Bewerber und DSGVO-Betroffenenrechte
Mit dem Inkrafttreten der Datenschutzgrundverordnung (DSGVO) und des neuen Bundesdatenschutzgesetzes (BDSG) hat sich für Unternehmen nicht nur im Hinblick auf die Beziehung zu Kunden, Geschäftspartnern oder Mitarbeitern einiges geändert, sondern auch die Beziehung zu potenziellen Bewerbern. Immer mehr Bewerber machen von ihren Rechten aus der DSGVO Gebrauch, sodass Unternehmen bereits im Bewerbungsverfahren dazu angehalten sind, Prozesse rund um die Bearbeitung von Betroffenenrechten möglichst effizient und datenschutzkonform zu gestalten.
Das Wichtigste in Kürze
1. Ansprüche des Bewerbers aus der Datenschutzgrundverordnung
Die Rechtsgrundlage zur Verarbeitung von Bewerberdaten ergibt sich aus Art. 88 Abs. 1 DSGVO i.V.m. § 26 Abs. 8 S. 2 BDSG. Danach sind Bewerber in datenschutzrechtlicher Hinsicht Beschäftigte im Sinne des Bundesdatenschutzgesetzes. Im Umkehrschluss müssen Unternehmen grundsätzlich auch damit rechnen, dass auch Bewerber sich auf die Betroffenenrechte, die sich aus der DSGVO ergeben, geltend machen können.
Mittlerweile ist es keine Seltenheit mehr, dass potenzielle Arbeitgeber datenschutzrechtlichen Ansprüchen von Bewerbern ausgesetzt sind. Dies ist insbesondere dann der Fall, wenn es zur Ablehnung eines Bewerbers kommt.
Die am häufigsten geltend gemachten Betroffenenrechte sind in diesem Zusammenhang das Auskunftsrecht nach Art. 15 DSGVO und das Recht auf Löschung nach Art. 17 DSGVO. Da die Bewerber auch noch Wochen oder Monate nach Beendigung des jeweiligen Bewerbungsverfahrens ihre Rechte geltend machen können, insbesondere weil der Gesetzgeber in der Datenschutzgrundverordnung keine Ausschlussfristen vorgesehen hat, sollten Unternehmen jederzeit in der Lage sein, den Ansprüchen möglichst effizient und DSGVO-konform nachzukommen.
2. Erteilung der Pflichtinformationen und Recht auf Kopie
Macht ein Bewerber noch während des laufenden Bewerbungsverfahren einen Anspruch auf Auskunft geltend, so sind ihm nicht nur die in Art. 15 Abs. 1 DSGVO genannten Pflichtinformationen zu erteilen. Unter Umständen ist auch gem. Art. 15 Abs. 3 DSGVO eine Kopie der zu seiner Person verarbeiteten Daten auszuhändigen. Da Unternehmen in der Regel nur die personenbezogenen Daten verarbeiten, die der Bewerbung zu entnehmen sind, erstreckt sich der Auskunftsanspruch lediglich auf diese Daten, sowie solche Daten, die Gegenstand in einer begleitenden Korrespondenz sind.
3. Reichweite des Auskunftsanspruchs
Ob auch weitere Daten, die im Rahmen der unternehmensinternen Bearbeitung der jeweiligen Bewerbung verarbeitet werden, im Rahmen des Auskunftsverlangens offengelegt werden müssen, ist weitestgehend unklar.
Der Bundesgerichtshof geht von einem umfassenden Auskunftsanspruch aus, der sich auf sämtliche personenbezogenen Daten des Betroffenen erstreckt, die vom Verantwortlichen verarbeitet werden.
Unter Zugrundelegung eines solch weiten Verständnisses wären von der DSGVO-Auskunft auch solche Informationen des Bewerbungsprozesses erfasst, wie zum Beispiel Notizen der Personalabteilung zu der jeweiligen Bewerbung, Austausch über den Bewerber oder seine Daten zum Zwecke der Auswahl sowie auch Daten aus einem Background-Check.
Andere Gerichte verneinen hingegen einen solch weitgehenden Auskunftsanspruch, der sich auch auf interne Vermerke, sonstige Informationen oder Bewertungen erstrecken soll.
Unabhängig von der Reichweite des Auskunftsanspruchs ist die Auskunftserteilung stets begrenzt durch die Rechte und Freiheiten anderer am Prozess beteiligter Personen. Solche stellen gem. Art. 15 Abs. 4 DSGVO einen Verweigerungsgrund dar. In der Praxis wäre dies beispielsweise der Fall, wenn ein Dokument, das auch Notizen über andere Bewerber desselben Bewerbungsprozesses enthält, Gegenstand der Auskunft sein soll.
4. Löschung von Bewerberdaten
Grundsätzlich müssen die personenbezogenen Daten eines Bewerbers, der aus dem Bewerbungsverfahren ausscheidet, gem. Art. 17 Abs. 1 lit. a) DSGVO unverzüglich gelöscht werden. Nach Art. 17 Abs. 3 lit. e) DSGVO tritt diese Pflicht jedoch nicht ein, solange die Daten des Bewerbers zur Verteidigung von Rechten des Unternehmens erforderlich sind.
Es ist nicht unüblich, dass Bewerber auf Grundlage des Allgemeinen Gleichbehandlungsgesetzes (AGG) Ansprüche gegen den potenziellen Arbeitgeber geltend machen, nachdem sie abgelehnt wurden.
Solange die rechtliche Inanspruchnahme nicht ausgeschlossen ist, sollten die Daten bis zu einer Dauer von bis zu sechs Monaten aufbewahrt werden. Diese Dauer ergibt sich aus den Rechtsbehelfsfristen des § 15 AGG, wonach der Bewerber seine Ansprüche innerhalb von zwei Monaten nach Erhalt der Ablehnung geltend machen muss. Macht er von diesem Recht Gebrauch, besteht eine Frist von weiteren drei Monaten, diesen Anspruch gerichtlich durch Klage durchzusetzen. Daher erscheint ein Zeitraum von sechs Monaten unter Berücksichtigung des Grundsatzes der Datenminimierung angemessen.
5. Fazit
Auch Bewerbungsprozesse sollten datenschutzrechtlich abgesichert werden. Denn die datenschutzrechtliche Verantwortlichkeit im Hinblick auf (potenzielle) Beschäftigte setzt bereits mit Eingang der Bewerbung ein. Die Beachtung des Datenschutzes bei der Gestaltung von Bewerbungsprozessen kann in der heutigen Zeit nicht nur zur Mitarbeiterzufriedenheit beitragen, Beschwerden und datenschutzrechtlichen Sanktionen entgegenwirken, sondern auch die Arbeitgeberattraktivität für zukünftige Arbeitnehmer steigern.
