Um Fachkräfte zu gewinnen, sind Unternehmen immer häufiger bereit, auch Bewerbungen per Messenger zu akzeptieren. So hat beispielsweise der Bremer Hafenlogistiker BLG im Januar 2024 eine erste Testphase für Bewerbungen per WhatsApp für Fahrerinnen und Fahrer gestartet. Was bei der Einführung von Messengern als Bewerbungsinstrument aus datenschutzrechtlicher Sicht zu beachten ist, darüber soll dieser Beitrag am Beispiel von WhatsApp informieren.
Der Inhalt im Überblick
Rechtsgrundlage für die Nutzung von WhatsApp?
Gemäß Art. 88 Abs. 1 S. 1 DSGVO i.V.m. § 26 Abs. 1 S. 1 BDSG dürfen Bewerberdaten verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Nach der Entscheidung des EuGHs in der Rechtssache C 34/21 steht diese Rechtsgrundlage jedoch auf tönernen Füßen. Der EuGH hat entschieden, dass auf die Öffnungsklausel des Art. 88 Abs. 1 DSGVO gestützte nationale Rechtsnormen für bestimmte Bereiche, wie hier das Arbeitsrecht, besondere Anforderungen zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte der betroffenen Personen vorsehen müssen (Art. 88 Abs. 2 DSGVO). In der Konsequenz bedeutet dies, dass nationale Regelungen nicht auf die Öffnungsklausel gestützt werden können, wenn sie eine Datenverarbeitung lediglich unter den Vorbehalt der Erforderlichkeit stellen. Dies ist bei § 26 Abs. 1 Satz 1 BDSG der Fall.
Möglich bleibt jedoch ein Rückgriff auf Art. 6 Abs. 1 DSGVO. Dieser erlaubt eine Verarbeitung zur Durchführung vorvertraglicher Maßnahmen auf Anfrage des Betroffenen (Art. 6 Abs. 1 lit. b) DSGVO). Darunter fällt auch die Verwendung von Bewerberanfragen im vorvertraglichen Bereich.
WhatsApp als Auftragsverarbeiter im Bewerbungsverfahren?
Wird ein Dritter in die Kommunikation zwischengeschaltet, stellt sich immer die Frage, ob dieser Auftragsverarbeiter ist. Maßgeblich hierfür ist die Weisungsgebundenheit des Auftragsverarbeiters gegenüber dem Auftraggeber (Art. 28 Abs. 1 DSGVO). Während eine solche Einordnung als Auftragsverarbeiter bei Cloud-Diensten regelmäßig naheliegt, dürfte dies bei einer auf die Grundfunktionen von WhatsApp beschränkten Nutzung anders sein. Hier beschränkt sich die Leistung des Messengers auf die Vermittlung der Kommunikation, also auf die eines interpersonellen Kommunikationsdienstes (§ 3 Nr. 61 TKG). Insoweit ist auch die Anwendung der DSGVO aufgrund des Art. 95 DSGVO fraglich (den Streitstand dazu hatten wir bei Videokonferenzanbietern dargestellt).
Die Inanspruchnahme von Zusatzdiensten wie der WhatsApp Business-Funktion dürfte hingegen für eine Auftragsverarbeitung mit entsprechenden Compliance-Folgen sprechen. Letzteres dürfte sich insofern eher für Unternehmen mit einem größeren Bewerberaufkommen anbieten.
Sensible Daten über WhatsApp kommunizieren?
Während die Kommunikation profaner Inhalte über WhatsApp, wie z.B. Terminabsprachen, keinen relevanten Bedenken begegnen dürfte, dürfte dies bei besonderen Datenkategorien (Art. 9 Abs. 1 DSGVO) anders sein. Insbesondere an die technischen und organisatorischen Maßnahmen werden hier rechtlich höhere Anforderungen gestellt, wie die Orientierungshilfe der DSK zum Einsatz von Messengern im Gesundheitswesen zeigt. Insbesondere Daten zu Religion und Gesundheit können im Bewerbungsverfahren relevant werden, so dass sich eine Anlehnung an das im Leitfaden definierte Schutzniveau anbietet. Schon weil der Zugang zu WhatsApp nicht an eine eigenständige, von der Entsperrfunktion des Mobiltelefons getrennte Authentifizierung gebunden ist, bietet der Messenger keine größere Gewähr für die Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f) DSGVO). Bewerber sollten daher beim Erstkontakt im Chat oder bei der Integration der Chatfunktion auf der Unternehmenswebsite darauf hingewiesen werden, dass die Übersendung konkreter Anhänge nicht erwünscht ist oder, soweit technisch möglich, keine Funktion hierfür angeboten werden sollte.
WhatsApp und der Betriebsrat
Sofern ein Betriebsrat vorhanden ist, spricht vieles dafür, dass dieser bei der Einführung von WhatsApp als Bewerbungstool ein Mitbestimmungsrecht zusteht. Dies ist bei technischen Einrichtungen wie Messengern, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, zwingend vorgeschrieben (§ 87 Abs. 1 Nr. 6 BetrVG). Die Formulierung „dazu bestimmt sind“ könnte hier den Eindruck erwecken, dass der Zweck der technischen Einrichtung die Überwachung sein muss. Nach ständiger Rechtsprechung des BAG genügt jedoch die objektive Eignung zur Überwachung. Aus dem zeitlichen Verlauf des Chatprotokolls kann der Arbeitgeber zumindest entnehmen, wann der Arbeitnehmer telefoniert hat. Insoweit ist eine „Zweckbestimmung“ zu bejahen.
Alter Wein in neuen Schläuchen
Mit zunehmendem Fachkräftemangel ist zu erwarten, dass Messenger immer mehr zum gängigen Instrument der passiven Bewerberansprache werden. Insofern dürfte der Beratungsbedarf in dieser Richtung zunehmen. Bei der datenschutzrechtlichen Beurteilung des Einsatzes von Messengern stellen sich zwar viele alte Fragen des Bewerberdatenschutzes in neuem Gewand, eine wirkliche rechtliche und technische Neuerung liegt jedoch nicht vor.
Wo ist denn jetzt der Aussagegehalt des Beitrags? Zulässig oder nicht? Im vorvertraglichen Verhältnis „erforderlich“ oder nicht? Keine Anhänge, vielleicht besser gar keine Daten. Unter welchen Bedingungen würde WA zulässig sein? Was ist mit den bedenklichen Nebenzwecken von Meta? Dürfte man WA-Bewerbungen bzw. -Kommunikation bevorzugen?
D., der aktuell davon abraten musste, WA für das Entgegennehmen von Bewerbungen zu nutzen. Riskant wird auch die Kommunikation drumherum sein, weil schnell mal ein Formular raus oder ein Anhang rein geschickt ist. Und für kleine Rückfragen besser eine richtige Telefonnummer, womit man sich den Schönrede-Aufwand und die Risiken komplett spart.
Vielen Dank für den Kommentar, zu Ihren Ausführungen im Einzelnen:
– jede Datenverarbeitung im vorvertraglichen Bereich, die zur Bearbeitung der Anfrage erforderlich ist, ist erforderlich im Sinne des Art. 6 Abs. 1 lit. b) DSGVO: Insofern bestehen gegen eine zulässige Kommunikation mit Bewerbern über WhatsApp keine Bedenken.
– Qualifiziert man WhatsApp als reinen Telekommunikationsdienst, liegt es nicht im Verantwortungsbereich des einstellenden Unternehmens, dass WhatsApp die über den Messenger kommunizierten Daten datenschutzkonform (weiter-)verarbeitet. Dessen Verantwortungsbereich beginnt erst mit dem Eintreffen der Nachricht auf dem Zielgerät und der dortigen Speicherung. Aus diesem Grund wird auf die von Meta verfolgten Zwecke nicht näher eingegangen.
– Insofern liegen unsere Bedenken auch eher darin, dass das Endgerät nicht ausreichend gesichert ist (Art. 32 Abs. 1 DSGVO). Dies gilt umso mehr, als je nach Einzelfall und beworbener Stelle schnell auch sensiblere Daten ausgetauscht werden können, wie z.B. die gesundheitlichen Anforderungen der Stelle o.ä., für deren Schutz die DSGVO einen höheren Schutzbedarf sieht und daher höhere technische Maßnahmen verlangt. Diese auf dem Endgerät einzurichten, dürfte der Knackpunkt für die Zulässigkeit der Nutzung von Messengern wie WhatsApp sein.
– Dem einstellenden Unternehmen steht es frei, auf welchem Weg und in welcher Form es Bewerbungen bevorzugt erhalten möchte.
– Ob die Nutzung von WhatsApp für das Recruiting mit den dargestellten Einschränkungen nicht zu viel Aufwand oder zu riskant ist, liegt im Ermessen des Unternehmens. Es ging uns nur darum, das Phänomen zu beleuchten und zu zeigen, was zu beachten ist, wenn man sich dafür entscheidet.