FAQ des Bundesverbandes Deutscher Unternehmensberatungen (BDU) zur Datenschutzgrundverordnung (DSGVO) in der Personalberatung.
„Personalberatung“ ist die beratende Unterstützung eines Auftraggebers bei dessen Suche nach qualifizierten Mitarbeitern als Fach- und Führungskräfte. Im Rahmen des Such- und Auswahlprozesses muss ein Personalberater die objektive und subjektive Eignung von Bewerbern prüfen. Insbesondere bei Führungskräften umfasst das auch die charakterliche Eignung hinsichtlich deren weiterer beruflichen Entwicklung im Unternehmen des Auftraggebers. Im Rahmen einer Personalberatung stellen sich auch Fragen des Datenschutzes.
1. Datenerhebung bei Beginn der Suche nach Kandidaten
Frage: Welche Daten erhebt eine Personalberatung, wenn sie beispielsweise in sozialen Netzwerken wie LinkedIn oder XING „auf die Suche“ nach geeigneten Kandidaten und Kandidatinnen geht?
Antwort: Die Mandatierung von Personalberatungen erfolgt – als Personalsache – unter dem Siegel strikter Verschwiegenheit (vgl. OLG Frankfurt, Urteil vom 08.05.2014 - 16 U 175/13, Rn. 37). Im Rahmen der vertraulichen Recherche werden freiwillig veröffentlichte personenbezogene Daten (z.B. Vor- und Zuname, gegenwärtige berufliche Position, eMail, Telefon) von möglichen Kandidaten aus dem Internet (LinkedIn, Xing, Fachbeiträgen, Blogs etc.) oder anderer offener Quellen (Messen, Seminare, Empfehlungen von Kollegen) verarbeitet. Ziel ist, sie später mit dem Angebot eines Jobwechsels anzusprechen. Die Verarbeitung dieser Daten ist nach Art. 6 Abs. 1 Buchst. f) DSGVO erlaubt. Denn Erwartungshaltung von Auftraggebern und Geschäftszweck einer Personalberatung ist der sehr zügige Beginn von Beratungen, also insbesondere die rasche Ansprache möglicher geeigneter Kandidaten in den Projekten. Auch ist zu bedenken, dass die Ansprache eines möglichen Kandidaten für Jobangebote durch eine Personalberatung in dessen grundgesetzlich geschütztem Interesse liegt (Art. 12 GG Berufsfreiheit - vgl. BGH, vom 4. 3. 2004 – I ZR 221/01, Rn. 25). Eine Einwilligung zur Speicherung ist hier daher (noch) nicht nötig. Über die Datenerhebung muss nach § 29 Abs. 1 S. 1 BDSG auch nicht informiert werden, wenn – was die Regel darstellen wird – das Suchmandat der Verschwiegenheit unterliegt.
2. Datenerhebung nach der Ansprache des Kandidaten
Frage: Welche Pflichten hat die Personalberatung nach Ansprache einer Kandidatin oder eines Kandidaten?
Antwort: Die insbesondere telefonische Ansprache von Kandidaten durch einen Personalberater ist wettbewerbsrechtlich zulässig (ständige Rechtsprechung, zuletzt OLG Frankfurt, Urteil vom 9. August 2018 - 6 U 51/18, Buchst. 2 a). Äußert ein angesprochener Kandidat ausdrücklich sein Interesse an einer Fortsetzung des Gesprächs mit der Personalberatung, entsteht ein rechtsgeschäftsähnliches Verhältnis miteinander: Nämlich die mögliche Bewerbung auf die von der Beratung zu besetzende Stelle. Daten, die der Bewerber der Beratung übermittelt, zum Beispiel ein mündlich geäußertes grundsätzliches Wechselinteresse, dürfen daher nach Art. 6 Abs. 1 Buchst. b) DSGVO verarbeitet werden. Der Bewerber ist zum ersten Zeitpunkt der Datenerhebung nach Art. 13 DSGVO über den Verantwortlichen, Zwecke der Datenverarbeitung, etc. zu informieren. Diese Information erfolgt in verständlicher Form, am besten per eMail, falls der Betroffene dieses wünscht, auch mündlich mit Verweis auf die Datenschutzerklärung der Personalberatung (die mündliche Informationserteilung ist in jedem Fall entsprechend zu dokumentieren, um den Rechenschaftspflichten der DSGVO zu genügen). Hat der Bewerber beim Erstkontakt zwar kein Interesse an dem konkreten Jobangebot, aber Interesse an möglichen anderen Angeboten in der Zukunft, dürfen seine Daten nach Einholung einer Einwilligung gemäß Art. 6 Abs. 1 Buchst. a) DSGVO verarbeitet werden; die Einwilligung sollte nach Abschluss des konkreten Projekts eingeholt werden (erfolgt sie früher, muss ein ausdrücklicher Hinweis erfolgen, dass auch eine Verneinung der Einwilligung zur Verarbeitung keinerlei Auswirkungen auf die laufende Bewerbung hat); auch in diesem Fall erfolgt ein ausdrücklicher Hinweis auf die Datenschutzerklärung gemäß Art. 13 DSGVO. Hat der Bewerber hingegen grundsätzlich kein Interesse an der Zusammenarbeit mit dem Personalberater, müssen alle Daten gelöscht werden; davon ausgenommen können sein: Vor- und Zuname und – soweit frei verfügbar – aktuelle und ggf. vorherige Arbeitgeber, damit eine erneute Ansprache, die wettbewerbsrechtlich unzulässig sein könnte, ausgeschlossen wird. Auch über diese Form der Datenverarbeitung wird der Betroffene mündlich gemäß Art. 13 DSGVO informiert und dieses und entsprechend dokumentiert; auf Wunsch des Betroffenen wird diese Information auch per eMail versandt.
3. Datenschutz und Information des Auftraggebers
Frage: Was darf der Auftraggeber der Personalberatung eigentlich über den laufenden Projektstand wissen?
Antwort: In einem laufenden Projekt sind Anfragen des Auftraggebers zum Stand des Projekts nach allgemeinem Vertragsrecht grundsätzlich berechtigt. Ist dem Bewerber der Name des konkreten Auftraggebers noch nicht bekannt, werden Rückfragen des Auftraggebers zum Projektstand in Bezug auf diese Bewerberdaten anonymisiert beantwortet (mögliches zulässiges Format: „Kandidat 1, Firma: Mittelstand – kein Interesse: Gehalt zu gering“). Eine Weiterleitung von Unterlagen oder Kandidatenberichten an Personen und Stellen, die seitens des Auftraggebers unmittelbar in den Einstellungsprozess involviert sind, erfolgt erst, wenn das entsprechende Unternehmen dem Kandidaten namentlich bekannt und dieser mit der Weiterleitung einverstanden ist.
4. Datenschutz im laufenden Bewerbungsverfahren
Frage: Welche Rechte und Pflichten bestehen für die Personalberatung im laufenden Bewerbungsverfahren?
Antwort: Liegt ein Einverständnis des Bewerbers in das weitere Verfahren vor, muss die Beratung die objektiven und subjektiven Anforderungen an die Stelle abgleichen. Die datenschutzrechtliche Zulässigkeit der Prüfungs- und Fragetiefe richtet sich nach Art. 6 Abs. 1 Buchst. b) DSGVO. Die Beratung ist zivilrechtlich zu einer sorgfältigen Prüfung des Bewerbers verpflichtet (vgl. LG Stuttgart, Urteil vom 7. Juli 2004, Seite 4f.). Im Rahmen des Bewerbungsverfahrens muss sich die Personalberatung in Gesprächen und Interviews ein Bild von der fachlichen und persönlichen Eignung des Bewerbers machen. Das umfasst die Verarbeitung personenbezogener Daten aus Unterlagen wie Anschreiben, Lebenslauf, Referenzen, Zeugnisse, Bestätigungen von Weiterbildungen, aber auch Informationen aus Interviews zu Wechselmotivation, Umzugsbereitschaft, Gehalt, persönlichen Fähigkeiten, bisheriger Berufserfahrung, Kündigungsfristen etc. Auch diagnostische Testverfahren können angewendet werden (so ausdrücklich die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, in: Datenschutz und Informationsfreiheit, 23. Bericht 2017, Seite 53). Gespräche können – insbesondere in Zeiten der Pandemie – auch über eine Videokonferenz erfolgen, wenngleich – soweit möglich – auch stets ein persönliches Gespräch sehr wichtig ist. Sollte ein Videoformat genutzt werden, ist eine Aufzeichnung per Video ausgeschlossen. Zulässig sind dann Live-Video-Interviews, wenn der Softwareanbieter DSGVO-konform, ein persönliches Gespräch insbesondere aus logistischen oder pandemiebedingten Gründen nicht praktikabel ist oder der Bewerber dieses wünscht. Eine Weigerung des Kandidaten, ein vertieftes Gespräch über die Position per Video zu führen, sollte nicht zum Ausschluss aus dem Bewerbungsverfahren führen.
5. Datenschutz nach Absage gegenüber dem Bewerber
Frage: Welche Pflichten bestehen bei einer Absage gegenüber dem Bewerber oder der Bewerberin?
Antwort: Wird dem Kandidaten im Laufe des Such- und Auswahlprozesses abgesagt, dürfen seine Unterlagen bis etwa sechs Monate nach Projektende gespeichert werden, da erst danach nicht mehr mit Ansprüchen nach dem AGG gegen den Auftraggeber zu rechnen ist.
Personalberatungen beraten je nach Größe und Spezialisierung bis zu mehrere Dutzend Auftraggeber, auch langfristig. Mandate für spezielle Positionen werden daher in wiederkehrenden Abständen, oft sogar von mehreren Jahren vergeben. Die Personalberatung benötigt für eine schnelle Besetzung daher eine Datenbank mit grundsätzlich wechselbereiten Kandidaten. Es empfiehlt sich für die Personalberatung, Kandidaten, denen zwar in einem Projekt abgesagt wurde, dennoch anzubieten, in dieser Datenbank gespeichert zu werden. Dafür muss vom Kandidaten eine Einwilligung eingeholt werden. Sie sollte mit bzw. unmittelbar nach Abschluss des Projekts und Absage an den Kandidaten eingeholt werden. Auch bei Interesse an einem aktuellen oder zukünftigen Jobwechsel ist die Weitergabe der Daten von Kandidaten an einen Auftraggeber nur mit Wissen und Wollen des Bewerbers zulässig.
Bewerbern, die eine Einwilligung in die Speicherung ihrer Daten über das aktuelle Projekt hinaus zustimmen, ist bekannt, dass erneute Ansprachen auch erst mittelfristig erfolgen können; sie erwarten keine Ansprache ausschließlich in kurzfristigen Zeiträumen. Die „Verfallsdauer“ einer Einwilligung kann daher – je nach Einzelfall – auch länger reichen. Gibt es jedoch über längere Zeit keinerlei Kontakt zum Kandidaten, auch nicht zum Beispiel mit Weihnachts- oder Geburtstagsgrüßen oder anderen Informationen, die das Bewusstsein der Speicherung aufrechterhalten, empfiehlt sich, die Einwilligung nach fünf Jahren zu erneuern.
6. Datenspeicherung nach Projektende ohne Einwilligung des Bewerbers & Löschung
Frage: Was passiert mit Bewerberdaten nach Ende des Suchprojekts?
Antwort: Wird seitens des Kandidaten keine Einwilligung nach Abschluss des Projekts für eine Datenspeicherung darüber hinaus erteilt und endet die o.g. AGG-Frist, ist eine weitere Speicherung nur in engen Grenzen zulässig.
- Unterlagen von Kandidaten, die beim Auftraggeber vor- und eingestellt wurden, dürfen für drei Jahre gespeichert werden, denn erst danach endet die zivilrechtliche Verjährungsfrist im Falle eines Innenregresses durch den Auftraggeber. In diesem Zusammenhang ist zu bedenken, dass es eine Tendenz der Zunahme von Manipulationen von Lebensläufen durch Kandidaten gibt (vgl. Berliner Morgenpost vom 20. November 2018, „Darum werden Lebensläufe immer häufiger manipuliert“), die eine spätere Inanspruchnahme durch den Auftraggeber nicht fernliegend erscheinen lassen.
- Unterlagen von Kandidaten, die beim Auftraggeber vorgestellt, aber nicht eingestellt wurden, können ebenfalls für drei Jahre (Verjährung) gespeichert werden. Denn für den Personalberater sind sog. Finders Fee Ansprüche gegen den Auftraggeber denkbar. Das sind Fälle, in denen zwar vorgestellte Kandidaten nicht sofort eingestellt werden, sondern erst längere Zeit nach Abschluss des Mandats, sogar ohne Wissen des Personalberaters.
- Führt der Personalberater zugleich auch Tätigkeiten eines Personalvermittlers durch, müssen diese Unterlagen, z.B. ein interner Bericht über Kandidaten, gemäß § 298 SGB III für drei Jahre gespeichert werden.
- Unterlagen mit steuerlicher Relevanz, z.B. Abschlussrechnungen, Gewährleistungsunterlagen, dürfen 10 bzw. 6 Jahre gespeichert werden (§§ 147 Abs. 3 AO, 257 Abs. 4 HGB).
- Unterlagen, die rechtmäßig länger gespeichert werden dürfen, sollten allerdings einem beschränkten Zugriffsrecht innerhalb des Unternehmens unterliegen. Beispielsweise sind Unterlagen mit steuerlicher Relevanz nur für diese Zwecke zu verwahren, ohne Zugriff im Tagesgeschäft.
Besteht keine Befugnis mehr zur weiteren Speicherung, müssen grundsätzlich alle Daten gelöscht werden, auch auf mobilen Endgeräten oder in der Datensicherung. Davon ausgenommen sind mindestens Vor- und Zuname, um eine Wiederholung der Ansprache zu vermeiden: Denn das wiederholte Ansprechen nichtwechselbereiter Mitarbeiter kann eine wettbewerbswidrige Handlung zu Lasten des Arbeitgebers des Angesprochenen darstellen.
7. Auskunftsanspruch des Bewerbers
Frage: Welche Auskunftsrechte haben Bewerber?
Antwort: Der Betroffene hat grundsätzlich zu jedem Zeitpunkt einen Anspruch auf Auskunft über seine Daten, auch nach Projektende. Dieser Anspruch besteht aber nicht schrankenlos: So können Dritte ein Interesse daran haben, dass ihr Name nicht im Zusammenhang mit bestimmten Vorgängen genannt wird (so Däubler/Wedde/Weichert/Sommer, DSGVO, § 15 Rn. 30). Auch Geschäftsgeheimnisse einer Personalberatung fallen hierunter (so ausdrücklich Plath, DSGVO, Art. 15, Rn. 20).
Der Anspruch aus Art. 15 DSGVO soll sicherstellen, dass der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Von der Auskunftsverpflichtung erfasst sind daher alle Daten wie Namen oder Geburtsdatum genauso wie jegliche Merkmale, die eine Identifizierbarkeit einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer usw., nicht jedoch interne Vorgänge der Beratung, wie etwa Vermerke, sämtlicher gewechselter Schriftverkehr, der dem Betroffenen bereits bekannt ist, oder rechtliche Bewertungen oder Analysen (vgl. LG Köln, Teilurteil vom 18. März 2019 - 26 O 25/18; LG Köln, Urteil vom 19. Juni2019 - 26 S 13/18, AG München, Teilurteil v. 4. September 2019 – 155 C 1510/18). Der Anspruch nach Art. 15 DSGVO ist kein allgemeines Akteneinsichtsrecht. Mit dem Recht auf Auskunft sollen ausschließlich Datenschutzziele verfolgt werden; dieses Recht soll nicht zur Sammlung von Beweisen für andere bestehende Konflikte dienen (vgl. 9. Tätigkeitsbericht 2019 des Bayerischen Landesamts für Datenschutzaufsicht, S. 27, ttps://www.lda.bayern.de/media/baylda_report_09.pdf).
8. Unanwendbarkeit der DSGVO
Frage: Wann ist die DSGVO – und damit der Auskunftsanspruch nach Art. 15 DSGVO – unanwendbar?
Antwort: Die DSGVO ist unanwendbar, wenn personenbezogene Daten aus dem Projekt zwar in der IT gespeichert, aber anonymisiert werden und somit eine Recherche nach Namen technisch nicht mehr – auch nicht durch Wiederherstellung – möglich ist. Die DSGVO gilt auch nicht für „Akten oder Aktensammlungen, die nicht nach bestimmten Kriterien geordnet sind“ (DSGVO-Erwägungsgrund 15, Satz 2) oder für einzelne Notizen, etwa in Kladden – sofern sie nicht später einsortiert oder erfasst werden sollen (vgl. Datenschutzrecht für öffentliche Stellen, Innenministerium Sachsen 2018, S. 10). Diese Informationen fallen nicht unter den Dateibegriff der DSGVO und sind daher zum Beispiel von der Löschungspflicht ausgenommen.
9. Auftragsdaten
Frage: Ist eine Personalberatung ein Auftragsdatenverarbeiter?
Antwort: Nein. Denn die Personalberatung verarbeitet keine Daten auf Weisung, unter Kontrolle oder für Zwecke des Auftraggebers, wie es Art. 28 DSGVO voraussetzen würde (vgl. FAQ zur DS-GVO des Bayerischen Landesamts für Datenschutzaufsicht zur Auftragsverarbeitung, S. 2 https://www.lda.bayern.de/media/FAQ_Abgrenzung_Auftragsverarbeitung.pdf ). Die beteiligten Unternehmen müssen ihre (beabsichtigte) Verarbeitung der personenbezogenen Daten eigenständig auf ihre Rechtmäßigkeit überprüfen.
*(Alle Angaben ohne Gewähr)