Karriereseiten verarbeiten eine Vielzahl sensibler personenbezogener Daten und stellen damit ein erhebliches Datenschutzrisiko dar, wenn technische und rechtliche Anforderungen nicht konsequent umgesetzt werden. Die Datenschutz-Grundverordnung (DSGVO) gilt vollumf\u00e4nglich f\u00fcr den digitalen Bewerbungsprozess, von der Datenerhebung im Formular bis zur Speicherung nach Abschluss des Verfahrens. Die folgenden Abschnitte beleuchten die wichtigsten Fragen rund um den Datenschutz auf Karriereseiten.<\/p>\n\n\n\n
Auf Karriereseiten werden regelm\u00e4\u00dfig umfangreiche personenbezogene Daten erhoben: Name, Kontaktdaten, Lebenslauf, Lichtbild, Qualifikationen und Arbeitszeugnisse geh\u00f6ren zum Standard. Hinzu kommen h\u00e4ufig Angaben zu Gehaltsvorstellungen, Verf\u00fcgbarkeit und Motivationsschreiben. All diese Informationen fallen unter den Schutz der DSGVO und m\u00fcssen entsprechend behandelt werden.<\/p>\n\n\n\n
Besonders sensibel sind Daten, die nach Art. 9 DSGVO als besondere Kategorien eingestuft werden. Dazu k\u00f6nnen Angaben \u00fcber Schwerbehinderung, Gesundheitszustand oder Religionszugeh\u00f6rigkeit geh\u00f6ren, die Bewerberinnen und Bewerber teils freiwillig, teils unbewusst offenbaren. Solche Daten unterliegen einem erh\u00f6hten Schutzstandard und d\u00fcrfen nur unter sehr engen Voraussetzungen verarbeitet werden.<\/p>\n\n\n\n
Neben den aktiv eingereichten Bewerbungsunterlagen erfassen viele Karriereseiten technisch auch implizite Daten: IP-Adressen, Browser-Informationen, Verhaltensdaten auf der Seite sowie Metadaten aus dem Upload-Prozess. Diese werden oft durch eingebundene Analyse- oder Tracking-Dienste erhoben, ohne dass Bewerberinnen und Bewerber dies bewusst wahrnehmen.<\/p>\n\n\n\n
Die Verarbeitung von Bewerberdaten st\u00fctzt sich in Deutschland prim\u00e4r auf Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit \u00a7 26 BDSG: Die Datenverarbeitung ist zul\u00e4ssig, wenn sie zur Entscheidung \u00fcber die Begr\u00fcndung eines Besch\u00e4ftigungsverh\u00e4ltnisses erforderlich ist. Eine gesonderte Einwilligung ist f\u00fcr den Kernprozess der Bewerbungsbearbeitung in der Regel nicht notwendig.<\/p>\n\n\n\n
Dennoch gibt es wichtige Einschr\u00e4nkungen. Die Verarbeitung muss auf das tats\u00e4chlich Erforderliche beschr\u00e4nkt bleiben. Daten, die f\u00fcr die Auswahlentscheidung nicht relevant sind, d\u00fcrfen nicht erhoben werden. Das gilt auch f\u00fcr Fragen, die im Vorstellungsgespr\u00e4ch unzul\u00e4ssig w\u00e4ren, etwa zu Familienplanung oder politischer \u00dcberzeugung.<\/p>\n\n\n\n
F\u00fcr dar\u00fcber hinausgehende Verarbeitungen, etwa die Aufnahme in einen Talent-Pool f\u00fcr zuk\u00fcnftige Stellenangebote, ist eine ausdr\u00fcckliche und freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich. Diese Einwilligung muss informiert, spezifisch und jederzeit widerrufbar sein. Eine Kopplung der Bewerbung an die Aufnahme in den Talent-Pool ist unzul\u00e4ssig, da sie die Freiwilligkeit der Einwilligung infrage stellt.<\/p>\n\n\n\n
Karriereseiten sind aus technischer Sicht h\u00e4ufig untersch\u00e4tzte Datenschutzrisiken im DSGVO-Bewerbungsprozess. Typische Probleme entstehen durch eingebundene externe Dienste wie Analytics-Tools, Social-Media-Plugins oder Bewerbermanagementsysteme, die Daten an Dritte \u00fcbertragen, ohne dass Bewerberinnen und Bewerber dar\u00fcber informiert wurden oder eine Einwilligung erteilt haben.<\/p>\n\n\n\n
Viele Karriereseiten laden Analyse- und Tracking-Dienste, bevor eine Einwilligung eingeholt wurde. Bereits das blo\u00dfe Einbinden eines externen Dienstes stellt eine Datenverarbeitung dar, da dabei die IP-Adresse des Browsers an den Anbieter \u00fcbertragen wird. Dienste der Kategorie Werbung erfordern nach g\u00e4ngiger Rechtsauffassung stets eine Einwilligung als Rechtsgrundlage, unabh\u00e4ngig davon, ob Cookies gesetzt werden oder nicht.<\/p>\n\n\n\n
Ein h\u00e4ufiger Fehler ist ein Consent-Banner, das technisch vorhanden ist, aber nicht korrekt funktioniert. Dienste werden geladen, bevor der Benutzer interagiert hat, oder der Banner bietet keine echte Wahlm\u00f6glichkeit. Besonders kritisch ist dies auf Karriereseiten, da Bewerberinnen und Bewerber in einem Abh\u00e4ngigkeitsverh\u00e4ltnis zum potenziellen Arbeitgeber stehen und Einwilligungen unter diesen Umst\u00e4nden besonders kritisch zu bewerten sind.<\/p>\n\n\n\n
Viele eingebundene Dienste verarbeiten Daten au\u00dferhalb der EU, insbesondere bei US-amerikanischen Anbietern. Verarbeitet ein Dienst Daten in einem unsicheren Drittstaat, ist eine Einwilligung erforderlich, sofern keine geeigneten Garantien wie eine Zertifizierung im EU-US Data Privacy Framework vorliegen. Auf Karriereseiten, wo Bewerbende sensible Daten einreichen, ist dieses Risiko besonders schwerwiegend. Eine DSGVO-Pr\u00fcfung der Website<\/a> kann dabei helfen, solche \u00dcbermittlungen systematisch zu identifizieren.<\/p>\n\n\n\n Nach Abschluss eines Bewerbungsverfahrens d\u00fcrfen Bewerberdaten in Deutschland in der Regel f\u00fcr einen Zeitraum von sechs Monaten aufbewahrt werden. Diese Frist orientiert sich an der Verj\u00e4hrungsfrist f\u00fcr Anspr\u00fcche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG), innerhalb derer Bewerberinnen und Bewerber Diskriminierungsklagen einreichen k\u00f6nnen.<\/p>\n\n\n\n Nach Ablauf dieser Frist sind die Daten vollst\u00e4ndig zu l\u00f6schen, sofern keine andere Rechtsgrundlage f\u00fcr eine weitere Speicherung besteht. Eine l\u00e4ngere Aufbewahrung ist nur zul\u00e4ssig, wenn eine ausdr\u00fcckliche Einwilligung zur Aufnahme in einen Talent-Pool vorliegt oder wenn ein konkretes Besch\u00e4ftigungsverh\u00e4ltnis begr\u00fcndet wird.<\/p>\n\n\n\n Unternehmen sollten sicherstellen, dass automatisierte L\u00f6schprozesse f\u00fcr Bewerberdaten eingerichtet sind. Manuelle L\u00f6schroutinen sind fehleranf\u00e4llig und f\u00fchren in der Praxis h\u00e4ufig dazu, dass Daten l\u00e4nger als erlaubt gespeichert bleiben. Dies betrifft sowohl Daten in Bewerbermanagementsystemen als auch in E-Mail-Postf\u00e4chern und lokalen Dateiablagen.<\/p>\n\n\n\n Die Datenschutzerkl\u00e4rung einer Karriereseite muss alle Informationspflichten nach Art. 13 DSGVO erf\u00fcllen und dabei spezifisch auf den Bewerbungsprozess eingehen. Eine allgemeine Website-Datenschutzerkl\u00e4rung reicht in der Regel nicht aus, wenn sie die Besonderheiten der Bewerberdatenverarbeitung nicht abdeckt.<\/p>\n\n\n\n Folgende Angaben sind f\u00fcr den Bewerbungskontext zwingend erforderlich:<\/p>\n\n\n\nWie lange d\u00fcrfen Bewerberdaten nach Abschluss des Verfahrens gespeichert werden?<\/h2>\n\n\n\n
Was muss die Datenschutzerkl\u00e4rung einer Karriereseite enthalten?<\/h2>\n\n\n\n
\n