Datenschutz für Personaldienstleister

Persönliche Daten von Bewerbern fallen regelmäßig bei jedem Kontakt an. Viele Bewerber sind zudem besonders  sensibel, denn das Bekanntwerden einer Bewerbung aus einem bestehenden Beschäftigungsverhältnis kann gravierende Nachteile mit sich bringen - vor allem, wenn der bestehende Arbeitgeber davon erfährt. Daher ist äußerste Diskretion notwendig.

Der Personalvermittler kennt das bestehende Arbeitsverhältnis, das aktuelle Gehalt und Vorlieben, ggf. die familiären Verhältnisse, Gründe für Schwierigkeiten in der alten Firma und erfährt von Stärken und Schwächen des Bewerbers (ggf. auch Gutachten, Vorstrafen oder sonstiges Fehlverhalten oder eine bereits erfolgte, aber nicht im Unternehmen kommunizierte Kündigung).

Der Personalvermittler muss dafür sorgen, dass die personenbezogenen Daten nach dem Datenschutzgesetz absolut vertraulich und fachgerecht verarbeitet werden. Die Enttäuschung der Bewerber bei Fehlern ist gut nachvollziehbar und führt meist zu anlassbezogenen Prüfungen durch die Aufsichtsbehörden.

Kaum ein Unternehmen bekommt einen so umfassenden Einblick in die Persönlichkeit des Bewerbers. Dies ist auch notwendig, denn schließlich erfolgt die Bezahlung des Personalvermittlers erst bei einem abgeschlossenen Vertrag. Dafür ist es notwendig, die genauen Umstände des Bewerbers zu kennen.

Dies verpflichtet ihn in besonderer Weise, das informationelle Selbstbestimmungsrecht seiner Bewerber zu wahren.

In aller Regel ist eine Bestellung eines Datenschutzbeauftragten (DSB) durchzuführen, wenn mindestens 2o  Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten betraut werden. 

Es gibt noch ein paar Ausnahmen, wann eine Bestellung regelmäßig erfolgen muss, wie z. B. bei

• - der Verarbeitung besonders schützenswerter Daten, die auch eine Datenschutz-Folgenabschätzung notwendig machen.
• - der geschäftsmäßigen Übermittlung personenbezogener Daten oder
• - der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung

Eine Pflicht zur Bestellung eines Datenschutzbeauftragten könnte sich also daraus ergeben, dass eine Kerntätigkeit des Personalvermittlers eine risikoreiche Datenverarbeitung darstellt, die aufgrund Art, Umfang und/oder Zwecke eine umfangreiche, regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht. Beim Betreiben einer Personalvermittlung ist dies denkbar. Es werden als Hauptaufgabe des Personalvermittlers zahlreiche Daten von vielen Kandidaten und Bewerbern gesammelt und systematisch aufbereitet und Dritten (potenziellen Arbeitgebern) zur Verfügung gestellt.

Die Aufgaben des Datenschutzbeauftragten sind im Gesetz festgelegt. Er muss das Unternehmen und die Beschäftigten unterrichten und beraten, aber auch die Einhaltung der relevanten Datenschutzgesetze überwachen. Er berät auch bei Datenschutz-Folgenabschätzungen und kommuniziert mit den betroffenen Personen und den Aufsichtsbehörden.

Die Arbeit des Datenschutzbeauftragten ist so abwechslungsreich, wie komplex. In diesem sich noch stetig veränderten Rechtsgebiet empfiehlt es sich, einen erfahrenen Datenschutzbeauftragten zu bestellen.

Ein interner Datenschutzbeauftragter hat den großen Vorteil, dass er die Prozesse im Unternehmen und die Beteiligten kennt. Er bekommt im Rahmen seiner täglichen Arbeit deutlich mehr Informationen am Rande mit. Jedoch entstehen jedoch hohe Kosten für die Ausbildung und stetige Weiterbildung.

Ein externer DSB kann den Kostenfaktor deutlich reduzieren. Er kümmert sich auch selbstständig um seine Weiterbildung und lernt, wenn er für mehrere Unternehmen tätig ist, deutlich mehr Umsetzungspraktiken kennen.

Mit meiner langjährigen Erfahrung bringe ich auch Ihr Unternehmen praxisnah und wirtschaftlich in diesen Themen voran. Mein typischer Aufgabenbereich umfasst unter anderem folgende Bereiche:

• - Durchführung einer Bestandsaufnahme – Erstellung eines priorisierten Aktionsplanes für weitere Aktivitäten
• - Prüfung und ggf. Aktualisierung Ihrer bisher erarbeiteten Unterlagen
• - Beratung in sämtlichen datenschutzrelevanten Themengebieten
• - Unterstützung bei der Erstellung Ihrer Dokumentation, wie z. B. Verzeichnis der Verarbeitungstätigkeiten, Informationspflichten oder die Anfragen Betroffener
• - Erfüllung der Rolle des Datenschutzbeauftragten für ihr Unternehmen gem. Art. 39 DSGVO
• - Prüfung und Dokumentation Ihrer Auftragsverarbeiter gem. Art. 28 DSGVO
• - Prüfung Ihrer Online-Auftritte auf Gesetzeskonformität und Erstellung der Informationspflichten und Datenschutzhinweise
• - Erstellung von Richtlinien und Anweisungen zur Informationssicherheit und zum Datenschutz

Als Personaldienstleister oder Personalvermittler DSGVO dürfen Sie nur jene Daten Ihrer Bewerber verarbeiten, die Sie für die Erfüllung des Beherbergungsvertrags benötigen. Dabei sind sowohl die Datenschutzgrundsätze Datenminimierung und Zweckbindung zu beachten als auch die Speicherbegrenzung. Es darf eine Speicherung nur so lange erfolgen, als dies zeitlich erforderlich ist
und der Zweck für die Verarbeitung nicht entfallen ist.

In den folgenden Bereichen werden immer wieder Fehler im Bewerbungsprozess gemacht, die zu Abmahnungen oder Beschwerden führen:

• - Bewerbungsprozess
• - Aufbereitungsprozess der Unterlagen für potenzielle Arbeitgeber
• - Aufenthalt und Verwendung von Daten für weitere Zwecke, wie z. B. dauerhafte Speicherung von Daten für eine Profilbildung
• - Löschprozess von abgelehnten oder vermittelten Bewerbern
• - Prozesse zur Geltendmachung von Betroffenenrechten (z. B. Auskunft, Berichtigung oder Löschung)

Wenn Sie Dienstleister beauftragen und diese personenbezogenen Daten im Kern verarbeiten, dann müssen Sie diverse Punkte beachten. Neben dem Abschluss einer Auftragsverarbeitungsvereinbarung  müssen Sie den Auftragsverarbeiter auf Eignung vorab und dann regelmäßig prüfen. Dies müssen Sie gegenüber den Aufsichtsbehörden auch nachweisen können. Dieses Thema ist recht umfangreich, wird aber gerne vernachlässigt. Typische Auftragsverarbeiter bei einem Personalberater sind:

• - Betreiber oder Lieferant von Personalsoftware (Fernwartung oder / und Hosting)
• - Externe Personalverwaltung oder Lohnbuchhaltung
• - IT-Support
• - Betrieb oder Support Telekommunikationsanlage
• - Betrieb von Online-Bewerbungssystemen
• - Hosting oder Betreuung der Online-Auftritte
• - E-Mail-Newsletter-Service
• - Sonstige Cloud-Dienste (z. B. Office 365 von Microsoft)
• - Callcenter
• - Datensicherung / Archivierung
• - Papier- oder Datenträgerentsorgung
• - Consulting
• - E-Mail- oder Spamdienst
• - Online-Dienste, z. B. Analysetools auf der Webseite oder in der App

Bewerberdaten sind grundsätzlich zu löschen, wenn der Zweck ("die Bewerbung") erfüllt worden ist. Es gibt aber noch Möglichkeiten oder Pflichten, die Daten der Kandidaten weiterhin zu speichern. Einige davon werden hier aufgeführt:

1. Die personenbezogenen Daten der Bewerber dürfen so lange gespeichert werden, wie sie für die Besetzung einer offenen Stelle mit einem passenden Bewerber durch ein entsprechendes Bewerbungsverfahren andauert. Nach einer Absage, weil z. B. die ausgeschriebene Stelle nicht mit einem anderen Kandidaten besetzt wurde, ist zwar der Zweck erfüllt, jedoch das Bewerbungsverfahren noch nicht abgeschlossen. Das ist erst dann der Fall, wenn gegen den Personalvermittler keine gesetzlichen Ansprüche gem. §15 Abs. 4 AGG (Allgemeines Gleichbehandlungsgesetz) mehr geltend gemacht werden können.

   Dabei hat ein abgelehnter Bewerber zwei Monate nach Zugang der Absage Zeit, mögliche Entschädigungsansprüche anzuzeigen. Um die Vorwürfe nach AGG widerlegen zu können, ist es grundsätzlich zulässig, die Bewerbungsunterlagen und auch die Dokumentation des Bewerbungsverfahrens mindestens 2 Monate nach Zugang der Ablehnung an den Bewerber zu speichern.

   Personalvermittler stärken ihre Rechtssicherheit, wenn sie auch das Anforderungsprofil der Stelle und die Kriterien der Einstellungsentscheidung dokumentieren und speichern. Um Verzögerungen in der Post- und Klagezustellung zu berücksichtigen, hat sich bei den Aufsichtsbehörden eine Speicherdauer von vier bis sechs Monaten etabliert.

2. Unterlagen von Kandidaten, die beim Auftraggeber vorgestellt, aber nicht eingestellt wurden, können ebenfalls für drei Jahre (Verjährung) gespeichert werden. Denn für den Personalvermittler sind ggf. Ansprüche gegen den Auftraggeber denkbar. Das sind Fälle, in denen zwar vorgestellte Kandidaten nicht sofort eingestellt werden, sondern erst längere Zeit nach Abschluss des Mandats, sogar ohne Wissen des Personalberaters.
3. Unterlagen mit steuerlicher Relevanz, z. B. Abschlussrechnungen, Gewährleistungsunterlagen, dürfen 10 bzw. 6 Jahre gespeichert werden (§§ 147 Abs. 3 AO, 257 Abs. 4 HGB).
4. In Kandidaten- oder auch Talentpools können Bewerberdaten oftmals länger gespeichert werden, um mögliche spätere Bewerbungen aus dem internen Pool zu berücksichtigen. Für diese Speicherung ist aber die aktive und ausdrückliche Einwilligung des Betroffenen nötig, die auch nach Zugang der Absage aktiv erfragt werden kann. Die umfangreichen Vorgaben der Einwilligung sind zu berücksichtigen.
5. Wird der Bewerber an einen Arbeitgeber vermittelt, werden alle mit der Bewerbung in Zusammenhang stehenden Daten Gegenstand der Personalakte des zukünftigen Arbeitgebers. Wurden Unterlagen durch den Bewerber aber gefälscht, kann es zu Rechtsansprüchen des Arbeitgebers kommen. Daher ist eine zivilrechtliche Verjährungsfrist zu beachten. Die Speicherung der Unterlagen der Kandidaten, die beim Auftraggeber vor- und eingestellt wurden, können regelmäßig für drei Jahre gespeichert werden, um Rechtsansprüche geltend machen, abwehren oder durchführen zu können.
6. Besteht keine Rechtsgrundlage mehr zur weiteren Speicherung, müssen grundsätzlich alle Daten von allen IT-Systemen oder Akten gelöscht werden. Davon ausgenommen sind mindestens Vor- und Zuname, um eine erneute Ansprache zu vermeiden. Das wiederholte Ansprechen von Kandidaten, die nicht ihren Job wechseln wollen, kann eine wettbewerbswidrige Handlung darstellen.