Bewerbungen über die Website:
Übertragung, Zugriff, Aufbewahrung, Löschung

Auf welcher Grundlage die Daten verarbeitet werden

Jede Verarbeitung personenbezogener Daten braucht einen Grund, den das Recht anerkennt. Bei einer Bewerbung liegt dieser Grund in der Sache selbst: Wer sich um eine Stelle bewirbt, will ein Beschäftigungsverhältnis anbahnen, und für dessen Anbahnung darf der Betrieb die übermittelten Angaben verarbeiten. Eine gesonderte Einwilligung ist dafür nicht erforderlich, weil der Zweck aus der Bewerbung selbst folgt.

Daraus ergibt sich zugleich die Grenze. Die Erlaubnis reicht so weit wie der Zweck, und der Zweck ist das laufende Auswahlverfahren. Alles, was darüber hinausgeht, braucht eine eigene Grundlage:

• Aufnahme in einen Bewerberpool: Die Aufbewahrung für künftige Stellen dient nicht mehr dem Verfahren, für das die Unterlagen kamen. Sie setzt die ausdrückliche Zustimmung der bewerbenden Person voraus
• Weitergabe an verbundene Unternehmen: Ein anderer Betrieb derselben Gruppe ist eine andere verantwortliche Stelle; die Weitergabe braucht eine eigene Begründung
• Recherche über die Person: Die Suche in öffentlichen Profilen ist nicht automatisch gedeckt; sie ist auf berufsbezogene, für die Stelle erhebliche Angaben begrenzt
• Auswertung für andere Zwecke: Statistiken über Bewerberstrukturen oder das Training von Auswahlverfahren sind eigene Verarbeitungen mit eigenen Anforderungen

Die Unterscheidung klingt formal, hat aber eine einfache praktische Übersetzung: Solange die Unterlagen dem konkreten Auswahlverfahren dienen, ist der Betrieb auf der sicheren Seite. Sobald sie anderswo auftauchen, wird es begründungspflichtig.

Der Übertragungsweg: Formular oder Postfach

Der erste Schritt entscheidet über vieles, was danach kommt. Drei Wege sind verbreitet, und sie unterscheiden sich in Sicherheit und Nachvollziehbarkeit.

Die Mailadresse auf der Karriereseite ist der einfachste Weg und der mit den meisten offenen Enden. Eine Mail mit Anhängen wird je nach Konfiguration der beteiligten Server unverschlüsselt übertragen, sie landet in einem Postfach mit unklarem Zugriffskreis, und sie erzeugt Kopien an Stellen, an die niemand mehr denkt: im Gesendet-Ordner des Absenders, in der Weiterleitung an die Fachabteilung, im lokalen Download-Ordner desjenigen, der die Anhänge geöffnet hat.

Das Formular auf der eigenen Website überträgt über eine gesicherte Verbindung und legt fest, wohin die Daten gehen. Es erlaubt außerdem, den Datenschutzhinweis genau dort zu zeigen, wo die Angaben gemacht werden. Wichtig ist die Größenbeschränkung für Anhänge und eine Rückmeldung nach dem Absenden, damit die bewerbende Person weiß, dass die Unterlagen angekommen sind.

Ein Bewerbungsverwaltungssystem nimmt die Unterlagen entgegen, vergibt Zugriffsrechte und führt Fristen mit. Es verarbeitet die Daten im Auftrag des Betriebs, weshalb dafür ein Vertrag über die Auftragsverarbeitung geschlossen wird und die Frage nach dem Standort der Server beantwortet sein sollte. Für Betriebe mit wenigen Stellen im Jahr ist der Aufwand oft zu groß; dort trägt das eigene Formular.

Welche Angaben abgefragt werden dürfen

Ein Formular verführt dazu, Felder aufzunehmen, weil sie praktisch wären. Bei Bewerbungen wirkt hier eine zweite Rechtsordnung mit: das Verbot der Benachteiligung wegen bestimmter Merkmale. Fragen nach Herkunft, Religion, Weltanschauung, Behinderung, Alter, sexueller Identität und in weiten Teilen auch nach Gesundheit oder Schwangerschaft sind im Bewerbungsverfahren unzulässig. Erscheinen sie als Pflichtfeld, entsteht ein doppeltes Problem: eine Verarbeitung ohne Grundlage und ein Indiz für eine Benachteiligung.

Der Maßstab für jedes Feld lautet: Braucht der Betrieb diese Angabe, um über die Eignung für diese Stelle zu entscheiden? Danach ergibt sich eine kurze Liste.

• Erforderlich: Name, Kontaktweg, Angaben zu Qualifikation und Berufserfahrung, Bezug zur ausgeschriebenen Stelle
• Zulässig, wenn stellenbezogen: Führerschein bei Außendienst, Sprachkenntnisse bei internationalem Kundenkontakt, bestimmte Nachweise bei gesetzlich geregelten Tätigkeiten
• Freiwillig zu halten: Foto, Geburtsdatum, Anschrift. Sie sind für die Eignungsprüfung entbehrlich; wo sie im Lebenslauf stehen, ist das die Entscheidung der bewerbenden Person
• Unzulässig: Fragen zu den geschützten Merkmalen, zu Familienplanung, zu Mitgliedschaften ohne Bezug zur Tätigkeit

Ein praktischer Nebeneffekt: Ein schlankes Formular erhöht die Zahl der Bewerbungen. Jedes zusätzliche Pflichtfeld kostet Abschlüsse, und das gilt im Bewerbungsformular so wie im Kontaktformular, was der Beitrag zu den Feldern im Kontaktformular im Detail zeigt.

Wer die Unterlagen zu sehen bekommt

Bewerbungsunterlagen erreichen im Betrieb regelmäßig mehr Personen als nötig. Das geschieht ohne Absicht: Die Geschäftsführung leitet an die Fachabteilung weiter, diese an zwei Kollegen zur Einschätzung, jemand druckt sie für das Gespräch aus. Am Ende existieren Kopien an fünf Orten, und keiner davon ist erfasst.

Geschuldet ist ein benannter Kreis. Zugriff bekommen die Personen, die an der Auswahlentscheidung mitwirken, und zwar für die Dauer des Verfahrens. Drei organisatorische Festlegungen genügen dafür:

1. Ein Eingang, kein Sammelpostfach: Bewerbungen laufen in ein Postfach oder System, auf das nur der benannte Kreis Zugriff hat. Das allgemeine Info-Postfach ist dafür ungeeignet, weil dort niemand den Zugriffskreis kennt.
2. Weitergabe im Original, nicht als Kopie: Wer eine Einschätzung abgeben soll, bekommt Zugriff auf die abgelegte Datei, statt sie per Mail weitergereicht zu bekommen. Jede Weiterleitung erzeugt eine Kopie, die später nicht mitgelöscht wird.
3. Ausdrucke mit Rückgabe: Werden Unterlagen für ein Gespräch ausgedruckt, gehen sie danach an den Verantwortlichen zurück und werden dort vernichtet. Ein Ausdruck in einer Schreibtischschublade ist die häufigste Restkopie überhaupt.

Wie lange die Unterlagen bleiben

Nach der Entscheidung endet der Zweck, für den die Daten erhoben wurden. Trotzdem werden die Unterlagen nicht sofort gelöscht, und zwar aus einem nachvollziehbaren Grund: Ein abgelehnter Bewerber kann geltend machen, wegen eines geschützten Merkmals benachteiligt worden zu sein. Für eine solche Geltendmachung und für eine anschließende Klage gelten Fristen. Solange sie laufen, braucht der Betrieb die Unterlagen, um darlegen zu können, wie die Auswahl zustande kam.

Eine gesetzlich festgeschriebene Aufbewahrungsdauer für Bewerbungsunterlagen existiert nicht. Verbreitet ist eine Aufbewahrung von rund einem halben Jahr ab dem Zugang der Absage; dieser Zeitraum deckt die genannten Fristen mit Abstand ab. Diese Größenordnung ist verbreitet, ersetzt aber keine Festlegung für den eigenen Betrieb; sie gehört mit der Rechtsberatung abgestimmt und dann schriftlich fixiert.

Für zwei Fälle gelten abweichende Regeln:

• Die Einstellung: Kommt der Vertrag zustande, gehen die für das Arbeitsverhältnis benötigten Papiere in die Personalakte über und richten sich fortan nach deren Aufbewahrungsregeln. Alles, was dort keinen Zweck mehr hat, wird auch an dieser Stelle entfernt
• Der Bewerberpool: Nur mit ausdrücklicher Zustimmung, mit benannter Dauer und mit der Möglichkeit, die Zustimmung jederzeit zu widerrufen. Der Widerruf führt zur Löschung, ohne dass die Person das begründen muss

Die Löschung an allen Ablageorten

Löschen heißt, dass die Daten danach nicht mehr vorhanden sind. Diese Selbstverständlichkeit ist in der Praxis der schwierigste Teil, weil Bewerbungsunterlagen sich unterwegs vervielfältigen. Eine vollständige Löschung erfasst deshalb mehrere Orte.

• Das Eingangspostfach: einschließlich Papierkorb und Archivordner, in die verschobene Nachrichten wandern
• Weitergeleitete Nachrichten: bei jeder Person, die eine Einschätzung abgegeben hat, samt deren Gesendet-Ordner
• Lokale Kopien: Download-Ordner und Arbeitsplatzrechner derjenigen, die Anhänge geöffnet haben
• Ablagen im Netz: gemeinsame Laufwerke, Projektordner, Notizen mit angehängten Dateien
• Ausdrucke: Gesprächsunterlagen, Notizen auf Kopien, Ablagen in Besprechungsräumen
• Sicherungen: Sie enthalten die Daten weiter. Hier greift die Löschung über den Ablauf der Aufbewahrungszeit der Sicherung; das gehört dokumentiert

Der letzte Punkt führt regelmäßig zu Verunsicherung. Aus der Sicherung einzelne Datensätze zu entfernen, ist technisch unverhältnismäßig und würde die Sicherung selbst entwerten. Anerkannt ist deshalb, die Löschung im laufenden Bestand vorzunehmen und für die Sicherungen zu dokumentieren, dass die Daten dort mit dem regulären Ablauf verschwinden und in der Zwischenzeit nicht wiederhergestellt werden.

Sinnvoll ist ein kurzer Vermerk je Verfahren: welche Stelle, wie viele Bewerbungen, wann abgesagt, wann gelöscht, durch wen. Er kostet zwei Minuten und beantwortet jede spätere Nachfrage.

Die Hinweispflicht am Formular

Wer Daten erhebt, informiert die betroffene Person darüber, und zwar zum Zeitpunkt der Erhebung. Für das Bewerbungsformular bedeutet das: Der Hinweis steht am Formular, nicht allein in der allgemeinen Datenschutzerklärung der Website.

Inhaltlich gehören dazu die verantwortliche Stelle mit Kontaktweg, der Zweck und die Grundlage der Verarbeitung, der Kreis der Empfänger im Betrieb, etwaige beteiligte Dienstleister, die Aufbewahrungsdauer, die Rechte der bewerbenden Person auf Auskunft, Berichtigung und Löschung sowie der Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde.

In der Umsetzung bewährt sich ein kurzer Absatz direkt über dem Absende-Knopf, der das Wesentliche in zwei Sätzen sagt und auf eine eigene Seite mit den vollständigen Angaben verweist. Eine angekreuzte Zustimmung zur Datenschutzerklärung ist dafür weder nötig noch hilfreich, weil die Verarbeitung nicht auf einer Einwilligung beruht. Gesondert angekreuzt wird nur die Aufnahme in den Bewerberpool.

Die Prüfliste für den Betrieb

Die folgenden Punkte lassen sich in einem Durchgang klären und schriftlich festhalten.

Die häufigsten Fehler im Bewerbungsverfahren

Sechs Muster treten unabhängig von Betriebsgröße und Branche auf.

Die Punkte eins bis drei betreffen die Zulässigkeit der Verarbeitung, die Punkte vier bis sechs die Nachweisbarkeit gegenüber Betroffenen und Behörden