Bewerberdaten und DSGVO: Wem gehören die Daten?

Datenschutz bei Bewerbungen – was Sie bei der Verarbeitung personenbezogener Daten beachten müssen

Den Umgang mit personenbezogenen Daten im Bewerbungsprozess regeln die DSGVO und das Bundesdatenschutzgesetz – §26 Abs. 1 BDSG (neu) 

Da dies in einem Bewerbungsprozess aber weder gewollt noch zielführend ist, regelt die DSGVO die Fälle, in denen die Verarbeitung erlaubt ist. Dies kann sich zum Beispiel aus dem Gesetz oder einem Vertrag ergeben, es kann eine Einwilligung der Person vorliegen, oder es besteht ein lebenswichtiges, öffentliches oder berechtigtes Interesse an der Verarbeitung.

Aber liegt nicht schon dadurch eine Einwilligung zur Verarbeitung der Daten vor, dass eine Bewerberin ihre Unterlagen bewusst und freiwillig einstellt?

Nein, davon kann im Rahmen des Datenschutzes nicht ohne weiteres ausgegangen werden, denn die Einwilligung nach der DSGVO unterliegt strengen Anforderungen und kann nicht konkludent (durch schlüssiges Handeln) erfolgen. 

Im Rahmen des Bewerbungsprozesses hilft hier §26 Abs. 1 BDSG (neu) weiter, der neben der DSGVO aufgrund der Öffnungsklausel Anwendung findet und die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses regelt. Hier heißt es:

„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung […] erforderlich ist.“

Für die Einstellungsentscheidung dürfen die Daten also verarbeitet werden.

Quelle: §26 Abs. 1 BDSG (neu)

Die Betroffenenrechte der Bewerber nach DSGVO 

Entscheidend ist aber, und auch darüber muss informiert werden, dass den Bewerbern sogenannte Betroffenenrechte zustehen. 

Bewerber haben im Zusammenhang mit ihren Daten das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit. Faktisch sind es also noch immer ihre Daten, über die sie selbst entscheiden.

Der korrekte Umgang mit den Betroffenenrechten Ihrer Bewerber nach DSGVO im Überblick:

• Will eine Bewerberin nicht mehr am Bewerbungsverfahren teilnehmen, kann sie der Verarbeitung widersprechen, und ihre Daten müssen gelöscht werden.
• Nimmt sie jedoch weiter am Auswahlverfahren teil, sind die Daten an den Entscheidungsträger des potenziellen Arbeitgebers „ausgeliehen“ bis zur Entscheidung über die Bewerbung. 
• Kommt es zu einer Einstellung, werden die Daten bis zum Austritt in der Personalakte aufbewahrt (und um weitere Daten ergänzt), wobei ebenfalls die entsprechenden Aufbewahrungsfristen gelten. 
• Wird die Bewerberin jedoch vom Unternehmen abgelehnt, müssen ihre Daten gelöscht werden. Der Zweck der Verarbeitung gemäß § 26 Abs. 1 BDSG (neu) fällt im Fall einer Ablehnung weg und es besteht keine Erlaubnis mehr, die Daten zu verarbeiten.
• Einzig und allein die Tatsache, dass noch bestimmte Fristen laufen, in denen die Bewerberin z.B. wegen der Entscheidung zur Nichteinstellung gegen den potenziellen Arbeitgeber vorgehen könnte, erlauben es, die Unterlagen bis zu weiteren sechs Monaten aufzubewahren. Ohne weitere Rechtsgrundlage müssen sie dann aber endgültig gelöscht werden.

Fazit

Die personenbezogenen Daten aus Bewerbungsprozessen gehören den Bewerbern, die das Gesetz als Betroffene bezeichnet. Der potenzielle Arbeitgeber hat nur vorübergehend die Erlaubnis, die Daten zu verarbeiten. Ob er sich dabei eines externen Dritten bedient, der eine Bewerbermanagement-Software betreibt oder nicht, spielt dabei keine Rolle. Weil der Softwarebetreiber als Auftragnehmer kein eigenes Interesse an der Verarbeitung der Daten hat, gibt es einen Auftragsverarbeitungsvertrag (AV) mit dem Auftrag- bzw. Arbeitgeber. Dieser untersagt dem Softwarebetreiber, ohne konkrete Weisung des Auftraggebers irgendetwas mit den Daten zu tun oder zu lassen. Der Auftraggeber entscheidet selbst, wie er im Rahmen des § 26 Abs. 1 BDSG (neu) und gemäß der DSGVO die Bewerberdaten verarbeitet und zu welcher Entscheidung er kommt. Auch muss er selbst Sorge für den Schutz der Daten tragen und dafür, dass die Daten fristgerecht gelöscht werden.