„Vielen Dank für Ihre Bewerbung. Leider müssen wir Ihnen mitteilen, dass wir uns für einen Mitbewerber entschieden haben.“ So oder so ähnlich könnte eine Jobabsage lauten. Doch die Firma möchte die Daten der BewerberIn für später einmal speichern. Ist das rechtlich überhaupt zulässig? Besonders kleine und mittlere Unternehmen sind verunsichert.
Am 25.Mai 2018 trat die Datenschutzgrundverordung (DSGVO) in Kraft. Unternehmen sind seitdem besonderen Datenschutzvorkehrungen verpflichtet. Ihnen drohen empfindliche Strafen, bis zu vier Prozent des internationalen Umsatzes oder bis zu 20 Millionen Euro, wenn sie gegen diese verstoßen und oder sie missachten.
DSGVO hat Auswirkungen auf die Personalabteilung
Im besonderen Maße sind Personalabteilungen und Personalverantwortliche in Unternehmen von der DSGVO betroffen. Sie müssen oft mit persönlichen Daten von BewerberInnen und MitarbeiterInnen arbeiten.
Für kleinere und mittlere Unternehmen stellt diese Situation eine besondere Herausforderung dar. Wie können sie datenschutzkonform Bewerberdaten verwalten und passende Mitarbeiterinnen und Mitarbeiter einstellen? Wie oft und wo wird ein Dokument gespeichert und von wem?
Wo landen Bewerbungen?
Schauen wir uns die aktuelle Situation doch einmal genauer an: Lebensläufe, Anschreiben, Zeugnisse und Bewerbungsbilder werden täglich an Unternehmen per E-Mail gesendet. Dort gehen sie entweder in das bewerbung@-, oder noch schlimmer, in das info@-Postfach des Unternehmens ein.
Nachts wird ein Sicherheits-Backup des Posteingangs erstellt. Am nächsten Tag wird die Bewerbung von einem Mitarbeiter in der Personalabteilung bearbeitet. Das heißt, die Unterlagen werden auf der Festplatte des Personalers gespeichert und alle relevanten personenbezogenen Daten der Bewerberin zusätzlich in einer Excel-Tabelle angelegt. Da die BewerberIn einen guten Eindruck macht, werden die Unterlagen an die Teamleiterin zum Einholen eines Feedbacks per E-Mail weitergeleitet. Sie speichert die Unterlagen ebenfalls auf der Festplatte ihres Rechners.
In der Nacht wird wieder ein Backup erstellt und jetzt sind die Bewerberdaten bereits an sieben unterschiedlichen Stellen innerhalb eines Unternehmens gespeichert. Wenn die Unterlagen jetzt noch ein paarmal weitergeleitet werden, ist es schwierig, einen Überblick über die Orte zu bekommen, an denen sie gespeichert, abgelegt oder verarbeitet wurden.
Vorsicht, Datenschutzfalle!
Bewerber haben seit dem 25. Mai 2018 ein Auskunftsrecht, wo ihre Daten gespeichert werden und wie sie weiterverarbeitet wurden. Zusätzlich haben sie ein Recht auf Löschung. Dies bedeutet, dass das Unternehmen alle Bewerbungsunterlagen auf allen Systemen, Servern und Festplatten entfernen muss und das nachweislich bei jedem Kollegen, der sie in dem Recruiting-Prozess gespeichert haben könnte. Nebenbei müssen Unternehmen alle Datenströme dokumentieren und Ihre Datenschutzbestimmungen den neuen EU-Reglungen anpassen.
Mithilfe der folgenden Checkliste können Sie prüfen, ob Sie Ihr Unternehmen bei Bewerbungen datenschutzkonform aufgestellt haben:
Kontrolle behalten
- Prozess: Genau festlegen, wo die Bewerbung von wem abgelegt wird. Bestenfalls können elektronisch dazu Kommentare abgegeben werden.
- Routine festlegen: Sobald die Stelle besetzt ist, müssen alle Daten der abgelehnten Bewerber an allen Stellen gelöscht werden. Ausnahme: Die Bewerberin hat die Einwilligung gegeben, dass die Bewerbung beispielsweise in einem Bewerberpool gespeichert wird.
- Wenn die Bewerbung an andere Stellen weitergegeben werden soll, muss die Einwilligung der BewerberInnen eingeholt werden.
- Eine Alternative dazu bieten beispielsweise Online-Systeme, die Bewerberdaten zentral speichern und den MitarbeiterInnen nur passwortgeschützte Links zu den Bewerberdaten versendet.
