DSGVO im Recruiting
Datenschutz im Recruiting betrifft die Verarbeitung personenbezogener Daten bei der Personalsuche und Auswahl. Die Datenschutz-Grundverordnung (DSGVO) regelt unter anderem Rechtsgrundlagen, Information, Sicherheit, Speicherdauer und die Rechte der betroffenen Personen.
Welche Daten der Recruiting-Prozess verarbeitet
Lebensläufe, Kontaktdaten, Nachrichten und Interviewnotizen können personenbezogene Daten enthalten. Die DSGVO gilt seit dem 25. Mai 2018. Für Recruiting sind insbesondere ein festgelegter Zweck, eine passende Rechtsgrundlage, Datenminimierung und eine begrenzte Speicherung relevant.
In Deutschland bezieht § 26 BDSG auch Bewerber:innen ein. Er regelt unter anderem Daten, die für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich sind. Eine Einwilligung ist deshalb nicht automatisch die Grundlage für jeden Verarbeitungsschritt.
Bewerbung und Talentpool sind unterschiedliche Zwecke
Die Entscheidung über eine ausgeschriebene Stelle und die Kontaktpflege für künftige Stellen müssen getrennt betrachtet werden. Für einen freiwilligen Talentpool sind Zweck, Rechtsgrundlage und Speicherdauer gesondert festzulegen. Beruht er auf einer Einwilligung, muss diese freiwillig, informiert und widerrufbar sein.
Eine Absage erlaubt weder eine unbegrenzte Speicherung noch erfordert sie in jedem Fall die sofortige Löschung sämtlicher Unterlagen. Beispielsweise beschreibt die Bundesnetzagentur in ihren eigenen Bewerbungs-Datenschutzhinweisen eine Löschung sechs Monate nach Versand der Absage, soweit die Daten nicht länger zur Verteidigung von Rechtsansprüchen benötigt werden. Das ist ein konkretes Verfahrensbeispiel, keine einheitliche Frist der DSGVO für alle Unternehmen.
Zuständigkeiten im Unternehmen klären
Bewerber:innen müssen verständlich über die Verarbeitung informiert werden. Dazu gehören die Zwecke, Empfänger, Speicherdauer beziehungsweise deren Kriterien und ihre Rechte. Erfolgt die Datenerhebung über andere Quellen, etwa bei der Direktansprache, gelten ebenfalls Informationspflichten.
Legen Sie fest, wer Unterlagen für welche Aufgabe benötigt, wer Auskunfts- und Löschanfragen bearbeitet und wie Daten aus Exporten oder weitergeleiteten Nachrichten einbezogen werden. Bei Auftragsverarbeitung sind die entsprechenden vertraglichen Anforderungen zu prüfen. Ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung unterliegen zusätzlichen Vorgaben nach Artikel 22 DSGVO.
Ein Bewerbermanagementsystem kann solche Abläufe unterstützen. Ob die Verarbeitung zulässig ist, hängt jedoch auch von der konkreten Einrichtung, den erhobenen Daten und den Entscheidungen des Unternehmens ab.