Bewerbung und Datenschutz – So gehst Du als Unternehmer richtig mit Bewerberdaten um

Ein Bewerbungsprozess bringt es naturgemäß mit sich, dass der Bewerber sich dem Unternehmen persönlich vorstellt. Beide Seiten möchten sich gegenseitig kennenlernen, um zu entscheiden, ob eine Zusammenarbeit in Betracht kommt. Aus datenschutzrechtlicher Sicht ist damit aber auch klar, dass der Bewerber dem Unternehmen personenbezogene Daten übermittelt. Auf die sich damit stellenden datenschutzrechtlichen Fragen möchte dieser Beitrag eingehen.  

Eine dieser Fragen ist die, wie lange Bewerberdaten gespeichert werden dürfen. Damit wollen wir uns jetzt beschäftigen:  

I. Wie lange darf ich Bewerberdaten speichern?

1. Welche Löschfristen muss ich beachten?

Zur Zweckbindung der Datenverarbeitung tritt das sog. Recht auf Vergessenwerden hinzu. Danach musst Du personenbezogene Daten löschen, wenn sie „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig“ sind (Art. 17 Abs. 1 lit. a DSGVO, mehr dazu auch hier).  

Zu löschen sind die Daten demnach dann, wenn Du kein berechtigtes Interesse mehr hast, zur Abwicklung der Bewerbung die Daten bei Dir gespeichert zu behalten. Ein solches berechtigtes Interesse hast Du noch so lange, wie Du mit Rechtsstreitigkeiten im Zusammenhang mit der Bewerbung zu rechnen hast. Zum Beispiel könnte ein abgelehnter Bewerber Schadensersatz gegen Dich geltend machen mit der Begründung, dass Du gegen das Benachteiligungsverbot nach dem allgemeinen Gleichbehandlungsgesetzt (AGG) verstoßen hast (§ 15 Abs. 1, 2 AGG). In diesem Fall würde der Bewerber also argumentieren, dass Du ihn im Bewerbungsprozess diskriminiert hast.  

Für solche Klagen gibt es Fristen: Die Ansprüche müssen innerhalb von zwei Monaten geltend gemacht (§ 15 Abs. 4 AGG) und innerhalb von drei weiteren Monaten danach eingeklagt werden (§ 61b ArbGG).

Zu diesen insgesamt fünf Monaten kommt ein Sicherheitszuschlag von einem Monat wegen anderer zivilrechtlicher Unterlassungs- und Schadensersatzansprüche hinzu. Daher darfst Du die Bewerbungsunterlagen abgelehnter Bewerber oder auch eine Dokumentation Deiner Auswahlentscheidung auf jeden Fall bis zum Ablauf von sechs Monaten nach Abschluss des Bewerbungsverfahrens speichern.  

Danach solltest Du die Daten grundsätzlich löschen, es sei denn, Du kannst begründen, weshalb Du sie ausnahmsweise länger speichern darfst.   

2. Wann müssen Bewerbungen gelöscht werden?

Bewerbungsunterlagen müssen damit nach Verstreichen der Klagefrist gem. § 61b Abs. 1 ArbGG einschließlich Sicherheitszuschlags von einem Monat, also spätestens sechs Monate nach Zugang der Absage gelöscht und/oder vernichtet werden.  

3. Und wie ist es, wenn ich den Bewerber eingestellt habe?

Wenn Du den Bewerber eingestellt hast, musst Du die Daten löschen, deren Speicherung nicht für die Berufsausübung erforderlich ist. Nach dem Grundsatz der Zweckbindung (dazu sogleich) und auch nach dem weiteren Grundsatz der Datensparsamkeit musst Du nicht mehr benötigte Daten löschen.  

II. Zweckbindung der Datenverarbeitung

  Die DSGVO kennt den Grundsatz der Zweckbindung, wonach personenbezogene Daten nur „für festgelegte, eindeutige und legitime Zwecke“ verarbeitet werden dürfen (Art. 5 Abs. 1 lit. b DSGVO).  

1. Zu welchem Zweck darf ich Bewerbungsdaten verwenden?

  Einen solche legitimen Verarbeitungszweck im Zusammenhang mit dem Bewerbungsprozess definiert Art. 88 Abs. 1 DSGVO iVm § 26 BDSG. Danach dürfen personenbezogene Daten des Beschäftigten „für Zwecke des Beschäftigungsverhältnisses“ verarbeitet werden, wenn dies für „die Entscheidung über die Begründung eines Beschäftigungsverhältnisses (…) erforderlich ist“.  

Außerdem erteilt der Bewerber mit der Zusendung der Bewerbung, gem. Art. 6 Abs. 1 lit. a DSGVO seine Einwilligung darin, dass Du die Daten zum vorgegebenen Zweck verarbeiten kannst.  

2. Ist eine Weiterverarbeitung der Daten möglich?

  Eine Datenverarbeitung, die darüber hinaus geht und weder von einer Einwilligung gedeckt ist, noch dem Zweck der Entscheidung über die Begründung eines Beschäftigungsverhältnisses erfüllt, ist damit zwar theoretisch noch nicht ausgeschlossen. Allerdings muss dann der neue Verarbeitungszweck mit dem alten (hier: der Abwicklung des Bewerbungsverfahrens) kompatibel sein.

Hier ist aber vieles noch ungeklärt; schon deshalb empfehlen wir Dir, Dich nicht auf diese Vorschrift zu verlassen und stattdessen eine Einwilligung einzuholen, wenn Du die für ein Bewerbungsverfahren erhobenen Daten zu einem neuen Zweck „weiterverwenden“ willst. Der ursprüngliche Zweck dürfte sich auch auf dieses eine, konkrete Bewerbungsverfahren beziehen und nicht auch auf jedes beliebige, zukünftige Bewerbungsverfahren. Sonst könnte nämlich der Bewerber am Ende über die Verwendung seiner Daten nicht mehr vernünftig bestimmen (s. Art. 6 Abs. 4 lit. d DSGVO).  Auch deshalb ist mit dieser Vorschrift hier wohl nicht allzu viel anzufangen.  

Im Zweifel solltest Du die Bewerberdaten daher eben nicht zu anderen Zwecken verwenden als zur betreffenden Bewerbung.  

3. Wer darf meine Bewerbung einsehen?

Innerhalb eines Unternehmens dürfen nur solche Personen Deine Bewerbung einsehen, die am Bewerbungsprozess beteiligt sind. Unbeteiligte Personen dürfen die Bewerbung nicht einsehen; an sie dürfen die Daten nicht weitergegeben werden. Dies entspricht dem Grundsatz der Datenminimierung in der DSGVO.  

4. Darf ich Bewerbungen für andere offene Stellen verwenden oder Tochtergesellschaften weiterleiten?

Ob Du außerdem die Unterlagen eines Bewerbers für eine andere als die ausgeschriebene Stelle verwenden darfst, dürfte von der Formulierung der Bewerbung abhängen. Diese bestimmt nämlich die Reichweite der Einwilligung, die der Bewerber mit seiner Bewerbung erteilt. Erst die Einwilligung kann den Zweck der erlaubten Datenverarbeitung auf weitere Bewerbungsverfahren ausweiten. Du solltest daher die Unterlagen nur dann für eine andere Stellenausschreibung verwenden, wenn der Bewerber ausdrücklich darum gebeten hat.  

Wegen des Grundsatzes der Zweckbindung darfst Du die Daten auch grundsätzlich nicht an dritte Unternehmen, wie bspw. Tochtergesellschaften weiterleiten. Wie gesagt, etwas anderes gilt auch hier nur, wenn der Bewerber es ausdrücklich erklärt hat.  

5. Sind Bewerbungsunterlagen vertraulich?

Weitergehende, besondere „Vertraulichkeitspflichten“ sind gesetzlich nicht normiert. Aber weil Du die Daten aus Bewerbungsunterlagen eben nur ihrem Zweck entsprechend verarbeitend darfst, lässt sich durchaus sagen, dass sie vertraulich zu behandeln sind.  

III. Ergebnis

Unternehmer sollten beim Bewerbungsprozess sicherstellen, dass die Löschfrist von in der Regel sechs Monaten eingehalten wird. Außerdem sollten sie die Bewerberdaten vertraulich behandeln und nur für den Zweck der Bewerbung verwenden. Mehr über die DSGVO erfährst du hier.

Kolja Strübing, Rechtsanwalt. Kolja hat in Freiburg und Leipzig seine juristische Ausbildung absolviert. In Freiburg war er lange als studentische Hilfskraft an einem Lehrstuhl tätig. Nun unterstützt er Paragraf 7 als Rechtsanwalt. Sein Vordiplom in Mathematik hilft ihm dabei, auch die technischen Hintergründe zu verstehen. Er ist nun in der Welt zu Hause und lernt gerade surfen.