Die Suche im Internet ist heutzutage ein beliebter Weg zur zielgerichteten Personalbeschaffung, insbesonder wenn es darum geht Personal mit bestimmten Qualifikationen zu finden und zu akquirieren. Wie jeder andere Prozess, bei dem personenbezogene Daten verarbeitet werden, erfordert auch dieser die Einhaltung der datenschutzrechtlichen Grundsätze. Unter Umständen könnte es datenschutzrechtlich unzulässig sein, bestimmte Bewerber-Informationen, etwa aus Google-Suchergebnissen, zu verarbeiten. In seinem aktuellen Tätigkeitsbericht für das Jahr 2022 hat der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) im Zusammenhang mit einer Beschwerde zu den datenschutzrechtlichen Anforderungen an die moderne Art der Personalsuche Stellung genommen.
Das Wichtigste in Kürze
- Die Verarbeitung bestimmter Informationen über potenzielle Arbeitnehmer in einer Datenbank stellt eine Datenverarbeitung im Sinne der DSGVO dar.
- Die vom Betroffenen veröffentlichten Daten dürfen nur dann verarbeitet werden, wenn keine schützenswerten Interessen des Betroffen entgegenstehen.
- Die Verarbeitung der Informationen zum Zwecke der Personalgewinnung ist generell dann zulässig, wenn der Betroffene seine Daten im beruflichen Kontext allgemein öffentlich zugänglich macht.
- Verantwortliche sind allerdings verpflichtet, den Betroffenen über die Erhebung und Verarbeitung seiner Daten zu informieren.
Active Sourcing als modernes Recruiting-Instrument
Ob Social Media wie Facebook, Instagram, LinkedIn oder XING – heutzutage können Unternehmen auf eine Vielfalt von Online-Quellen zurückgreifen, um gezielt geeignete Kandidaten ausfindig zu machen und diese gegebenenfalls in einem nächsten Schritt persönlich zu kontaktieren. Dieses Vorgehen der Personalabteilungen oder Headhunter bezeichnet man als Active Sourcing. Unternehmen setzen immer häufiger auf die Recherche im Internet, wobei sie gezielt mittels bestimmter Kriterien nach Bewerbern suchen und entsprechende Datenbanken mit Daten potenzieller Kandidaten anlegen. Auch wenn diese Art des Recruiting besonders bequem ist, ist aus datenschutzrechtlicher Sicht Vorsicht geboten, denn auch hierbei erfolgt eine datenschutzrechtlich relevante Verarbeitung personenbezogener Daten. So dürfen die vom potenziellen Bewerber veröffentlichten Daten nur dann gespeichert und weitergegeben werden, wenn dem kein schützenswerte Interesses des Bewerbers entgegenstehen.
Datenschutzbeschwerde beim HBDI
In seinem Tätigkeitsbericht für das Jahr 2022 berichtete der Hessische Beauftragte für Datenschutz und Informationsfreiheit von einer Datenschutzbeschwerde einer Betroffenen des Active Sourcing, deren personenbezogene Daten von einem Personaldienstleister mittels einer Google-Suche gesammelt und anschließend in einer Datenbank angelegt wurden. Nachdem die Betroffene per E-Mail über die Speicherung ihrer Daten in einer Datenbank eines Personaldienstleisters informiert wurde, wandte sie sich an die Behörde mit der Bitte um datenschutzrechtliche Prüfung und Bewertung. In diesem Zusammenhang äußerte sich der HBDI zur datenschutzrechtlichen Zulässigkeit der Gewinnung von Bewerberdaten aus dem Internet sowie der Speicherung der Daten in einer Datenbank. Nach Auffassung des HBDI ist Active Sourcing nicht per se datenschutzrechtlich unzulässig. Für die Zulässigkeit sei entscheidend, ob die Datenverarbeitung durch den Personaldienstleister zum Zwecke der Weitergabe an Unternehmen oder der Speicherung in einer Bewerberdatenbank den Grundsätzen für die Verarbeitung personenbezogener Daten i. S. d. Art. 5 DSGVO entspricht.
Einhaltung der Grundsätze der Datenverarbeitung nach Art. 5 DSGVO
Gemäß Art. 5 DSGVO mu¨ssen personenbezogene Daten auf rechtma¨ßige Weise, nach Treu und Glauben und in einer fu¨r den Betroffenen nachvollziehbaren Weise verarbeitet werden. Demgemäß hat die Behörde geprüft, ob die Datenverarbeitung durch den Personalvermittler von einer Rechtsgrundlage gedeckt ist und ob die in Art. 14 DSGVO vorgeschriebenen Informationspflichten erfüllt wurden, sodass die Vorgehensweise des Personaldienstleister hinreichend transparent war.
Berechtigtes Interesse des Personaldienstleisters
Da der Datenverarbeitung kein Bewerbungsverfahren vorausging und die Betroffene damit nicht als Bewerberin anzusehen war, lehnte der HBDI § 26 Abs. 1 S. 1 BDSG (Bundesdatenschutzgesetz) als rechtliche Grundlage ab. Gem. § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten in der Bewerbungsphase verarbeitet werden, sofern dies fu¨r die Entscheidung u¨ber die Begru¨ndung eines Bescha¨ftigungsverha¨ltnisses erforderlich ist. Beim Active Sourcing handelt es sich demgegenüber um ein Verfahren, das dem Bewerbungsverfahren vorgelagert ist und bei dem die kontaktierten Personen nicht als Bewerber anzusehen sind, sodass der § 26 Abs. 1 S. 1 BDSG weder in sachlicher noch in persönlicher Hinsicht anwendbar einschlägig ist.
Allerdings kommt nach Auffassung der Behörde als Rechtsgrundlage das berechtigte Interesse des Verantwortlichen an der Erbringung seiner Personalvermittlungsdienste in Betracht. Nach Art. 6 Abs. 1 UAbs. 1 lit. f) DSGVO dürfen personenbezogene Daten zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten verarbeitet werden, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten des Betroffenen überwiegen.
Im Hinblick auf die beschwerdegegenständliche Datenverarbeitung stellte die Behörde im Rahmen der durchzuführenden Interessenabwägung fest, dass ein wirtschaftliches Interesse ebenfalls ein berechtigtes Interesse darstelle (vgl. Erwägungsgrund 47 DS-GVO). Dabei seien jedoch auch die vernu¨nftigen Erwartungen der betroffenen Person zu beru¨cksichtigen. Insoweit sei zu pru¨fen, ob eine betroffene Person zum Zeitpunkt der Erhebung ihrer Daten und angesichts der Umsta¨nde, unter denen sie erfolgt, vernu¨nftigerweise erwarten kann, dass mo¨glicherweise eine Verarbeitung fu¨r diesen Zweck stattfinden wird.
Im zugrundeliegenden Fall hat die Betroffene ihre personenbezogenen Daten auf der von ihr betriebenen, beruflich orientierten Internetseite allgemein zugänglich veröffentlicht. Sie musst daher damit rechnen, dass ihre Daten auch von potenziell interessierten Arbeitgebern oder Personaldienstleistern für mögliche Stellenbesetzungen genutzt werden.
Erfüllung der Informationspflichten gem. Art. 14 DS-GVO
In einem weiteren Schritt untersuchte die Behörde die Einhaltung der Informationspflichten.
Werden die personenbezogenen Daten nicht bei der betroffenen Person selbst erhoben, so ist der Verantwortliche dennoch gem. Art. 14 DS-GVO verpflichtet, der betroffenen Person Informationen über die Datenverarbeitung mitzuteilen. Dies ist beim Active Sourcing regelmäßig der Fall, da die Erhebung der Informationen stets aus anderen Quellen erfolgt und nicht unmittelbar beim Betroffenen erfolgt. Zu den Pflichtinformationen gehören im Wesentlichen Informationen über die verarbeiteten personenbezogenen Daten, die Rechtsgrundlage der Verarbeitung, die Kontaktdaten des Datenschutzbeauftragten, die Zwecke der Datenverarbeitung, die Speicherdauer, die bestehenden Betroffenenrechte, sowie die Herkunft der Daten.
Einen erheblichen Verstoß konnte der HBDI im zu beurteilenden Fall nicht feststellen. Es fehlte lediglich eine Information im Hinblick auf die genauen Herkunft der Daten, die auf Nachfrage des HBDI erteilt wurde.
Fazit
Der Fall macht deutlich, dass Active Sourcing bei Beachtung der datenschutzrechtlichen Bestimmungen zulässig ist. Wichtig ist dabei, dass die betroffene Person ihre personenbezogenen Daten in einem beruflichen Kontext für die Allgemeinheit zugänglich veröffentlicht und der potenziell interessierte Arbeitgeber oder Personaldienstleister seinen Informationspflichten aus Art. 14 DSGVO nachkommt. Ist nicht ganz klar, ob der Bewerber seine Daten freiwillig aus beruflichen Gründen öffentlich zugänglich gemacht hat, so ist ggf. eine Einwilligung einzuholen, bevor eine Weitergabe der gesammelten Daten an die interne Personalabteilung und/oder eine Aufnahme in eine Bewerberdatenbank erfolgen darf. Insbesondere bei Portalen wie XING oder LinkedIn, die beruflich orientiert sind, kann man heutzutage davon ausgehen, dass der Bewerber damit rechnet oder es sogar wünscht, dass er wahrgenommen wird und die Aufmerksamkeit potenzieller Arbeitgeber oder Personalvermittlern weckt und ggf. kontaktiert wird.
„>
