Welche Datenschutzrisiken bestehen bei der Verarbeitung von Bewerberdaten auf Karriereseiten?

Karriereseiten verarbeiten eine Vielzahl sensibler personenbezogener Daten und stellen damit ein erhebliches Datenschutzrisiko dar, wenn technische und rechtliche Anforderungen nicht konsequent umgesetzt werden. Die Datenschutz-Grundverordnung (DSGVO) gilt vollumfänglich für den digitalen Bewerbungsprozess, von der Datenerhebung im Formular bis zur Speicherung nach Abschluss des Verfahrens. Die folgenden Abschnitte beleuchten die wichtigsten Fragen rund um den Datenschutz auf Karriereseiten.

Welche personenbezogenen Daten werden auf Karriereseiten typischerweise erhoben?

Auf Karriereseiten werden regelmäßig umfangreiche personenbezogene Daten erhoben: Name, Kontaktdaten, Lebenslauf, Lichtbild, Qualifikationen und Arbeitszeugnisse gehören zum Standard. Hinzu kommen häufig Angaben zu Gehaltsvorstellungen, Verfügbarkeit und Motivationsschreiben. All diese Informationen fallen unter den Schutz der DSGVO und müssen entsprechend behandelt werden.

Besonders sensibel sind Daten, die nach Art. 9 DSGVO als besondere Kategorien eingestuft werden. Dazu können Angaben über Schwerbehinderung, Gesundheitszustand oder Religionszugehörigkeit gehören, die Bewerberinnen und Bewerber teils freiwillig, teils unbewusst offenbaren. Solche Daten unterliegen einem erhöhten Schutzstandard und dürfen nur unter sehr engen Voraussetzungen verarbeitet werden.

Neben den aktiv eingereichten Bewerbungsunterlagen erfassen viele Karriereseiten technisch auch implizite Daten: IP-Adressen, Browser-Informationen, Verhaltensdaten auf der Seite sowie Metadaten aus dem Upload-Prozess. Diese werden oft durch eingebundene Analyse- oder Tracking-Dienste erhoben, ohne dass Bewerberinnen und Bewerber dies bewusst wahrnehmen.

Welche Rechtsgrundlagen gelten für die Verarbeitung von Bewerberdaten?

Die Verarbeitung von Bewerberdaten stützt sich in Deutschland primär auf Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 BDSG: Die Datenverarbeitung ist zulässig, wenn sie zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Eine gesonderte Einwilligung ist für den Kernprozess der Bewerbungsbearbeitung in der Regel nicht notwendig.

Dennoch gibt es wichtige Einschränkungen. Die Verarbeitung muss auf das tatsächlich Erforderliche beschränkt bleiben. Daten, die für die Auswahlentscheidung nicht relevant sind, dürfen nicht erhoben werden. Das gilt auch für Fragen, die im Vorstellungsgespräch unzulässig wären, etwa zu Familienplanung oder politischer Überzeugung.

Für darüber hinausgehende Verarbeitungen, etwa die Aufnahme in einen Talent-Pool für zukünftige Stellenangebote, ist eine ausdrückliche und freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich. Diese Einwilligung muss informiert, spezifisch und jederzeit widerrufbar sein. Eine Kopplung der Bewerbung an die Aufnahme in den Talent-Pool ist unzulässig, da sie die Freiwilligkeit der Einwilligung infrage stellt.

Welche technischen Datenschutzrisiken entstehen durch Karriereseiten?

Karriereseiten sind aus technischer Sicht häufig unterschätzte Datenschutzrisiken im DSGVO-Bewerbungsprozess. Typische Probleme entstehen durch eingebundene externe Dienste wie Analytics-Tools, Social-Media-Plugins oder Bewerbermanagementsysteme, die Daten an Dritte übertragen, ohne dass Bewerberinnen und Bewerber darüber informiert wurden oder eine Einwilligung erteilt haben.

Tracking und externe Dienste ohne Einwilligung

Viele Karriereseiten laden Analyse- und Tracking-Dienste, bevor eine Einwilligung eingeholt wurde. Bereits das bloße Einbinden eines externen Dienstes stellt eine Datenverarbeitung dar, da dabei die IP-Adresse des Browsers an den Anbieter übertragen wird. Dienste der Kategorie Werbung erfordern nach gängiger Rechtsauffassung stets eine Einwilligung als Rechtsgrundlage, unabhängig davon, ob Cookies gesetzt werden oder nicht.

Fehlende oder fehlerhafte Consent-Banner

Ein häufiger Fehler ist ein Consent-Banner, das technisch vorhanden ist, aber nicht korrekt funktioniert. Dienste werden geladen, bevor der Benutzer interagiert hat, oder der Banner bietet keine echte Wahlmöglichkeit. Besonders kritisch ist dies auf Karriereseiten, da Bewerberinnen und Bewerber in einem Abhängigkeitsverhältnis zum potenziellen Arbeitgeber stehen und Einwilligungen unter diesen Umständen besonders kritisch zu bewerten sind.

Unsichere Drittstaatenübermittlung

Viele eingebundene Dienste verarbeiten Daten außerhalb der EU, insbesondere bei US-amerikanischen Anbietern. Verarbeitet ein Dienst Daten in einem unsicheren Drittstaat, ist eine Einwilligung erforderlich, sofern keine geeigneten Garantien wie eine Zertifizierung im EU-US Data Privacy Framework vorliegen. Auf Karriereseiten, wo Bewerbende sensible Daten einreichen, ist dieses Risiko besonders schwerwiegend. Eine DSGVO-Prüfung der Website kann dabei helfen, solche Übermittlungen systematisch zu identifizieren.

Wie lange dürfen Bewerberdaten nach Abschluss des Verfahrens gespeichert werden?

Nach Abschluss eines Bewerbungsverfahrens dürfen Bewerberdaten in Deutschland in der Regel für einen Zeitraum von sechs Monaten aufbewahrt werden. Diese Frist orientiert sich an der Verjährungsfrist für Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG), innerhalb derer Bewerberinnen und Bewerber Diskriminierungsklagen einreichen können.

Nach Ablauf dieser Frist sind die Daten vollständig zu löschen, sofern keine andere Rechtsgrundlage für eine weitere Speicherung besteht. Eine längere Aufbewahrung ist nur zulässig, wenn eine ausdrückliche Einwilligung zur Aufnahme in einen Talent-Pool vorliegt oder wenn ein konkretes Beschäftigungsverhältnis begründet wird.

Unternehmen sollten sicherstellen, dass automatisierte Löschprozesse für Bewerberdaten eingerichtet sind. Manuelle Löschroutinen sind fehleranfällig und führen in der Praxis häufig dazu, dass Daten länger als erlaubt gespeichert bleiben. Dies betrifft sowohl Daten in Bewerbermanagementsystemen als auch in E-Mail-Postfächern und lokalen Dateiablagen.

Was muss die Datenschutzerklärung einer Karriereseite enthalten?

Die Datenschutzerklärung einer Karriereseite muss alle Informationspflichten nach Art. 13 DSGVO erfüllen und dabei spezifisch auf den Bewerbungsprozess eingehen. Eine allgemeine Website-Datenschutzerklärung reicht in der Regel nicht aus, wenn sie die Besonderheiten der Bewerberdatenverarbeitung nicht abdeckt.

Folgende Angaben sind für den Bewerbungskontext zwingend erforderlich:

• Zweck und Rechtsgrundlage der Datenverarbeitung im Bewerbungsverfahren
• Kategorien der verarbeiteten Bewerberdaten
• Empfänger oder Kategorien von Empfängern, insbesondere wenn externe Bewerbermanagementsysteme oder Personaldienstleister eingebunden sind
• Übermittlungen in Drittstaaten und die dabei geltenden Garantien
• Speicherdauer und Kriterien für deren Festlegung
• Hinweis auf das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch
• Hinweis auf das Widerrufsrecht bei einwilligungsbasierter Verarbeitung, etwa beim Talent-Pool
• Angaben zu allen eingebundenen externen Diensten, die im Kontext der Karriereseite Daten verarbeiten

Besonders wichtig ist die Transparenz über eingebundene externe Dienste. Wenn auf der Karriereseite ein Bewerbermanagementsystem eines Drittanbieters eingesetzt wird, muss dieser als Auftragsverarbeiter oder als eigenverantwortlicher Verantwortlicher klar benannt werden. Ein Datenschutzgenerator kann dabei unterstützen, passende Texte für erkannte Dienste zu erstellen, ersetzt jedoch keine rechtliche Prüfung durch qualifizierte Fachleute.

Wie lassen sich Datenschutzrisiken auf Karriereseiten systematisch erkennen?

Datenschutzrisiken auf Karriereseiten lassen sich systematisch durch eine Kombination aus technischer Analyse und rechtlicher Bewertung erkennen. Der erste Schritt ist ein vollständiger Scan der Karriereseite, der alle geladenen Cookies, externen Dienste und Datenübertragungen erfasst, sowohl vor als auch nach einer Benutzerinteraktion mit dem Consent-Banner.

Eine strukturierte Prüfung sollte folgende Bereiche abdecken:

1. Inventarisierung aller externen Dienste: Welche Drittanbieter werden auf der Karriereseite geladen? Dazu gehören Analytics-Tools, Bewerbermanagementsysteme, Social-Media-Plugins und Werbenetzwerke.
2. Consent-Banner-Prüfung: Werden externe Dienste erst nach einer wirksamen Einwilligung geladen? Bietet der Banner eine echte Ablehnoption?
3. Drittstaatenprüfung: Übertragen eingebundene Dienste Daten in unsichere Drittstaaten? Liegen geeignete Garantien vor?
4. Datenschutzerklärung: Sind alle verarbeiteten Dienste und Datenflüsse in der Datenschutzerklärung vollständig und korrekt abgebildet?
5. Formularanalyse: Werden nur Daten erhoben, die für den Bewerbungsprozess tatsächlich erforderlich sind?
6. Löschkonzept: Sind automatisierte Löschroutinen für Bewerberdaten eingerichtet?

Regelmäßige Überprüfungen sind dabei ebenso wichtig wie die initiale Analyse, da sich Websites durch Updates, neue Plugins oder geänderte Drittanbieterkonfigurationen jederzeit verändern können. Änderungen auf der Karriereseite können neue Datenschutzrisiken einführen, ohne dass dies unmittelbar auffällt.

So unterstützt decareto beim Datenschutz auf Karriereseiten

Wir bei decareto bieten eine automatisierte SaaS-Plattform, die Karriereseiten und andere Website-Bereiche systematisch auf Datenschutz-Schwachstellen im Sinne der DSGVO scannt und bewertet. Unsere Software unterstützt Datenschutzbeauftragte, Compliance-Teams und Agenturen dabei, Risiken frühzeitig zu erkennen und strukturiert zu dokumentieren.

Konkret leistet decareto bei der Prüfung von Karriereseiten Folgendes:

• Automatisierter Website-Scan: Wir erkennen alle geladenen Cookies und externen Dienste, sowohl vor als auch nach einer simulierten Consent-Interaktion, in Minuten statt Stunden.
• Drittstaaten-Identifikation: Wir kennzeichnen Dienste, die Daten außerhalb der EU verarbeiten, und prüfen, ob eine Zertifizierung im EU-US Data Privacy Framework vorliegt.
• Risiko-Score und priorisierte Handlungsempfehlungen: Unsere Berichte zeigen klar, welche Schwachstellen besonders dringend behandelt werden sollten, ohne dabei rechtliche Beratung zu ersetzen.
• Dauerhaftes Monitoring: Hunderte Websites lassen sich kontinuierlich überwachen; bei relevanten Änderungen werden automatische Benachrichtigungen ausgelöst.
• Datenschutzgenerator: Basierend auf den Scan-Ergebnissen erstellt unsere Software passende Datenschutztexte in 24 Sprachen, die den erkannten Diensten entsprechen.
• White-Label-Berichte: Externe Datenschutzbeauftragte und Agenturen können Berichte unter eigenem Logo mit Kunden teilen.

Bitte beachten Sie: Unsere automatisierten Scans unterstützen die Compliance-Arbeit und helfen dabei, typische Schwachstellen zu identifizieren. Sie ersetzen jedoch keine rechtliche Beratung durch qualifizierte Datenschutzfachleute oder Anwältinnen und Anwälte. Ob eine Website im Einzelfall den gesetzlichen Anforderungen entspricht, kann nur im Rahmen einer individuellen rechtlichen Prüfung beurteilt werden.

Möchten Sie wissen, welche Datenschutzrisiken Ihre Karriereseite aktuell aufweist? Jetzt kostenlos starten und Ihre Website automatisiert prüfen lassen.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Wie erkennt man Barrierefreiheitsprobleme bei eingebetteten Karten?
• Wie laufen Crawling, Analyse und Reporting bei einem DSGVO-Website-Scan technisch ab?
• Was prüft ein WCAG-Test bei Animationen und bewegten Inhalten?
• Welche Barrierefreiheitsprobleme entstehen durch schlecht eingebettete Schriften?
• Welche Rechtsgrundlage muss meine Website für die Verarbeitung personenbezogener Daten nachweisen können?