Das Personalwesen ist die Abteilung eines Unternehmens, die am meisten personenbezogene Daten verarbeitet: Lebensläufe, Identitätsdaten, Gesundheitsberichte, Bankkonten, Leistungsbewertungen. Die meisten dieser Daten fallen unter die Datenschutz-Grundverordnung (DSGVO) und einige gelten als "besondere Kategorien personenbezogener Daten", die einem strengeren Schutz unterliegen. Dieser Artikel ist für HR-Teams gedacht, die den Kern der Sache verstehen möchten, ohne juristische Texte lesen zu müssen.
Hinweis: Dieser Inhalt dient allgemeinen Informationszwecken und ersetzt keine rechtliche Beratung. Wenden Sie sich für unternehmensspezifische Angelegenheiten an Ihren Rechtsberater.
Welche Daten werden im Personalwesen verarbeitet?
- Identität und Kontakt: Name, Personalausweisnummer, Adresse, Telefon, E-Mail.
- Personalakte: Vertrag, Gehalt, Sozialversicherungsdaten, Urlaubsaufzeichnungen.
- Bildung und Berufserfahrung: Diplom, Zertifikate, Referenzen, Lebenslauf-Inhalte.
- Besondere Kategorien: Gesundheitsbericht, Behinderungsstatus, Strafregister, Gewerkschaftsmitgliedschaft, biometrische Daten (einschließlich Fingerabdrucksysteme).
Besondere Kategorien von Daten sind ein kritischer Punkt: Ihre Verarbeitung erfordert in der Regel eine ausdrückliche Einwilligung und kann nur unter den im Gesetz genannten Ausnahmen aufbewahrt werden. Beispielsweise ist es in der Regel nicht vertretbar, im Einstellungsverfahren einen Gesundheitsbericht oder ein Führungszeugnis zu verlangen, es sei denn, es handelt sich um eine positionsspezifische Ausnahme.
Rechtliche Grundlage: Für alles eine Einwilligung einzuholen, ist falsch
Ein häufiger Irrtum ist, dass für alle Datenverarbeitungsaktivitäten die Einwilligung des Mitarbeiters eingeholt werden muss. Tatsächlich fallen die für den Abschluss und die Erfüllung des Arbeitsvertrags erforderlichen Daten und gesetzlich vorgeschriebene Mitteilungen unter andere rechtliche Grundlagen als die Einwilligung. Zudem ist es schwierig zu argumentieren, dass die Einwilligung im Verhältnis zwischen Arbeitnehmer und Arbeitgeber "freiwillig" erteilt wurde; daher sind auf Einwilligung basierende Prozesse in der Prüfung anfälliger.
Im Gegensatz dazu erfordern nicht notwendige Verwendungen für das Arbeitsverhältnis eine ausdrückliche Einwilligung. Typische Beispiele: die Weitergabe des Lebenslaufs eines Bewerbers an andere Unternehmen, die Veröffentlichung eines Mitarbeiterfotos auf der Website, die spätere Nutzung von Daten, die im Einstellungsverfahren gesammelt wurden, für andere Zwecke.
Wie lange dürfen Bewerber-CVs aufbewahrt werden?
Das Gesetz gibt keine feste Frist vor; das Kriterium ist das Ende des Zwecks der Datenverarbeitung. Wenn die beworbene Position geschlossen ist, endet auch der Zweck. Wenn Sie den Lebenslauf in einem Pool für zukünftige Bewertungen aufbewahren möchten, ist dies ein separater Zweck und Sie müssen den Bewerber informieren und seine Einwilligung einholen. In der Praxis wird folgender Ansatz als angemessen angesehen:
- Im Bewerbungsprozess: bis zur Besetzung der Position.
- Aufbewahrung im Pool: mit ausdrücklicher Einwilligung des Bewerbers und für einen bestimmten Zeitraum (üblich sind 1-2 Jahre), automatische Löschung nach Ablauf.
- Bei Widerruf der Einwilligung: unverzügliche Löschung und Information des Bewerbers.
Wann entsteht die Informationspflicht?
Vor der Erhebung der Daten. Das bedeutet, dass der Bewerber, bevor er das Bewerbungsformular ausfüllt, wissen muss, wer welche Daten zu welchem Zweck und aus welchem rechtlichen Grund verarbeitet und welche Rechte er hat. Das Informationsblatt und die Einwilligungserklärung sind separate Dokumente; die Kombination in einem einzigen Kontrollkästchen macht die Einwilligung ungültig.
Checkliste für HR-Teams zur DSGVO-Konformität
- Sind separate Informationsblätter für Bewerber und Mitarbeiter vorbereitet?
- Werden die Einwilligungen für erforderliche Prozesse separat eingeholt (keine Sammelgenehmigung in einem Kästchen)?
- Wurde ein Dateninventar erstellt (welche Daten, wo, wie lange)?
- Sind Aufbewahrungsfristen definiert und wird die Löschung nach Ablauf durchgeführt?
- Ist der Zugang zu HR-Ordnern rollenbasiert eingeschränkt? Gibt es einen gemeinsamen Ordner, auf den alle zugreifen können?
- Wurde ein Vertrag mit den verwendeten Softwareanbietern zur Datenverarbeitung abgeschlossen?
- Wer meldet im Falle eines Datenverstoßes was, innerhalb welcher Frist und an wen — schriftlich?
- Werden besondere Kategorien von Daten separat und an einem stärker eingeschränkten Ort aufbewahrt?
- Ist definiert, was mit den Daten eines ausgeschiedenen Mitarbeiters geschieht?
- Gibt es einen Prozess zur Beantwortung von Anfragen der Mitarbeiter (Zugriff, Löschung)?
Die drei häufigsten Fehler
- Lebensläufe bleiben unbegrenzt im gemeinsamen E-Mail-Postfach: Löschung ist nicht möglich, Zugriff kann nicht eingeschränkt werden, Nachverfolgung, wer sie gesehen hat, ist nicht möglich.
- Sammelgenehmigung in einem Kontrollkästchen: Wenn Information, Einwilligung und elektronische Kommunikationserlaubnis in einem Kästchen kombiniert werden, ist keine davon gültig.
- Keine Reaktion auf den Widerruf der Einwilligung: Wenn die Daten eines Bewerbers, der seine Einwilligung widerruft, im System weiterhin auffindbar sind, bleibt die Konformität nur auf dem Papier.
Diese drei Punkte systemseitig zu lösen, ist sicherer als das Schreiben von Verfahren. Im CV-Pool von ProCvLab können Unternehmen nur Bewerber sehen, die eine ausdrückliche Einwilligung zur Weitergabe erteilt haben; bei Widerruf der Einwilligung wird der Datensatz automatisch aus dem Pool entfernt. Die aus Ihren eigenen Bewerbungen bestehende CV-Datenbank ist unternehmensspezifisch und nicht extern zugänglich.
Nächster Schritt: Wir veröffentlichen unsere eigenen Informationsblätter auf unserer DSGVO-Informationsseite; Sie können diese als Strukturhilfe beim Erstellen Ihrer eigenen Dokumente verwenden.