In der Praxis wird die Frage „Darf ich Daten verarbeiten?“ oft vermischt mit der Frage „Was muss ich dem Bewerber sagen?“. Aus diesem Grund finden sich immer noch eine Vielzahl von Bewerberportalen im Netz, bei denen die Informationspflichten durch einen Einwilligungstext erfüllt werden sollen.
Dies ist falsch. Tatsächlich handelt es sich um zwei verschiedene Paar Schuhe.
Mit der DSGVO hat der Gesetzgeber die Informationspflichten präzisiert und umfassender geregelt. Die Auswirkungen hat jeder in der Zeit um das Inkrafttreten der DSGVO bemerkt. Zahlreiche E-Mails haben seitenlange Datenschutzerklärungen an die Nutzer gebracht.
Aufgrund der Informationspflichten muss der Verantwortliche den Betroffenen in einfacher Sprache erklären, was er mit den personenbezogenen Daten macht.
Diese Pflicht greift unabhängig davon, ob der die personenbezogenen Daten unmittelbar beim Betroffenen selbst oder bei einem Dritten (z.B. einem Headhunter oder einem sozialen Netzwerk) erhebt. In beiden Fällen muss der Verantwortliche den Betroffenen informieren.
Im Rahmen der Informationspflichten muss der Verantwortliche den Betroffenen unter anderem darüber informieren
-
wer die Daten verarbeitet,
-
wie der Datenschutzbeauftragte zu erreichen ist,
-
für welche Zwecke die Daten verarbeitet werden und auf welcher Rechtsgrundlage dies geschieht,
-
an wen die personenbezogenen Daten weitergegeben werden,
-
ob die personenbezogenen Daten an Empfänger außerhalb der EU/EWR übermittelt werden,
-
wie lange die personenbezogenen Daten gespeichert werden,
-
ob der Betroffene verpflichtet ist, die personenbezogenen Daten preiszugeben und
-
welche Rechte der Betroffene hat.
Erhebt der Verantwortliche die Daten nicht unmittelbar beim Betroffenen, muss er ebenfalls darüber informieren, aus welchen Quellen er die personenbezogenen Daten erhalten hat.
Arbeitgeber müssen den Betroffenen im Zeitpunkt der Datenerhebung informieren. Erhebt ein Unternehmen die Daten von einem Dritten, muss die Information innerhalb eines Monats erfolgen. Dies gilt unabhängig davon, ob ich als Recruiter ein Online-Karriereportal betreibe oder die Daten offline erhebe.
In jedem der vorgenannten Fälle muss der Bewerber informiert werden. In einem Online-Karriereportal lassen sich die Informationspflichten regelmäßig unter dem Reiter „Datenschutz“ darstellen.
Bei Bewerbungen via E-Mail oder Postbrief müssen Sie die Informationen proaktiv übersenden. Hier empfiehlt es sich, dies gemeinsam mit der Eingangsbestätigung zu tun.
Der Recruiting Prozess muss also in der Weise aufgesetzt werden, dass die Information des Bewerbers immer der erste Schritt sind.
Wichtig ist jedoch, dass diese Informationen keine Aussage darüber treffen, ob die personenbezogenen Daten tatsächlich verarbeitet werden dürfen. Dies ist bereits vorher zu klären. Die Information allein berechtigt also nicht zur Datenverarbeitung. Es versteht sich von selbst, dass die in der Datenschutzerklärung dargestellten Vorgänge datenschutzrechtlich zulässig sein müssen.
Besondere Probleme bereiten die Informationspflichten beim Active Sourcing, also dem Suchen nach geeigneten Bewerbern in sozialen Netzwerken oder anderen öffentlich zugänglichen Quellen.
Neueste Kommentare