Die rechtliche Bedeutung der ausdrücklichen Einwilligung bei der Einstellung
Rekrutierungsprozesse sind dynamische Abläufe, bei denen Arbeitgeber umfangreiche personenbezogene Daten über Kandidaten sammeln. Von den Informationen im Lebenslauf eines Kandidaten über Interviewaufzeichnungen bis hin zu Testergebnissen und Referenzbewertungen steht jeder Datenpunkt unter dem Schutz der DSGVO (Datenschutz-Grundverordnung).
Der häufigste Irrtum, dem Personalabteilungen in der DSGVO-Praxis erliegen, ist die Annahme, dass das Einreichen des Lebenslaufs durch den Kandidaten "als stillschweigende Zustimmung zur Verarbeitung aller seiner Daten und zur Kontaktaufnahme mit seinen Referenzen" ausgelegt werden kann. Im Datenschutzrecht ist jedoch eine stillschweigende (implizite) Einwilligung nicht gültig. Damit der Kandidat einem Referenzcheck unterzogen und seine früheren Arbeitgeber kontaktiert werden können, muss eine klare, eindeutige und den gesetzlichen Anforderungen entsprechende Willenserklärung vorliegen.
In diesem umfassenden Leitfaden werden wir untersuchen, wie man eine gültige Einwilligungserklärung in Übereinstimmung mit den Grundsatzentscheidungen der Datenschutzaufsichtsbehörden vorbereitet, wir werden rechtliche Feinheiten diskutieren und gebrauchsfertige Textvorlagen teilen, die Sie direkt in Ihrem Unternehmen verwenden können.
Die 3 Grundelemente einer gültigen ausdrücklichen Einwilligung
In Art. 4 Nr. 11 DSGVO ist die Einwilligung wie folgt definiert:
*"Jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung."*
Gemäß dieser gesetzlichen Definition muss eine Einwilligungserklärung die folgenden drei Elemente kumulativ aufweisen, um bei Audits und vor Gericht als gültig anerkannt zu werden:
Der rechtliche Unterschied zwischen Informationstext und Einwilligungserklärung
Der größte Verfahrensfehler, den die Personal- und Rechtsabteilungen vieler Unternehmen begehen, besteht darin, den Informationstext und die Einwilligungserklärung in einem einzigen Text zu kombinieren oder zu versuchen, durch ein einziges Kontrollkästchen (Checkbox) die Zustimmung für beides gleichzeitig einzuholen.
Gemäß den etablierten Grundsatzentscheidungen der Datenschutzaufsichtsbehörden müssen diese beiden Rechtshandlungen strikt voneinander getrennt werden:
- Informationstext (Art. 13 DSGVO): Dies ist die gesetzliche Verpflichtung des Verantwortlichen. Sie unterliegt nicht der Zustimmung, Genehmigung oder Annahme der anderen Partei; sie ist eine einseitige und verbindliche Information. Vom Kandidaten kann keine Erklärung wie "Ich stimme dem Informationstext zu" verlangt werden; die Formulierung "Ich habe den Informationstext gelesen, verstanden und wurde über meine Rechte informiert" ist ausreichend.
- Ausdrückliche Einwilligungserklärung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO): Dies ist eine außergewöhnliche Willenserklärung, die dann ins Spiel kommt, wenn keine anderen rechtmäßigen gesetzlichen Gründe für die Datenverarbeitung (wie gesetzlich ausdrücklich vorgesehen, unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrags zusammenhängend, rechtliche Verpflichtung des Verantwortlichen) vorliegen. Sie muss zwingend als separates Dokument präsentiert und durch ein separates Kontrollkästchen sowie eine aktive bestätigende Handlung des Kandidaten (durch Anklicken eines nicht vorausgewählten, leeren Kästchens) eingeholt werden.
Das Prinzip des Kopplungsverbots bei der Bewerbung
Eine der kritischsten Regeln, die in den Leitlinien der Datenschutzaufsichtsbehörden beharrlich betont wird, ist das "Kopplungsverbot" (Art. 7 Abs. 4 DSGVO).
In einem Bewerbungsportal oder -formular darf dem Kandidaten nicht folgende Verpflichtung auferlegt werden:
*"Wenn Sie der ausdrücklichen Einwilligungserklärung nicht zustimmen, kann Ihre Bewerbung nicht abgeschlossen und nicht berücksichtigt werden."*
Denn Name, Nachname, Kontaktinformationen, Ausbildung und berufliche Erfahrung des Kandidaten in einer grundlegenden Bewerbung sind für den Abschluss eines Arbeitsvertrags im Rahmen des nationalen Arbeitsrechts und Zivilrechts erforderlich und legitim. Diese grundlegenden Daten können ohne ausdrückliche Einwilligung auf der Rechtsgrundlage des Vertragsabschlusses verarbeitet werden. Die Kontaktaufnahme mit früheren Arbeitgebern des Kandidaten (Referenzcheck) oder die Speicherung von Daten im Talentpool für 2 Jahre sind jedoch zusätzliche Aktivitäten und beruhen auf einer ausdrücklichen Einwilligung. Auch wenn der Kandidat dem Referenzcheck nicht zustimmt, darf ihm das Recht nicht verwehrt werden, anhand seiner vorhandenen Informationen bewertet zu werden.
Die Rolle von Beratungs- und Headhunter-Firmen bei der Rekrutierung
Rekrutierungsprozesse werden oft über externe Beratungs- oder Headhunter-Firmen abgewickelt. In diesem Szenario wechseln die personenbezogenen Daten des Kandidaten den Besitzer zwischen mehreren Verantwortlichen:
- Personalberatung: Ist als Institution, die die Daten des Kandidaten zuerst sammelt und einen Vorab-Referenzcheck durchführt, der Verantwortliche.
- Arbeitgeberunternehmen: Das Kundenunternehmen, das die endgültige Einstellungsentscheidung treffen wird, ist ein unabhängiger Verantwortlicher.
Zwischen diesen beiden Institutionen muss zwingend ein Auftragsverarbeitungsvertrag (AVV / DPA) unterzeichnet worden sein, und in der dem Kandidaten vorgelegten Einwilligungserklärung muss klar angegeben werden, mit welchen Kundenunternehmen die Daten und der Referenzbericht geteilt werden können. Das Weiterleiten des Referenzberichts an dritte Unternehmen ohne Wissen des Kandidaten ist ein schwerer Verstoß gegen die Vorschriften.
Besondere Kategorien personenbezogener Daten und der Referenzprozess
Während Referenzchecks muss strikt vermieden werden, dass ehemalige Manager auf sensible Themen wie die Gesundheit, Gewerkschaftszugehörigkeit, politische oder philosophische Ansichten des Kandidaten eingehen. Gemäß Art. 9 DSGVO unterliegt die Verarbeitung besonderer Kategorien personenbezogener Daten weitaus strengeren Bedingungen und erfordert eine separate ausdrückliche Einwilligung.
In Referenzformularen und Fragenkatalogen dürfen keine Fragen zu folgenden Themen gestellt werden:
- "Ob der Kandidat oft krankgeschrieben war oder eine chronische Krankheit hat"
- "Familiäre Situation, Familienstand oder Schwangerschaftspläne des Kandidaten"
- "Religiöser Glaube, ethnische Herkunft oder politische Ansichten"
Selbst wenn die Referenzperson von sich aus Kommentare zu diesen Themen abgibt, dürfen diese Aussagen nicht in Protokolle oder Berichte aufgenommen werden und müssen sofort vernichtet werden.
Beispiel-Vorlage einer Referenz-Einwilligungserklärung für den Kandidaten
Der folgende Text ist eine rechtlich solide Vorlage, die Sie direkt in Ihre Dokumente oder Bewerbungsportale integrieren können, um bei Ihren Rekrutierungsprozessen die Erlaubnis für Referenzchecks von Kandidaten einzuholen:
AUSDRÜCKLICHE EINWILLIGUNGSERKLÄRUNG DES KANDIDATEN ZUM REFERENZCHECK-PROZESS
Ich habe den von [Handelsname des Unternehmens] (“Unternehmen”) vorgelegten
“Informationstext zur Verarbeitung der personenbezogenen Daten von Bewerbern”
gelesen, verstanden und wurde detailliert über meine Rechte im Rahmen der
DSGVO (Datenschutz-Grundverordnung) informiert.
In diesem Zusammenhang;
Um meine Eignung für die offene Position, auf die ich mich beworben habe,
meine bisherigen beruflichen Erfahrungen, meine Aufgaben- und Verantwortungsbereiche,
meine Arbeitsdisziplin, meine Teamfähigkeit und meine Arbeitsergebnisse zu verifizieren;
1. Stimme ich der Kontaktaufnahme mit den von mir im Bewerbungsformular oder
Lebenslauf angegebenen Referenzpersonen (ehemalige Manager, Abteilungsleiter
und Kollegen) per Telefon, E-Mail oder über digitale Referenzverifizierungssysteme zu,
2. Stimme ich zu, dass diesen Personen Fragen zu meinem bisherigen Arbeitsverhältnis,
meiner Leistung, meinen Kompetenzen und meinem Austrittsprozess gestellt werden
und dass die von diesen Personen abgegebenen professionellen Bewertungsdaten
von Unternehmensvertretern zum Zwecke der Einstellungsentscheidung erhoben und
verarbeitet werden,
3. Stimme ich zu, dass der zu erstellende Referenzverifizierungs- und
Konsistenzbericht verschlüsselt auf den sicheren Servern des Unternehmens für
die in der Datenaufbewahrungs- und Löschrichtlinie und in der Gesetzgebung
vorgesehene maximale Aufbewahrungsfrist gespeichert wird,
ohne jeglichen Druck oder Zwang, GEBE ICH AUS FREIEM WILLEN MEINE AUSDRÜCKLICHE
EINWILLIGUNG.
[ ] Ich stimme zu (Bitte ankreuzen)
Name und Vorname des Kandidaten : ....................................................
Identifikationsnummer (ID) : ....................................................
Datum : ...... / ...... / 202...
Unterschrift / Digitale Zustimmung mit Zeitstempel: ..................................Informations- und Einwilligungstext für die Referenzperson
Eine weitere Partei, die im Referenzprozess nicht vergessen werden darf, ist die Referenzperson. Auch Name, Titel, Unternehmenstitel, geschäftliche Telefonnummer, E-Mail-Adresse des referenzierenden Managers und seine Ansichten zum Kandidaten sind personenbezogene Daten. Beim Öffnen des digitalen Links, der an die Referenzperson gesendet wird, sollte folgender Text erscheinen:
INFORMATION UND EINWILLIGUNG ZUR DATENVERARBEITUNG FÜR DIE REFERENZPERSON
Sehr geehrte Damen und Herren,
[Name und Vorname des Kandidaten] hat Sie im Rahmen seiner/ihrer Stellenbewerbung
bei unserem Unternehmen als Referenz angegeben, um Informationen über seine/ihre
bisherige Berufserfahrung und Kompetenzen einzuholen.
In diesem Zusammenhang werden die Identitäts-, Kontakt-, Titel-, Unternehmensdaten
und objektiven Bewertungsdaten über den Kandidaten, die Sie in dem auszufüllenden
Formular teilen, gemäß der DSGVO nur zum Zwecke der Bewertung des
Rekrutierungsprozesses des betreffenden Kandidaten verarbeitet, nicht an Dritte
weitergegeben und nach Ablauf der gesetzlichen Aufbewahrungsfristen in
Übereinstimmung mit der Aufbewahrungs- und Löschrichtlinie unseres Unternehmens
sicher vernichtet.
Ich bestätige die Richtigkeit der von mir geteilten Informationen und stimme der
Verarbeitung dieser Daten beschränkt auf den oben genannten legitimen Zweck zu.
[ ] Ich stimme zu und fahre fortDas Recht auf Widerruf der Einwilligung (Revocation) und dessen Verwaltung
Da die ausdrückliche Einwilligung ein vom Willen der betroffenen Person abhängiges Recht ist, kann sie jederzeit widerrufen werden. Gemäß den DSGVO-Vorschriften muss die Datenverarbeitung sofort gestoppt werden, sobald die betroffene Person mitteilt, dass sie ihre Einwilligung widerruft.
Die Verfahren zum Widerruf der Einwilligung, die Unternehmen bereitstellen müssen, sind:
- Einfacher Zugang: Dem Kandidaten muss das Recht eingeräumt werden, die Einwilligung mit einer ebenso einfachen Methode zu widerrufen, wie er sie erteilt hat (z. B. ein Webformular, das mit einem Klick geöffnet wird, oder eine spezielle E-Mail-Adresse).
- Stoppen des Prozesses: Wenn die Einwilligung widerrufen wird, müssen noch nicht kontaktierte Referenzen storniert und die gesammelten Zwischendaten sofort gelöscht werden.
- Prinzip des Rückwirkungsverbots: Der Widerruf der Einwilligung macht die bis dahin durchgeführten rechtmäßigen Datenverarbeitungsaktivitäten nicht ungültig; er beendet jedoch sofort die zukünftige Verarbeitung.
Schritt-für-Schritt-Prüfliste für ausdrückliche Einwilligungen für HR-Teams
Personalabteilungen, die rechtliche Risiken eliminieren möchten, sollten diese Checkliste vor jedem Referenzcheck überprüfen:
Fazit: Digitale Infrastruktur, die rechtliche Risiken eliminiert
Es ist unmöglich, DSGVO-Audits in Referenzprozessen erfolgreich zu bestehen, die über Papierformulare, WhatsApp-Nachrichten oder Telefongespräche abgewickelt werden. Wann die Einwilligung eingeholt wurde, ob dem Kandidaten der Text vollständig gezeigt wurde und ob die Referenzperson informiert wurde, kann nicht nachgewiesen werden.
AuditCV.io präsentiert dem Kandidaten während des Referenzsammelprozesses Schritt für Schritt die zeitgestempelte digitale Einwilligungserklärung, empfängt Referenzpersonen mit vollständig gesetzeskonformen Informationstexten und ermöglicht sowohl dem Kandidaten als auch der Referenz, die Einwilligung mit einem einzigen Klick zu widerrufen (revoke). Auf diese Weise reduzieren Unternehmen das Risiko von DSGVO-Bußgeldern auf null und bieten gleichzeitig ein prestigeträchtiges und professionelles Rekrutierungserlebnis.