Recruiting braucht keine eigene Datenschutzabteilung. Aber Arbeitgeber brauchen einen wiederholbaren Prozess für Lebensläufe, Gespräche, Recruiting-Plattformen, Talentpools und Bewerberrechte.
Nutzen Sie diese Checkliste, um Ihren Prozess von der ersten Bewerbung bis zur endgültigen Löschung zu prüfen.
Vor der Ausschreibung
- Bestimmen Sie, welche Bewerberdaten tatsächlich erforderlich sind.
- Streichen Sie überflüssige Fragen aus Ihren Formularen.
- Benennen Sie die Zwecke der Verarbeitung.
- Bestimmen Sie die passende Rechtsgrundlage je Zweck.
- Prüfen Sie, ob besondere Kategorien oder Strafdaten betroffen sein können.
- Sorgen Sie dafür, dass Recruiting in Ihrem Verarbeitungsverzeichnis steht.
- Legen Sie Aufbewahrungsfristen fest.
Sind Sie unsicher, wo die Grenze liegt, beginnen Sie bei welche personenbezogenen Daten Sie von Bewerbern erheben dürfen und halten Sie das Ergebnis in Ihrem Verarbeitungsverzeichnis fest.
Datenschutzinformation für Bewerber
- Halten Sie einen Datenschutzhinweis für Bewerber bereit.
- Stellen Sie ihn zum Zeitpunkt der Erhebung bereit.
- Erklären Sie Zwecke und Rechtsgrundlagen.
- Erklären Sie die einschlägigen Datenquellen.
- Benennen Sie Empfänger oder Empfängerkategorien.
- Erklären Sie die Aufbewahrungsfristen.
- Decken Sie Drittlandübermittlungen ab, wo einschlägig.
- Erklären Sie die Rechte der Bewerber.
- Decken Sie automatisierte Entscheidungsfindung ab, wo sie vorliegt.
Der Aufbau eines Datenschutzhinweises für Bewerber folgt unmittelbar aus diesen Punkten.
Während des Recruitings
- Beschränken Sie den Zugriff auf am Verfahren Beteiligte.
- Speichern Sie Bewerbungen in freigegebenen Systemen.
- Vermeiden Sie überflüssige Kopien von Lebensläufen.
- Halten Sie Gesprächsnotizen sachlich und relevant.
- Prüfen Sie wichtige Angaben, statt sich auf Annahmen zu stützen.
- Erheben Sie keine sensiblen Angaben ohne rechtmäßigen und erforderlichen Grund.
- Halten Sie einen Prozess für DSGVO-Anfragen von Bewerbern bereit.
Bewerber können dieselben Betroffenenrechte ausüben wie alle anderen, Ihr Prozess muss also auch Recruiting-Daten abdecken.
Personalvermittler und Software
- Erfassen Sie alle Recruiting-Dienstleister.
- Bestimmen Sie deren datenschutzrechtliche Rolle.
- Vereinbaren Sie die erforderlichen Datenschutzklauseln.
- Prüfen Sie, wo Bewerberdaten verarbeitet werden.
- Prüfen Sie Drittlandübermittlungen.
- Prüfen Sie Sicherheit und Zugriffskontrollen.
- Wissen Sie, wie Daten bei Fristablauf gelöscht werden können.
Handelt ein Anbieter als Ihr Auftragsverarbeiter, ist ein Auftragsverarbeitungsvertrag mit den Pflichtinhalten erforderlich.
LinkedIn und soziale Medien
- Legen Sie fest, ob Online-Screening zulässig ist.
- Beschränken Sie Prüfungen auf relevante Quellen und Informationen.
- Vermeiden Sie unnötige Nachforschungen zum Privatleben.
- Suchen Sie keinen Zugang zu bewusst privaten Profilen.
- Informieren Sie Bewerber über externe Quellen, wo erforderlich.
- Halten Sie keine unerheblichen sensiblen Angaben fest.
Die Regeln unterscheiden sich zwischen das LinkedIn-Profil eines Bewerbers ansehen und einem breiteren Social-Media-Screening, entscheiden Sie also vorab, was zulässig ist.
Talentpools
- Behandeln Sie künftiges Recruiting als definierten Zweck.
- Wählen und dokumentieren Sie die passende Rechtsgrundlage.
- Erklären Sie Bewerbern, wie der Talentpool funktioniert.
- Setzen Sie eine Aufbewahrungsfrist.
- Halten Sie die Informationen aktuell.
- Machen Sie Abmeldung oder Widerruf einfach, wo einschlägig.
- Löschen Sie abgelaufene Datensätze.
Einen DSGVO-konformen Talentpool bewusst aufzubauen ist weit einfacher, als einen im Nachhinein zu begründen.
KI im Recruiting
- Geben Sie KI-Tools frei, bevor Bewerberdaten hochgeladen werden.
- Prüfen Sie, was der Anbieter mit übermittelten Daten tut.
- Minimieren oder pseudonymisieren Sie, wo möglich.
- Bewerten Sie die Risiken automatisierter Entscheidungsfindung.
- Prüfen Sie, ob der AI Act gilt und ob das System hochriskant ist.
- Stellen Sie sicher, dass die menschliche Aufsicht wirksam ist.
- Klären Sie, ob eine DSFA erforderlich ist.
- Prüfen Sie Ergebnisse auf Genauigkeit und mögliche Verzerrung.
Sowohl KI im Recruiting als auch die DSFA-Pflicht verdienen einen genauen Blick, bevor ein Werkzeug live geht.
Wenn der Bewerber eingestellt wird
- Prüfen Sie die Bewerbungsakte.
- Übernehmen Sie nur weiterhin erforderliche Informationen.
- Wenden Sie die Aufbewahrungsregeln der Beschäftigung an.
- Löschen Sie überflüssige Recruiting-Daten.
- Aktualisieren Sie die Zugriffsrechte.
- Übergeben Sie die Datenschutzinformation für Beschäftigte.
Das ist der Moment zu klären, was mit Bewerberdaten geschieht, wenn der Bewerber eingestellt wird, und Ihre Datenschutzrichtlinie für Mitarbeitende auszuhändigen.
Wenn das Verfahren endet
- Starten Sie die einschlägige Aufbewahrungsfrist.
- Löschen Sie die Informationen bei Ablauf.
- Beziehen Sie Postfächer und lokale Kopien ein.
- Entfernen Sie Daten aus externen Systemen, wo erforderlich.
- Halten Sie Talentpool-Daten von gewöhnlichen abgelehnten Bewerbungen getrennt.
- Prüfen Sie regelmäßig, ob die Löschung tatsächlich erfolgt.
Haben Sie die Fristen noch nicht festgelegt, klären Sie zuerst, wie lange Sie den Lebenslauf eines Bewerbers aufbewahren dürfen.
Machen Sie die Checkliste wiederholbar
DSGVO-Konformität wirkt am besten, wenn diese Schritte in den Recruiting-Prozess eingebaut sind statt einmal im Jahr abgehakt zu werden.
GDPRWise hilft Arbeitgebern, Recruiting- und andere Personalverarbeitungen zu erfassen, Aufbewahrung und Rechtsgrundlagen zu dokumentieren, Anbieter zu verwalten und die Datenschutzinformationen zu erzeugen, die einen wiederholbaren Prozess stützen.
GDPRWise erfasst Ihre Recruiting-Verarbeitungen, hält Rechtsgrundlagen und Aufbewahrungsfristen fest und erzeugt die zugehörige Bewerberdokumentation.