„Bitte kreuzen Sie dieses Feld an, um in die Verarbeitung Ihres Lebenslaufs einzuwilligen.“ Viele Bewerbungsformulare arbeiten mit solchen Formulierungen. Nach der DSGVO ist eine Einwilligung aber nicht automatisch jedes Mal erforderlich, wenn Sie Bewerberdaten verarbeiten.
Eine Einwilligung dort einzuholen, wo eine andere Rechtsgrundlage besser passt, macht Ihren Prozess sogar unnötig kompliziert.
Die laufende Bewerbung
Ein Bewerber schickt Ihnen seinen Lebenslauf, weil er für eine Stelle berücksichtigt werden möchte.
Die Verarbeitung von Informationen, die erforderlich sind, um auf Wunsch des Bewerbers vorvertragliche Maßnahmen durchzuführen, kann die Rechtsgrundlage für Teile des Verfahrens bilden.
Andere Tätigkeiten können auf einer anderen Grundlage beruhen, etwa berechtigtem Interesse oder einer rechtlichen Verpflichtung. Die sechs Rechtsgrundlagen der DSGVO haben jeweils eigene Voraussetzungen, ein Vergleich vor der Entscheidung lohnt sich also.
Entscheidend ist: DSGVO-Konformität bedeutet nicht, für alles eine Einwilligung einzuholen.
Warum ist eine unnötige Einwilligung ein Problem?
Für die Einwilligung gelten strenge Anforderungen.
Sie muss sein:
- Freiwillig
- Für den bestimmten Fall
- Informiert
- Unmissverständlich
Sie muss außerdem widerrufbar sein.
Sagen Sie einem Bewerber, die Verarbeitung seines Lebenslaufs beruhe auf Einwilligung, obwohl Sie das Verfahren nach deren Widerruf realistisch nicht abbrechen könnten, sollten Sie fragen, ob Einwilligung überhaupt die passende Grundlage war.
Und die Aufbewahrung nach einer Absage?
Nach einer Absage geschehen zwei verschiedene Dinge, die man trennen muss.
Kurze Aufbewahrung im Zusammenhang mit dem Verfahren selbst. Sie dürfen bestimmte Informationen für begrenzte Zeit aufbewahren, um Fragen oder Ansprüche im Zusammenhang mit der Auswahlentscheidung zu behandeln. Das stützt sich auf Ihr berechtigtes Interesse an der Rechtsverteidigung und läuft, solange ein solcher Anspruch realistisch möglich ist, nicht unbegrenzt. Siehe wie lange Sie einen Lebenslauf aufbewahren dürfen.
Aufbewahrung, um den Bewerber wegen künftiger Stellen anzusprechen. Das ist ein neuer Zweck, ohne Bezug zur beworbenen Stelle, und er braucht eine eigene Rechtsgrundlage.
Die zwei Wege für einen Talentpool
Hier funktionieren zwei Rechtsgrundlagen. Der Europäische Datenschutzausschuss erkennt je nach Umständen beide an. Wählen Sie bewusst eine und halten Sie sie fest.
Weg 1: Einwilligung
Für ein KMU meist die einfachste Option. Zum Zeitpunkt der Absage stellen Sie dem Bewerber eine klare Frage: Dürfen wir Ihre Daten aufbewahren, um Sie zu künftigen Stellen anzusprechen?
Was sie tragfähig macht:
- Der Bewerber kann ohne Nachteil ablehnen, weil das Verfahren, für das er sich beworben hat, abgeschlossen ist. Genau das macht die Einwilligung freiwillig, was im Beschäftigungskontext sonst schwer zu erreichen ist.
- Fragen Sie getrennt von allem anderen, ohne vorangekreuztes Feld, und halten Sie Antwort und Datum fest.
- Artikel 7 Absatz 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung. Ein Abmeldelink oder ein benanntes Postfach in jeder Nachricht genügt; ein schriftlicher Antrag an die Zentrale nicht.
- Wird die Einwilligung widerrufen, entfällt die Grundlage für die Aufbewahrung. Löschen Sie die Unterlagen.
Weg 2: Berechtigtes Interesse
Ebenso verfügbar nach Artikel 6 Absatz 1 Buchstabe f und oft die bessere Wahl, wenn Sie laufend rekrutieren und einen echten Pool aufbauen wollen, statt einzelnen Zustimmungen hinterherzulaufen.
Was er verlangt:
- Eine Interessenabwägung, vorab durchgeführt und dokumentiert: Ihr Interesse an der effizienten Besetzung künftiger Stellen, die Erforderlichkeit der Aufbewahrung dafür, und ob dieses Interesse die Interessen und vernünftigen Erwartungen des Bewerbers überwiegt.
- Klare Information bei der Absage, dass Sie die Daten aufbewahren wollen, warum und wie lange.
- Ein funktionierender Weg zum Widerspruch nach Artikel 21. Einem Widerspruch gegen diese Verarbeitung ist zu entsprechen; nach einem Nein bleibt keine Abwägung mehr übrig.
- Zurückhaltung beim Umfang. Ein aktueller Bewerber für eine regelmäßig ausgeschriebene Stelle liegt bequem in seinen Erwartungen. Ein fünf Jahre alter Lebenslauf für unverwandte Stellen nicht.
Die Wahl zwischen beiden
| Einwilligung | Berechtigtes Interesse | |
|---|---|---|
| Passt zu | Gelegentlichen Einstellungen, kleinen Mengen | Laufendem Recruiting, gepflegtem Pool |
| Vorarbeit | Eine klare Frage und die festgehaltene Antwort | Eine dokumentierte Interessenabwägung |
| Kontrolle des Bewerbers | Widerruf, der die Verarbeitung beendet | Widerspruch, dem Sie entsprechen müssen |
| Hauptrisiko | Absagen, der Pool bleibt klein | Die Abwägung wurde nie wirklich gemacht |
Keiner der beiden Wege übersteht, was Arbeitgeber am häufigsten tun: den Lebenslauf behalten und später entscheiden.
Holen Sie eine Einwilligung ein, dann richtig
Vermeiden Sie:
- Vorangekreuzte Felder
- In allgemeinen Bedingungen versteckte Einwilligung
- Mehrere unverbundene Zwecke in einer Einwilligung
- Die Aussage, die Einwilligung sei nicht widerrufbar
- Unbegrenzte Aufbewahrung nach der Einwilligung
Erklären Sie den Zweck des Talentpools getrennt von der Bewerbung selbst und geben Sie dem Bewerber ein klares Ja oder Nein.
Der Widerruf muss praktisch funktionieren
Widerruft ein Bewerber seine Einwilligung, genügt es oft nicht, ihn aus einem Verteiler zu nehmen.
Prüfen Sie, ob seine Daten auch vorliegen in:
- Ihrem Bewerbermanagementsystem
- Personalpostfächern
- Geteilten Ordnern
- Recruiting-Tabellen
- Externen Recruiting-Plattformen
Ihr Prozess muss sicherstellen, dass der Widerruf die betroffenen Systeme erreicht. Dieselbe Sorgfalt gilt, wenn jemand die Löschung seiner Daten verlangt.
Wählen Sie die Rechtsgrundlage vor dem Datenschutzhinweis
Gehen Sie nicht von einem Einwilligungsfeld aus und arbeiten Sie rückwärts.
Bestimmen Sie zuerst Verarbeitungstätigkeit und Zweck. Bestimmen Sie dann die passende Rechtsgrundlage. Sorgen Sie schließlich dafür, dass Ihr Datenschutzhinweis für Bewerber das korrekt erklärt.
GDPRWise hilft Organisationen, Zwecke und Rechtsgrundlagen hinter Personal- und Recruiting-Verarbeitungen zu dokumentieren, damit „Einwilligung für alles“ vermieden wird.
GDPRWise ordnet jedem Recruiting-Zweck eine passende Rechtsgrundlage zu, damit Sie nur dort um Einwilligung bitten, wo sie wirklich hingehört.