HR & Recruiting
DSGVO in HR und Recruiting: Bewerberdaten, Aufbewahrung von Lebensläufen, Talentpools, KI in der Auswahl und Personalakten.
Recruiting und DSGVO: eine praktische Checkliste für Arbeitgeber
Sie wollen Ihren gesamten Recruiting-Prozess auf einmal prüfen? Beginnen Sie hier.
Die sechs ersten Schritte
Arbeiten Sie sie in dieser Reihenfolge ab, vom Erheben der richtigen Daten bis zur Prüfung Ihrer Dokumentation.
- 1 Schritt 1Welche personenbezogenen Daten dürfen Sie von Bewerbern erheben? Bestimmen Sie zuerst, welche Bewerberdaten Sie erheben und ob Sie sie wirklich brauchen.
- 2 Schritt 2Wann und wie müssen Sie Bewerber über die Nutzung ihrer Daten informieren? Sorgen Sie dafür, dass Bewerber die erforderlichen Informationen zum richtigen Zeitpunkt erhalten.
- 3 Schritt 3Datenschutzhinweis für Bewerber: Was muss darin stehen? Erstellen oder überarbeiten Sie den Datenschutzhinweis für Bewerber.
- 4 Schritt 4Wie lange dürfen Sie den Lebenslauf eines Bewerbers aufbewahren? Legen Sie passende Aufbewahrungsfristen für Ihre Recruiting-Daten fest.
- 5 Schritt 5Was geschieht mit Bewerberdaten, wenn der Bewerber eingestellt wird? Regeln Sie den Übergang vom Recruiting zur Beschäftigung und die Richtlinie für Mitarbeitende.
- 6 Schritt 6Welche DSGVO-Dokumente braucht ein Arbeitgeber? Schließen Sie mit einem Überblick über die nötige DSGVO-Dokumentation ab.
Wenn es relevant wird
Spezifische Themen, die Sie angehen, sobald sie in Ihrem Prozess auftauchen.
Wie lassen sich Gesundheitsrisiken am Arbeitsplatz ohne Fragen nach medizinischen Details im Bewerbungsgespräch beherrschen? arrow_forward
Arbeitssicherheit kann Gesundheitsinformationen erfordern, rechtfertigt aber keine uneingeschränkten medizinischen Fragen bei der Personalauswahl. Erfahren Sie, was Arbeitgeber wissen müssen und was zur Arbeitsmedizin gehört.
Darf ich die eID eines Mitarbeiters elektronisch auslesen? arrow_forward
Nicht als automatischer Standardschritt: Nutzen Sie ein Kartenlesegerät nur mit einer passenden Rechtsgrundlage und lesen Sie ausschließlich die Daten aus, die für den konkreten Zweck erforderlich sind.
Darf ich die nationale Identifikationsnummer eines Mitarbeiters nutzen und aufbewahren? arrow_forward
Sie dürfen die Nummer verarbeiten, wenn das für Sozialversicherung, Lohnabrechnung oder andere gesetzliche Pflichten erforderlich und gesetzlich erlaubt ist, aber nicht als allgemeine interne Kennung.
Welche Daten vom Personalausweis eines Mitarbeiters darf ich erfassen? arrow_forward
Erfassen Sie nur die Daten, die für einen konkreten und rechtmäßigen HR-Zweck oder eine gesetzliche Pflicht erforderlich sind; dass ein Datum auf dem Ausweis steht, reicht nicht aus.
Darf ich eine Kopie des Personalausweises eines Mitarbeiters aufbewahren? arrow_forward
Normalerweise nicht: Bewahren Sie eine Kopie nur auf, wenn eine spezifische gesetzliche Regel das verlangt und eine Sichtprüfung oder das Notieren der notwendigen Daten nicht ausreicht.
Darf ich einen Mitarbeiter bitten, seinen Personalausweis vorzuzeigen? arrow_forward
Ja, wenn das zur Identitätsprüfung erforderlich ist, aber das gibt Ihnen nicht automatisch das Recht, den Ausweis zu kopieren oder alle darauf enthaltenen Daten zu erfassen.
Wann müssen Bewerberdaten gelöscht werden? arrow_forward
Recruiting erzeugt Daten schneller, als die meisten Organisationen sie löschen. Wie Sie entscheiden, wann Bewerberdaten weg müssen, und wo die vergessenen Kopien liegen.
Dürfen Sie ChatGPT oder andere KI-Tools nutzen, um Lebensläufe zu prüfen? arrow_forward
Den Lebenslauf eines Bewerbers in ein KI-Tool einzufügen ist eine Verarbeitung personenbezogener Daten. Was Sie beim Anbieter prüfen, wie viel Sie hochladen, und wo das Risiko beginnt.
DSGVO und AI Act im Recruiting: Wie greifen sie ineinander? arrow_forward
Recruiting-KI kann sowohl unter die DSGVO als auch unter den europäischen AI Act fallen. Beide Rahmen überschneiden sich, tun aber nicht dasselbe, und einer allein genügt nicht.
Die häufigsten DSGVO-Fehler im Recruiting arrow_forward
Vierzehn Datenschutzfehler, die Arbeitgeber im Recruiting am häufigsten machen, vom Aufbewahren jedes Lebenslaufs bis zum Einfügen von Bewerberdaten in KI-Tools.
Dürfen Sie ehemalige Bewerber zu einer neuen Stelle kontaktieren? arrow_forward
Eine Stelle wird frei und Sie denken an einen starken Bewerber vom letzten Jahr. Ob Sie schreiben dürfen, hängt davon ab, warum Sie die Daten noch haben und was Sie gesagt hatten.
Wie erstellen Sie einen DSGVO-konformen Talentpool? arrow_forward
Ein Talentpool ist keine Erlaubnis, jeden je erhaltenen Lebenslauf aufzubewahren. So legen Sie Zweck, Rechtsgrundlage, Frist, Zugriffsregeln und Löschprozess fest.
Brauchen Sie eine Einwilligung, um den Lebenslauf eines Bewerbers aufzubewahren? arrow_forward
Für die Stelle selbst brauchen Sie keine Einwilligung. Für die Aufbewahrung danach gibt es zwei gangbare Wege, und so wählen Sie dazwischen.
Darf KI einen Bewerber automatisch ablehnen? arrow_forward
Artikel 22 DSGVO ist ein grundsätzliches Verbot und kein Recht, das der Bewerber erst geltend machen müsste. Was das bedeutet, bevor Sie automatische Ablehnung aktivieren.
KI im Recruiting: Was Arbeitgeber wissen müssen arrow_forward
KI kann Stellenanzeigen entwerfen, Lebensläufe zusammenfassen und Bewerber ranken, verschiebt aber Ihre DSGVO-Verantwortung nicht. Was vor dem Einsatz zu prüfen ist.
Dürfen Sie Lebensläufe abgelehnter Bewerber für künftige Stellen aufbewahren? arrow_forward
Lebensläufe abgelehnter Bewerber für spätere Stellen aufzubewahren ist nach der DSGVO ein eigener Zweck. Wie Sie transparent bleiben, eine Rechtsgrundlage wählen und eine Frist setzen.
Dürfen Sie das LinkedIn-Profil eines Bewerbers ansehen? arrow_forward
Ein öffentliches LinkedIn-Profil bleibt ein personenbezogenes Datum. Es im Recruiting anzusehen ist oft vertretbar, aber nur wenn die genutzte Information wirklich stellenrelevant ist.
Dürfen Sie soziale Medien von Bewerbern screenen? arrow_forward
Den Namen eines Bewerbers zu suchen dauert Sekunden und zeigt weit mehr als ein Lebenslauf. Genau deshalb erzeugt Social-Media-Screening DSGVO- und Diskriminierungsrisiken.