Regelmäßig stehen Unternehmen vor der Herausforderung, zahlreiche Bewerbungen auf eine Stellenausschreibung zu erhalten und die geeignetsten Kandidaten auswählen zu müssen. Doch wie ist mit den anderen, häufig ebenfalls guten Bewerbungen umzugehen? Eine Lösung dafür bietet ein Talentpool. Der folgende Artikel beleuchtet die datenschutzrechtlichen Anforderungen an einen solchen Talentpool und zeigt, worauf Unternehmen achten müssen, damit Bewerbung und Aufbewahrungsfrist nicht zum Risiko werden.
Der Inhalt im Überblick
- Welche Rolle spielt die Einwilligung bei der Aufnahme in den Talentpool?
- Wann ist die Verarbeitung zu Zwecken des Beschäftigungsverhältnisses zulässig?
- Kann ein berechtigtes Interesse die Aufbewahrungsfrist für Bewerbungen rechtfertigen?
- Wie lange dürfen Unternehmen Bewerbungsdaten speichern?
- Wie wirken sich Digitalisierung und neue Technologien auf Bewerbungsprozesse und Aufbewahrungsfristen aus?
- Was bleibt bei der Aufbewahrung von Bewerbungen zu beachten?
Welche Rolle spielt die Einwilligung bei der Aufnahme in den Talentpool?
Im Bewerbungsprozess wird häufig die Frage gestellt, ob Bewerber langfristig in einen Talentpool aufgenommen werden dürfen. Die Rechtsgrundlage hierfür ist meist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 26 Abs. 2 BDSG. Die Einwilligung ist jedoch kein uneingeschränkt verlässliches Instrument, da sie jederzeit widerrufen werden kann. Nach einem Widerruf sind die Bewerbungsdaten gemäß Art. 17 Abs. 1 lit. b DSGVO unverzüglich zu löschen. Ein Wechsel auf eine andere Rechtsgrundlage, wie das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, ist nach herrschender Meinung unzulässig, da dies dem Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO) widerspricht. Es bleibt daher fraglich, ob andere Rechtsgrundlagen als die Einwilligung überhaupt in Betracht kommen.
Wann ist die Verarbeitung zu Zwecken des Beschäftigungsverhältnisses zulässig?
Die maßgebliche Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten im Rahmen des Beschäftigtenverhältnisses ist Art. 6 Abs. 1 lit. b DSGVO. Diese Vorschrift erlaubt die Datenverarbeitung, wenn sie zur Erfüllung des Arbeitsvertrags, einschließlich der Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses erforderlich ist.
Die Aufnahme in einen Talentpool ist nicht für die unmittelbare Entscheidung über die Begründung eines konkreten Beschäftigungsverhältnisses erforderlich, sondern dient vielmehr dazu, Bewerber zu einem späteren Zeitpunkt für andere Stellen berücksichtigen zu können. Eine längere Speicherung von Bewerbungsdaten nach einer Absage lässt sich daher nicht über Art. 6 Abs. 1 lit. b DSGVO rechtfertigen. Nach Abschluss des Bewerbungsverfahrens sind die Daten gemäß Art. 17 Abs. 1 lit. a DSGVO zu löschen. Somit scheidet Art. 6 Abs. 1 lit. b DSGVO als tragfähige Rechtsgrundlage für die Aufnahme in den Talentpool aus.
Kann ein berechtigtes Interesse die Aufbewahrungsfrist für Bewerbungen rechtfertigen?
Art. 6 Abs. 1 lit. f DSGVO kann grundsätzlich als Rechtsgrundlage für die Speicherung von Bewerbungsdaten im Talentpool dienen, sofern ein berechtigtes Interesse des Unternehmens besteht und die Verarbeitung erforderlich ist. Die Erforderlichkeit ist dabei in der Regel gegeben, da die Speicherung dazu dient, Bewerber für spätere, gegebenenfalls besser passende Stellen zu berücksichtigen und kein milderes Mittel zur Verfügung steht. Im Rahmen der Interessenabwägung sind jedoch die Grundrechte und Interessen der Bewerber besonders zu berücksichtigen. Nach einer Absage rechnen Bewerber meist nicht mit einer weiteren Speicherung ihrer Daten, sondern erwarten vielmehr deren Löschung. Die fortgesetzte Speicherung kann das Recht auf informationelle Selbstbestimmung beeinträchtigen und birgt das Risiko eines Kontrollverlusts über die eigenen Daten. Die Rechtsprechung des Bundesarbeitsgerichts bestätigt, dass nur die Speicherung von Basisdaten zur erneuten Kontaktaufnahme in Ausnahmefällen durch ein berechtigtes Interesse gedeckt sein kann. Eine umfassende Speicherung aller Bewerbungsdaten ist hingegen regelmäßig nicht zulässig, da die schutzwürdigen Interessen der Bewerber in diesem Fall überwiegen.
Wie lange dürfen Unternehmen Bewerbungsdaten speichern?
Unternehmen dürfen Bewerbungsdaten grundsätzlich nur so lange speichern, wie dies zur Durchführung des Bewerbungsverfahrens erforderlich ist. Nach Abschluss des Verfahrens und einer Absage sollten die Daten zeitnah gelöscht werden, wobei sich die Praxis an der sechsmonatigen Frist zur Geltendmachung von Ansprüchen nach dem AGG orientiert. Liegt eine wirksame Einwilligung der Bewerber vor, dürfen die Daten auch über diesen Zeitraum hinaus gespeichert werden, etwa für die Aufnahme in einen Talentpool. Die Speicherdauer muss jedoch klar kommuniziert und sachlich gerechtfertigt sein; eine unbegrenzte Speicherung ist nicht zulässig. In der Regel empfehlen Datenschutzaufsichtsbehörden, die Einwilligung auf ein bis zwei Jahre zu befristen und den Bewerber jederzeit die Möglichkeit zum Widerruf zu geben.
Wie wirken sich Digitalisierung und neue Technologien auf Bewerbungsprozesse und Aufbewahrungsfristen aus?
Die Digitalisierung verändert Bewerbungsprozesse grundlegend. Digitale Bewerbungsplattformen, KI-gestützte Auswahlverfahren und Cloud-Lösungen ermöglichen eine effiziente Verwaltung großer Mengen an Bewerbungsdaten. Gleichzeitig steigen die Anforderungen an Datenschutz und Datensicherheit. Unternehmen müssen sicherstellen, dass Bewerbungsdaten in digitalen Systemen nur so lange gespeichert werden, wie es rechtlich zulässig ist. Automatisierte Löschkonzepte und rollenbasierte Zugriffskontrollen sind unter anderem essenziell, um die Einhaltung der Aufbewahrungsfristen zu gewährleisten. Zudem müssen Bewerber transparent über die Datenverarbeitung informiert werden, insbesondere wenn KI-Systeme eingesetzt werden.
Was bleibt bei der Aufbewahrung von Bewerbungen zu beachten?
Die Speicherung von Bewerbungsdaten im Talentpool ist weiterhin nur mit Einwilligung zulässig. Die zahlreichen Anforderungen und die Möglichkeit des jederzeitigen Widerrufs stellen Unternehmen vor Herausforderungen. Durch die Implementierung technischer Schutzmaßnahmen und die Anpassung an digitale Prozesse können Haftungsrisiken minimiert werden. Die regelmäßige Überprüfung und Dokumentation der Aufbewahrungsfristen bleiben deshalb unerlässlich.
Guten Tag,
danke für den interessanten Beitrag.
Eine Frage: Kommt nicht auch Art. 6b) DSGVO in Betracht? Eine Bewerbung ist ja eine vorvertragliche Maßnahme?
Schöne Grüße
Sicherlich kann es sich bei Art. 6 b) DSGVO um eine Rechtsgrundlage für die Erhebung von Daten im Bewerbungsverfahren handeln. Allerdings geht es in dem Beitrag um die über diese Phase hinausgehende Speicherung der Daten für einen unbestimmten Zeitraum. Für diese Verarbeitung kann Art. 6 b) DSGVO keine gültige Rechtsgrundlage bieten.
Dieses Konstrukt würde m.E. in Frage kommen, wenn ein Unternehmen zahlreiche Stellen derselben Art ausgeschrieben hat und in kurzfristigen, regelmäßigen Abständen immer weitere Personen einstellt (beispielsweise eine Firma, die im Rahmen des Wachstums monatlich neue Techniker einstellt). Die Frage hierbei wäre jedoch, inwieweit man in so einem Fall eine Absage an den Zweitbesten sendet, vielmehr würde man vermutlich den Bearbeitungsprozess verzögern und somit nicht die Erwartung schüren, der Einstellungsprozess sei abgeschlossen und die personenbezogenen Daten des Betroffenen wären somit nicht mehr benötigt.
Hier sollte bereits in der Stellenausschreibung darauf hingewiesen werden und, wie Dr. Datenschutz bereits zu Verstehen gegeben hat, eben keine unbegrenzte Speicherung erfolgen.
Ansonsten wieder mal DANKE für den Artikel und auch für den Hinweis, dass § 26 Abs. 2 Satz 4 BDSG zur Anwendung kommen muss.
Ich deute dies so, dass im Falle einer telefonischen Absage mit der Bitte um Einwilligung zur Aufnahme in den Bewerberpool (und mündlicher Einwilligung des Betroffenen) eine anschließende Bestätigung in Textform an die E-Mail-Adresse mit dem Hinweis zur Widerrufbarkeit nötig und aber auch ausreichend ist?
Die Problematik bei einer gleichzeitigen Absage durch ein Telefonat und der Einholung der Einwilligung wird darin bestehen, den Informationspflichten nachzukommen. Von daher sollte zunächst daran gedacht werden, dieses Problem zu lösen. In Bezug auf Ihren Vorschlag, wären das die notwendigen Maßnahmen.
Vielen Dank für den Beitrag.
Es wird u.a. ausgeführt, dass im „folgenden Fall […] davon auszugehen [ist], dass nach einer erteilten Absage die Bewerber:innen nicht mehr damit rechnen, dass die Bewerberdaten weiter gespeichert werden. In der Absage wird ein fehlendes Interesse des Unternehmens zu deuten sein. Aus diesem Grund ist von einer Löschung der gesamten Bewerberdaten auszugehen.“
Hier frage ich mich, ob diese Erwartungshaltung der Bewerber nicht aktiv durch das Unternehmen gestaltet werden kann. Durch transparente Information bzgl. der Speicherung im Bewerberpool ist der Argumentation aus dem Beitrag der Boden entzogen; kombiniert mit einer Widerspruchsmöglichkeit kann den etwaig entgegenstehenden Interessen der Bewerber noch umfassender Rechnung getragen werden. Steht diesem Vorgehen etwas entgegen?
Wie so vieles ist es umstritten, ob Informationen die im Rahmen des Art. 13 DSGVO sowieso erteilt werden müssen (wie der Speicherzweck und die Speicherdauer), etwas an den Erwartungen des Betroffenen ändern kann. In der Praxis verneinen das die meisten Aufsichtsbehörden. Dazu etwa Mitarbeiter des ULD und der LfD Niedersachsen in der ZD 2018, 291 (S. 16):
„Richtigerweise sind die Prüfung der Rechtmäßigkeit nach Art. 6 DSGVO und der sonstigen Vorschriften daher voneinander zu trennen. Das gleiche gilt, wenn die vernünftigen Erwartungen der betroffenen Person auf den Informationen beruhen sollen, die sie im Rahmen der Informationspflichten nach Art. 13 und 14 DSGVO erhält. Diese Ansicht verkennt, dass eine durchschnittliche betroffene Person von den Informationen, die sie erhält durchaus überrascht sein kann und diese Informationen mithin nicht ihren vernünftigen Erwartungen entsprechen. Auch diese Ansicht macht den bereits oben genannten Fehler, die Interessenabwägung von der Erfüllung der sonstigen Vorschriften der DSGVO abhängig machen zu wollen.“
Am Ende ist bleibt es dann somit eine Frage der Ausgtestaltung und Beibringung der Informationen sowie Argumentation und Risikobereitschaft.
Das passt zwar nicht ganz zum Thema, aber mich würde interessieren, ob die herrschende Meinung „[…] Ein Wechsel auf eine andere Rechtsgrundlage, wie das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, ist nach herrschender Meinung unzulässig, da dies dem Grundsatz von Treu und Glauben (Art. 5 Abs. 1 lit. a DSGVO) widerspricht.[…]“ immer noch Bestand hat, oder nur bei Bewerbungen gilt?
Mir fällt immer wieder auf, das insbesondere in den Einstellungen der sog. Cookie-Banner versteckte Schalter für den Widerspruch vom „berechtigten Interesse“ zu finden sind. Hier wird doch ganz offensichtlich die Rechtsgrundlage gewechselt – gibst du mir keine Einwilligung, dann mache ich ein berechtigtes Interesse geltend. Das würde ja auch dem Grundsatz von Treu und Glauben widersprechen.
Der Grundsatz von Treu und Glauben nach Art. 5 Abs. 1 lit. a DSGVO gilt für sämtliche Verarbeitungssituationen und verpflichtet Verantwortliche zu einem fairen und transparenten Umgang mit personenbezogenen Daten. Ein nachträglicher Wechsel der Rechtsgrundlage, z. B. von einer zuvor eingeholten Einwilligung auf ein berechtigtes Interesse, ist grundsätzlich problematisch. Dies gilt unabhängig vom jeweiligen Kontext und betrifft damit sämtliche Verarbeitungssituationen im Anwendungsbereich der DSGVO. Betroffene Personen dürfen darauf vertrauen, dass ihre Entscheidung gegen eine Verarbeitung oder der Widerruf einer Einwilligung respektiert wird und nicht durch einen Wechsel der Rechtsgrundlage umgangen wird. Entscheidend ist daher, dass Unternehmen von Anfang an klar und transparent kommunizieren, auf welcher Rechtsgrundlage und zu welchem Zweck Daten verarbeitet werden.
Eine nachträgliche Änderung der Rechtsgrundlage für denselben Verarbeitungszweck ist nach der DSGVO grundsätzlich nicht zulässig und verstößt gegen die Prinzipien der Transparenz und Zweckbindung.
Anders kann es sein, wenn von Anfang an klar und transparent kommuniziert wird, dass bestimmte Verarbeitungen auf berechtigtem Interesse beruhen und die Einwilligung nur für zusätzliche Zwecke eingeholt wird. In diesem Fall bestehen verschiedene Rechtsgrundlagen für unterschiedliche Zwecke nebeneinander, ohne dass nachträglich gewechselt wird. Entscheidend ist, dass die betroffenen Personen von Beginn an nachvollziehen können, welche Verarbeitung auf welcher Grundlage erfolgt.
In dem Artikel heißt es: „Die maßgebliche Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten im Rahmen des Beschäftigtenverhältnisses ist Art. 6 Abs. 1 lit. b DSGVO. Diese Vorschrift erlaubt die Datenverarbeitung, wenn sie zur Erfüllung des Arbeitsvertrags, einschließlich der Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses erforderlich ist.“
Das ist nicht richtig, da mit § 26 BDSG eine Spezialvorschrift existiert. Art. 6 Abs. 1 lit. b DSGVO kommt nur in Betracht, wenn die Verarbeitung in einem „mittelbaren“ und nicht in einem „unmittelbaren“ Zusammenhang zum Arbeitsverhältnis steht.
Im Lichte der unionsrechtlichen Vorgaben und der aktuellen Rechtsprechung ist die Frage nach der maßgeblichen Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten differenziert zu betrachten. Nationale Regelungen können nur dann vorrangig sein, wenn sie die Anforderungen des europäischen Rechts tatsächlich erfüllen und über eine bloße Wiederholung hinausgehen. Andernfalls ist unmittelbar auf die einschlägigen Bestimmungen des Unionsrechts abzustellen. Die weitere Entwicklung bleibt abzuwarten.