dürfte im Bewerbungsverfahren im Bauhof somit keine Rolle spielen, die Frage, ob eine Aufenthalts-/Arbeitserlaubnis bei ausländischen Arbeitnehmern vorliegt, hingegen schon. Sollte kein besonders schutzwürdiges Interesse an der Verarbeitung solcher besonders schutzwürdigen Daten vorliegen, dürfen sie im Rahmen des Bewerbungsverfahrens nicht erhoben/verarbeitet werden.

Grundsatz der Datensparsamkeit

Nach dem BDSG dürfen nur so viele Daten erhoben werden, wie dies unbedingt erforderlich ist (Grundsatz der Datensparsamkeit im BDSG) und zwar unmittelbar vom Bewerber direkt (Grundsatz der Unmittelbarkeit der Datenerhebung). Das bedeutet:

Erheben Sie nur die Daten des Bewerbers, die Sie für die Bewerbung auch wirklich benötigen, und zwar bei dem Bewerber selbst und z. B. nicht in sozialen Netzwerken, wenn diese private Informationen preisgeben. Informationen, z. B. im privaten Account bei sozialen Netzwerken, darf der Arbeitgeber mithin nicht einholen.

Wollen Sie weitergehende Informationen einholen, als nach Art. 88 DS-GVO bzw. § 26 BDSG zulässig ist, müssen Sie vorab die Einwilligung des Arbeitnehmers einholen.

Einwilligung des Bewerbers

Denn in Fällen, in denen die Datenverarbeitung im Arbeitsverhältnis nicht bereits aufgrund von Art. 88 DS-GVO bzw. § 26 BDSG zulässig ist, kann der Arbeitnehmer mit einer eindeutigen Erklärung in die Verarbeitung seiner personenbezogenen Daten einwilligen und so die Verarbeitung der personenbezogenen Daten dem Arbeitgeber erlauben. Um als Grundlage für eine erlaubte Datenverarbeitung zu genügen, muss diese Einwilligung einen bestimmten Inhalt und eine  bestimmte Form haben.

Anforderung an die Einwilligung

Grundsätzlich wird die schriftliche Einwilligung des betroffenen Arbeitnehmers gefordert.

Ferner muss der Arbeitgeber den Arbeitnehmer über den Zweck der Datenverarbeitung hinreichend  deutlich und verständlich in Textform unterrichten.

Außerdem muss der Arbeitgeber den Arbeitnehmer darauf hinweisen, dass diese Einwilligung jederzeit widerruflich ist. Dieser Widerruf muss ebenso leicht möglich sein, wie die Abgabe der Einwilligung an sich. Für den Widerruf genügt grundsätzlich die Textform (z. B. E-Mail, Telefax).

Sollen besondere Kategorien personenbezogener Daten im Rahmen des Bewerberverfahrens erhoben werden (Definition siehe vorstehend), kann auch insoweit eine Einwilligung des Arbeitnehmers eingeholt werden. In dieser Einwilligung ist jedoch deutlich darauf hinzuweisen, dass es sich um besondere Kategorien personenbezogener Daten handelt. Weitere Hinweise gibt § 26 Abs. 3 BDSG.

Hinweis an die Bewerber

Der Arbeitgeber muss nicht nur bei der Verarbeitung personenbezogener Daten Arbeitnehmerrechte beachten. Er muss im Fall von Datenverarbeitung die Bewerber umfangreich über ihre Rechte in Bezug die eigenen Daten unterrichten und zwar in

• präziser,
• transparenter,
• verständlicher und
• leicht zugänglicher Form

in einer klaren und einfachen Sprache über die in Art. 13 und Art. 14 DS-GVO niedergelegten Informationen und über alle Mitteilungen gemäß den Artikeln 15 bis 22 und Art. 34 DS-GVO unterrichtet werden. Die wichtigsten Rechte, über die der potenzielle Arbeitgeber bzw. jeder, der Daten verarbeitet, die betroffenen Personen (hier der Bewerber) zu unterrichten hat, sind:

• Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls (falls vorhanden) dessen Vertreters
• die Kontaktdaten des Datenschutzbeauftragten (sofern ein solcher bestellt wurde bzw. zu bestellen ist)
• den Zweck, für den die personenbezogenen Daten verarbeitet werden sollen
• sowie die Rechtsgrundlage für die Verarbeitung
• gegebenenfalls die berechtigten Interessen, die der Verantwortliche oder ein Dritter an der Datenverarbeitung verfolgt
• den Empfänger oder die Kategorien von Empfängern der personenbezogenen Daten und gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten in ein Drittland oder an eine internationale Organisation zu übermitteln

Ferner sind der betroffenen Person folgende Informationen mitzuteilen:

• die Dauer, für die die personenbezogenen Daten gespeichert werden
• das Auskunfts-, Berichtigungs-, Löschungs-, Widerspruchsrecht, sein Recht auf Datenübertragbarkeit
• das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde

Art. 14 DS-GVO sieht weitere Rechte des Bewerbers vor, wenn die betreffenden personenbezogenen Daten nicht bei ihm erhoben werden. Das kann z. B. im Bewerbungsverfahren der Fall sein, wenn Auskünfte bei Behörden (z. B. Bundeszentralregisterauskunft) oder über Headhunter, die potenzielle Arbeitskräfte auf dem Arbeitsmarkt suchen, eingeholt werden.

Art. 15 DS-GVO sieht Auskunftsrechte der betroffenen Person, mithin des Bewerbers vor. Hierzu gehört unter anderem das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob betreffende personenbezogene Daten über sie verarbeitet werden. Sollte dies der Fall sein, sieht Art. 15 umfangreiche Auskunftsrechte hinsichtlich der Verarbeitungszwecke usw. vor. Es wird insoweit wegen der Einzelheiten auf die Regelung des Art. 15 DS-GVO verwiesen.

Mitteilung der Informationspflichten durch den potenziellen Arbeitgeber

Hinsichtlich dieser umfangreichen Informationspflichten über die Betroffenenrechte ist es in der Regel für den Arbeitgeber sinnvoll, diese im Rahmen eines gesonderten Schriftstücks dem Arbeitnehmer mitzuteilen. Das muss im Onlinebewerbungsverfahren durch entsprechende technische Prozesse geschehen, mit denen sichergestellt wird, dass jedem Bewerber die erforderlichen Informationen über die erhobenen/verarbeiteten Daten zugehen und seine online erteilte Einwilligung so technisch gespeichert wird, dass die Abgabe durch den Bewerber später im Streitfall nachgewiesen werden kann.

Zugang zu den Bewerberdaten

Der Arbeitgeber muss sicherstellen, dass nur die Personen im Betrieb Zugriff auf die Bewerberdaten erhalten, welche für die Bewerbung und Auswahl der Bewerber verantwortlich sind. Das sind z. B. der Bauhofleiter, der die Bewerber als zukünftige Mitarbeiter auswählt, die betreffenden Mitarbeiter der Personalabteilung, der Vorgesetzte, der gegebenenfalls den potenziellen neuen Mitarbeiter auswählt, Betriebs-/Personalräte. Die Bewerberdaten sind somit auch strikt von sonstigen Daten im Betrieb zu trennen und nur dem vorgenannten, begrenzten Personenkreis zugänglich zu machen.

Verschlüsselung der Daten

Wichtig ist auf Arbeitgeberseite, dass der Arbeitgeber die Vertraulichkeit der Bewerberdaten sicherstellt. Es sollte den Bewerbern ermöglicht werden, die Bewerberdaten verschlüsselt zu übertragen. Ist dies nicht möglich oder befürchten Sie, dass weniger technikaffine Bewerber die Unterlagen nicht verschlüsselt übersenden wollen/können, sollten Sie einen Hinweis geben, dass die Bewerbung unverschlüsselt per Mail übertagen wird.

Löschen der Daten

Nach Beendigung des Bewerbungsverfahrens dürfen die Bewerberdaten nicht unbegrenzt gespeichert werden, sondern sind zu löschen, sobald sie nicht mehr benötigt werden. Diskutiert wird derzeit eine Speicherdauer nach Abschluss des Bewerberverfahrens von längstens sechs Monaten. Bei Bewerbern, die nicht in den engeren Auswahlkreis gezogen werden, wird eine kürzere Speicherdauer von drei Monaten empfohlen.

Die Löschung betrifft sodann alle vorhanden Daten, mithin nicht nur die vom Bewerber geschickten Unterlagen, sondern insbesondere sodann auch aufgezeichnete Online-Vorstellungsgespräche, vom Arbeitgeber in diesem Zusammenhang erstellte Texte und Notizen (auch solche in handgeschriebener/gedruckter Form).

In der Regel sind Bewerberdaten von Bewerbern, die nicht eingestellt werden, nach sechs Monaten zu löschen. Wenn der Bewerber ausdrücklich einwilligt, können Bewerberdaten länger gespeichert werden, wenn die Bewerbung für etwaig später freiwerdende Stellen/für einen Bewerberpool aufbewahrt werden sollen.