Bewerberdatenbank per Google Suche – Der HBDI äußert sich zur Zulässigkeit

Geeignetes Personal für freie Stellen in Unternehmen ist heutzutage einfach aufzuspüren. Mithilfe des Internets können potenzielle Kandidatinnen und Kandidaten mit den passenden Qualifikationen schnell gefunden und in eine eigene Datenbank aufgenommen werden. Doch gibt es bei diesem Vorgehen datenschutzrechtliche Anforderungen zu beachten. Dazu hat sich der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) in seinem Tätigkeitsbericht 2022 (S. 156 ff.)  geäußert.

Beschwerde einer Betroffenen

Hintergrund war die Beschwerde einer Betroffenen, deren personenbezogene Daten in der Datenbank eines Personaldienstleisters gespeichert worden waren. Die Betroffene erfuhr davon wiederum durch eine E-Mail des Dienstleisters. Darin wurde sie u. a. über den Zweck der Datenverarbeitung – nämlich den Aufbau, die Aktualisierung und die Erweiterung einer Datenbank, um Beschäftigte für Auftraggeber zu finden – informiert. Außerdem kam es zur Aufklärung über den Verantwortlichen und dessen Datenschutzbeauftragten, die Rechtsgrundlage der Verarbeitung und das bestehende Widerspruchsrecht. Als Quelle der von ihr erhobenen Daten hatte der Dienstleister soziale Medien oder öffentliche Datenbanken angegeben. Nach Erhalt der E-Mail wandte sich die Betroffene mit Bitte um eine datenschutzrechtliche Prüfung und Bewertung an den HBDI, was zu einer Anhörung des Dienstleisters führte. Der Dienstleister erklärte dabei auf Nachfrage, er habe die Daten der Betroffenen einer durch sie betriebenen Webseite mit beruflichem Kontext entnommen, auf die er per Google Suche nach Qualifikationen für einen Auftraggeber aufmerksam geworden sei.

Der HBDI prüfte daraufhin zwei Aspekte:

1)     Rechtsgrundlage der Verarbeitung

Grundsätzlich dürfen personenbezogene Daten nur mit einer Rechtsgrundlage verarbeitet werden. Daher wurde zunächst untersucht, ob sich der Dienstleister bei der Aufnahme der Daten der Betroffenen in seine Bewerberdatenbank auf eine solche stützen konnte.

26 Abs. 1 S. 1 BDSG, nach dem personenbezogene Daten „für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses“ verarbeitet werden dürfen, schloss der HBDI dabei aus, mit der Begründung, dass die Betroffene nicht an einem Bewerbungsverfahren teilgenommen habe, sondern die Datenverarbeitung vor einem solchen Verfahren stattfand.

Als Rechtsgrundlage für die Datenverarbeitung konnte allerdings Art. 6 Abs. 1 lit. f DSGVO herangezogen werden, wonach personenbezogene Daten „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten“ verarbeitet werden können, „sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen“. In der durchzuführenden Interessenabwägung stellte der HBDI heraus, dass ein wirtschaftliches Interesse an der Datenverarbeitung ebenfalls ein berechtigtes Interesse sei, während auch berücksichtigt werden müsse, ob die betroffene Person die mögliche Datenverarbeitung und damit verfolgten Zwecke vernünftigerweise erwarten könne. Da die Betroffene ihre personenbezogenen Daten durch die von ihr selbst betriebene, beruflich orientierte Webseite frei zugänglich im Internet veröffentlicht habe, sei damit zu rechnen gewesen, dass ihre Daten auch von Personaldienstleistern für mögliche Stellenbesetzungen genutzt werden.

2)     Information über die Verarbeitung

Neben dem Bestehen einer Rechtsgrundlage prüfte der HBDI ferner die Einhaltung des Transparenzgebots (Art. 5 Abs. 1 lit. a DSGVO), konkreter der Informationspflichten nach Art. 14 DSGVO, durch den Personaldienstleister. Diese bestehen, wenn personenbezogenen Daten nicht bei der betroffenen Person selbst erhoben wurden (sondern aus anderen Quellen).

Der HBDI stellte fest, dass der Dienstleister seine Informationspflichten gemäß Art. 14 DSGVO weitgehend beachtet habe. Es sei lediglich nicht über die konkrete Quelle, aus der die Daten stammten, informiert worden, die jedoch auf Nachfrage des HBDI genannt wurde.

Welche Schlussfolgerungen können daraus gezogen werden?

Um im Internet veröffentlichte personenbezogene Daten zu Zwecken der Stellenbesetzung verarbeiten zu können, sollte – im Rahmen der durchzuführenden Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO – berücksichtigt werden, ob die betroffene Person ihre personenbezogenen Daten 1) in einem beruflichen Kontext und 2) allgemein (für jeden) zugänglich veröffentlicht hat. Des Weiteren ist darauf zu achten, dass die Informationspflichten nach Art. 14 DSGVO umgesetzt werden. Aus Sicht des HBDI ist hierbei insbesondere die Aufklärung über das bestehende Widerspruchsrecht (Art. 21 DSGVO) und über die Herkunft der Daten wesentlich. Ihm zufolge sollte Letzteres (bei Verwendung von Standardinformationen) – zumindest auf Nachfrage der betroffenen Person – konkret benannt werden können. Darüber hinaus sollten auch die Fristen für den Zeitpunkt der Unterrichtung eingehalten werden, die spätestens innerhalb eines Monats, unter gewissen Umständen jedoch auch früher erfolgen muss (siehe Art. 14 Abs. 3 lit. a-c DSGVO).