Jede Personalabteilung kennt wahrscheinlich das Problem: Immer wieder kommen Bewerbungen, die weder ernst gemeint, echt oder auch nur im Ansatz passend auf die ausgeschriebene Stelle sind. Auch Beleidigungen zu Lasten des Unternehmens können hier eine Rolle spielen.

Gerade bei mittelgroßen Unternehmen oder weltweit agierenden Konzernen kommt es daher häufiger vor, dass Bewerber, aber manchmal auch ehemalige Mitarbeiter, auf eine sog. „Blacklist“ gesetzt werden. Diese Personen möchte man ohnehin nicht (wieder) im Unternehmen anstellen, geschweige denn wertvolle Zeit für Vorstellungsgespräche vergeuden.

Einfach blocken – warum nicht?

In solchen Fällen ist die Idee naheliegend, diese Nachrichten bzw. Bewerbungen, die nicht selten an Spam erinnern, kurzerhand zu blocken. Aber dabei ist höchste Vorsicht geboten! Denn selbst das Blockieren stellt eine Datenverarbeitung dar, auf die die DSGVO Anwendung findet. Es bedarf dafür also auch einer Rechtsgrundlage und die Gewährleistung von Transparenz. Die Betroffenen müssten darüber vorab ausdrücklichen und inhaltlich hinreichenden informiert werden.

Zudem gilt der Grundsatz, dass die personenbezogenen Daten abgelehnter Bewerber nach drei bis sechs Monaten zu löschen sind. Denn nach drei Monaten steht fest, ob eine Klage nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) eingereicht wurde und die Daten zur Verteidigung in einem Rechtsstreit ggf. noch von Bedeutung sein könnten. Werden die Informationen nun aber dauerhaft in Form einer Blacklist gespeichert, wird dem nicht entsprochen.

Das automatisierte Versenden einer Ablehnung, sobald sich eine bestimmte Person bewirbt, sollte in Anbetracht des Verbots nach Art. 22 DSGVO ebenfalls besser unterlassen werden. Denn danach hat eine betroffene Person das Recht, einer nicht ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber eine rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Konkret heißt das also, dass eine Ablehnung von einem Mitarbeiter der Personalabteilung geprüft werden muss. Solch eine Entscheidung darf demnach niemals komplett automatisiert allein von einer Software ausgehen.

Das berechtigte Interesse

Ein Unternehmen kann allerdings ein berechtigtes Interesse daran haben, eine Art Blacklist zu führen, um sich zu schützen. Dies ist grundsätzlich denkbar, wenn dokumentiert und hinreichend begründet wird, warum bestimmte Bewerber zukünftig nicht (mehr) berücksichtigt werden. Dokumentiert werden sollte insbesondere die vorgenommene Abwägung zwischen den Interessen des verantwortlichen Unternehmens und denen des betroffenen Bewerbers. Besonders wichtig ist in diesem Zusammenhang auch, dass der Grundsatz der Verhältnismäßigkeit beachtet wird. Nur, weil sich eine Person mehrfach auf eine für sie unpassende Stellen beworben hat, und man dies ggf. als nervig empfindet, macht dies noch keinen Eintrag in der Blacklist erforderlich. Dies sollte erst in absoluten Ausnahmefällen in Erwägung gezogen werden, wenn keine milderen, gleich effektiven Mittel zur Verfügung stehen.

Weitere Grundsätze der DSGVO

Ein weiterer zu beachtender Aspekt ist die Datensparsamkeit. Das bedeutet in diesem Fall, dass nicht alle vorhandenen personenbezogenen Daten gespeichert werden sollten, sondern nur so viele, wie nötig und so wenige, wie möglich. Das Speichern der gesamten Bewerbungsunterlagen oder Personalakte wäre somit nicht rechtmäßig. Grundsätzlich sollten neben der Interessenabwägung nur Name, Geburtsdatum und Sperrfrist gelistet werden, um eine eindeutige Identifizierung zu ermöglichen.

Aber auch das unbeliebte Thema Löschfristen darf hier nicht vergessen werden. Nach Abwägung im konkreten Einzelfall und unter Berücksichtigung des Ablehnungsgrundes (z. B. des Kündigungsgrunds, einer begangenen Straftat etc.) kommen hier ein bis zwanzig Jahre in Betracht. Dies stellt natürlich eine sehr weite Spanne dar, aber es muss auch beachtet werden, dass ein Eintrag in die Blacklist ohnehin nur in besonderen, schwerwiegenden Fällen in Betracht kommen darf. Bei Straftaten sind ebenfalls die Verjährungsfirsten in Verbindung mit dem Bundeszentralregister bzw. Führungszeugnis zu bedenken. Auch eine ggf. notwendige Datenschutz-Folgenabschätzung muss dann vorgenommen werden, wenn strafrechtlich relevante Aspekte eine Rolle spielen. Spätestens bei diesem Schritt ist der Datenschutzbeauftragte zu informieren.

Zu guter Letzt darf natürlich auch ein dezidierter Eintrag des Prozesses in das Verarbeitungsverzeichnis nicht fehlen. So wird den gesetzlich vorgeschriebenen Dokumentationspflichten entsprochen und die Einhaltung des Datenschutzes nachgewiesen.

Der schlechte Ruf eilt voraus!

Abgesehen vom Datenschutz und möglichen rechtlichen Folgen, liegt es im Interesse des Unternehmens mit allen Bewerbungen, seien sie auch noch so unpassend, wertschätzend umzugehen. Schnell können sich sonst die negativen Bewertungen auf digitalen Plattformen häufen, wo sie für jedermann einsehbar sind und sich schnell verbreiten. Dasselbe gilt natürlich auch für soziale Netzwerke, wo ggf. negative Erfahrungen im Bewerbungsprozess mit anderen geteilt werden. Nicht zuletzt könnten Bewerber auch Kunden bzw. für Kundenunternehmen tätig sein. Schlechte Erfahrungen im Bewerbungsprozess können sich so auch schnell auf geschäftlicher Ebene auswirken.

Anstatt also gleich die Blacklist zu zücken, wie wäre es mit einem freundlichen Telefonat? In diesem kann man sich kurz kennenlernen und erklären, warum bspw. wiederholte Bewerbungen keinen Erfolg haben. Das könnte schon Abhilfe schaffen. Vielleicht stellt sich ja auch heraus, dass die Person auf eine ganz andere noch offene Stelle tatsächlich sehr gut passt.

Fazit

Es ist zwar nicht ausgeschlossen eine Blacklist zu führen, doch sollte man hierbei äußerst vorsichtig und bedacht vorgehen, denn nachteilige Konsequenzen aus den verschiedensten Bereichen können dabei drohen. Die frühzeitige Hinzuziehung des Datenschutzbeauftragten, der jeden Einzelfall einer gründlichen Prüfung unterzieht, ist zu empfehlen – dies gilt nicht erst dann, wenn eine Datenschutz-Folgenabschätzung zwingend notwendig ist.