Ein Datenschutzhinweis für Bewerber erklärt, wie Ihre Organisation personenbezogene Daten im Recruiting verarbeitet. Er ist das Dokument, das Ihre Transparenzpflichten aus Artikel 13 und 14 DSGVO trägt.
Dieser Beitrag behandelt, was der Hinweis enthalten muss. Zur ebenso wichtigen Frage, wann der Bewerber ihn erhalten muss und wie er ihn erreicht, siehe wann und wie Sie Bewerber informieren.
Der Hinweis beschreibt, was in Ihrem Recruiting-Prozess tatsächlich geschieht, nicht was eine generische Vorlage annimmt.
Die Elemente auf einen Blick
Artikel 13 und 14 legen fest, was hineingehört. Im Recruiting-Kontext läuft das hinaus auf:
| Element | Artikel 13 (Daten vom Bewerber) | Artikel 14 (Daten von Vermittler oder Plattform) |
|---|---|---|
| Ihre Identität und Kontaktdaten | Erforderlich | Erforderlich |
| Kontaktdaten des DSB, falls vorhanden | Erforderlich | Erforderlich |
| Zwecke der Verarbeitung | Erforderlich | Erforderlich |
| Rechtsgrundlage je Zweck | Erforderlich | Erforderlich |
| Ihre berechtigten Interessen, falls herangezogen | Erforderlich | Erforderlich |
| Kategorien der verarbeiteten Daten | Nicht erforderlich | Erforderlich |
| Quelle der Daten | Nicht anwendbar | Erforderlich |
| Empfänger oder Kategorien von Empfängern | Erforderlich | Erforderlich |
| Übermittlungen außerhalb des EWR und Garantien | Erforderlich | Erforderlich |
| Aufbewahrungsfrist oder deren Kriterien | Erforderlich | Erforderlich |
| Rechte des Bewerbers, inklusive Widerspruch und Widerruf | Erforderlich | Erforderlich |
| Beschwerderecht bei einer Aufsichtsbehörde | Erforderlich | Erforderlich |
| Ob die Bereitstellung verpflichtend ist und welche Folgen bestehen | Erforderlich | Nicht anwendbar |
| Automatisierte Entscheidungsfindung, Logik, Tragweite und Auswirkungen | Erforderlich, falls einschlägig | Erforderlich, falls einschlägig |
Erreichen Sie Bewerber auf beiden Wegen, ist ein Hinweis, der den weiteren Umfang des Artikels 14 abdeckt, einfacher zu pflegen als zwei Dokumente.
Beginnen Sie damit, wer Sie sind
Bewerber müssen wissen, welche Organisation für ihre Daten verantwortlich ist.
Nennen Sie Identität und Kontaktdaten Ihrer Organisation. Haben Sie einen Datenschutzbeauftragten benannt, nennen Sie auch dessen Kontaktdaten.
Das klingt selbstverständlich, wird aber wichtig, sobald Recruiting über eine Konzerngesellschaft, einen externen Vermittler oder eine gemeinsame Plattform läuft.
Erklären Sie, welche Daten Sie verarbeiten
Beschreiben Sie die Kategorien von Bewerberdaten, die Sie nutzen.
Je nach Prozess können das sein:
- Identifikations- und Kontaktdaten
- Lebenslauf und Bewerbungsunterlagen
- Beruflicher Werdegang und Ausbildung
- Gesprächsnotizen
- Assessments und Testergebnisse
- Referenzen
- Informationen aus beruflichen Profilen
- Kommunikation mit dem Bewerber
- Informationen, die vor Beschäftigungsbeginn erforderlich sind
Vermeiden Sie vage Formulierungen wie „wir verarbeiten alle erforderlichen Informationen“. Ausgangspunkt ist die Frage, welche Bewerberdaten Sie tatsächlich brauchen.
Erklären Sie, warum Sie sie nutzen
Bewerber sollen die Zwecke der Verarbeitung verstehen.
Übliche Zwecke sind:
- Bewerbungen verwalten
- Eignung für eine Stelle beurteilen
- Mit Bewerbern kommunizieren
- Gespräche und Assessments organisieren
- Referenzen prüfen, wo angemessen
- Ein Angebot oder einen Arbeitsvertrag vorbereiten
- Gesetzliche Pflichten erfüllen
- Auf recruitingbezogene Ansprüche reagieren oder sich verteidigen
- Bewerber gegebenenfalls in einem Talentpool halten
Unterschiedliche Zwecke können auf unterschiedlichen Rechtsgrundlagen beruhen.
Nennen Sie die Rechtsgrundlagen
Schreiben Sie nicht einfach „wir verarbeiten Ihre Daten im Einklang mit der DSGVO“.
Benennen Sie die tatsächlich einschlägigen Rechtsgrundlagen.
Im Recruiting sind das meist Maßnahmen auf Wunsch des Bewerbers vor Vertragsschluss, berechtigtes Interesse, eine rechtliche Verpflichtung, oder Einwilligung, wenn Sie Daten für künftige Stellen aufbewahren. Stützen Sie sich auf das berechtigte Interesse, verlangen Artikel 13 Absatz 1 Buchstabe d und Artikel 14 Absatz 2 Buchstabe b, dass Sie dieses Interesse benennen, nicht nur die Grundlage.
Verarbeiten Sie besondere Kategorien personenbezogener Daten, ist zusätzlich eine Bedingung aus Artikel 9 Absatz 2 erforderlich, und der Hinweis muss das abbilden.
Woher stammen die Daten?
Nicht alle Bewerberinformationen kommen direkt von den Bewerbern.
Erhalten Sie Informationen von Vermittlern, Referenzen, beruflichen Netzwerken oder anderen Quellen, verlangt Artikel 14 Absatz 2 Buchstabe f, dass Sie das angeben, einschließlich ob die Quelle öffentlich zugänglich war.
Am meisten zählt das in genau den Situationen, mit denen Bewerber nicht rechnen: eine Empfehlung durch eine beschäftigte Person, ein in einem beruflichen Netzwerk gefundenes Profil, eine Referenz, die kontaktiert wurde, bevor der Bewerber davon wusste.
Wer erhält die Daten?
Erklären Sie, wer auf Bewerberdaten zugreifen oder sie erhalten kann.
Das kann umfassen:
- Personalmitarbeitende
- Führungskräfte im Einstellungsprozess
- Beteiligte Gesprächsführende
- Konzerngesellschaften
- Personalvermittler
- Bewerbermanagementsysteme
- Assessment-Anbieter
- IT- und Cloud-Dienstleister
Der Zugriff bleibt beschränkt auf Personen, die die Informationen benötigen.
Erklären Sie die Aufbewahrungsfristen
„Ihre Daten werden so lange gespeichert wie nötig“ ist juristisch vertraut, für sich genommen aber wenig hilfreich.
Nennen Sie nach Möglichkeit konkrete Aufbewahrungsfristen. Wo das nicht geht, erklären Sie die Kriterien, nach denen Sie sie bestimmen.
Können abgelehnte Bewerber in einen Talentpool gelangen, erklären Sie das gesondert.
Drittlandübermittlungen
Recruiting-Software läuft oft in der Cloud.
Werden Bewerberdaten außerhalb des EWR übermittelt, erklären Sie das und geben Sie die von der DSGVO verlangten Informationen zum Übermittlungsmechanismus oder zu den Garantien.
Nehmen Sie nicht an, dass Software, die Sie über eine europäische Website nutzen, alle Daten zwingend in Europa speichert.
Erklären Sie die Rechte der Bewerber
Bewerber haben die folgenden Rechte, und der Hinweis benennt sie:
- Auskunft
- Berichtigung
- Löschung
- Einschränkung der Verarbeitung
- Widerspruch
- Datenübertragbarkeit in den einschlägigen Fällen
- Rechte bei bestimmten automatisierten Entscheidungen
Erklären Sie, wie Bewerber diese Rechte ausüben, mit einer funktionierenden Adresse oder einem Formular statt eines allgemeinen Firmenpostfachs, und weisen Sie auf das Beschwerderecht bei der zuständigen Aufsichtsbehörde hin. Stützen Sie sich irgendwo auf Einwilligung, nennen Sie, dass sie jederzeit widerrufen werden kann und der Widerruf so einfach ist wie die Erteilung.
Was, wenn der Bewerber Beschäftigter wird?
Ein Bewerberhinweis gilt dem Bewerbungsverfahren. Sobald ein Bewerber Beschäftigter wird, verarbeitet Ihre Organisation erheblich mehr personenbezogene Daten und zu anderen Zwecken.
Wir empfehlen daher eine eigene Datenschutzrichtlinie für Mitarbeitende, die die Verarbeitung während des Beschäftigungsverhältnisses erklärt. Bewerberhinweis und Mitarbeiterrichtlinie ergänzen einander, statt dass ein einziges Dokument Recruiting und Beschäftigung zugleich abzudecken versucht.
Halten Sie ihn aktuell
Ein Datenschutzhinweis ist kein Dokument, das man einmal schreibt und dann vergisst.
Führen Sie ein neues Bewerbermanagementsystem, ein KI-Screening-Tool, einen Assessment-Anbieter oder einen Talentpool ein, prüfen Sie, ob Ihr Hinweis die Realität noch beschreibt.
Der beste Bewerberhinweis ist nicht der längste. Es ist der, der Ihren realen Recruiting-Prozess korrekt erklärt.
GDPRWise hilft Organisationen, dokumentierte Verarbeitungstätigkeiten mit den bereitzustellenden Datenschutzinformationen zu verbinden, damit die Recruiting-Dokumentation konsistent bleibt.
GDPRWise verknüpft Ihre dokumentierten Verarbeitungstätigkeiten mit den veröffentlichten Datenschutzinformationen, damit Ihr Hinweis korrekt bleibt, wenn sich Ihr Recruiting ändert.