Welche Gesetze gilt es einzuhalten?
Um den Datenschutz in der Rekrutierung einzuhalten, sind nationale und internationale Rechtsvorschriften zu beachten. Dazu zählt in der Schweiz insbesondere das Schweizer Bundesgesetz über den Datenschutz (DSG). Je nach Organisation und Sachverhalt können zusätzlich nationale, kantonale oder internationale Bestimmungen gelten.
In der EU ist die Datenschutz-Grundverordnung (DSGVO) seit 25. Mai 2018 in Kraft. Das Gesetz regelt die Verarbeitung von personenbezogenen Daten, aber auch den Datenverkehr innerhalb der Europäischen Union. Je nach Tätigkeit und internationaler Ausrichtung kann daher zusätzlich die DSGVO der EU anwendbar sein.
Datenschutz in der Rekrutierung - aber wie?
Im Folgenden erhalten Sie einen Überblick über den Einfluss des Schweizerischen DSG anhand des Rekrutierungsprozesses.
1. Planung
Bereits bei der Planung des Rekrutierungsprozesses beginnen die datenschutzrelevanten Verpflichtungen.
Stand der Technik
Die Verantwortlichen sind z.B. dazu angehalten, die Datenbearbeitung technisch und organisatorisch so zu gestalten, dass die Datenschutzvorschriften eingehalten werden. Diese Massnahmen sollen dem Stand der Technik entsprechen.
Datenschutz-Folgenabschätzung
Eine Datenschutz Folgenabschätzung ist erforderlich, wenn die geplante Datenbearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt. Ob ein solches Risiko vorliegt, hängt insbesondere von Art, Umfang, Umständen und Zweck der Bearbeitung ab. Bei sensiblen Datenbearbeitungen wie umfangreichen Persönlichkeitsanalysen sollte deshalb geprüft werden, ob eine Datenschutz Folgenabschätzung erforderlich ist.
2. Bewerbung
Bitte berücksichtigen Sie bei der Bewerbung bzw. dem Bewerbungseingang folgende Punkte:
Informationspflicht
Bei der Bewerbung sollte die Informationspflicht beachtet werden. Dies bedeutet, dass die Bewerbenden informiert werden müssen, dass ihre Daten bearbeitet werden. Dazu gehören z.B. die Identität und die Kontaktangaben des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfänger*innen von Personendaten. Dieser Pflicht kann am einfachsten via eine Datenschutzerklärung nachgekommen werden.
Die Informationspflicht besteht unabhängig davon, ob die Bewerbung per Post, E-Mail, über ein öffentliches Jobportal, die eigene Website oder eine Bewerbermanagement-Software erfolgt.
Datenminimierung oder -sparsamkeit
Darüber hinaus ist darauf zu achten, dass nur die Daten erhoben werden, die für die zu besetzende Stelle notwendig sind. Hier spricht man von Datenminimierung oder – sparsamkeit. Dieser Grundsatz wirkt sich v.a. auf das Bewerbungsformular aus, welches nur die wirklich benötigten Daten vom Bewerbenden abfragen sollte.
3. Bearbeitung
Um den Datenschutz in der Rekrutierung einzuhalten, spielen während der Bearbeitung von Dossiers folgende Grundsätze eine wichtige Rolle:
Datensicherheit
Die Datensicherheit muss gewährleistet sein. Die Daten von Personen müssen durch angemessene organisatorische sowie technische Massnahmen vor dem unbefugten Bearbeiten und Zugreifen geschützt werden. Hier sind Zugriffs- und Berechtigungskonzepte wichtig. Der Zugriff sollte auch innerhalb des Unternehmens auf die Personen beschränkt sein, welche für den Rekrutierungsprozess verantwortlich sind bzw. an den Entscheidungen beteiligt sind.
Verzeichnispflicht
Verantwortliche müssen ein Verzeichnis über sämtliche Datenbearbeitungen führen. Der Bundesrat hat jedoch in der Verordnung zum DSG eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden erlassen, wenn weder besonders schützenswerte Daten im grossen Umfang bearbeitet werden, noch Profiling mit erhöhtem Risiko durchgeführt wird.
Auskunftsrecht
Betroffene Personen haben das Recht, Auskunft über die bearbeiteten Daten zu verlangen. Das revDSG enthält eine erweiterte Liste mit Mindestinformationen, die herausgegeben werden müssen. Dazu gehört beispielsweise auch die Aufbewahrungsdauer der Daten. Das Auskunftsrecht ist grundsätzlich kostenlos und hat in der Regel innerhalb von 30 Tagen zu erfolgen.
Profiling
Neu im Gesetz verankert wurde das Profiling. Es hat einen grossen Einfluss auf die Rekrutierung. Beim Profiling werden Personendaten automatisiert verarbeitet, um bestimmte persönliche Aspekte einer Person zu bewerten oder vorherzusagen. Im Recruiting können beispielsweise automatisierte Analyse- und Bewertungsverfahren darunterfallen. Bei Profiling mit hohem Risiko ist grundsätzlich eine Datenschutz Folgenabschätzung erforderlich.
Referenzauskünfte
Referenzauskünfte dürfen grundsätzlich nur mit vorgängiger Zustimmung der Bewerber*innen eingeholt werden. Dabei dürfen nur Informationen erhoben werden, die für die betreffende Stelle relevant sind.
Automatisierte Einzelentscheidung
Beruht eine Entscheidung im Bewerbungsprozess ausschliesslich auf einer automatisierten Bearbeitung und ist sie für Bewerber*innen mit einer Rechtsfolge verbunden oder beeinträchtigt sie diese erheblich, müssen die betroffenen Personen darüber informiert werden. Sie können zudem verlangen, ihren Standpunkt darzulegen und die Entscheidung durch eine natürliche Person überprüfen zu lassen.
4. Datenaufbewahrung
Beim Datenschutz in der Rekrutierung kommt bei der Aufbewahrung der Daten DSG Art. 6 Abs. 4 zum Zug, welcher besagt: „Sie [Personendaten] werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.“
Anonymisierung oder Löschung: Personendaten dürfen grundsätzlich nur so lange gespeichert werden, wie sie für den festgelegten Bearbeitungszweck benötigt werden. Sind sie dafür nicht mehr erforderlich und besteht weder eine gesetzliche Aufbewahrungspflicht noch ein anderer Rechtfertigungsgrund, müssen sie gelöscht beziehungsweise vernichtet oder anonymisiert werden.
Gemäss dem EDÖB dürfen Bewerbungsdaten nach einer Absage in der Regel bis zu drei Monate aufbewahrt werden. Dies ermöglicht Arbeitgeber*innen, sich gegen mögliche Ansprüche wegen einer diskriminierenden Nichtanstellung zu verteidigen. In Einzelfällen kann eine Verlängerung um einige Wochen gerechtfertigt sein.
Für eine längere Aufbewahrung im Talentpool sollte eine separate, freiwillige Einwilligung mit einer klar festgelegten Aufbewahrungsdauer eingeholt werden.
Wollen Sie datenschutzkonform rekrutieren? Dualoo unterstützt Sie dabei.
Fazit
Ein datenschutzkonformes E-Recruiting ist unerlässlich, um die gesetzlichen Anforderungen der DSGVO und des DSG zu erfüllen. Unternehmen müssen Transparenz, Datensicherheit und die Rechte der Bewerbenden sicherstellen. Durch die Berücksichtigung von Datenschutz in der Rekrutierung können Sie das Vertrauen der Bewerbenden stärken und rechtliche Risiken minimieren.
All diese Informationen und noch einige mehr finden Sie auch in der Aufnahme des Webinars «Datenschutz im Recruiting».
Rechtlicher Hinweis: Die Inhalte dieses Artikels dienen der allgemeinen Information und stellen keine Rechtsberatung dar. Trotz sorgfältiger Recherche können wir keine Gewähr für die Vollständigkeit, Richtigkeit oder Aktualität der Angaben übernehmen. Bei rechtlichen Fragen oder Unklarheiten empfehlen wir, eine qualifizierte Rechtsberatung hinzuzuziehen.
Fragen & Antworten: Datenschutz in der Rekrutierung
Warum ist Datenschutz in der Rekrutierung wichtig?
Datenschutz schützt Bewerberdaten, stärkt das Vertrauen und stellt die Einhaltung gesetzlicher Vorgaben wie DSG oder DSGVO sicher. So werden rechtliche Risiken minimiert und ein professioneller Eindruck vermittelt.
Wer darf Bewerberdaten einsehen?
Nur autorisierte Personen wie HR-Verantwortliche und zuständige Führungskräfte dürfen Bewerberdaten einsehen. Die Einsicht muss auf den Bewerbungsprozess beschränkt und datenschutzkonform geregelt sein.
Welche Bewerber*innen-Daten dürfen gespeichert werden?
Arbeitgeber*innen dürfen nur Personendaten bearbeiten, die zur Beurteilung der Eignung für die konkrete Stelle erforderlich sind. Dazu gehören insbesondere Kontaktdaten, Lebenslauf und relevante Qualifikationen.
Wie lange dürfen Bewerber*innen-Daten aufbewahrt werden?
Bewerbungsdaten dürfen nur so lange gespeichert werden, wie sie für den jeweiligen Zweck benötigt werden. Nach einer Absage können sie gemäss EDÖB in der Regel bis zu drei Monate aufbewahrt werden. Für eine längere Speicherung, etwa im Talentpool, sollte die Zustimmung der Bewerber*innen eingeholt werden.
