Recruiting erfordert naturgemäß Informationen über Bewerber. Das heißt aber nicht, dass ein Arbeitgeber alles erheben darf, was interessant oder nützlich sein könnte. Nach der DSGVO müssen Bewerberdaten relevant und für das Verfahren erforderlich sein.
Die Grundregel ist einfach: Erheben Sie nur, was Sie wirklich brauchen, um den Bewerber zu beurteilen und die Bewerbung zu bearbeiten.
Welche Informationen brauchen Arbeitgeber normalerweise?
Für die meisten Stellen braucht ein Arbeitgeber recht standardisierte Angaben:
- Name und Kontaktdaten
- Beruflicher Werdegang
- Ausbildung und Abschlüsse
- Fachliche Fähigkeiten und Erfahrung
- Sprachen
- Informationen aus Lebenslauf oder Anschreiben
- Gesprächsnotizen und Assessments
- Verfügbarkeit und gegebenenfalls Gehaltsvorstellung
Welche Angaben genau nötig sind, hängt von der Position ab.
Ein Führerschein kann für eine Auslieferungsfahrerin relevant sein. Für eine Bürotätigkeit ohne Fahranteil ist er es wahrscheinlich nicht.
Das ist der DSGVO-Grundsatz der Datenminimierung in der Praxis.
Dürfen Sie alles fragen, was bei der Auswahl helfen könnte?
Nein.
Recruiting wird leicht zu einem Sammeln „für alle Fälle“. Die DSGVO verlangt ein diszipliniertes Vorgehen.
Fragen Sie vor jeder Abfrage:
Brauchen wir diese Information wirklich, um die Eignung für diese Stelle zu beurteilen oder eine rechtliche Anforderung zu erfüllen?
Lautet die Antwort nein, erheben Sie sie nicht.
Vorsicht bei sensiblen Informationen
Bestimmte personenbezogene Daten genießen nach der DSGVO zusätzlichen Schutz. Dazu zählen Angaben über:
- Gesundheit
- Rassische oder ethnische Herkunft
- Politische Meinungen
- Religiöse oder weltanschauliche Überzeugungen
- Gewerkschaftszugehörigkeit
- Genetische Daten
- Bestimmte biometrische Daten
- Sexualleben oder sexuelle Orientierung
Ihre Verarbeitung erfordert in der Regel eine zusätzliche Rechtfertigung zusätzlich zu einer der sechs Rechtsgrundlagen.
Im gewöhnlichen Recruiting sollten Arbeitgeber sensible Angaben daher nicht abfragen, sofern sie nicht wirklich erforderlich und rechtlich zulässig sind.
Für Angaben zu strafrechtlichen Verurteilungen und Straftaten gelten zudem besondere Beschränkungen.
Was gilt für Fotos?
Ein Foto ist ein personenbezogenes Datum, sobald eine Person daraus identifiziert werden kann.
Prüfen Sie, bevor Sie ein Foto verpflichtend machen, ob es wirklich erforderlich ist, den Bewerber zu sehen, um seine Eignung zu beurteilen.
In vielen Verfahren ist es das nicht.
Unnötige Fotos zu verlangen erhöht zudem das Risiko, dass unerhebliche Merkmale die Entscheidung beeinflussen.
Was, wenn Bewerber selbst zu viel angeben?
Bewerber nennen manchmal Informationen, die Sie nie erfragt haben: Familienstand, Kinder, Hobbys, Fotos, medizinische Angaben oder andere private Details.
Sie müssen diese Informationen nicht nutzen, nur weil der Bewerber sie geliefert hat.
Halten Sie die Entscheidung auf das für die Stelle Relevante fokussiert.
Dürfen Sie Informationen aus anderen Quellen erheben?
Bewerberdaten kommen nicht immer direkt vom Bewerber.
Sie können Informationen erhalten von:
- Personalvermittlern
- Beruflichen Netzwerkplattformen
- Referenzen
- Öffentlichen Berufsregistern
- Assessment-Anbietern
- Anbietern von Hintergrundprüfungen
Die DSGVO gilt weiterhin.
Sie brauchen einen rechtmäßigen Grund für Erhebung und Nutzung und müssen dem Bewerber, wo erforderlich, mitteilen, dass Sie Daten aus einer anderen Quelle erhalten haben. Ihr Datenschutzhinweis für Bewerber ist der natürliche Ort dafür.
Bauen Sie Ihr Verfahren um Erforderlichkeit
Eine nützliche Übung ist, jedes Feld Ihres Bewerbungsformulars zu prüfen.
Fragen Sie zu jeder Frage:
- Warum fragen wir das?
- Nutzen wir die Antwort tatsächlich?
- Ist sie in dieser Phase erforderlich?
- Könnten wir sie später abfragen, wenn der Bewerber ausgewählt ist?
Angaben, die zur Vorbereitung eines Arbeitsvertrags nötig sind, gehören etwa in die Angebotsphase und nicht auf das Formular, das jeder Bewerber ausfüllt.
Dokumentieren Sie, was Sie erheben und warum
Entscheiden Sie nicht von Fall zu Fall über Bewerberdaten, ohne es zu dokumentieren. Ihre Organisation sollte einen klaren Überblick haben über die im Recruiting genutzten personenbezogenen Daten, den Zweck je Datenart, die Rechtsgrundlage, die Zugriffsberechtigten und die Aufbewahrungsdauer.
Wir empfehlen, das als Teil Ihres Verarbeitungsverzeichnisses zu dokumentieren. Das umfasst Ihre Recruiting-Tätigkeiten und die einzelnen genutzten Datenarten. Sobald ein Bewerber Beschäftigter wird, schließt das an Personalakte und Datenschutzrichtlinie für Mitarbeitende an, die die weitere Verarbeitung während der Beschäftigung abdecken.
Halten Sie Recruiting-Daten unter Kontrolle
Weniger Daten zu erheben erleichtert die Konformität. Es verringert zugleich die Menge personenbezogener Daten, die verloren gehen, missbraucht oder von der falschen Person eingesehen werden können.
GDPRWise hilft Organisationen, Recruiting- und andere Personalverarbeitungen zu dokumentieren, einschließlich der genutzten Datenkategorien und der Gründe für ihre Verarbeitung.
GDPRWise erfasst Ihre Recruiting-Verarbeitungen und zeigt, welche personenbezogenen Daten, Rechtsgrundlage und Aufbewahrungsfrist zu jedem Schritt gehören.