Daten, die erst für die konkrete Einstellung oder das laufende Arbeitsverhältnis benötigt werden, dürfen nicht erhoben oder gespeichert werden.
Heutzutage stehen Arbeitgebern viele Möglichkeiten zur Gestaltung von Bewerbungsprozessen zur Verfügung. Da auch Bewerberdaten künftig von der neuen Datenschutz-Grundverordnung (DSGVO) erfasst werden, muss ihre Verarbeitung ab dem 25. Mai 2018 unter Bedachtnahme auf die neuen datenschutzrechtlichen Vorgaben erfolgen.
Zunächst dürfen nur solche Informationen eingeholt werden, die für die Beurteilung der Bewerbung notwendig sind. Daten, die erst für die konkrete Einstellung oder das laufende Arbeitsverhältnis benötigt werden (etwa Sozialversicherungsnummer), dürfen nicht erhoben oder gespeichert werden. Elektronische Bewerbungsplattformen (Eingabemasken) sind in diesem Zusammenhang nicht nur aus administrativer Sicht, sondern auch aus Gründen der leichteren und besseren Einhaltung der gesetzlichen Vorgaben zu empfehlen.
Bei Nutzung von Bewerberplattformen müssen die Bewerber bereits vorab über die Details der Datenverarbeitung informiert werden, insbesondere darüber, welche Daten verarbeitet werden, wie die Verarbeitung erfolgt und wer Zugriff auf die Daten hat. Nach Offenlegung dieser Informationen ist eine Einwilligung des Bewerbers einzuholen, wobei zunächst sichergestellt werden muss, dass die Einwilligung klar und bewusst erteilt werden kann. Der Bewerber muss aktiv tätig werden, ein Hinweis auf die Datenschutzerklärung reicht nicht aus. In der Praxis wird sich vor allem das Anklicken einer Bestätigung oder die aktive Bewegung von Bildschirmelementen (etwa einer Leiste) anbieten. Zudem muss die Einwilligung nachweisbar und jederzeit widerruflich sein. Planen Konzerngesellschaften Bewerberdaten innerhalb des Konzerns weiterzugeben, ist dafür eine explizite Einwilligung notwendig, die die beteiligten Unternehmen namentlich erfasst. Eine Einwilligung darf aber nicht Voraussetzung für die weitere Teilnahme am Bewerbungsprozess sein (Koppelungsverbot).
Der Personenkreis, der auf die Bewerberdaten zugreifen darf, muss bei Bewerberplattformen und gängigen -verfahren beschränkt werden. Nur jene, die mit der Bewerbung befasst sind, dürfen Einsicht nehmen. Dabei wird es sich meist um die direkten Vorgesetzten und die Personalabteilung handeln. Die Entscheidungsfindung sollte zudem nicht ausschließlich auf automatisierter Datenverarbeitung basieren (profiling). Zumindest in einem letzten Schritt muss eine natürliche Person eingebunden sein. Von besonderem Interesse ist die zulässige Speicherdauer von Bewerberdaten. Aus rechtlicher Sicht ist es notwendig und ratsam, die Daten eines Bewerbers so lange aufzubewahren, als er Ansprüche gegen den Arbeitgeber im Zusammenhang mit dem Bewerbungsverfahren und der finalen Besetzungsentscheidung geltend machen kann. Im Hinblick auf das besondere Gleichbehandlungsrecht sowie das allgemeine Schadenersatzrecht ist dabei von einer maximalen Speicherdauer von sechs Monaten bis zu drei Jahren nach Beendigung des Bewerbungsprozesses (das Ende ist zu dem Stichtag anzunehmen, zu dem allgemein die konkrete Anstellungsentscheidung bekannt wurde) zuzüglich einer kurzen Frist von etwa vier Wochen auszugehen. So kann man ausschließen, dass sich etwaige Klagen noch auf dem Weg befinden.
Insgesamt bleibt Arbeitgebern anzuraten, ehestmöglich ihre Bewerbungsprozesse an das neue Regelwerk anzupassen und sich unter Umständen mit der Bewerberplattformen-Nutzung auseinanderzusetzen, weil der Ablauf damit rechtssicherer und leichter administrierbar wird.