Betroffenenrechte im Bewerbungsverfahren

Im Zusammenhang mit Bewerbungen werden viele (teilweise sensible) Daten von Personen mitgeteilt. Ein Bewerbungsverfahren fordert daher schon seit vielen Jahren ein hohes Maß an Datenschutz. Unternehmen sind angehalten, die personenbezogenen Daten der Bewerberinnen und Bewerber entsprechend gut zu schützen und ausschließlich gesetzeskonform zu verarbeiten.

Seit Inkrafttreten der Datenschutz-Grundverordnung werden diese Anforderungen zunehmend durch die Betroffenenrechte (Art. 12-22 DSGVO) flankiert, auf die sich immer häufiger die Kandidatinnen und Kandidaten nach oder gar während des laufenden Bewerbungsverfahrens berufen. Verantwortliche in der Rolle als (potenzielle) Arbeitgeber sehen sich immer öfter Ansprüchen auf Auskunft nach Art. 15 DSGVO oder Löschung nach Art. 17 DSGVO im Rahmen der Stellensuche ausgesetzt.

Bekannte Szenarien sind die Geltendmachung des Rechts auf Löschung durch abgelehnte Bewerberinnen und Bewerber nach Mitteilung der Absage oder des Auskunftsrechts einige Monate oder sogar Jahre nach Abgabe der Bewerbung. Bei letzterem Instrument könnten bisweilen negative Umstände für Unternehmen offen zutage treten, wenn z. B. die Bewerbungsunterlagen unzulässigerweise noch nach vielen Jahren im Unternehmen gespeichert werden, obgleich längst die Entscheidung getroffen und eine Absage erteilt wurde.

Betroffenenrechte im Bewerbungsverfahren geltend machen

Doch viel spannender sind die Fälle, in denen die datenschutzrechtlichen Betroffenenrechte bereits zum Zeitpunkt der Bewerbung, respektive wenige Tage nach Abgabe derselben, geltend gemacht werden. Ungeachtet der sich daraus ergebenden, mutmaßlich nachteiligen, Folgen für die Entscheidung über die Einstellung (sofern es sich nicht gerade um einen Job im Datenschutzrecht handelt) können diese Ansprüche auch zu datenschutzrechtlichen Konflikten und unerwarteten Antworten führen.

Wird während des laufenden Bewerbungsverfahren von den Kandidatinnen und Kandidaten die Auskunft auf Grundlage von Art. 15 DSGVO verlangt, müsste der für die Datenverarbeitung Verantwortliche einerseits die in Art. 15 Abs. 1 DSGVO vorgegebene Auskunft erteilen, andererseits unter Umständen sogar gem. Art. 15 Abs. 3 DSGVO „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind,“ der betroffenen Person zur Verfügung stellen. In der Praxis wären dies die Bewerbungsmappe bzw. die digitalen Bewerbungsunterlagen und die begleitende Korrespondenz – also eigentlich nur diejenigen Daten, welche die betroffene Person ohnehin kennt und bereits hat – und über deren Verarbeitung im Vorfeld schon über die Datenschutzhinweise nach Art. 13 DSGVO zu informieren gewesen wären. Ein Verantwortlicher wird sich jedoch nicht darauf berufen können, dass die betroffene Person bereits über die Datenschutzhinweise über die Verarbeitung ihrer personenbezogenen Daten aufgeklärt wurde. Dies stellt keinen Ausnahmegrund dar, um die Auskunft zu verweigern. Aber viele neue Erkenntnisse zu den Daten, die das Unternehmen über einen hat, dürften sich nicht auf Basis dieses Betroffenenrechts ergeben.

Fraglich ist im Übrigen, ob im Hinblick auf die Kopie im Sinne von Art. 15 Abs. 3 DSGVO auch weitere Inhalte und Vorgänge neben der ursprünglichen Bewerbung erfasst wären, wie z. B. interne Notizen zur Bewerbung oder Daten aus einer eigenen Recherche (Screening). Wären also bspw. Screenshots oder interne Bemerkungen zu der Bewerberin oder dem Bewerber hiervon erfasst? Die BGH-Entscheidung vom 15.06.2021 müsste hierzu berücksichtigt werden, die nach hiesiger Interpretation von einem so weiten Verständnis des Anspruchs auf Auskunft ausgeht. Andere Gerichte haben allerdings in der Vergangenheit eine restriktivere Auslegung der Auskunft vorgenommen.

Denkbar wäre jedoch, dass durch die Herausgabe der Kopie derartiger personenbezogener Daten auch die Rechte und Freiheiten anderer Personen beeinträchtigt sein könnten und demgemäß ein Verweigerungsgrund aus Art. 15 Abs. 4 DSGVO bestünde. Möglich wäre etwa, dass ein Dokument mit Notizen über eine Bewerberin oder einen Bewerber aus einem Vorstellungsgespräch auch Angaben zu weiteren Personen enthält. Und diese Wertung könnte sich auch auf den Katalog aus Art. 15 Abs. 1 DSGVO übertragen lassen: Die Auskunft sollte nicht solche Informationen und Angaben enthalten, die ebenfalls Rechte und Freiheiten anderer Personen beeinträchtigen, bspw., wenn Namen von für die Einstellung zuständigen Beschäftigte oder interne Abläufe berührt sind oder Informationen aus Quellen Dritter stammen. Und was ist erst mit solchen Daten, die dem Geschäftsgeheimnis unterliegen, wie z. B. interne Auswahlkriterien? Vieles ist hier noch unklar.

Löschung ja, aber ab wann?

Am häufigsten wird jedoch die Löschung der personenbezogenen Daten nach Art. 17 Abs. 1 DSGVO von abgelehnten Bewerberinnen und Bewerbern gefordert. Auch diesbezüglich kommt es auf den exakten Zeitpunkt der Geltendmachung dieses weitreichenden Anspruchs an.

Wird die Löschung „sämtlicher Daten“ bspw. ein halbes Jahr nach dem Erhalt der Absage gefordert, dürfte diesem Wunsch grundsätzlich nichts im Wege stehen, sondern sich das Ziel ohnehin bereits de jure aus der DSGVO ergeben: Nach Zweckerfüllung bzw. -fortfall wären die personenbezogenen Daten aus der Bewerbung und somit praktisch selbst die Korrespondenz nach dem Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO proaktiv vom jeweiligen Unternehmen zu löschen. Die in Art. 17 Abs. 3 DSGVO genannten Ausnahmen, die einer etwaigen Löschung entgegenstehen, greifen i. d. R. nach Ablauf dieser Zeit allesamt nicht.

Aber wie verhält sich die Situation, wenn das Löschgesuch bereits nach wenigen Tagen und somit vor der Entscheidung über die Begründung eines Beschäftigungsverhältnisses gestellt wird? Einerseits könnte argumentiert werden, dass die Bewerberinnen und Bewerber jederzeit die Bewerbung zurückziehen und somit auch der Datenverarbeitung die Rechtsgrundlage bzw. den Zweck entziehen könnten – mit der Konsequenz, dass alle hiermit einhergehenden Daten gemäß Art. 17 Abs. 1 lit. a DSGVO gelöscht werden könnten bzw. müssten. Andererseits könnten zunächst Rechtstreitigkeiten wegen Ansprüchen auf Entschädigung oder Schadensersatz nach § 15 Abs. 1 und Abs. 2 AGG (Allgemeines Gleichbehandlungsgesetz) der abgelehnten Bewerberinnen und Bewerber drohen, die innerhalb von zwei Monaten nach Mitteilung der Ablehnung schriftlich geltend gemacht werden müssen. Vor diesem Hintergrund empfiehlt es sich, alle erforderlichen Daten zur Bewerbung für einen Zeitraum von bis sechs Monaten nach Absage aufzubewahren – diese Informationen könnten schließlich „zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ erforderlich sein und daher nach Art. 17 Abs. 3 lit. e DSGVO zunächst für diesen Zeitraum von der Löschung ausgenommen sein. Nach Ablauf der Frist für Ansprüche nach dem AGG entfällt auch i. d. R. diese Ausnahme des Löschanspruchs aus Art. 17 Abs. 3 DSGVO.

Sodann lassen sich neuerdings die Fälle beobachten, in denen die abgelehnten Bewerberinnen und Bewerber auf die Absage mit dem Löschgesuch reagieren und gleichzeitig in dieser E-Mail-Nachricht auch auf die Geltendmachung von Ansprüchen „verzichten“. Eine rechtsverbindliche Verzichtserklärung dürfte zumindest eine derartige Textnachricht nicht darstellen, aber sie wäre ggfs. ein Indiz. Folglich besteht ein gewisses Restrisiko, wenn Verantwortliche auf diese Aussage vertrauen – oder aber eine schriftliche und unterzeichnete Erklärung auf den Verzicht der Geltendmachung etwaiger Rechtsansprüche einfordern. Dabei stellt sich die Frage, ob es nicht rechtsmissbräuchlich wäre, wenn die Personen, die bereits eine Absage auf die Bewerbung erhielten, trotz ihrer Ankündigung, keine Ansprüche geltend zu machen, dann doch anders agieren und es zu einer gerichtlichen Auseinandersetzung kommt? Dieses Risiko bestünde allerdings.

Löschung ist nicht gleich Löschung

Sofern die betroffene Person in rechtmäßiger Weise den Anspruch auf Löschung der sie betreffenden personenbezogenen Daten nach Art. 17 Abs. 1 DSGVO erfolgreich geltend macht sowie der Verantwortliche auf die Zusage der betroffenen Person vertraut und dem nachkommt, greift jedoch in Verbindung damit die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Dies führt grundsätzlich dazu, dass ein Nachweis der Organisation und Abwicklung der Betroffenenrechte nebst den generellen Rechenschaftspflichten für die geltenden Verjährungsfristen bzw. für drei Jahre vorzuhalten und somit auch Inhalte aus der Umsetzung für diesen Zeitraum gespeichert werden sollten. Unter Umständen und je nach interner Umsetzung könnten dann auch die Kopien von Auskunftsverlangen oder Löschprotokolle/Nachweise der Umsetzung hierunter fallen.

Darüber hinaus ist noch an Back-ups und sonstige Zwischenspeicher-Lösungen zu denken, in denen die Daten mitunter einige Wochen oder Monate verweilen.

Ein denkbar skurriles Bild ergibt sich, wenn dem Löschersuchen der Kandidatinnen und Kandidaten, denen abgesagt wurde, wunschgemäß entsprochen wird, aber das Löschprotokoll bzw. der Löschnachweis zu dieser Person für längere Zeit aufbewahrt wird – was auch den Namen und die Kontaktdaten der betroffenen Person beinhalten könnte. Dann würden diese genau das Gegenteil erreichen: Statt automatischer Löschung der Bewerbungsdaten (z. B. nach einem halben Jahr) wäre nunmehr – an einem hierfür vorgesehenen, gesicherten Ort – der Löschnachweis zur Umsetzung dieses jeweiligen Betroffenenrechts mit Namen der Person für drei Jahre abgelegt. Bei kleineren Unternehmen dürften diese unterschiedlichen Vorgänge der Dokumentation allerdings von denselben Beschäftigten abgeschlossen werden.

Zuletzt sollte der Verantwortliche im Falle der Geltendmachung der Betroffenenrechte durch die Bewerberinnen und Bewerber auch beachten, in welcher Reihenfolge diese bearbeitet und letztlich umgesetzt werden, sodass grundsätzlich der Anspruch auf Auskunft dem Anspruch auf Löschung in zeitlicher Hinsicht vorzugehen hat. Andernfalls könnte bereits denklogisch nicht die Auskunft umgesetzt werden.

Fazit

In der Mehrzahl der erdenklichen Szenarien führen die Ansprüche im Bewerbungsverfahren auf Auskunft oder Löschung zu keinem Vorteil oder laufen (zunächst) ins Leere. Es droht sogar die Konsequenz, dass auf Basis der Dokumentation nach der Rechenschaftspflicht eine viel längere Verarbeitung einzelner personenbezogener Daten der ehemaligen Bewerberinnen und Bewerber erfolgt und somit zumindest ein deutlich längerer potenzieller Zugriff auf diese Daten besteht.

Unabhängig von dieser Rechtslage, dürfte sich die Geltendmachung von Betroffenenrechten auch nachteilig auf die Bewerbung (oder zukünftige Bewerbungen) auswirken. Einige Monate nach Abschluss eines Bewerbungsverfahrens kann eine Kontrolle des datenschutzkonformen Umgangs mit den eigenen Daten jedoch im Einzelfall sinnvoll sein, insbesondere dann, wenn nicht einmal eine offizielle Absage erteilt wurde.