Aktuell verzeichnet jeder fünfte Arbeitgeber in Deutschland eine hohe Mitarbeiterfluktuation, sodass Unternehmen aktuell und auch in Zukunft immer mehr Bewerbungen verarbeiten müssen. Aus diesem Grund sollten Bewerbungsprozesse möglichst effizient gestaltet werden. Dabei sollte vor allem der Datenschutz nicht zu kurz kommen. Denn auch im Rahmen des Bewerbungsprozesses kann es vorkommen, dass Bewerber von ihren – auch hier bereits geltenden – Datenschutzrechten Gebrauch machen.
Das Wichtigste in Kürze
- Immer öfter werden Arbeitgeber mit Ansprüchen auf Auskunft nach Art. 15 DSGVO oder auf Löschung nach Art. 17 DSGVO im Zusammengang mit Bewerbungsverfahren konfrontiert.
- Der Auskunftsanspruch nach Art. 15 DSGVO, kann neben der Bewerbung unter Umständen auch weitere Daten des Bearbeitungsprozesses, wie interne Vermerke oder Informationen aus einem Background-Check erfassen.
- Daten wie die Auswahlkriterien im Bewerbungsverfahren fallen regelmäßig unter das Geschäftsgeheimnis und müssen im Falle eines Auskunftsverlangens nicht offengelegt werden.
- Spätestens nach Ablauf von sechs Monaten liegt in der Regel keine Rechtsgrundlage für eine Verarbeitung mehr vor, sodass Bewerberdaten gelöscht werden müssen.
Pflicht zur datenschutzkonformen Datenverarbeitung im Bewerbungsverfahren
Da im Rahmen eines Bewerbungsprozesses eine Vielzahl von (teilweise auch sensiblen) personenbezogenen Daten offengelegt wird, ist in diesem Zusammenhang ein hohes Maß an Datenschutz gefordert. Denn auch gegenüber Bewerbern sind Unternehmen zum Datenschutz und einer gesetzeskonformen Datenverarbeitung verpflichtet. Dies gilt umso mehr seit dem Inkrafttreten der DSGVO und der darin (Art. 12-22 DSGVO) enthaltenen Betroffenenrechte, die von Bewerbern immer häufiger nach Abschluss des jeweiligen Bewerbungsverfahrens oder gar noch währenddessen geltend gemacht werden.
Immer öfter werden potenzielle Arbeitgeber mit Ansprüchen auf Auskunft nach Art. 15 DSGVO oder auf Löschung nach Art. 17 DSGVO im Zusammenhang mit Bewerbungsverfahren konfrontiert. Denn gerade in Fällen der Nichteinstellung oder einer vermuteten Diskriminierung im Zuge der Bewerberauswahl können Spannungsfelder entstehen. Machen die abgelehnten Bewerber von ihrem Recht auf Auskunft oder Löschung Gebrauch, kann dies negative Konsequenzen für die Unternehmen nach sich ziehen. Dies gilt besonders für den Fall, in dem die Geltendmachung der Betroffenenrechte erst einige Monate oder sogar Jahre nach Eingang der Bewerbung erfolgt und sich herausstellt, dass die Bewerbungsunterlagen länger gespeichert wurden, als es rechtlich zulässig ist.
DSGVO-Auskunftsanspruch im laufenden Bewerbungsverfahren
Auch für den Fall, dass Betroffenenrechte der DSGVO noch während dem laufenden Bewerbungsverfahren geltend gemacht werden, sind für die Datenverarbeitung Verantwortliche verpflichtet, die in Art. 15 Abs. 1 DSGVO vorgegebenen Pflichtinformationen zu erteilen und unter Umständen sogar nach Art. 15 Abs. 3 DSGVO dem Bewerber eine Kopie seiner verarbeiteten personenbezogenen Daten zur Verfügung zu stellen.
In der Praxis würde dies die personenbezogenen Daten aus der jeweiligen Bewerbungsmappe bzw. der digitalen Bewerbung sowie die begleitende Korrespondenz betreffen.
Obwohl es sich in der Regel um einen überschaubaren Datensatz handelt und die betroffene Person die Daten ohnehin kennt, diese ihr bereits vorliegen und sie im Vorfeld (im besten Fall) durch Datenschutzhinweise entsprechend Art. 13 DSGVO umfassend über die Datenverarbeitung belehrt wurde, kann man sich als Verantwortlicher nicht darauf berufen, dass der Bewerber die geltend gemachten Auskünfte bereits hat. Aus diesem Umstand ergibt sich noch lange kein Auskunftsverweigerungsrecht des Verantwortlichen. Jedoch gewinnt der Betroffene in der Regel keine neuen Erkenntnisse zu den Daten, die das jeweilige Unternehmen zu seiner Person hat.
Weite Auslegung des Auskunftsanspruchs
Problematisch ist hingegen die Antwort auf die Frage, ob im Rahmen einer Kopie gemäß Art. 15 Abs. 3 DSGVO neben der Bewerbung auch weitere Daten des Bearbeitungsprozesses, wie beispielsweise unternehmensinterne Notizen, ein Austausch über den Bewerber oder Daten aus einem ggf. durchgeführten Bewerber-Screening vom Auskunftsanspruch erfasst sind.
Der Bundesgerichtshof legt dem DSGVO-Auskunftsanspruch ein weites Verständnis zugrunde und bejaht einen Anspruch auf Auskunft auch für unternehmensinterne Abläufe.
Andere Gerichte hingegen legen den Anspruch restriktiv aus, sodass die Auskunft sich in der Regel nicht auf interne Vermerke oder Informationen aus einer Recherche erstreckt.
Einschränkung des Auskunftsanspruchs durch Rechte und Freiheiten Dritter
Einem solch weiten Verständnis des Auskunftsanspruchs, das der Bundesgerichtshof in seiner Rechtsprechung zugrunde legt, könnten überdies Rechte und Freiheiten anderer am Prozess beteiligter Personen entgegenstehen. Insoweit könnte der Auskunftserteilung ein Verweigerungsgrund im Sinne des Art. 15 Abs. 4 DSGVO entgegen gehalten werden.
Folglich sollte eine Auskunft nicht solche Informationen und Angaben enthalten, die eine Verletzung der Rechte und Freiheiten anderer Personen begründen könnten. Dies könnte beispielsweise der Fall sein, wenn durch die Auskunft Daten über die Personen, die für die Bewerbungsprozesse zuständig sind oder die in einem solchen als Bewerber teilnehmen, offengelegt werden müssten.
Auch hinsichtlich solcher Daten, die unter das Geschäftsgeheimnis fallen, wie beispielsweise Auswahlkriterien, ist äußerst zweifelhaft, ob sie im Rahmen des Auskunftsverlangens offengelegt werden müssen.
Löschansprüche abgelehnter Bewerber
In den meisten Fällen der Geltendmachung von Betroffenenrechten sehen sich Verantwortliche mit Löschansprüchen abgelehnter Bewerber konfrontiert, die gem. Art. 17 Abs. 1 DSGVO die Löschung ihrer personenbezogenen Daten fordern. Insoweit muss allerdings nach dem Zeitpunkt der Geltendmachung unterschieden werden.
Macht der abgelehnte Bewerber einen Anspruch auf Löschung aller seiner Daten erst ein halbes Jahr nach Beendigung des Bewerbungsverfahrens geltend, steht diesem im Regelfall nichts entgegen. Vielmehr schreibt die DSGVO sogar vor, dass personenbezogene Daten aus der Bewerbung sowie die damit einhergehende Korrespondenz nach Zweckerfüllung bzw. -fortfall nach dem Grundsatz der Speicherbegrenzung gemäß Art. 5 Abs. 1 lit. e) DSGVO vom verantwortlichen Unternehmen auch ohne Aufforderung gelöscht werden müssen.
Zudem stehen nach Ablauf eines solchen Zeitraums einer etwaigen Löschung für gewöhnlich auch keine der in Art. 17 Abs. 3 DSGVO normierten Ausnahmen entgegen.
Löschansprüche im laufenden Bewerbungsprozess
Etwas schwieriger verhält es sich mit Löschansprüchen, die wenige Tage nach Bewerbungseingang und somit noch im laufenden Bewerbungsverfahren geltend gemacht werden.
Grundsätzlich könnte für die Bejahung eines solchen Anspruchs vorgebracht werden, dass der Bewerber seine Bewerbung auch zurückziehen könnte, sodass die Rechtsgrundlage bzw. der Zweck der Verarbeitung seiner personenbezogenen Daten entfallen würde. Konsequenterweise wäre das Unternehmen nach Art. 17 Abs. 1 lit. a) DSGVO verpflichtet, alle mit der Bewerbung im Zusammenhang stehende Daten zu löschen.
Dem könnten jedoch Interessen des Unternehmens an der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Schließlich können dem Unternehmen Rechtsstreitigkeiten aufgrund von Entschädigungs- oder Schadensersatzansprüchen aus § 15 Abs. 1 und 2 des Allgemeinen Gleichbehandlungsgesetzes (AGG) abgelehnter Bewerber drohen.
Solche müssen grundsätzlich schriftlich innerhalb von zwei Monaten nach Erhalt der Ablehnung geltend gemacht werden. Infolgedessen ist es ratsam, alle Daten rund um die Bewerbung für die Dauer von bis zu sechs Monaten nach Erteilung der Absage aufzubewahren. Als Rechtsgrundlage dient hierbei Art. 17 Abs. 3 lit. e) DSGVO, wonach die Daten für den genannten Zeitraum von der Löschung ausgenommen sein können, wenn sie erforderlich sind, um Rechte geltend zu machen, auszuüben oder zu verteidigen. Diese Ausnahme des Art. 17 Abs. 3 DSGVO gilt in der Regel bis nach Ablauf der Frist für die genannten arbeitsrechtlichen Ansprüche.
Löschung gegen Verzicht auf Entschädigungs- und Schadensersatzansprüche
In einigen Fällen reagieren die abgelehnten Bewerber auf die Absage mit dem Löschanspruch und erklären in derselben E-Mail im Gegenzug ihren Verzicht auf die Geltendmachung von etwaigen Ansprüchen. Eine solche Textnachricht stellt in der Regel keine rechtsverbindliche Verzichtserklärung dar, sodass stets ein gewisses Restrisiko vorhanden ist, sofern Verantwortliche auf Basis einer solchen Erklärung vorzeitig eine Löschung vornehmen.
Ein solches Risiko besteht selbst dann, wenn alternativ eine vorzeitige Löschung auf Grundlage einer schriftlichen und unterzeichneten Erklärung über einen solchen Verzicht vorgenommen wird. Denn es ist nicht unumstritten, ob ein Verzicht auf die im AGG normierten Rechte rechtswirksam erklärt werden kann. Das Risiko bestünde darin, dass ein Bewerber, der eine Absage erhalten hat, trotz eines erklärten Verzichts gerichtlich Ansprüche geltend macht.
Löschung nur in Grenzen der Rechenschaftspflicht
Nicht zu vernachlässigen im Zusammenhang mit dem Löschanspruch ist die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO, die einem in rechtmäßiger Weise erfolgreich geltend gemachten Löschanspruch nach Art. 17 Abs. 1 DSGVO entgegenstehen kann. So müssen neben der generellen Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO auch sämtliche Umstände und Prozesse rund um die Erfüllung der Betroffenenrechte vom Verantwortlichen nachgewiesen werden können.
Konkrete Fristen für die Speicherung oder Aufbewahrungsfristen gibt die DSGVO nicht vor, allerdings empfiehlt sich dabei eine Orientierung an den zivilrechtlichen Verjährungsfristen, sodass entsprechende Nachweise bis zu drei Jahre geführt werden sollten. Davon können unter Umständen auch Kopien von Auskunftsverlangen und Protokolle über die Durchführung einer Datenlöschung erfasst sein.
Löschung erst nach Auskunftserteilung
Zu guter Letzt sollten Verantwortliche stets die Reihenfolge geltend gemachter Betroffenenrechte berücksichtigen, sodass der Anspruch auf Auskunft denklogisch stets dem Anspruch auf Löschung vorauszugehen hat, da andernfalls eventuell keine Daten mehr vorhanden sind, die Gegenstand eines Auskunftsanspruchs sein könnten.
Fazit
Die genannten Szenarien führen deutlich vor Augen, dass auch der Bewerbungsprozess datenschutzrechtlich abgesichert sein muss, denn die Pflicht eines Unternehmens zum Datenschutz beginnt bereits mit dem Eingang einer Bewerbung. Datenschutzrechtlich gut durchdachte Bewerbungsprozesse helfen nicht nur dabei, Beschwerden von Betroffenen und Bußgelder durch die Datenschutzbehörden zu vermeiden, sondern können zur Steigerung des Ansehens eines Unternehmens beitragen.
