Bewerberdatenschutz im Recruiting

Bewerberdatenschutz im Recruiting: Ein Leitfaden aus Hamburg

Da KI und Digitalisierung den Recruitingprozess zunehmend beeinflussen und KI immer häufiger auch auf Unternehmensseite während des Recruitingprozesses eingesetzt wird, ist der Datenschutz von Bewerber:innen besonders wichtig. Neben den gesetzlichen Anforderungen spielt dabei der ethische Umgang mit Daten eine zentrale Rolle. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat deshalb im Juni 2024 einen Leitfaden zu den wesentlichen Aspekten des Bewerberdatenschutzes im Recruiting veröffentlicht – wir haben die wichtigsten Punkte des Leitfadens hier für Dich zusammengefasst:

Aktuelle Entwicklungen

Am 30. März 2023 entschied der Europäische Gerichtshof (EuGH), dass der § 26 Abs. 1 Satz 1 BDSG möglicherweise nicht mit der DSGVO übereinstimmt, was zu Unsicherheit bei den Rechtsgrundlagen für die Datenverarbeitung im Beschäftigtenkontext führt. Dennoch bleibt die Datenschutzgrundverordnung (DSGVO), insbesondere Art. 6 Abs. 1 lit. b, relevant. Derzeit arbeitet der deutsche Gesetzgeber an einem neuen Gesetz für den Beschäftigtendatenschutz, wie im Koalitionsvertrag und in Vorschlägen des Bundesministeriums für Arbeit und Soziales sowie des Bundesministeriums des Inneren und für Heimat vorgesehen.

Die Grundsätze der DSGVO beinhalten folgende Punkte, die Du für Deinen Recruitingprozess beachten musst:

• Rechtmäßigkeit und Fairness: Die Datenverarbeitung muss legal und transparent sein.
• Zweckbindung: Die Daten dürfen nur für den ursprünglichen Zweck verwendet werden.
• Datenminimierung: Nur notwendige Daten dürfen verarbeitet werden.

Diese Grundsätze gelten im gesamten Bewerbungsprozess – von der Datenerhebung bis zur Entscheidung.

Phasen im Recruiting

Der Recruiting-Prozess kann in verschiedene Phasen unterteilt werden, von der ersten Kontaktaufnahme bis zur endgültigen Entscheidung. Jede dieser Phasen bringt spezifische Aktivitäten und rechtliche Anforderungen mit sich, die Du beachten solltest:

• Erstansprache (Kaltakquise): In dieser Phase werden potenzielle Kandidat:innen von Dir kontaktiert. Hierbei müssen die datenschutzrechtlichen Bestimmungen beachtet werden, insbesondere die Informationspflichten nach Art. 13 DSGVO.
• Bewerbungseingang: Sobald Bewerber:innen ihre Daten bei Dir einreichen, müssen diese gemäß den Datenschutzgrundsätzen verarbeitet werden. Es ist wichtig, die rechtlichen Grundlagen für die Verarbeitung zu überprüfen und sicherzustellen, dass alle erforderlichen Informationen bereitgestellt werden.
• Auswahlverfahren: Diese Phase umfasst Vorstellungsgespräche, Assessments und weitere Bewertungskriterien. Hier ist es entscheidend, dass ihr die personenbezogenen Daten nur für die jeweiligen Zwecke nutzt und sicherstellt, dass alle Daten korrekt und aktuell sind.
• Entscheidung: Die Entscheidung über die Einstellung oder Ablehnung muss auf einer fundierten Grundlage basieren. Es dürfen nur die Daten berücksichtigt werden, die für die Entscheidung relevant sind.

Eine Übersicht über die verschiedenen Phasen und die damit verbundenen Verarbeitungsvorgänge hilft euch, den Datenschutz während des gesamten Bewerbungsprozesses zu gewährleisten. Eine solche Übersicht solltet ihr regelmäßig aktualisieren, um den sich ändernden rechtlichen Anforderungen gerecht zu werden.

Talentpools – Einwilligung erforderlich

Die Aufnahme in Talentpools ist nur mit ausdrücklicher Einwilligung der Kandidat:innen zulässig. Diese muss transparent und freiwillig sein und Informationen über den Zweck, die Datenkategorien und die Dauer der Speicherung enthalten. Die Einwilligungen sollten von euch regelmäßig überprüft und bei Bedarf erneuert werden.

Background-Checks – Rechtliche Grenzen

Background-Checks dürfen sich nur auf im Bewerbungsgespräch gegebene Informationen und öffentliche Quellen beschränken. Private Informationen oder solche aus sozialen Netzwerken dürft ihr bei der Entscheidung für oder gegen ein Talent nicht verwenden. Bei der Internetrecherche musst Du zwischen beruflichen und privaten Daten unterscheiden.

KI-Anwendungen im Recruiting

Der Einsatz von KI im Recruiting eröffnet Dir viele neue Möglichkeiten, stellt Dich jedoch auch vor neue datenschutzrechtliche Herausforderungen:

• Lebenslaufparser (Automatisches Auslesen von Bewerbungsdaten): Der Einsatz von Lebenslaufparsern ist grundsätzlich zulässig, solange die Verarbeitungsmöglichkeiten den Anforderungen der DSGVO entsprechen. Dazu gehört die Beachtung des Grundsatzes der Datenrichtigkeit und die Einhaltung von Art. 22 DSGVO, der sich mit automatisierten Einzelfallentscheidungen befasst. Entscheidungen mit Rechtswirkung dürfen grundsätzlich nur von Menschen getroffen werden, wobei die KI nur unterstützende Vorschläge liefern darf.
• Emotionsanalysen: Diese Technologien, die emotionale Zustände und Reaktionen von Bewerber:innen erfassen, sind datenschutzrechtlich problematisch. Sie sind häufig nicht erforderlich und könnten die Freiwilligkeit der Einwilligung infrage stellen. Zudem könnte es sich um die Verarbeitung biometrischer Daten handeln, was zusätzliche Datenschutzanforderungen mit sich bringt.
• LLM-Chatbots: KI-basierte Systeme wie Large Language Models (LLM) und Chatbots können verschiedene Aufgaben im Bewerbungsprozess übernehmen. Dabei müsst ihr jedoch darauf achten, dass keine vollständige Auswahlentscheidung oder finale Kandidatenvorschläge von der KI getroffen werden. Solche automatisierten Entscheidungen müssen den Anforderungen des Art. 22 DSGVO entsprechen, und die menschliche Beteiligung muss substanziell und nicht nur formell sein.

Handlungsempfehlungen

Damit Du den Datenschutz beim Einsatz von KI gewährleisten kannst und gleichzeitig effiziente Prozesse aufrechterhältst, solltest Du diese Punkte beachten:

• Schulung und Sensibilisierung: Die Mitarbeitenden im HR-Bereich sollten regelmäßig geschult werden, um sich über aktuelle Datenschutzbestimmungen und Technologien im Recruiting zu informieren.
• Verfahrensanweisungen: Es ist ratsam, für den Recruitingprozess detaillierte Verfahrensanweisungen zu erstellen, die den Datenschutz im gesamten Ablauf berücksichtigen.
• Technologie-Check: Bei der Implementierung neuer Technologien solltet ihr immer ein Datenschutz-Check durchführen, um sicherzustellen, dass alle rechtlichen Anforderungen erfüllt sind.
• Regelmäßige Überprüfung: Eure Datenschutzmaßnahmen solltet ihr regelmäßig überprüfen und an aktuelle rechtliche Entwicklungen und technische Neuerungen anpassen.

Dein Talentwunder-Team

P.S.: Du möchtest von KI in Deinem Recruiting so richtig profitieren? Super! Dann teste doch mal die Talentwunder Sourcing-App.