Der Bewerber unterschreibt den Vertrag. Das Recruiting ist beendet. Es liegt nahe, die gesamte Bewerbungsmappe in die Personalakte zu schieben und dort zu belassen.
Nach der DSGVO macht eine Einstellung nicht automatisch jedes Recruiting-Datum für die weitere Beschäftigung erforderlich.
Recruiting und Beschäftigung sind unterschiedliche Zwecke
Im Recruiting verarbeiten Sie Informationen, um über eine Einstellung zu entscheiden.
Wird die Person Beschäftigte, verschieben sich Ihre Zwecke.
Sie brauchen Informationen dann für Themen wie:
- Lohnabrechnung
- Personalverwaltung
- Leistungen
- Arbeitsplanung
- Leistungsmanagement
- Weiterbildung
- Rechtliche und regulatorische Pflichten
- Sicherheit am Arbeitsplatz
Ein Teil der Recruiting-Informationen bleibt relevant. Ein anderer nicht. Beides als getrennte Verarbeitungstätigkeiten im Verzeichnis zu behandeln macht diese Unterscheidung leichter durchzuhalten.
Bestimmen Sie für jede Personalverarbeitung den Zweck und eine passende Rechtsgrundlage nach Artikel 6 DSGVO. Infrage kommen die Erforderlichkeit für den Arbeitsvertrag, eine konkrete gesetzliche Pflicht oder berechtigte Interessen nach Prüfung der Erforderlichkeit und Interessenabwägung. Die Vertragsunterzeichnung erlaubt nicht jede Nutzung von Bewerberdaten. Prüfen Sie bei einer Weiterverwendung für einen anderen Zweck die Vereinbarkeit, soweit Artikel 6 Absatz 4 dies verlangt.
Was darf in die Personalakte?
Je nach Rolle und anwendbarem Recht kann das umfassen:
- Identifikations- und Kontaktdaten
- Für die Stelle relevante Qualifikationen
- Berufsverlauf, soweit weiterhin erforderlich
- Angaben zur Vorbereitung des Vertrags
- Nachweise erforderlicher beruflicher Befähigungen
- Einschlägige Recruiting-Korrespondenz
Dass Informationen im Recruiting rechtmäßig erhoben wurden, rechtfertigt nicht automatisch eine dauerhafte Aufbewahrung.
Prüfen Sie die Identität, soweit erforderlich, und erfassen Sie nur die für Personalverwaltung oder gesetzliche Meldungen notwendigen und rechtlich zulässigen Identifikationsdaten. Prüfen Sie die einschlägigen örtlichen Regeln zu Identifikationsnummern und Ausweiskopien; bewahren Sie nicht standardmäßig eine vollständige Kopie auf.
Gesundheitsdaten und andere besondere Datenkategorien erfordern sowohl eine Rechtsgrundlage nach Artikel 6 als auch eine einschlägige Ausnahme nach Artikel 9. Für strafrechtliche Daten gelten Artikel 10 und das anwendbare Recht. Übernehmen Sie solche Unterlagen nicht automatisch in eine gewöhnliche Personalakte.
Was sollte geprüft werden?
Prüfen Sie, ob Sie noch brauchen:
- Informelle Notizen der Gesprächsführenden
- Alte Bewerberrankings
- Verworfene Assessment-Entwürfe
- Angaben zu anderen Stellen
- Überflüssige Kopien des Lebenslaufs
- Informationen aus Online-Recherchen
- Testdaten, die ihren Zweck erfüllt haben
Ordnen Sie die geprüften Daten einer von drei Möglichkeiten zu: der aktiven Personalakte, wenn sie für die Beschäftigung erforderlich sind, einem zugriffsbeschränkten Archiv bei gerechtfertigter Aufbewahrung für gesetzliche Pflichten oder Rechtsansprüche, oder der Löschung, wenn kein gerechtfertigter Zweck mehr besteht.
Der Recruiting-Leitfaden der CNIL unterscheidet aktive Nutzung von begrenzter Archivierung zu Beweiszwecken. Ein möglicher Rechtsstreit rechtfertigt keine unbegrenzte Aufbewahrung der gesamten Bewerbungsakte. Bewahren Sie nur notwendige Beweise auf, beschränken Sie den Zugriff und dokumentieren Sie Grund und Frist in Ihrer Aufbewahrungsrichtlinie.
Für verschiedene Daten können unterschiedliche Fristen gelten. Eine Einstellung lässt nicht automatisch für jedes Bewerbungsdokument eine neue Frist beginnen. Prüfen Sie örtliche Anforderungen und einschlägige Verjährungsfristen.
Aktualisieren Sie die Datenschutzinformation
Bewerber haben Informationen zur Recruiting-Verarbeitung erhalten.
Beschäftigte brauchen Informationen zu der Verarbeitung, die während der Beschäftigung stattfindet.
Das kann Lohnabrechnung, Abwesenheitsverwaltung, IT-Systeme, Zugriffskontrolle, Leistungsmanagement, Weiterbildung, Leistungen und weitere Personalprozesse umfassen, und dafür gibt es die Datenschutzrichtlinie für Mitarbeitende.
Stellen Sie die Staff Privacy Policy bei der Erhebung neuer Beschäftigtendaten bereit. Informieren Sie vor der Weiterverwendung vorhandener Daten für einen neuen Zweck über diesen Zweck und weitere relevante Einzelheiten, soweit diese Informationen noch nicht vorliegen (Artikel 13 und 14 DSGVO).
Erläutern Sie Zwecke, Rechtsgrundlagen, Empfänger, Aufbewahrungsfristen oder deren Kriterien, gegebenenfalls internationale Übermittlungen und Rechte. Gehen Sie nicht davon aus, dass der Bewerberhinweis diese Personalprozesse bereits abdeckt.
Aktualisieren Sie die Zugriffsrechte
Bewerbungsakten sind mitunter für Gesprächsführende oder externe Vermittler zugänglich, die nach Abschluss des Verfahrens keinen Zugriff mehr brauchen.
Prüfen Sie Berechtigungen beim Onboarding und entziehen Sie nicht mehr benötigte Zugriffe. Berücksichtigen Sie Recruiting-Plattformen, geteilte Ordner und Kopien in Postfächern. Lassen Sie aktuelle Kontaktdaten vor der Übernahme bestätigen.
Der Grundsatz bleibt gleich: Personenbezogene Daten sollen nur für Personen zugänglich sein, die sie für ihre Rolle brauchen.
Halten Sie den Übergang gesteuert
Ein nützlicher Onboarding-Schritt ist:
- Bestimmen Sie, welche Bewerberdaten noch erforderlich sind, und prüfen Sie deren Richtigkeit.
- Dokumentieren Sie Zweck und Rechtsgrundlage jeder vorgesehenen Nutzung.
- Übernehmen Sie notwendige Daten in die aktive Personalakte, archivieren Sie nur gerechtfertigte Beweise mit beschränktem Zugriff und löschen Sie den Rest.
- Wenden Sie für jede Kategorie die passende Frist an und löschen Sie überflüssige Kopien.
- Entziehen Sie überholte Recruiting-Zugriffe und vergeben Sie Personalzugriffe nach Rollen.
- Stellen Sie die Staff Privacy Policy zum erforderlichen Zeitpunkt bereit.
GDPRWise trennt Recruiting und Personalverarbeitung in Ihrem Verzeichnis, damit jede Akte den Zweck und die Frist erhält, die zu ihr gehören.