Die Beauftragten für den Datenschutz und die Informationsfreiheit der Länder Berlin und Nordrhein-Westfalen haben im vergangenen Monat den aktuellen Tätigkeitsbericht veröffentlich und hierbei u.a. zum Einsatz moderner Auswahlinstrumente im Bewerbungsverfahren Stellung genommen. Konkret wurde ein Vorstellungsgespräch via Skype, die Aufzeichnung von Videointerviews und der Einsatz einer Sprachanalysesoftware begutachtet. In den angeführten Sachverhalten beurteilen die Aufsichtsbehörden die Verarbeitung der Bewerberdaten als nicht datenschutzkonform.
Der Inhalt im Überblick
Vorteil moderner Kommunikation
Im Bewerbungsverfahren haben Unternehmen mitunter eine hohe Zahl an Bewerbungen zu sichten. Für ein persönliches Vorstellungsgespräch muss entsprechend viel Zeit und Personalaufwand eingeplant werden. Viele Firmen haben auch an internationalen Bewerbern großes Interesse. Hier ist schon aufgrund der räumlichen Distanz die Durchführung eines Vorstellungsgesprächs am Firmensitz mit erheblichen Aufwand und Kosten für den Bewerber und das Unternehmen verbunden. Diese Argumente lassen es auf den ersten Blick durchaus sinnvoll erscheinen, den Bewerbungsprozess mittels technischer Unterstützung zu vereinfachen und von eine Anwesenheit vor Ort abzusehen.
Aufsichtsbehörde: Keine Rechtsgrundlage für den Einsatz im Bewerbungsverfahren
Die Aufsichtsbehörden sehen bei den vorliegenden Sachverhalten keine Rechtsgrundlage für eine Datenerhebung mittels moderner Kommunikationstechnik. Die datenschutzrechtliche Zulässigkeit folgt weder aus § 32 Abs. 1 BDSG, noch kann sie mit einer Einwilligung des Bewerbers begründet werden.
Strenger Maßstab an die Erforderlichkeit
Für § 32 Abs.1 BDSG kommt es darauf an, dass die konkrete Datenerhebung für das Bewerbungsverfahren erforderlich ist und dieser keine überwiegenden schutzwürdigen Interessen des Betroffenen gegenüberstehen. Dabei genügt es für die Erforderlichkeit gerade nicht, dass die konkrete Art der Datenerhebung für das Bewerbungsverfahren geeignet ist oder diese erleichtert. Die Datenerhebung muss unbedingt geboten sein, um überhaupt die entsprechende Stelle besetzen zu können. Dies dürfte regelmäßig nicht der Fall sein.
Mangelnde Freiwilligkeit bei einer Einwilligung
Eine Einwilligung muss nach § 4a BDSG auf einer freien und informierten Entscheidung des Betroffenen beruhen. Wenn die Teilnahme an einem vorgegebenen Bewerbungsprozess jedoch Voraussetzung für den Zugang zum Bewerbungsverfahren ist, könne nicht von einer freien Entscheidung der Bewerber ausgegangen werden.
Konkret haben sich die Aufsichtsbehörden zu folgenden Punkten geäußert:
Einsatz von Skype im Vorstellungsgespräch
Nach dem Berliner Tätigkeitsbericht (S. 116) ist der Einsatz von Skype im Vorstellungsgespräch unzulässig. Beim Einsatz von Skype speichere Microsoft die Daten für 90 Tage auf einem Server in den USA. Dies stelle eine Datenübermittlung dar, die zur Durchführung des Beschäftigungsverhältnisses nicht erforderlich sei. Sofern der Bewerber persönlich ein Skypegespräch anbietet, könne bei transparenter Information über die Datenverarbeitung von einer Einwilligung des Bewerbers ausgegangen werden. Jedoch könne man zugleich nicht davon ausgehen, dass auch eine wirksame freiwillige Einwilligung von den für das Vorstellungsgespräch zuständigen Mitarbeitern vorliegt.
Aufzeichnung von Videointerviews
Die Aufzeichnung von Videointerwies ist nach Auffassung der Länder Berlin (S. 117) und Nordrhein-Westfalen (S.52) unzulässig. Mittels einer Software können Bewerber ihre Antworten auf einen Fragenkatalog per Video aufzunehmen und an das Unternehmen übermitteln. Hierin sehen die Aufsichtsbehörden einen wesentlich intensiveren Eingriff in das Recht auf informationelle Selbstbestimmung. Im Vergleich zu einem persönlichen Bewerbungsgespräch können die Bild-und Tonaufnahmen mehrmals hintereinander abgespielt werden. Der Bewerber kann somit auch auf Mimik, Gestik und Tonlage analysiert werden. Mit ausschlaggebend für die Beurteilung der Datenschutzbehörde in NRW war zudem die fehlende Transparenz gegenüber den Bewerbern. Diesen sei nicht offengelegt worden, wer die Aufnahmen erhält, zu welchem Zweck diese verarbeitet werden und wann die Daten wieder gelöscht werden.
Einsatz einer Sprachanalysesoftware
Die Datenschutzbehörde Nordrhein-Westfalen lehnt auch den Einsatz einer Sprachanalysesoftware aus Datenschutzgründen ab. Die Software ermöglicht es, nach einem Telefongespräch die Stimme und Sprechweise der Bewerber zu analysieren und daraus Rückschlüsse auf die persönliche Eignung zu ziehen. Auch hier fehle sowohl an der Erforderlichkeit nach § 32 BDSG, als auch und an der Freiwilligkeit einer Einwilligung.
Welche Auswirkung hat der Tätigkeitsbericht für die Praxis?
Ein Tätigkeitsbericht gibt Auskunft über die in den letzten zwei Jahren vorgenommen Prüfungen der Aufsichtsbehörden im öffentlichen und nicht-öffentlichen Bereich. Er bildet demnach ab, welche datenschutzrechtliche Einschätzung die Aufsichtsbehörden gegenwärtig vertreten. Daher ist der aktuelle Tätigkeitsbericht für den Datenschutzbeauftragten eines Unternehmens eine gute Orientierungshilfe.
Der Tätigkeitsbericht lässt erkennen, dass die Behörden hohe Anforderungen an die Erforderlichkeit und die Freiwilligkeit stellen. Grundsätzlich dürfte es hier aber auch auf den konkreten Einzelfall ankommen. Sollte im Bewerbungsverfahren Video- und Sprachanalysen zum Einsatz kommen, muss zuvor eine ausführliche datenschutzrechtliche Prüfung erfolgen. Da eine Zeit- und Aufwandsersparnis alleine noch keine Datenerhebung rechtfertigt, müssten vor allem umfangreiche Schutzmaßnahmen für die Bewerber getroffen werden. Hier dürfte es vor allem auf die Punkte Transparenz, Löschfristen und Berechtigungskonzept ankommen. Außerdem müsste umfassend begründet werden, weshalb im konkreten Fall kein milderes Mittel zur Verfügung steht.
Wie sieht es mit ähnlichen Tools (z.B. zoom.us) aus?
https://www.datenschutz-guru.de/zoom-ist-keine-datenschleuder/
Bewerber-Erstgespräche über Skype zu verbieten halte ich nicht für den richtigen weg und befördert uns wieder zurück in die Steinzeit. Sicher sind strenge Kriterien Voraussetzung (keine Aufzeichnung) aber ansonsten werden auch die Aufsichtsbehörden nicht an der (hier durchaus sinnvollen) Digitalisierung vorbeikommen.
Mag sein, aber es gibt durchaus Alternativen: Zoom ist DSGVO-konform (siehe https://www.datenschutz-guru.de/zoom-ist-keine-datenschleuder/) und bietet mehr Funktionen als Skype.
Lese ich es richtig, dass sich die Kritik beim Einsatz von Skype (resp. Skype for Business) im Vorstellungsgespräch auf die Cloudvariante, also Installation von S4B in einem MSFT-Rechenzentrum (mit potentiellem Überseezugriff im Supportfall aus Nicht-EU) bezieht? Das sollte doch bedeuten, dass bei einer selbst betriebenen internen On-Premise-Installation des Produktes (also im eigenen RZ), die Nutzung zu dem Zweck nicht in der Kritik steht. Oder?
Die Datenschutzbehörde differenziert in ihrer Ausführung nicht explizit zwischen der kostenlosen Skype-Variante und Skype for Business. Da Microsoft bei einer Nutzung von Skype for Business gerade für den Fall des potentiellen Zugriffs standardmäßig den Abschluss EU-Standardverträgen anbietet, sehe ich bei der Verwendung von Skype for Business kein datenschutzrechtliches Problem.
Bedeutet das, dass der Bewerber selbst auch Skype for Business haben muss?
Es heißt zumindest, dass die Nutzung der kostenlosen Skype-Variante nach der strengen Ansicht der Aufsichtsbehörde gegen den Datenschutz verstößt. Ob der Bewerber selbst auch Skype for Business installiert haben muss, hängt davon ab, ob das Programm eine Einladung von Teilnehmern ohne eigene Lizenz ermöglicht.