Tools für das Bewerbermanagement im Unternehmen

Der Bewerbungsprozess kann für Arbeitgeber herausfordernd sein. Je mehr Bewerbungen, desto größer wird die Datenmenge – vor allem große Unternehmen und Konzerne sind mit einer steigenden Komplexität konfrontiert. Digitale Bewerbertools können da eine sinnvolle Lösung sein, sie sind mittlerweile ein unverzichtbarer Bestandteil moderner Personalarbeit. Diese Bewerbermanagement-Plattformen ermöglichen eine schnelle, effiziente und häufig kostengünstige Abwicklung des Prozesses und bieten zahlreiche Vorteile. Dennoch gibt es auch einige wichtige Aspekte zu beachten.

Bewerbermanagement verschafft Überblick

Ob Recruitee, Softgarden oder Talentry – moderne Bewerbermanagement-Tools versprechen eine effizientere und strukturiertere Abwicklung von Bewerbungsprozessen im Bereich HR. Hierbei wird dem Verantwortlichen meist durch eine Cloud-basierte Plattform eine Infrastruktur an die Hand gegeben, die es ermöglicht, den gesamten Bewerbungsprozess – vom ersten Kontakt über Bewerbungsgespräche bis hin zum Vertragsschluss – umfassend abzubilden.

Auch aus datenschutzrechtlicher Sicht profitieren Verantwortliche: Ein zentraler Aspekt ihrer Pflichten ist die in Art. 5 Abs. 2 DSGVO festgelegte Rechenschaftspflicht. Die Einhaltung der datenschutzrechtlichen Grundsätze muss demnach von jedem Verantwortlichen nachgewiesen werden können. Dieser Pflicht kann nur dann effektiv nachgekommen werden, wenn Prozesse ausreichend transparent und übersichtlich gestaltet sind. Gerade in komplexen Unternehmensstrukturen ist dies oft schwierig, da Daten über verschiedene Abteilungen verteilt sind und der Gesamtüberblick fehlt. Hier können Tools für das Bewerbermanagement hilfreich sein: Mit so einem Tool kann der Arbeitgeber flexibel entscheiden, welche Mitarbeitenden aus welchen Fachabteilungen oder gar Tochtergesellschaften in den Bewerbungsprozess eingebunden werden sollen. Über eine integrierte Chatfunktionen ist ein direkter Austausch mit Bewerbenden möglich, und auch die Terminvereinbarung für Vorstellungsgespräche wird deutlich vereinfacht.

Bewerbende selbst können eigene Profile anlegen, Lebensläufe hochladen oder sogar private Social-Media-Accounts verknüpfen. Das schafft eine unmittelbare Nähe zwischen den Beteiligten und vermittelt beiden Seiten ein Gefühl von mehr Kontrolle. Die Zeiten, in denen Bewerbende monatelang auf eine Antwort warten, die nie kommt, scheinen damit vorbei zu sein.

Möglichkeiten für das Datenschutzmanagement mit Bewerbertools

Das Bewerbermanagement zentral zu steuern bringt auch in datenschutzrechtlicher Hinsicht zunächst einige Vorteile:

• Löschpflichten: Werden alle Daten in einem Tool verwaltet, lässt sich das Löschen nicht mehr benötigter Informationen deutlich einfacher organisieren. Automatische Erinnerungen oder Löschfunktionen sind oft bereits integriert.
• Speichern von Einwilligungen: Einwilligungen der Bewerbenden können nachhaltig dokumentiert werden – besonders relevant, wenn Daten für einen Bewerberpool länger gespeichert werden sollen.
• Betroffenenrechte: Bewerbende erhalten Kontrollmöglichkeiten, die im klassischen Verfahren nicht gegeben sind. Sie können oft selbst Daten löschen, exportieren oder korrigieren. Betroffenenrechte nach Art. 15 ff. DSGVO können oftmals direkt im Tool geltend gemacht werden – eine Vereinfachung für Nutze:innen. Der langwierige Weg einer Anfrage durch verschiedene E-Mail-Postfächer entfällt.

Bewerbermanagement-Tools bergen auch Risiken

Wo Licht ist, ist auch Schatten – das gilt auch beim Einsatz von Bewerbermanagement-Tools. Nicht jeder Dienstleister gewährleistet ein angemessenes Schutzniveau. Es ist wichtig, darauf zu achten, in welchen Ländern die Cloud-Dienste betrieben werden und wie transparent Anbieter über technische und organisatorische Maßnahmen Auskunft erteilt. Achtung: Die Auswahl geeigneter Dienstleister zählt gemäß Art. 28 Abs. 1 DSGVO zu den grundlegenden Pflichten des Verantwortlichen.

Das größte Gefahrenpotenzial birgt dabei – wie so oft  – die konkrete Anwendung durch das Unternehmen und seine Mitarbeiter selbst.

Berechtigungskonzepte

Bewerbertools verfügen häufig über Rollenkonzepte, die die Zugriffsrechte einzelner Mitarbeiter:innen auf Bewerberdaten regeln. Um dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO gerecht zu werden, sollte das „Need to know“-Prinzip Anwendung finden: Somit sollten nur Mitarbeiter Zugriff auf die Daten eines Bewerbers haben dürfen, deren Mitwirken für die Durchführung des Bewerbungsverfahrens auch zwingend erforderlich ist. Ein reines Interesse an der Bewerbung sollte kein Argument für eine Zugriffsberechtigung sein. Besonders, weil Bewerbungsunterlagen sehr sensible Daten enthalten.

Löschpflichten

Der Pflicht, Daten nach Abschluss des Bewerbungsverfahrens zu löschen, muss aktiv nachgekommen werden. Automatische Wiedervorlagefristen können hier unterstützen. Auch wenn hier automatische Löschroutinen implementiert werden können, sollten diese regelmäßig überprüft werden.

Social Media

Viele Tools ermöglichen Bewerbern die Anmeldung über Social Media Accounts oder das Verknüpfen von bspw. Xing- oder LinkedIn-Accounts. Auf das aktive „Anreichern“ von Bewerberdaten mit Informationen aus dem Social-Media-Profil sollte jedoch verzichtet werden – insbesondere bei privat genutzten Accounts. Zwar stimmt der Bewerber grundsätzlich zu, dass Name, Profilbild und E-Mail-Adresse übertragen werden, nicht aber, dass alle privaten Informationen Teil des Bewerbungsprozesses werden.

Analyse und Tracking

Auch der Einsatz von Analysetools wie Google Analytics sollte kritisch geprüft werden. Nach Ansicht der Aufsichtsbehörden und der DSK ist der Einsatz von Drittanbieter-Analysetools nur mit Einwilligung der Betroffenen rechtssicher. Verantwortliche sollten sich des Risikos bewusst sein und dieses sorgfältig abwägen.

Einbeziehung Dritter

Auf „Tell a Friend“- oder Empfehlungsfunktionen sollte verzichtet werden. Zwar klingt es attraktiv, von Mitarbeitenden auf potenzielle Bewerber hingewiesen zu werden, doch bei der Erstansprache unbeteiligter Dritter können wettbewerbsrechtliche Probleme entstehen. Auch die Ansprache zur Anwerbung potenzieller Arbeitnehmer kann als Werbung im Sinne des UWG gelten (vgl. BGH Urteil vom 12.09.2013, Az.: I ZR 208/12).

Informationspflichten

Zwar bieten viele Tools eigene Datenschutzerklärungen an. Doch sollten diese nicht ungeprüft übernommen werden: Viele dieser Erklärungen können lückenhaft oder zumindest anpassungsbedürftig sein. Es empfiehlt sich, eine eigene Datenschutzerklärung zu erstellen und im entsprechenden Tool zu integrieren.

Viele der genannten Grundregeln lassen sich nicht allein technisch umsetzen, sondern müssen im Alltag von den Mitarbeitenden gelebt werden. Bei der Einführung eines solchen Tools sollten daher klare interne Richtlinien erstellt und regelmäßige Schulungen durchgeführt werden, um das Bewusstsein für kritische Bereiche zu schärfen.

Verantwortung im Konzern: Wer kümmert sich um Verträge?

In der Regel tritt der Anbieter eines Bewerbertools als Auftragsverarbeiter im Sinne des Art. 28 DSGVO auf. Ein entsprechender Vertrag ist daher unerlässlich.

Komplex wird es, wenn das Tool konzernweit in mehreren Gesellschaften eingesetzt wird. Dann stellt sich die Frage, welche Unternehmung die Auftragsverarbeitungsverträge schließen muss. Zudem kann es vorkommen, dass Verantwortliche aus verschiedenen Konzernunternehmen gemeinsam Bewerbungsverfahren durchführen – etwa, wenn die Muttergesellschaft Mitbestimmungsrechte bei Tochterunternehmen hat. In solchen Fällen ist zu prüfen, ob eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegt.

Um das Vertragsmanagement übersichtlich zu halten, können Rahmenvereinbarungen innerhalb des Konzerns sinnvoll sein, die auch das Management von Auftragsverarbeitungsverträgen mit Dienstleistern erleichtern. Es sollte also pro Einzelfall genau geprüft werden, welche Unternehmen in welcher Rolle am Bewerbungsprozess beteiligt sind. Nur mit transparenten Datenflüssen innerhalb des Konzerns lassen sich die notwendigen datenschutzrechtlichen Maßnahmen sinnvoll gestalten.

Künstliche Intelligenz und automatisierte Entscheidungen im Bewerbermanagement

Einige dieser Plattformen integrieren mittlerweile auch Funktionen Künstlicher Intelligenz (KI), etwa zur automatisierten Vorauswahl von Bewerberprofilen, zur Ranking-Erstellung oder zur Ermittlung sogenannter Fit Scores. Hierbei analysieren KI-Algorithmen die eingereichten Unterlagen nach vorgegebenen Kriterien, berechnen Wahrscheinlichkeiten für den „Cultural Fit“ oder priorisieren Bewerbende automatisch anhand von Schlüsselbegriffen und Mustern. Einige Anwendungen – wie etwa Retorio oder HireVue – gehen sogar noch weiter und werten Sprach- und Verhaltensmuster aus Videointerviews aus, um Aussagen über Persönlichkeitsmerkmale oder emotionale Reaktionen zu treffen. Diese Verfahren versprechen mehr Objektivität im Auswahlprozess, stehen jedoch datenschutzrechtlich – und auch ethisch – unter besonderer Beobachtung.

Diese Technologien können den Recruitingprozess deutlich beschleunigen und objektiver gestalten. Was aus Unternehmenssicht wie ein Fortschritt im Recruiting wirkt, wirft datenschutzrechtlich jedoch teils erhebliche Fragen auf – insbesondere im Hinblick auf Transparenz, Fairness, die Zulässigkeit automatisierter Entscheidungen sowie die möglichen Risiken von Diskriminierung durch algorithmische Verzerrungen.

Nach Art. 22 DSGVO dürfen Bewerber nicht ausschließlich einer rein automatisierten Entscheidung unterworfen werden, ohne dass eine menschliche Überprüfung möglich ist. Zudem müssen Transparenz, Fairness und Diskriminierungsfreiheit der eingesetzten Algorithmen gewährleistet sein. Unternehmen sind verpflichtet, Bewerber klar über den Einsatz von KI zu informieren und sicherzustellen, dass ihre Rechte gewahrt bleiben.

Mithin ist zu beachten:

• Bewerber müssen über automatisierte Entscheidungen informiert werden;
• Fairness und Diskriminierungsfreiheit der Algorithmen müssen sichergestellt sein;
• Es muss die Möglichkeit zur menschlichen Intervention bestehen.

In der Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 6. Mai 2024 wurde etwa klargestellt, dass eine Auswertung aller Bewerbungen auf eine ausgeschriebene Stelle und das selbstständige Verschicken der Einladungen zu den Vorstellungsgesprächen durch eine KI-Anwendung ein Verstoß gegen Art. 22 Abs. 1 DSGVO darstellt.

Künstliche Intelligenz und Scoring im Bewerbermanagement

Beim Scoring werden Bewerberdaten anhand festgelegter Kriterien bewertet, um eine Rangfolge zu erstellen, die den Auswahlprozess unterstützt. Dabei sollte auf Folgendes besonderes Augenmerk gelegt werden:

• Umsetzung geeigneter Schutzmaßnahmen im Bewerberprozess: Um Diskriminierung zu vermeiden, z. B. durch regelmäßige Überprüfungen und Tests der KI-Algorithmen auf Fairness, Genauigkeit und Verzerrungen (Bias)
• Kritische Überprüfung des Ergebnisses der KI durch eine natürliche Person (s. Orientierungshilfe der DSK vom 06. Mai 2024): Der Recruiter sollte nicht einfach die Entscheidung des KI-Tools übernehmen (z. B. nur die drei besten Kandidaten auswählen), sondern die zugrundeliegenden Bewertungsgrundlagen berücksichtigen. Der Prüfer muss außerdem die Befugnis haben, die Ergebnisse der KI zu verändern oder abzulehnen.
• Personenbezogene Daten: Diese sollten nicht zum Training der KI verwendet werden.
• Information der Bewerber über die Datenverarbeitung: Insbesondere über den Einsatz von KI und die Verwendung von Fit Scores.

Emotionsanalysen sind grundsätzlich unzulässig

Festzuhalten ist auch, dass Emotionsanalysen im Bewerbungsverfahren datenschutzrechtlich problematisch, wenn nicht sogar unzulässig sind, weil sie in der Regel nicht erforderlich sind und die Freiwilligkeit der Einwilligung zweifelhaft sein könnte (s. Positionspapier des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) zum Bewerberdatenschutz (Juni 2024).

Bei richtigem Umgang sind Tools für das Bewerbermanagement hilfreich