Datenschutz im Recruiting

Bewerbungsunterlagen enthalten eine Vielzahl an sensiblen Daten, die von Namen, Adressen und Geburtsdaten über Ausbildungshistorien und Informationen zu bisherigen Beschäftigungsverhältnissen bis hin zu möglichen Angaben zur Identifikation, Herkunft, Familie und besonderen Kategorien von personenbezogenen Daten wie Gewerkschaftszugehörigkeit, Schwerbehinderungen oder sonstigen Krankheiten reichen. Die Verarbeitungstätigkeit „Recruiting“ dürfte sich zudem in dem Verfahrensverzeuchnis eines jeden Verantwortlichen befinden. Es ist daher von größter Bedeutung, diese Informationen mit der gleichen Sorgfalt und Diskretion wie bei Mitarbeitenden zu behandeln.

Passend zu diesem für alle Verantwortlichen relevanten Thema hat der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat eine neue Orientierungshilfe mit dem Titel „Bewerberdatenschutz und Recruiting im Fokus“ veröffentlicht.

Der Leitfaden behandelt die zunehmende Bedeutung des Schutzes personenbezogener Daten im Bewerbungsprozess, insbesondere durch den Einsatz von KI. Das Positionspapier gibt einen umfassenden Überblick über aktuelle Entwicklungen und rechtliche Aspekte des Bewerberdatenschutzes, betont die Rechte von Bewerberund die Anforderungen an die Datenspeicherung in Talentpools sowie Background Checks.

Besonderes Augenmerk liegt auf den datenschutzrechtlichen Herausforderungen durch den Einsatz von KI im Bewerbungsverfahren, wie Lebenslaufparser und Emotionsanalysen. Während Emotionsanalysen als unzulässig gelten, können Lebenslaufparser unter bestimmten Bedingungen erlaubt sein. Der Einsatz von KI im Recruiting wird voraussichtlich zunehmen, was strenge Datenschutzmaßnahmen erfordert. Das Positionspapier dient Unternehmen und Behörden als Orientierung im Bewerbungsprozess.

Besonders hervorzuheben ist, dass in das Positionspapier die Ausiwrkungen des am 30. März 2023 vom der Europäischen Gerichtshof (EuGH) in der Rechtssache C-34/21 erlassenen Urteils eingearbeitet wurden. Diese Urteil hatte erhebliche Auswirkungen auf die zentrale Rechtsgrundlage des deutschen Beschäftigtendatenschutzes und warf Zweifel an der Konformität und damit der Anwendbarkeit des § 26 Abs. 1 Satz 1 BDSG in Bezug auf Datenverarbeitungen im Beschäftigtenkontext auf.

In einem Vorlagefall aus Hessen hatte sich der Gerichtshof mit der Frage befasst, inwiefern der dortige § 23 Hessisches Datenschutz- und Informationsfreiheitsgesetz („Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses“) Grundlage für die Durchführung von Videokonferenzen von Lehrer:innen sein kann. Im Ergebnis stellte der EuGH fest, dass § 23 HDSIG keine spezifischere Vorschrift im Sinne des Art. 88 Abs. 1 und 2 DS-GVO darstellt und somit dessen Anforderungen und denen der DS-GVO nicht genügt.

(Foto: insta_photos – stock.adobe.com)