Die meisten Datenschutzprobleme im Recruiting entstehen nicht durch anspruchsvolle Technologie. Sie entstehen durch gewöhnliche Gewohnheiten: alte Lebensläufe in Postfächern, überflüssige Fragen, informelle Suchen in sozialen Medien und Bewerberdaten, die in neue Werkzeuge kopiert werden, ohne dass jemand die Folgen prüft.
Nach diesen Fehlern sollten Arbeitgeber zuerst suchen.
1. Jeden Lebenslauf ewig aufbewahren
Ein Postfach mit zehn Jahren Bewerbungen ist kein Talentpool.
Legen Sie fest, warum Bewerberdaten aufbewahrt werden und wie lange. Enden Zweck und begründete Frist, löschen Sie die Daten. Haben Sie die Fristen nie festgelegt, klären Sie zuerst, wie lange Sie den Lebenslauf eines Bewerbers aufbewahren dürfen.
2. Zu viele Informationen abfragen
Bewerbungsformulare sammeln mit der Zeit Fragen an.
Kann niemand erklären, warum eine Angabe für die Entscheidung erforderlich ist, streichen Sie die Frage.
Datenminimierung beginnt, bevor der Bewerber auf „Absenden“ klickt.
3. Für alles Einwilligung nutzen
Einwilligung ist eine Rechtsgrundlage unter mehreren, kein universelles Recruiting-Kästchen.
Teile des Verfahrens können auf vorvertraglichen Maßnahmen auf Wunsch des Bewerbers, auf berechtigtem Interesse, auf einer rechtlichen Verpflichtung oder auf einer anderen passenden Grundlage beruhen.
Wählen Sie die Rechtsgrundlage nach dem Zweck. Die sechs Rechtsgrundlagen der DSGVO passen jeweils zu unterschiedlichen Teilen eines Einstellungsprozesses.
4. Keinen Datenschutzhinweis für Bewerber haben
Eine Website-Datenschutzerklärung über Kunden und Cookies erklärt das Recruiting nicht.
Bewerber brauchen einschlägige Informationen darüber, wie ihre Bewerbungsdaten verarbeitet werden, und dafür gibt es einen eigenen Datenschutzhinweis für Bewerber.
5. Versehentlich einen Talentpool schaffen
Abgelehnte Bewerber zu behalten, weil „wir sie eines Tages anrufen könnten“, schafft einen zusätzlichen Verarbeitungszweck.
Wollen Sie einen Talentpool, bauen Sie ihn bewusst auf, mit Rechtsgrundlage, Transparenz, Aufbewahrungsfrist und Löschprozess.
6. Jeden Bewerber in sozialen Medien suchen
Öffentlich heißt nicht ungeschützt.
Solche Suchen setzen Führungskräfte sensiblen und unerheblichen Informationen aus und erzeugen Datenschutz- wie Diskriminierungsrisiken.
Beschränken Sie Online-Prüfungen auf gerechtfertigte und stellenrelevante Fälle. Dieselbe Überlegung gilt für das Screening sozialer Medien von Bewerbern.
7. Lebensläufe überall verstreuen lassen
Ein Bewerber schickt einen Lebenslauf. Eine Woche später existiert er in sechs Postfächern, zwei Download-Ordnern und auf einem geteilten Laufwerk.
Nutzen Sie kontrollierte Systeme und begrenzen Sie überflüssige Kopien.
8. Vermittler und Software vergessen
Bewerberdaten können von Recruitern, Bewerbermanagementsystemen, Assessment-Anbietern, Cloud-Diensten und weiteren Lieferanten verarbeitet werden.
Wissen Sie, wer die Daten erhält, und treffen Sie die passenden Regelungen, beginnend mit einem Auftragsverarbeitungsvertrag, wo der Anbieter als Ihr Auftragsverarbeiter handelt.
9. Lebensläufe ungeprüft in KI-Tools einfügen
Generative KI macht es außerordentlich leicht, personenbezogene Daten zu einem neuen Anbieter hochzuladen.
Verstehen Sie vor der Nutzung echter Lebensläufe die Bedingungen, Aufbewahrung, Trainingspraxis, Sicherheit, Übermittlungen und Löschoptionen des Anbieters. Die zu stellenden Fragen sind dieselben wie in ChatGPT oder KI-Tools zur Prüfung von Lebensläufen nutzen.
10. KI-Scores als objektive Fakten behandeln
Ein algorithmischer Score ist ein Ergebnis, keine Garantie für Richtigkeit oder Fairness.
Prüfen Sie Genauigkeit, Relevanz, Verzerrung und die Rolle der menschlichen Entscheidungsträger. Vollautomatisierte Entscheidungen mit erheblicher Wirkung können die besonderen DSGVO-Regeln zur automatisierten Entscheidungsfindung auslösen.
11. Die gesamte Bewerbungsakte in die Personalabteilung verschieben
Sobald der Bewerber Beschäftigter wird, prüfen Sie, welche Informationen noch erforderlich sind.
Behalten Sie nicht automatisch jede Gesprächsnotiz, jedes Assessment und jedes alte Dokument für die Dauer der Beschäftigung.
12. Eine Aufbewahrungsrichtlinie schreiben, aber nie löschen
Eine Richtlinie mit dem Satz „Lebensläufe werden nach X Monaten gelöscht“ hilft nicht, wenn kein System und keine Person die Löschung tatsächlich vornimmt.
Testen Sie den Prozess.
13. Zu vielen Personen Zugriff geben
Nicht jeder in der Organisation braucht Zugriff auf jede Bewerbung.
Nutzen Sie rollenbasierten Zugriff und prüfen Sie die Berechtigungen nach Abschluss des Recruitings.
14. Bewerberrechte ignorieren
Bewerber sind ebenfalls betroffene Personen.
Ihre Organisation muss Anträge auf Auskunft, Berichtigung, Löschung, Widerspruch und weitere einschlägige Rechte zu Recruiting-Daten bearbeiten können.
Machen Sie aus guten Vorsätzen einen Prozess
Die meisten dieser Fehler werden beherrschbar, sobald Recruiting als definierte Verarbeitungstätigkeit behandelt wird statt als Sammlung von Mails und informellen Gewohnheiten.
GDPRWise hilft Organisationen, Recruiting, Aufbewahrung, Anbieter und Datenschutzinformationen in einem strukturierten Compliance-Prozess zu dokumentieren.
GDPRWise dokumentiert Ihre Recruiting-Verarbeitungen, Aufbewahrungsfristen und Anbieter, damit die informellen Gewohnheiten hinter diesen Fehlern zu einem gesteuerten Prozess werden.