Kurzbeitrag : Praxisfälle zum Datenschutzrecht IV: Musterfalllösungen zur Personalarbeit in Zeiten der Digitalisierung : aus der RDV 2/2020, Seite 83 bis 87
I. Sachverhalt
In einem Gespräch mit einem Mitarbeiter der Personalabteilung erfährt der Datenschutzbeauftragte (DSB), dass im Rahmen von Bewerbungsverfahren regelmäßig Informationen über die potenziellen Mitarbeiter/innen im Internet eingeholt werden. In diesem Zusammenhang wird zunächst eine „Google-Recherche“ durchgeführt. Des Weiteren werden eventuell vorhandene Profile in den Netzwerken XING und Facebook gelesen.
Geprüft werden soll insbesondere, ob die dortige Selbstdarstellung mit derjenigen aus dem Lebenslauf bzw. Vorstellungsgespräch übereinstimmt. Muss der DSB die beschriebene Vorgehensweise der Personalabteilung beanstanden?
Im weiteren Verlauf des Gesprächs erfährt der DSB, dass die Vorstellungsgespräche zum Teil via Videochat durchgeführt und für eine spätere Auswertung gespeichert werden. Dadurch sollen Reisekosten eingespart und auch weiter entfernt wohnenden Bewerbern/Bewerberinnen ein zeitnahes Vorstellungsgespräch ermöglicht werden. Genutzt werden dafür handelsübliche Videochatprogramme. Muss der DSB die Videointerviews beanstanden?
II. Musterfalllösung
1. Zulässigkeit von Internetrecherchen über Bewerber/innen
Es ist unbestreitbar, dass es sich bei den im Internet erhobenen Informationen um personenbezogene Daten i.S.v. Art. 4 Nr. 1 DS-GVO der potenziellen künftigen Mitarbeiter/ innen handelt.
Die Erhebung von Bewerberdaten im Internet könnte über § 26 Abs. 1 S. 1 BDSG gerechtfertigt sein.
Dazu müsste es sich bei den Bewerbern/innen zunächst um Beschäftigte i.S.v. § 26 BDSG handeln. Der Begriff des Beschäftigten ist legaldefiniert in § 26 Abs. 8 BDSG. Gem. § 26 Abs. 8 S. 2 BDSG gelten danach auch Bewerber/innen für ein Beschäftigungsverhältnis als Beschäftigte. § 26 Abs. 1 S. 1 BDSG ist damit vorliegend anwendbar.
Nach § 26 Abs. 1 S. 1 BDSG dürfen Bewerberdaten in dem Umfang verarbeitet werden, wie dies für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist. Verarbeitet werden dürfen insbesondere Informationen zur Eignung, fachlichen Qualifikation und Ausbildung des/der Bewerbers/Bewerberin. Dem/der Arbeitgeber/ in kann daran gelegen sein, die diesbezüglichen Angaben des/der Bewerbers/Bewerberin auch auf ihren Wahrheitsgehalt zu überprüfen bzw. überprüfen zu lassen. Gesprochen wird dann von sog. Background- oder Pre-EmploymentChecks.
Die datenschutzrechtliche Zulässigkeit solcher Background- oder Pre-Employment-Checks ist umstritten. So rät der LfDI Baden-Württemberg[1] , auf die Durchführung von Pre-Employment-Checks zu verzichten. Dem/der Arbeitgeber/in stünden genügend Möglichkeiten zur Verfügung, um die richtige Personalentscheidung zu treffen, insbesondere Vorstellungsgespräche, Assessment-Center und die Anforderung von Unterlagen im Original. Auch wenn die DS-GVO anders als das frühere nationale Recht den Grundsatz der Direkterhebung nicht mehr explizit regele, seien personenbezogene Daten im Grundsatz auch weiterhin beim Bewerber/bei der Bewerberin selbst zu erheben. Nur bei OnlineNetzwerken wie XING oder LinkedIn, die Beschäftigte zur beruflichen Selbstdarstellung nutzen, soll nach Ansicht des LfDI ausnahmsweise das schutzwürdige Interesse des Bewerbers/der Bewerberin hinter dem Interesse des potenziellen Arbeitgebers an einer Datenerhebung ohne Mitwirkung desselben/derselben zurückstehen. Recherchen in sozialen Netzwerken wie Facebook oder Twitter hält der LfDI hingegen regelmäßig für datenschutzrechtlich unzulässig. Auch das „Googeln“ von Bewerbern ist kritisch zu sehen.[2] Insofern stellt sich das Problem, dass bei Verwendung von Suchmaschinen wie z.B. Bing, Google, Yahoo regelmäßig überschießende Daten ausgeworfen werden, die für die Entscheidung über die Begründung des Beschäftigungsverhältnisses nicht von Relevanz sind. Auch bei Erhebung über das Internet darf der Arbeitgeber aber nur Daten sammeln, die von seinem Fragerecht gegenüber dem Bewerber/in erfasst sind.[3]
Rechtssicher auf § 26 Abs. 1 S. 1 BDSG gestützt werden kann damit im Ergebnis nur die Recherche in beruflichen Netzwerken, da hier die Darstellung der beruflichen Qualifikationen im Vordergrund steht.[4]
Fraglich ist, ob für Recherchen, die über berufliche Netzwerke hinausgehen, eine Einwilligung des Bewerbers/der Bewerberin als taugliche Rechtsgrundlage in Betracht kommt. Entscheidend sind insoweit die Umstände des Einzelfalls und die Reichweite der abgegebenen Erklärung. Aufgrund der besonderen Situation des Bewerbers/der Bewerberin bedarf es in jedem Fall einer besonderen Prüfung der Freiwilligkeit der Erklärung (§ 26 Abs. 2 S. 1 BDSG). Da ein Bewerber/eine Bewerberin, die einem Pre-EmploymentChecks nicht zustimmt, möglicherweise im Auswahlverfahren benachteiligt wird, wird nur in besonderen Fällen von einer echten Freiwilligkeit ausgegangen werden können.[5]
Im Rahmen von Backgroundchecks können nicht nur „normale“ personenbezogene Informationen über Bewerber/innen anfallen, sondern auch besondere Kategorien personenbezogener Daten i.S.v. Art. 9 Abs. 1 DS-GVO. Praktisch relevant ist insofern z.B., dass sich bei einer Internetrecherche über den Bewerber/die Bewerberin diese/n betreffende Gesundheitsinformationen finden oder Informationen, die Rückschlüsse auf die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, eine Gewerkschaftszugehörigkeit oder die sexuelle Orientierung des Bewerbers/der Bewerberin zulassen. Für besondere Kategorien personenbezogener Daten sieht Art. 9 Abs. 1 DS-GVO grundsätzlich ein Verarbeitungsverbot vor.
In Umsetzung der Öffnungsklausel aus Art. 9 Abs. 2 lit. b DS-GVO regelt § 26 Abs. 3 BDSG die Verarbeitung von Daten nach Art. 9 Abs. 1 DS-GVO für Zwecke des Beschäftigungsverhältnisses. Diese ist zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Im Zusammenhang mit § 26 Abs. 3 S. 1 BDSG ist umstritten, ob eine Datenverarbeitung ausschließlich zur Ausübung bzw. Erfüllung gesetzlicher Rechte und Pflichten gestattet sein soll oder ob die Verarbeitung besonderer Kategorien personenbezogener Daten legitimierende Rechte und Pflichten auch aus dem Arbeitsvertrag bzw. der arbeitsrechtlichen Beziehung erwachsen können.[6] Für das Erfordernis einer Rechtsvorschrift spricht sich die Datenschutzkonferenz in ihrem Kurzpapier Nr. 17 aus.[7] Ein solches Verständnis führt allerdings zu erheblichen Schwierigkeiten in der Praxis. So wäre etwa in Fällen, in denen das Fragerecht des Arbeitgebers auch besondere Kategorien personenbezogener Daten umfasst, die mit der Ausübung des Fragerechts verbundene Datenverarbeitung nicht legitimiert. Aus diesem Grunde sollte der Erlaubnisrahmen aus § 26 Abs. 3 S. 1 BDSG weitergezogen und nicht allein gesetzliche Rechte und Pflichten als ausreichend erachtet werden.[8]
Entscheidend für die Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten im Rahmen von Backgroundchecks ist damit, ob die konkret erfassten Informationen vom Fragerecht des Arbeitgebers umfasst sind und kein Grund zur Annahme überwiegender Betroffeneninteressen am Ausschluss der Verarbeitung besteht. Gegen ein Überwiegen schutzwürdiger Betroffeneninteressen und für eine Zulässigkeit der Verarbeitung kann insbesondere sprechen, wenn die betroffene Person die sensiblen Informationen offensichtlich selbst online gestellt hat (Rechtsgedanke des Art. 9 Abs. 2 lit. e DSGVO). Allein der Umstand, dass die sensiblen Daten vom Bewerber / von der Bewerberin online gestellt wurden, rechtfertigt die Verarbeitung durch den Arbeitgeber hingegen nicht. Es bedarf vielmehr stets des notwendigen Bezugs der Information zum Beschäftigungsverhältnis.
Der notwendige Zusammenhang im Internet über den Bewerber / die Bewerberin ermittelter Informationen zum Beschäftigungsverhältnis kann generell nur gewährleistet werden, wenn, wie bereits eingangs dargestellt, die Recherche von Anfang an auf den beruflich relevanten Kontext und die entsprechenden Netzwerke reduziert wird. Erst recht ist eine Kenntnisnahme nicht beruflich relevanter besonderer Kategorien personenbezogener Informationen über den Bewerber/die Bewerberin zu vermeiden.
Gemäß Art. 14 DS-GVO sind die betroffenen Bewerber/ innen über die Durchführung von Backgroundchecks zu informieren. Nach Art. 14 Abs. 3 lit. a DS-GVO müssen die Informationen nach Abs. 1 der betroffenen Person innerhalb einer angemessenen Frist erteilt werden, jedoch spätestens innerhalb eines Monats. In der Praxis ist es sinnvoll, vor der Durchführung eines Pre-Employment-Checks hierauf hinzuweisen, z.B. im Rahmen eines Bewerberportals, und die gesetzlich geforderten Informationen bereitzuhalten.[9]
Soweit die Recherchen bei Facebook sowie das „Googeln“ von Bewerbern/Bewerberinnen betroffen sind, sollte der DSB also die bestehende Praxis, im Internet über Bewerber zu recherchieren, beanstanden. Die Personalabteilung sollte zudem darauf hingewiesen werden, dass die Bewerber/innen über die Datenrecherche im Internet zu informieren sind.
2. Zulässigkeit von Videointerviews
Fraglich ist, ob die mit der Durchführung von Videointerviews verbundene personenbezogene Datenverarbeitung i.S.v. § 26 Abs. 1 S. 1 BDSG für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist.
Nach dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA)[10] können Videointerviews in Bewerbungsverfahren zulässig sein. Gerade bei einer großen Zahl von Bewerbern sei es oft nicht möglich, alle in Betracht kommenden Personen zu einem persönlichen Gespräch einzuladen, so das BayLDA. Insbesondere wenn Bewerber aus weiter Distanz anreisen müssten, könne eine digitale Lösung im beiderseitigen Interesse liegen. Der Einsatz von Videointerviews könne dazu führen, dass mehr Bewerber die Möglichkeit haben, sich persönlich darzustellen. Dadurch wiederum könne der Arbeitgeber im Interesse beider Beteiligten eine qualifiziertere Auswahlentscheidung treffen.
Zu beachten sei allerdings, dass nicht mehr Daten verarbeitet werden sollten als im Fall des persönlichen Gesprächs vor Ort, d.h., es sollte keine Aufzeichnung des Gesprächs erfolgen. Alternativ solle außerdem die Möglichkeit zum persönlichen Gespräch erhalten bleiben, sprich, der Bewerber sollte zwischen Videointerview und persönlichem Gespräch vor Ort wählen können. Auch Datensicherheitsaspekte dürften nicht außer Acht gelassen werden und die Kommunikation nur verschlüsselt erfolgen. Im Idealfall laufe das Videointerview über die unternehmenseigene Infrastruktur auf eigenen Servern. Im Hinblick auf Art. 13 DS-GVO sei der Bewerber über die vorgenannten Rahmenbedingungen des Videointerviews zu informieren. Unter Transparenzgesichtspunkten sei es schließlich geboten, dass die Bewerber während des Interviews sämtliche Gesprächspartner auf Seiten des Unternehmens sehen könnten, so das BayLDA.
Die Personalabteilung zeichnet die Interviews zur späteren Auswertung auf. Mithin nimmt sie eine Verarbeitung personenbezogener Daten vor, die das erforderliche Maß überschreitet. Auch werden keine besonderen Maßnahmen in Bezug auf die Sicherheit der Verarbeitung personenbezogener Daten ergriffen.
Auch hier muss der DSB also das Vorgehen der Personalabteilung beanstanden. Eine Speicherung der Videointerviews zwecks späterer Auswertung ist abzustellen. Auch muss die Personalabteilung dem Bewerber die Wahl zwischen Videointerview und persönlichem Gespräch ermöglichen. Hinsichtlich der Datensicherheit muss der DSB auf die Etablierung geeigneter Maßnahmen hinwirken.
* Der Autor ist Ehrenvorsitzender der Gesellschaft für Datenschutz und Datensicherheit e.V., Bonn.
* Miriam Claus, LL.M. ist Referentin bei der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V.; RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der GDD und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.
[1] Ratgeber Beschäftigtendatenschutz, 3. Aufl. 2019, S. 22 f. (https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2017/07/Arbeitnehmerdatenschutz-Handreichung.pdf).
[2] Vgl. etwa D/W/W/S/Däubler, BDSG, § 26 Rn. 46; Däubler, Digitalisierung und Arbeitsrecht, § 4 Rn. 4 f.
[3] Gola, Handbuch Beschäftigtendatenschutz, 8. Aufl., Rn. 596.
[4] Vgl. Weth/Herberger/Wächter/Sorge/Weth, Daten- und Persönlichkeitsschutz im Arbeitsverhältnis, 2. Aufl. 2019, Rn. 102.
[5] Schwarz, ZD 2018, 353, 355.
[6] Vgl. hierzu bei Gola/Heckmann/Gola, § 26 BDSG Rn. 144 ff.
[7] Datenschutzkonferenz, Kurzpapier Nr. 17: Besondere Kategorien personenbezogener Daten, Stand: 27.03.2018, S. 1 f.
[8] So auch Piltz, BDSG – Praxiskommentar für die Wirtschaft, 2017, § 26 Rn. 84; Gola/Heckmann/Gola, § 26 BDSG Rn. 144 ff.
[9] Schwarz, ZD 2018, 353, 356.
[10] BayLDA, 8. Tätigkeitsbericht (2017/2018), Abschnitt 15.3., kritisch Berliner Beauftragte für Datenschutz und Informationsfreiheit, Jahresbericht 2016, Abschnitt 7.3.