Die meisten Arbeitgeber schreiben irgendwann einen Datenschutzhinweis für Bewerber. Deutlich weniger bringen ihn zum richtigen Zeitpunkt zum Bewerber, und genau dort ist die DSGVO präzise.
Dieser Beitrag behandelt wann Sie Bewerber informieren müssen und wie Sie die Information zustellen. Zum Inhalt des Dokuments selbst siehe was ein Datenschutzhinweis für Bewerber enthalten muss.
Daten, die Sie beim Bewerber erheben
Übermittelt der Bewerber seine Daten direkt, indem er Ihr Formular ausfüllt, seinen Lebenslauf mailt oder sich über Ihre Karriereseite bewirbt, gilt Artikel 13.
Die Regel ist einfach: Die Information muss zum Zeitpunkt der Erhebung bereitgestellt werden. Nicht in der Absage, nicht auf Nachfrage.
Praktisch heißt das, dass der Datenschutzhinweis für Bewerber vom Bewerbungsformular selbst verlinkt und sichtbar ist, bevor der Bewerber auf Absenden klickt.
Daten, die Sie anderswoher erhalten
Übermittelt Ihnen ein Personalvermittler, eine Jobbörse, eine berufliche Plattform oder ein Empfehlungsgeber Bewerberdaten, gilt stattdessen Artikel 14. Er setzt drei Fristen, und die früheste eintretende ist Ihre:
| Auslöser | Frist |
|---|---|
| Erhalt der Daten | Innerhalb angemessener Frist, spätestens ein Monat |
| Erste Kommunikation mit dem Bewerber | Spätestens bei dieser ersten Kommunikation |
| Erste Offenlegung an einen weiteren Empfänger | Spätestens bei dieser ersten Offenlegung |
Die Monatsfrist ist die Außengrenze. Sie ist keine Schonfrist, und im Recruiting ist sie fast nie die tatsächlich geltende Frist, weil Sie den Bewerber kontaktieren oder seine Unterlagen weiterleiten, lange bevor ein Monat vergangen ist.
Wie das in der Praxis aussieht
Ein Vermittler schickt Ihnen am Montag drei Lebensläufe. Am Mittwoch schreiben Sie einem dieser Bewerber und laden ihn zum Gespräch ein.
Diese Mail vom Mittwoch ist Ihre erste Kommunikation. Die Information muss den Bewerber mit dieser Mail oder davor erreichen, nicht innerhalb eines Monats nach Montag. Konkret: Setzen Sie den Link in die Einladung oder schicken Sie den Hinweis vorab separat.
Nehmen wir nun an, Sie leiten am Dienstag, noch bevor Sie jemanden kontaktieren, alle drei Lebensläufe an eine Führungskraft in einer Schwestergesellschaft weiter, die als eigener Verantwortlicher handelt. Das ist eine Offenlegung an einen weiteren Empfänger, und sie zieht Ihre Frist für alle drei Bewerber auf Dienstag vor, auch für die beiden, die Sie nie kontaktieren.
Die praktikable Regel für ein Recruiting-Team: Informieren Sie den Bewerber, sobald seine Unterlagen in Ihr System gelangen, dann müssen Sie nie ermitteln, welcher Auslöser zuerst kam.
Die Ausnahmen sind enger, als sie wirken
Artikel 14 Absatz 5 lässt die Pflicht entfallen, wenn der Bewerber die Information bereits hat, wenn ihre Erteilung sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, oder wenn die Erlangung oder Offenlegung gesetzlich geregelt ist.
Stützen Sie sich nicht auf den unverhältnismäßigen Aufwand. Sie haben die Kontaktdaten des Bewerbers, Sie beabsichtigen, sie zu nutzen, und einen Link zu senden kostet nichts. Hat der Vermittler dem Bewerber Ihre Identität und Zwecke tatsächlich bereits mitgeteilt, dokumentieren Sie das, statt es anzunehmen.
Was, wenn ein Vermittler den Lebenslauf schickt?
Der Datenschutzhinweis des Vermittlers erfüllt Ihre Pflicht nicht.
Der Vermittler erklärt, was er mit Bewerberdaten tut. Sie sind dafür verantwortlich zu erklären, was Ihre Organisation damit tut, sobald Sie als Verantwortlicher handeln.
Klären Sie zwei Punkte in Ihrer Vereinbarung mit dem Vermittler:
- Wer für welche Verarbeitung verantwortlich ist und ob ein Teil davon Sie zu gemeinsam Verantwortlichen macht
- Ob der Vermittler Bewerbern Ihren Hinweis in Ihrem Namen aushändigt und wie Sie das belegen
Verarbeitet der Vermittler Daten nach Ihren Weisungen statt zu eigenen Zwecken, muss Ihr Auftragsverarbeitungsvertrag das abbilden.
Wie Sie die Information zustellen
Die Pflicht besteht darin, die Information zu erteilen, nicht sie irgendwo abzulegen, wo sie theoretisch auffindbar wäre.
Was funktioniert:
- Ein Link auf Bewerbungsformular und Stellenseite, sichtbar vor dem Absenden
- Ein Link in der automatischen Eingangsbestätigung Ihres Bewerbermanagementsystems
- Ein Link in der Gesprächseinladung, der zugleich den Auslöser aus Artikel 14 abdeckt
- Ein gestufter Hinweis: eine kurze Zusammenfassung mit dem Wesentlichen, die zum vollständigen Dokument führt
Was nicht funktioniert: eine allgemeine, für Kunden geschriebene Datenschutzerklärung, ein nur über die Fußzeile und drei weitere Klicks erreichbarer Hinweis, oder ein PDF nach Abschluss des Verfahrens.
Welchen Weg Bewerber auch nehmen, sie sollen dieselbe Information erhalten. Prüfen Sie Bewerbungsseite, Mailvorlagen, Recruiting-Plattform und Vermittlervereinbarungen gemeinsam.
Machen Sie ihn lesbar
Ein Datenschutzhinweis für Bewerber wird nicht besser, wenn er wie ein Gesetzestext klingt.
Bewerber sollen ohne zweites Lesen erkennen können, was Sie nutzen, warum, wer es erhält, wie lange Sie es aufbewahren und welche Rechte sie haben. Klare Sprache und ein logischer Aufbau helfen Ihrer Konformität mehr als Länge.
Werden Sie konkret bei KI
Sobald in Ihrer Auswahl automatisierte Systeme mitwirken, ist Transparenz keine Formalie mehr.
Artikel 13 Absatz 2 Buchstabe f und Artikel 14 Absatz 2 Buchstabe g verlangen aussagekräftige Informationen über die involvierte Logik sowie über Tragweite und angestrebte Auswirkungen, wenn eine automatisierte Entscheidungsfindung im Sinne des Artikels 22 vorliegt. Auch wo das System das nicht erreicht, sagen Sie Bewerbern, was es tut. Ein Screening-Tool, das ein Bewerber erst nach der Absage entdeckt, ist eine Beschwerde in Vorbereitung.
Bewerber, die Beschäftigte werden
Die Information im Recruiting erklärt das Bewerbungsverfahren. Mit der Einstellung verarbeiten Sie erheblich mehr Daten zu anderen Zwecken.
Halten Sie beides getrennt. Eine Datenschutzrichtlinie für Mitarbeitende deckt das Beschäftigungsverhältnis ab, der Bewerberhinweis bleibt beim Recruiting. Neue Beschäftigte sollen diese Richtlinie zu Beginn des Arbeitsverhältnisses erhalten und nicht mit dem Bewerbungshinweis zurückbleiben.
Prüfen Sie Ihre Mitarbeiter-Datenschutzrichtlinie in zwei Minuten
Laden Sie Ihre aktuelle Richtlinie hoch und sehen Sie, welche DSGVO-Elemente fehlen, bevor Ihre nächste Einstellung beginnt.
Kostenlosen Checker starten arrow_forwardGDPRWise hilft Organisationen, Datenschutzdokumentation auf Basis der dokumentierten Verarbeitungstätigkeiten zu erstellen und aktuell zu halten, Personal und Recruiting eingeschlossen.
GDPRWise verwandelt Ihre dokumentierten Recruiting-Verarbeitungen in die Datenschutzinformationen, die Sie veröffentlichen müssen, damit Bewerber und Beschäftigte jeweils das richtige Dokument erhalten.