Datenschutz bei der Rekrutierung und Grundprinzipien
Personalabteilungen gehören zu den Einheiten eines Unternehmens, die am intensivsten und sensibelsten personenbezogene Daten verarbeiten. Vom Veröffentlichen der Stellenanzeige bis zur Interviewphase, von technischen Tests bis hin zu Referenzchecks werden Vorname, Nachname, Kontaktinformationen, Bildungshintergrund, Gesundheitserklärungen und Referenzbewertungen von Hunderten von Kandidaten erfasst.
Die DSGVO (Datenschutz-Grundverordnung) verbietet ausdrücklich die wahllose Erhebung personenbezogener Daten und deren unbegrenzte Speicherung in Archiven. Insbesondere die jahrelange Aufbewahrung von Lebensläufen abgelehnter Kandidaten mit der Begründung, sie "für zukünftige Positionen im Pool zu behalten", gehört zu den Verstößen, für die die Datenschutzaufsichtsbehörden am häufigsten erhebliche Bußgelder verhängen.
In diesem Artikel beleuchten wir gemäß den DSGVO-Prinzipien die gesetzlichen Aufbewahrungsfristen für Kandidatendaten, Lebensläufe und Referenzcheck-Berichte, die periodischen Löschregeln und die technisch-organisatorischen Maßnahmen, die Unternehmen ergreifen müssen.
DSGVO Art. 5 und 17: Zweckbindung und Löschpflicht
Art. 5 der DSGVO regelt die Grundsätze, die bei der Verarbeitung personenbezogener Daten zwingend einzuhalten sind. Zu den wichtigsten dieser Grundsätze gehören:
- Verarbeitung für festgelegte, eindeutige und legitime Zwecke
- Dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt
- Aufbewahrung in einer Form, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, oder wie in den einschlägigen Rechtsvorschriften vorgesehen, erforderlich ist
Art. 17 der Verordnung macht zudem deutlich, dass personenbezogene Daten vom Verantwortlichen von Amts wegen oder auf Antrag der betroffenen Person gelöscht, vernichtet oder anonymisiert werden müssen, wenn die Gründe für ihre Verarbeitung weggefallen sind.
Die grundlegende rechtliche Regel lautet hier: Sie dürfen Daten nicht ewig speichern. Ein Datum darf nur für den Mindestzeitraum gespeichert werden, der zur Erfüllung des Zwecks erforderlich ist, für den es erhoben wurde. Wenn der Zweck erfüllt ist, erlischt die rechtliche Gültigkeit dieser Daten.
Aufbewahrungsfristen für angenommene und abgelehnte Kandidaten
Kandidaten, deren Daten im Rekrutierungsprozess erhoben werden, werden rechtlich in zwei getrennten Gruppen bewertet:
1. Angenommene Kandidaten
Bewerbungsformular, Interviewnotizen und Referenzcheck-Berichte des angenommenen Kandidaten werden in die Personalakte des Mitarbeiters überführt. Das nationale Arbeitsrecht verpflichtet den Arbeitgeber, eine Personalakte zu führen; wie lange die Akte aufbewahrt wird, wird jedoch nicht direkt in diesem Gesetz geregelt, sondern in der Praxis aus den allgemeinen Verjährungs- und Klagefristen im Arbeitsrecht abgeleitet. In der Praxis können Unternehmen die Personalakte daher viele Jahre lang (in der gängigen Praxis bis zu 10 Jahre) aufbewahren; die konkrete Aufbewahrungsfrist sollte vom Rechtsberater jedes Unternehmens bestätigt werden.
2. Abgelehnte Kandidaten
Für abgelehnte Kandidaten endet der Verarbeitungszweck mit der Finalisierung der Einstellungsentscheidung für diese offene Position. Der Arbeitgeber hat jedoch das Recht, sich gegen mögliche Diskriminierungsklagen, Klagen wegen Verletzung des Gleichbehandlungsgrundsatzes nach dem nationalen Arbeitsrecht oder Einstellungsstreitigkeiten zu verteidigen.
In diesem Rahmen gilt gemäß der Praxis der Datenschutzaufsichtsbehörden und der etablierten Rechtsprechung:
- Wenn keine ausdrückliche Einwilligung des Kandidaten vorliegt: Die Daten dürfen 6 Monate bis maximal 1 Jahr nach Abschluss des Rekrutierungsprozesses und erfolgter Absage aufbewahrt werden. Nach Ablauf dieser Frist müssen die Daten gelöscht werden.
- Wenn eine ausdrückliche Einwilligung des Kandidaten für den Talentpool vorliegt: Hat der Kandidat bei der Bewerbung ausdrücklich und aus freiem Willen zugestimmt in der Form "Ich stimme der Speicherung meines Lebenslaufs und meiner Daten für zukünftige passende Positionen zu", kann diese Frist auf maximal 1 bis 2 Jahre festgelegt werden. Aufbewahrungsfristen von mehr als 2 Jahren werden von den Datenschutzaufsichtsbehörden als Verstoß gegen den Grundsatz der Verhältnismäßigkeit angesehen.
Der rechtliche Status der Daten der Referenzperson
Ein kritisches Detail, das im Referenzcheck-Prozess oft übersehen wird, sind die personenbezogenen Daten der Referenzperson. Auch Name, Titel, Unternehmen, geschäftliche E-Mail-Adresse, Telefonnummer der als Referenz dienenden Person und deren persönliche Einschätzungen zum Kandidaten sind personenbezogene Daten.
Hier entsteht eine doppelte Verantwortung:
Die Referenzperson muss zwingend vor Beantwortung informiert werden, und es muss mitgeteilt werden, dass ihre Daten nur zum Zweck der Einstellungsbewertung des betreffenden Kandidaten verarbeitet werden. Wird der Kandidat nicht eingestellt, müssen die Daten der Referenzperson zusammen mit den Daten des Kandidaten am Ende der festgelegten Aufbewahrungsfrist vernichtet werden.
Wie erstellt man eine Datenaufbewahrungs- und Löschrichtlinie?
Für alle Unternehmen, die verpflichtet sind, sich in das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) einzutragen oder die Kriterien bezüglich Mitarbeiterzahl/Finanzbilanz erfüllen, ist die Erstellung einer "Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten" gesetzlich vorgeschrieben.
Eine spezielle Löschrichtlinie für Personalprozesse muss zwingend die folgenden Punkte enthalten:
- Rechtliche und tatsächliche Gründe, die die Aufbewahrung von Kandidatendaten erforderlich machen
- Technische Methoden, die beim Löschen, Vernichten oder Anonymisieren von Daten angewendet werden
- Periodische Löschfristen (Gemäß den Vorschriften muss eine periodische Löschung spätestens alle 6 Monate durchgeführt werden)
- Die für die Löschprozesse verantwortlichen Einheiten und Titel
- Protokollierung der Löschvorgänge (Logging und Löschprotokoll)
Diese erstellte Richtlinie muss im firmeninternen Intranet oder Dokumentationssystem zugänglich sein, und Rekrutierungsteams müssen sich strikt an diese Regeln halten.
Methoden zur Löschung, Vernichtung und Anonymisierung
Die DSGVO definiert drei verschiedene Methoden zur Datenvernichtung:
Die Verpflichtung von HR bei einer Datenlöschungsanfrage (Art. 15-22) des Kandidaten
Art. 15-22 der DSGVO gewähren betroffenen Personen das Recht, die Löschung oder Vernichtung ihrer personenbezogenen Daten zu verlangen.
Ein Kandidat kann sich nach Ablehnung seiner Bewerbung oder sogar noch während des laufenden Prozesses an das Unternehmen wenden und folgende Anfrage stellen:
*"Ich fordere die sofortige Löschung meines Lebenslaufs, der Interviewnotizen und der gesammelten Referenzcheck-Datensätze, die ich Ihrem Unternehmen übermittelt habe."*
Der Arbeitgeber als Verantwortlicher ist verpflichtet, diese Anfrage spätestens innerhalb eines Monats kostenlos abzuschließen und dem Kandidaten schriftlich oder elektronisch eine begründete Antwort zu geben.
Sofern für das Unternehmen keine gesetzliche Verpflichtung zur Aufbewahrung der Daten besteht (z.B. bei einem anhängigen Rechtsstreit), muss dem Antrag unverzüglich nachgekommen und alle Referenz- und Lebenslaufdatensätze des Kandidaten müssen aus dem System gelöscht werden. Werden Referenzdaten außerdem bei einem Drittanbieter gespeichert, muss die Löschanweisung auch an diesen Anbieter weitergeleitet werden.
Fazit: Die Bedeutung der Automatisierung für die Rechtssicherheit
Die manuelle Nachverfolgung von Kandidatendaten, die in Excel-Tabellen, E-Mail-Postfächern oder lokalen Computerordnern gespeichert sind, ist nahezu unmöglich. Welcher Datensatz eines Kandidaten vor 1 Jahr erhoben wurde, wessen ausdrückliche Einwilligung abgelaufen ist und welche Referenzakte vernichtet werden muss, kann durch manuelle Prozesse nicht verwaltet werden.
DSGVO-konforme digitale Referenzmanagement-Plattformen wie AuditCV.io verfolgen Aufbewahrungsfristen automatisch. Wenn die gesetzliche Aufbewahrungsfrist abgelaufen ist oder der Kandidat seine Einwilligung widerruft ("Revoke"), löscht oder anonymisiert das System die Daten automatisch. Diese Automatisierung ist der effektivste Schutz, der Unternehmen vor erheblichen Bußgeldern und Reputationsverlusten bewahrt.