Neben der DSGVO ist bei Bewerberdaten auch § 26 (1) S. 1 BDSG zu beachten. Danach ist eine Datenverarbeitung zulässig, wenn sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist, z.B. Bewerbungsschreiben, Lebenslauf und Zeugnisse. § 26 (8) Absatz 2 BDSG klärt darüber hinaus, dass Bewerber für ein Beschäftigungsverhältnis ebenfalls unter den Beschäftigten-Begriff gemäß § 26 BDSG fallen.
Informationspflichten
Gem. Artt. 13 f. DSGVO ist der Bewerber bei Erhebung seiner Daten über den Zweck, den Umfang und die Rechtsgrundlage zu informieren. Dies kann in Form einer Datenschutzerklärung oder als automatische Antwort auf eine Bewerbungsmail sowie durch einen Hinweis im Bewerbungsportal erfolgen.
Aufnahme ins Verarbeitungsverzeichnis
Der Arbeitgeber ist gem. Art. 30 (1) verpflichtet ein Verzeichnis über seine Verarbeitungstätigkeiten von personenbezogenen Daten zu führen. Dieses Verzeichnis kann äußerst hilfreich sein, um die Einhaltung der Betroffenenrechte sicherzustellen und ist zudem notwendig, um der Rechenschaftspflicht gegenüber den Aufsichtsbehörden gerecht zu werden.
Gegebenenfalls bietet es sich auch an eine Datenschutzfolgenabschätzung gem. Art. 35 DSGVO anzufertigen.
Löschung von Bewerberdaten
Sobald ein Kandidat für eine Stelle nicht mehr in Frage kommt, sollten seine Daten gem. Art. 17 (1) lit. a DSGVO gelöscht werden. Dies gilt ebenso, wenn der Bewerber seine Bewerbung freiwillig zurückzieht. Die Löschpflicht greift jedoch nach Art. 17 (3) lt. e DSGVO nicht, solange die Speicherung der Bewerberdaten zur Verteidigung von Rechtsansprüchen erforderlich ist.
Es besteht die Möglichkeit, dass ein abgelehnter Bewerber einen Schadensersatzanspruch wegen Verstoßes gegen das Allgemeine Gleichbehandlungsgesetz (AGG) geltend machen möchte. Um sich gegen eine solche Klage verteidigen zu können, ist in der Regel ein Rückgriff auf die Bewerberdaten erforderlich. Aufgrund von Fristen und Gerichtsverfahren kann ein solches Verfahren mehrere Monate dauern, weshalb eine Speicherfrist von insgesamt vier bis sechs Monaten als zulässig angesehen werden kann.
Berechtigungskonzept
Die Bedeutung eines angemessenen Berichtigungskonzepts darf insbesondere bei Bewerberdaten nicht unterschätzt werden, da diese in der Regel hoch sensibel sind. Es ist daher entscheidend den Zugriff streng zu beschränken, sodass nur Personen, die über die Einstellung entscheiden, darauf zugreifen können. Es sollte vermieden werden, die Daten in einem allgemein zugänglichen Ordner zu speichern oder per E-Mail an zugriffsberechtigte Personen weiterzuleiten.
Zulässigkeit der Fragen
Während eines Bewerbungsgesprächs stellt der Arbeitgeber in der Regel Fragen an den Kandidaten und macht dabei Notizen. Diese Handlung stellt bereits eine Verarbeitung personenbezogener Daten dar. Daher hat der Arbeitgeber das Recht, Fragen nur dann zu stellen, wenn diese für das konkrete Bewerbungsverfahren erforderlich sind.
Es gibt bestimmte Fragen, die grundsätzlich unzulässig sind:
- Fragen nach der Schwangerschaft, es sei denn, die Stelle könnte sich auf die Gesundheit der Bewerberin auswirken.
- Fragen nach politischer oder religiöser Gesinnung oder Aktivität sowie zur Gewerkschaftszugehörigkeit.
- Fragen nach Vorstrafen, sofern kein unmittelbarer Bezug zum Arbeitsverhältnis besteht.
- Fragen zum Gesundheitszustand, es sei denn, es ist erforderlich, die Tauglichkeit für den konkreten Arbeitsplatz zu ermitteln.
- Fragen nach den Vermögensverhältnissen der Bewerberin oder des Bewerbers.