DSGVO im Recruiting: berechtigtes Interesse, Einwilligungen und wie lange Sie Kandidaten aufbewahren dürfen
Das häufigste DSGVO-Problem im Recruiting ist die Verwechslung von berechtigtem Interesse und Einwilligung. Wenn ein Kandidat selbst aktiv auf Ihre Stelle antwortet, speichern Sie seine Daten auf Grundlage des berechtigten Interesses und brauchen dafür keine Einwilligung – Sie müssen aber die Informationspflicht erfüllen. Die Einwilligung kommt erst über das Auswahlverfahren hinaus ins Spiel (wenn Sie den Kandidaten auch danach behalten wollen) und muss freiwillig sein. Entscheidend sind zwei Dinge: wie lange Sie einen Kandidaten aufbewahren dürfen (beim berechtigten Interesse nur für die unbedingt notwendige Zeit, bei der Einwilligung für eine angemessene Zeit, die Sie rechtfertigen können) und wie leicht der Kandidat die Einwilligung widerrufen kann, was zu einer vollständigen und unumkehrbaren Anonymisierung führen muss. Dieser Artikel ist keine Rechtsberatung; lassen Sie sich das Vorgehen von Ihrem eigenen Anwalt genehmigen.
Der häufigste Irrtum: berechtigtes Interesse vs. Einwilligung
Wir begegnen dem vor allem auf Karriereseiten, wo Unternehmen in den Antwortformularen eine Einwilligung in die Verarbeitung personenbezogener Daten erzwingen. Typisch ist das für Agenturen, die vorher Onlineshops gemacht haben und es gewohnt sind, bei der Registrierung eine Einwilligung einzuholen. Im Recruiting funktioniert das aber so nicht.
Dadurch, dass der Kandidat aktiv auf eine Stelle antwortet, müssen Sie nicht um eine Einwilligung bitten. Nach manchen rechtlichen Auslegungen gilt sogar, dass Sie dort, wo Sie ein berechtigtes Interesse haben, die Einwilligung im Gegenteil nicht einholen dürfen. Zur Haltung in dieser Frage gibt es aber mehrere rechtliche Auslegungen.
Informationspflicht
Wenn Sie einen Kandidaten auf Grundlage des berechtigten Interesses speichern, müssen Sie die Informationspflicht erfüllen. Diese ist meist schon Teil des Antwortformulars: Sie gibt an, wer der Verantwortliche für die personenbezogenen Daten ist, welche Pflichten er hat und welche Rechte der Kandidat hat.
Wenn Sie auf Grundlage des berechtigten Interesses speichern, kann der Kandidat jederzeit Widerspruch einlegen (Artikel 21) und das Recht auf Löschung (Artikel 17) ausüben – und das muss im Zusammenspiel mit dem ATS zu einer vollständigen und unumkehrbaren Anonymisierung seiner personenbezogenen Daten führen. (Der Widerruf der Einwilligung selbst betrifft nur Kandidaten, bei denen die Grundlage die Einwilligung ist – siehe unten.)
Verwandte Funktionen: DSGVO-Compliance · Automatische Anonymisierung
Einwilligung über das Auswahlverfahren hinaus
Das Einholen einer Einwilligung ist ebenfalls oft Teil des Antwortformulars – aber es ist eine Einwilligung über das Auswahlverfahren hinaus. Typischerweise deshalb, weil Sie den Kandidaten auch dann speichern wollen, wenn das konkrete Auswahlverfahren beendet ist.
Eine solche Einwilligung muss freiwillig sein:
- Sie darf nicht vorangekreuzt sein,
- sie muss ein aktiver Schritt des Kandidaten sein,
- und sie darf nicht verpflichtend sein.
Bei manchen Formularen wird genau das verletzt – das Ankreuzen der Einwilligung wird als Bedingung für das Absenden erzwungen. Das ist falsch.
Wie lange Sie einen Kandidaten aufbewahren dürfen
Beim berechtigten Interesse speichern Sie ohne Einwilligung über das Auswahlverfahren hinaus nur für die unbedingt notwendige Zeit dieses Auswahlverfahrens. Und hier ganz offen: Manche Unternehmen haben Recruitings ruhig drei, vier Jahre lang kontinuierlich offen. Bei ihnen lässt sich nicht behaupten, dass die ganze Zeit ab der Antwort des Kandidaten ein berechtigtes Interesse besteht.
Sobald Sie einen Kandidaten im Auswahlverfahren abgeschlossen haben – eingestellt (das ist eine andere Frage) oder abgelehnt und beendet – können Sie ihn noch eine Weile für die unbedingt notwendige Zeit behalten (etwa zum Nachweis, dass Sie ihm Bescheid gegeben haben, oder zur Verteidigung gegen eine mögliche Antidiskriminierungsklage). Es ist aber nicht unbegrenzt – es geht um eine notwendige Zeit in der Größenordnung von Monaten entsprechend den Verjährungsfristen, nicht um eine willkürliche Aufbewahrung lange nach dem Ende der Stelle. Wo genau die Grenze liegt, ist Gegenstand eines Auslegungsstreits, lassen Sie sich die Dauer deshalb von einem Anwalt bestätigen.
Ein ATS sollte eine angemessen lange Zeit von der Antwort des Kandidaten bis zu dem Moment überwachen, in dem das berechtigte Interesse aufhört, unbedingt notwendig zu sein – und das nicht dem Gedächtnis des Recruiters überlassen.
Verwandte Funktionen: Überwachung der angemessenen Dauer des berechtigten Interesses · Überwachung von Fristen · Hinweis vor Ablauf der Einwilligung
Dauer der Einwilligung für den Talent-Pool
Bei Kandidaten, die eine Einwilligung über das Auswahlverfahren hinaus gegeben haben, legen Sie fest, wie lange Sie sie aufbewahren. Die DSGVO schreibt Ihnen keine konkrete Frist vor – die Einwilligung muss aber „angemessen" sein, also so, dass Sie sie rechtfertigen können.
Übliche Praxis sind heute zwischen drei und fünf Jahren. Bei manchen Stellen rechtfertigen Sie aber auch eine längere Frist – ausnahmsweise und nur bei spezifischen Stellen kann die Berechtigung, einen Kandidaten aufzubewahren, auch deutlich länger sein. Es muss Sinn ergeben, und Sie müssen es vor der Aufsichtsbehörde rechtfertigen können.
Je leichter sich die Einwilligung widerrufen lässt, desto längere Fristen rechtfertigen Sie
Eine längere Frist rechtfertigen Sie besser, wenn der Kandidat in jeder Kommunikation aus dem ATS in der Fußzeile einen Abmeldelink hat – ähnlich wie der Unsubscribe-Link, den Sie aus Onlineshops kennen. Hier dient er aber nicht der Abmeldung vom Newsletter, sondern dazu, dass der Kandidat mit einem Klick seine Daten löscht und anonymisiert bzw. die Einwilligung widerruft.
So einfach, wie es war, die Einwilligung zu erteilen, so einfach sollte es sein, sie zu widerrufen.
Die meisten Einwilligungen geben eine E-Mail-Adresse des DSB (Datenschutzbeauftragten) an, über den der Kandidat sein Recht ausübt. Der Vorteil eines ATS ist, dass es in jede Einwilligung automatisch auch diesen Ein-Klick-Link einfügt, mit dem der Kandidat seine Daten unwiderruflich aus der gesamten Datenbank löscht. Recruiter haben oft Angst, dass ihnen die Kandidaten unter den Händen verschwinden – in der Praxis kommt es dazu aber nur ausnahmsweise.
Verwandte Funktionen: Eigene Dauer der Einwilligung · Kommunikation im Domänennamen
Was ein ATS können muss
Ein gutes ATS sollte:
- die Einwilligung aktiv einholen,
- sie im Fall einer Kontrolle nachweisen können,
- dem Kandidaten seine Rechte gewähren,
- und die Anonymisierung automatisieren für die Zeit, die Sie wählen.
Beachtung der Einwilligungsdauer aus einer Jobbörse
Achtung auf ein Detail. Wenn Sie im ATS die Einwilligung auf fünf Jahre einstellen, der Kandidat aber von einer Jobbörse kommt, wo die Einwilligung in Ihrem Namen etwa auf drei Jahre eingeholt wurde (manche Jobbörsen stellen die Einwilligungsdauer für den Verantwortlichen standardmäßig ein), muss das ATS beachten, was dem Kandidaten auf der Jobbörse versprochen wurde – die Frist also nicht verlängern und die drei Jahre wahren.
Und umgekehrt: Wenn Sie Ihre Unternehmensrichtlinie auf drei Jahre einstellen, die Jobbörse aber eine längere Frist einholen würde (fünf Jahre), sollte das ATS die Frist standardmäßig kürzen können, von fünf Jahren auf drei.
Anonymisierung: was löschen und was behalten
Bei der vollständigen Anonymisierung achten Sie darauf, dass das ATS nicht restlos alles löscht, sondern nur Informationen, die die personenbezogenen Daten des Kandidaten betreffen. Es sollte einen Rest der Informationen über diese Bewerbung behalten – Aufzeichnungen, Notizen, die Quelle, von der der Kandidat geantwortet hat.
Warum? Wegen der Analytik und des Reportings (wie viele Kandidaten sich beworben haben, aus welchen Quellen, der Verlauf des Auswahlverfahrens) – und vor allem, damit Sie im Bedarfsfall eine negative Tatsache nachweisen können: dass Sie einen Kandidaten aufbewahrt und abgeschlossen haben, auch wenn Sie nicht mehr wissen, wie er hieß.
Nach der Anonymisierung können Sie nicht nachweisen, wen Sie hatten. Aber dank des verbliebenen Rests und der Zeitstempel belegen Sie, dass der Kandidat zu einem bestimmten Datum den Widerruf der Einwilligung beantragt hat und die Anonymisierung erfolgt ist.
Achtung an der Grenze: Damit der Rest wirklich außerhalb des Anwendungsbereichs der DSGVO liegt, muss er unumkehrbar anonym sein – aus ihm darf sich eine Person auch nicht indirekt re-identifizieren lassen. Sobald die verbliebenen Notizen individuell mit einem konkreten Menschen verknüpfbar wären, handelt es sich nur noch um Pseudonymisierung, und die Daten unterliegen weiterhin der DSGVO (Sie halten sie dann auf einem anderen Titel, nicht „außerhalb der DSGVO"). Ein Nachweis im Aggregat – wie viele Kandidaten für eine Stelle anonymisiert wurden – ist nicht personenbezogen; ein gezielter Nachweis bei einem namentlich bestimmten Menschen dagegen schon.
Ein typisches Szenario: Der Kandidat beschwert sich zwischenzeitlich bei der zuständigen Datenschutzaufsichtsbehörde des jeweiligen Bundeslandes (bzw. der/die BfDI), und diese verlangt von Ihnen den Nachweis, dass Sie Ihre Pflichten erfüllt haben. Wie aber eine negative Tatsache nachweisen, wenn die Daten schon anonymisiert sind? Genau aus dem verbliebenen Rest und dem Datum, an dem der Kandidat die Löschung beantragt hat, belegen Sie, welche Kandidaten für eine konkrete Stelle anonymisiert wurden – und weisen damit diese negative Tatsache nach.
Verwandte Funktionen: Automatische Anonymisierung · Behalten von Notizen und Analytik nach der Anonymisierung · Übersicht der Antwortquellen
Einwilligung für den Talent-Pool (Karriereseite)
Ein Sonderfall ist die Registrierung im firmeneigenen Talent-Pool. Stellen Sie sich auf der Karriereseite einen Absatz vor: „Keine passende Stelle gefunden? Wollen Sie in unserer Datenbank gespeichert werden?" mit einem Link zu einem Formular, das den Kandidaten im Talent-Pool registriert.
Hier lässt sich das berechtigte Interesse nicht heranziehen – aus unserer Sicht ist es notwendig, eine Einwilligung in die Verarbeitung personenbezogener Daten einzuholen, und ohne sie dürfen Sie die Daten nicht speichern. Das Antwort- Formular verhält sich hier also anders als bei einer aktiven Antwort auf eine konkrete Stelle. Die Dauer der Einwilligung, ihr Abschluss und die Rechte sind dann ähnlich wie bei der Einwilligung über das Auswahlverfahren hinaus.
Und was ist mit dem Sourcing auf LinkedIn?
Ein eigenes Thema ist die DSGVO beim Sourcing auf LinkedIn, wo Sie die Daten nicht vom Kandidaten beziehen, sondern ihn aktiv ansprechen. Wir behandeln es in einem eigenen Artikel Sourcing auf LinkedIn: wie man es richtig macht.
Diesen Leitfaden gibt Recruitis.io heraus, ein europäischer ATS. Wie wir die DSGVO lösen:
- Das berechtigte Interesse überwachen wir zeitlich: Ab der Antwort des Kandidaten haben wir eine maximale Dauer von einem Jahr eingestellt, bevor die personenbezogenen Daten abgeschlossen werden (vollständige Anonymisierung). In der Regel tritt das aber früher ein – bei der Archivierung einer Stelle werden die Rechte der Kandidaten abgeschlossen, sodass, wenn Sie ein Auswahlverfahren nach ein paar Monaten schließen und archivieren, diejenigen anonymisiert werden, die keine Einwilligung über das Verfahren hinaus gegeben haben.
- Einwilligung über das Verfahren hinaus: Bei Kandidaten mit Einwilligung stellen Sie eine eigene Aufbewahrungsdauer ein, und das System überwacht ihren Ablauf.
- Abmeldung mit einem Klick: In jede Kommunikation fügen wir einen Link ein, mit dem der Kandidat seine Daten unwiderruflich aus der gesamten Datenbank löscht.
- Beachtung der Dauer aus der Jobbörse: Wenn eine Jobbörse die Einwilligung für eine kürzere Zeit eingeholt hat, verlängert das ATS sie nicht, sondern kürzt sie auf das, was dem Kandidaten versprochen wurde.
- Rest nach der Anonymisierung: Es bleiben nicht personenbezogene Aufzeichnungen über die Bewerbung (Quelle, Verlauf) für das Reporting und den Nachweis, dass Sie Ihre Pflichten erfüllt haben.
Ganz offen: Dieser Artikel ist keine Rechtsberatung. Die konkrete Einstellung von Fristen, Einwilligungen und Anonymisierung lassen Sie sich von Ihrer eigenen Rechtsabteilung oder Ihrem DSB beurteilen.
Häufige Fragen
Brauche ich die Einwilligung des Kandidaten, wenn er selbst auf ein Stellenangebot antwortet?
Nein. Wenn der Kandidat selbst aktiv auf Ihre Stelle antwortet, speichern Sie seine personenbezogenen Daten auf Grundlage des berechtigten Interesses und brauchen dafür keine Einwilligung. Nach manchen rechtlichen Auslegungen gilt sogar, dass Sie dort, wo Sie ein berechtigtes Interesse haben, die Einwilligung im Gegenteil nicht einholen sollten. Häufig ist der umgekehrte Fehler, bei dem Unternehmen, die an Onlineshops gewöhnt sind, im Antwortformular eine Einwilligung erzwingen. Im Recruiting funktioniert das so nicht. Bei der Speicherung auf Grundlage des berechtigten Interesses müssen Sie aber die Informationspflicht erfüllen: wer der Verantwortliche ist, welche Pflichten er hat und welche Rechte der Kandidat hat, einschließlich des Widerspruchsrechts nach Artikel 21 und der Ausübung des Rechts auf Löschung nach Artikel 17, was zu einer vollständigen und unumkehrbaren Anonymisierung führen muss. Eine Einwilligung widerrufen lässt sich nur dort, wo die Grundlage die Einwilligung ist, also bei der Speicherung über das Auswahlverfahren hinaus.
Wie lange darf ein Unternehmen die personenbezogenen Daten eines Kandidaten aufbewahren?
Das hängt von der Rechtsgrundlage ab. Beim berechtigten Interesse dürfen Sie den Kandidaten ohne Einwilligung nur für die zum Auswahlverfahren unbedingt notwendige Zeit aufbewahren; nach dessen Abschluss noch für eine kurze notwendige Zeit, aber nicht ein halbes Jahr oder ein Jahr nach Ende der Stelle. Bei der Einwilligung über das Auswahlverfahren hinaus, also der Speicherung im Talent-Pool, schreibt die DSGVO keine konkrete Frist vor, sie muss aber angemessen und begründbar sein. Übliche Praxis sind drei bis fünf Jahre, bei manchen Stellen lassen sich auch zehn Jahre rechtfertigen. Eine längere Frist rechtfertigen Sie leichter, wenn der Kandidat in jeder Kommunikation einen Link hat, mit dem er die Einwilligung mit einem Klick widerruft. Ein gutes ATS sollte die Aufbewahrungsdauer automatisch überwachen und die Anonymisierung automatisieren.
Was ist die Einwilligung über das Auswahlverfahren hinaus und wie muss sie aussehen?
Es ist eine Einwilligung in die Verarbeitung personenbezogener Daten, mit der Sie den Kandidaten auch dann speichern wollen, wenn das konkrete Auswahlverfahren beendet ist, typischerweise im Talent-Pool. Sie muss freiwillig sein: Sie darf nicht vorangekreuzt sein, muss ein aktiver Schritt des Kandidaten sein und darf nicht als Bedingung für das Absenden des Formulars verpflichtend sein. Ein Sonderfall ist die Registrierung im firmeneigenen Talent-Pool über die Karriereseite, bei der der Kandidat nicht auf eine konkrete Stelle antwortet. Dort lässt sich das berechtigte Interesse nicht heranziehen, und ohne Einwilligung in die Verarbeitung personenbezogener Daten dürfen Sie die Daten nicht speichern.
Was soll nach der Anonymisierung eines Kandidaten im ATS übrig bleiben?
Die Anonymisierung sollte nicht restlos alles löschen, sondern nur die personenbezogenen Daten des Kandidaten. Das System sollte einen nicht personenbezogenen Rest der Informationen über die Bewerbung behalten: Aufzeichnungen, Notizen und die Quelle, von der der Kandidat geantwortet hat. Das dient der Analytik und dem Reporting, also wie viele Kandidaten sich beworben haben und aus welchen Quellen, und vor allem dem Nachweis einer negativen Tatsache. Nach der Anonymisierung können Sie zwar nicht mehr sagen, wen Sie hatten, aber aus dem verbliebenen Rest und den Zeitstempeln belegen Sie, dass der Kandidat zu einem bestimmten Datum den Widerruf der Einwilligung beantragt hat und die Anonymisierung erfolgt ist. Das ist nützlich, wenn sich ein Kandidat bei der zuständigen Datenschutzaufsichtsbehörde beschwert und Sie nachweisen müssen, dass Sie Ihre Pflichten erfüllt haben.