Teilen auf
Viele Personalabteilungen nutzen häufig eine Online-Recherche, um ein besseres Bild von den Personen zu bekommen, die sich beim Unternehmen um eine Stelle bewerben. Damit möchten sie auch mögliche Risiken, die mit den Personen zusammenhängen, frühzeitig erkennen. Aus Sicht eines gut funktionierenden Compliance-Systems erscheint dieses Vorgehen oft unverzichtbar. Doch anders als bei klassischen Bewerbungsgesprächen bleibt Bewerbern verborgen, dass und welche Informationen über sie gesammelt werden. Diese Intransparenz birgt Risiken für das Unternehmen und führt regelmäßig zu Konflikten, die vor deutschen Arbeitsgerichten landen.
Rechercheergebnisse zu Ungunsten des Bewerbers
Ein aktuelles Urteil des Landesarbeitsgerichts (LAG) Düsseldorf vom 10. April 2024 (12 SA 1007/23) hat die Frage neu beleuchtet, ob und in welchem Umfang Arbeitgeber Bewerber online recherchieren dürfen. In diesem Fall hatte sich ein Anwalt auf eine Stelle bei einem öffentlich-rechtlichen Arbeitgeber, im Justiziariat einer Universität beworben. Im Zuge der Bewerbung führte ein Mitarbeiter der Universität eine Online-Recherche zu dem Bewerber durch, da ihm der Name bekannt vorkam. Die Recherche ergab, dass der Bewerber wegen gewerbsmäßigen Betrugs verurteilt worden war.
Aktuelle Rechtslage
Das Datenschutzrecht für das Bewerbungsverfahren wird insbesondere durch das Bundesdatenschutzgesetz (BDSG) und die Datenschutzgrundverordnung (DSGVO) bestimmt. Seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) ist klar, dass die spezielle Regelung des Paragraf 26 BDSG in diesem Kontext nicht mehr anwendbar ist. An ihre Stelle treten die allgemeinen Grundsätze des Artikels 6 DSGVO, die den Rahmen für die Zulässigkeit der Datenverarbeitung im Bewerbungsverfahren definieren. Dies hat auch das jüngste Urteil des LAG Düsseldorf bestätigt. Im Rahmen des Artikels 6 DSGVO stehen insbesondere die Anforderungen an die „Erforderlichkeit“ und die „Anfrage“ der betroffenen Person im Vordergrund:
Die „Anfrage“ des Bewerbers als Grundlage für die Datenerhebung
Laut Artikel 6 Absatz 1 lit. b DSGVO darf eine Datenverarbeitung (dies umfasst auch die Datenerhebung) erfolgen, wenn sie auf einer „Anfrage“ der betroffenen Person basiert und zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Im Bewerbungsverfahren könnte die Bewerbung als solche Anfrage verstanden werden, doch in der Praxis wird dies unterschiedlich beurteilt: Während das LAG Düsseldorf in seinem aktuellen Urteil die Bewerbung als Eigeninitiative ausreichend bewertet hat, um eine Anfrage des Bewerbers zur Datenerhebung zu bejahen, vertreten viele Experten die Ansicht, dass die Bewerbung allein nicht als Anfrage im Sinne der Norm gelten kann. Stattdessen halten diese für das Bestehen einer Anfrage ein konkretes Ersuchen des Bewerbers zur Datenerhebung, beispielsweise den Verweis des Bewerbers auf das eigene LinkedIn-Profil, für erforderlich.
„Erforderlichkeit“ und berechtigtes Interesse des Arbeitgebers
Nach Artikel 6 Absatz 1 lit. b DSGVO muss die Datenerhebung zudem erforderlich sein. Der EuGH verlangt, dass die Datenerhebung auf das „absolut Notwendige“ für den konkreten Auswahlprozess beschränkt bleibt. Dies bedeutet, dass nur solche Informationen gesammelt werden dürfen, die für die Beurteilung der Eignung des Bewerbers unbedingt erforderlich sind. Das berechtigte Interesse des Arbeitgebers an einer Recherche ist im Rahmen der Prüfung, ob die Erhebung der Daten erforderlich ist, stets gegen das Datenschutzinteresse des Bewerbers abzuwägen. Dies bedeutet in der Praxis, dass eine Recherche möglichst gezielt und begrenzt erfolgen sollte – beispielsweise auf berufsbezogenen Netzwerken wie LinkedIn oder Xing, auf denen sich Bewerber bewusst beruflich präsentieren. Hierauf lässt sich das Argument der Erforderlichkeit leichter stützen, da Bewerber diese Informationen mit dem Ziel teilen, potenzielle Arbeitgeber zu informieren.
Eine umfassende Online-Recherche, die über die einfache Suche nach selbst preisgegebenen Informationen hinausgeht, kann hingegen die private Sphäre des Bewerbers betreffen und das Risiko eines Datenschutzverstoßes erhöhen. Eine solche breite Recherche ist daher nur beim Hinzukommen weiterer Umstände zu empfehlen, etwa wenn die konkret zu besetzende Stelle sehr sensibel ist, oder Anzeichen dafür bestehen, die eine zusätzliche Prüfung rechtfertigen. Diese Gegebenheiten sind im Einzelfall genau abzuwägen. Teilweise wird jedoch auch unter diesen Umständen pauschal davon ausgegangen, dass eine weitergehende Recherche unzulässig sei. Dabei wird oft behauptet, dass ein Machtgefälle zwischen Arbeitgeber und Arbeitnehmer bestehe, welches zu einer Übermacht des Arbeitgebers führen könnte. Diese Argumentation ist jedenfalls in der Pauschalität nicht haltbar. Gerade in wirtschaftlich starken Zeiten, die oftmals mit einer hohen Nachfrage an qualifiziertem Fachpersonal einhergehen, kann sich die Position der Arbeitnehmer stärken. 77,3 Prozent der Bewerber gehen laut der Softgarden-Studie So ticken Bewerbende – Prioritäten bei der Jobsuche 2024 davon aus, dass sie dem Arbeitgeber im Bewerbungsprozess auf Augenhöhe begegnen, und sogar 60,4 Prozent sind der Meinung, dass sie „Kunden“ seien und sich der Arbeitgeber um sie bemühen müsste. In der Bewerbungsphase kann also nicht in jedem Fall von einer Übermacht des Arbeitgebers ausgegangen werden.
Zudem hat der Bewerber, wie der EuGH bereits betont hat, selbst das Recht, online auffindbare Informationen zu entfernen oder anpassen zu lassen (beispielsweise durch Löschungsansprüche gegenüber Suchmaschinenbetreibern). Der Bewerber ist daher keineswegs „machtlos“ gegenüber Informationen, die über ihn im Netz verfügbar sind.
Im konkreten Fall kam das LAG Düsseldorf zu dem Ergebnis, dass die Recherche erforderlich war, weil sie aus einem „konkreten Anlass“ und „zweckbezogen“ erfolgte. Der konkrete Anlass lag in der Bekanntheit des Namens des Bewerbers, der dem Mitarbeiter im Zusammenhang mit einem Gerichtsverfahren vor dem EuGH bekannt vorkam. Der Zweck lag nach dem Urteil darin, dass der öffentlich-rechtliche Arbeitgeber gemäß Artikel 33 Absatz 2 GG verpflichtet war, die Eignung des Bewerbers festzustellen. Teile der Literatur zweifeln mangels vergleichbarer grundgesetzlicher Pflicht bei privaten Arbeitgebern an, dass auch hier ein tauglicher Zweck vorliegen kann. Aus Sicht der Autoren spricht für die Übertragbarkeit der Entscheidung auch auf „normale“ Arbeitgeber, dass – basierend auf der Rechtsprechung zum Fragerecht – auch private Arbeitgeber ein schutzwürdiges Informationsinteresse haben, welches es ihnen zum Beispiel erlaubt, nach Vorstrafen zu fragen, die für den jeweiligen Arbeitsplatz von Relevanz sind. Dann muss, zumindest in diesen Fällen, aber auch ein billigenswerter Zweck gegeben sein.
Informationspflichten und Konsequenzen
Der Arbeitgeber ist verpflichtet, den Bewerber über die erhobenen Daten zu informieren. Dies umfasst sowohl die Quelle der Informationen als auch die Frage, ob diese an andere Abteilungen oder gar konzernweit weitergegeben werden. Spätestens einen Monat nach der Datenerhebung muss der Bewerber informiert werden. In Fällen, in denen die Informationen an andere weitergegeben werden, sogar umgehend zum Zeitpunkt der Weitergabe. Die Nichteinhaltung dieser Informationspflicht kann für den Arbeitgeber Schadensersatzansprüche seitens des Bewerbers zur Folge haben. Es sollte daher darauf geachtet werden, dass Bewerber umfassend über die Datenerhebung informiert werden.
Besonderheiten beim Einsatz von KI
Wie in sämtlichen Lebensbereichen werden auch im Arbeitsrecht und hier nicht zuletzt im Bereich der Bewerbervorauswahl immer häufiger KI-Anwendungen eingesetzt. Es gibt bereits Anwendungen, die mittels einer Online-Recherche, von Bewerbern oder sogar von Personen, die sich noch überhaupt nicht beworben haben, Prognosen über deren (berufliche) Entwicklung abgeben. Der Einsatz derartiger KI-Anwendungen ist aus beschäftigtendatenschutzrechtlicher Sicht nicht ganz unkritisch. Durch den Einsatz mancher KI-Anwendungen wird es für den Arbeitgeber nahezu unmöglich, nachzuweisen, auf welchen Daten die Einschätzung beruht. Daraus folgt aber auch, dass im Streitfall nicht nachgewiesen werden kann, dass diese Datenerhebung erforderlich war und insbesondere nicht unzulässigerweise in die Privatsphäre des Bewerbers eingegriffen hat. Außerdem ist eine umfassende Information des Bewerbers in diesen Fällen nicht möglich, da nicht bei jedem KI-Tool nachweisbar ist, welche Daten konkret zu der Prognose geführt haben. Daraus folgt, dass der Einsatz von KI-Anwendungen in diesem Bereich möglich ist. Der Arbeitgeber muss jedoch vor der Verwendung sorgfältig prüfen, welches Tool im Einklang mit nationalen und europäischen Datenschutzvorschriften eingesetzt werden darf.
Einwilligung als rechtssicheres Instrument?
Theoretisch besteht die Möglichkeit, die Einwilligung des Bewerbers für eine Online-Recherche einzuholen. Dies könnte beispielsweise in einem frühen Stadium des Auswahlverfahrens geschehen, etwa mit der Einverständniserklärung zur Verarbeitung personenbezogener Daten, die viele Unternehmen im Bewerbungsverfahren einholen. In der Praxis erweist sich eine solche Einwilligung jedoch oft als problematisch, da diese – um wirksam zu sein – freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben werden muss. Gerade in einem Bewerbungsprozess ist die Freiwilligkeit schwer sicherzustellen, da Bewerber das Gefühl haben könnten, ihre Chancen zu mindern, wenn sie die Einwilligung verweigern. Folglich stellt das Instrument der Einwilligung keine pauschale und rechtssichere Möglichkeit für das „Backgroundscreening“ dar.
Umfassende Änderungen der Rechtlage geplant
Die Bundesregierung plant, den Datenschutz im Beschäftigungsverhältnis umfassend zu regeln – ein Vorhaben, das schon im Koalitionsvertrag festgehalten wurde. Kürzlich ist hierzu ein Referentenentwurf für ein neues Beschäftigtendatengesetz (BeschDG-E) veröffentlicht worden. Prognosen über den genauen Zeitpunkt, zu dem ein solches Gesetz in Kraft treten könnte, sind insbesondere bei der derzeitigen politischen Lage, schwierig zu treffen.
Für Arbeitgeber würde das BeschDG-E umfassende Änderungen und neue Anforderungen bei der Verarbeitung von Bewerber- und Beschäftigtendaten mit sich bringen. Der Entwurf geht in mehreren Punkten über die bisherigen Vorgaben der DSGVO und die Rechtsprechung des EuGH hinaus und setzt neue Maßstäbe – vor allem in Bezug auf die Erforderlichkeitsprüfung.
Strengere Erforderlichkeitsprüfung
Eine zentrale Neuerung im Referentenentwurf ist die detailliertere Erforderlichkeitsprüfung. Arbeitgeber müssen künftig noch präziser abwägen, ob und warum bestimmte Daten erhoben werden. Neu ist dabei die vorgesehene Umkehr der Risikoverteilung. Die Datenerhebung soll nur zulässig sein, wenn das Interesse des Arbeitgebers an der Verarbeitung gegenüber dem Interesse des Bewerbers oder Beschäftigten am Schutz seiner Daten überwiegt. Diese Änderung bringt Arbeitgeber in die Position, dass jede Datenverarbeitung strenger begründet und dokumentiert werden muss.
Kritisch zu sehen ist, dass der Entwurf pauschal von einer „Abhängigkeit der Beschäftigten“ spricht, die bei der Interessenabwägung zu berücksichtigen sei. Da der Begriff „Beschäftigte“ auch Bewerber umfasst, geht der Entwurf von einem generellen Machtgefälle zwischen Arbeitgeber und Bewerber aus – eine Annahme, die (wie oben dargelegt) nicht immer der Realität entspricht und die Abwägung tendenziell zuungunsten der Arbeitgeber beeinflussen könnte.
Arbeitgeber wären nach dem Referentenentwurf in Zukunft verpflichtet, unter anderem folgende Faktoren zu beachten:
- Verarbeitungszweck und Sensibilität: Je sensibler die Daten (zum Beispiel Gesundheitsdaten), desto strenger sind die Anforderungen. Daten aus der Privatsphäre dürfen nach dem Entwurf nur in seltenen Fällen und solche aus der Intimsphäre grundsätzlich überhaupt nicht verarbeitet werden.
- Eingriffsintensität und Folgen: Arbeitgeber sollten abwägen, wie tief die Verarbeitung in die Privatsphäre des Arbeitnehmers eingreift und welche Auswirkungen sie haben könnte. Auch Art und Dauer der Datenverarbeitung spielen hier eine Rolle. So muss ausdrücklich einbezogen und damit auch umfassend begründet werden, wann eine Datenerhebung bei Dritten (zum Beispiel Google) erforderlich ist.
- Verknüpfung und Zugriff: Wenn Daten mit anderen Informationen verknüpft oder von mehreren Stellen (zum Beispiel von Vorgesetzten) eingesehen werden können, erhöht das die Schutzanforderungen.
- Erwartungen der Beschäftigten und Schutzpflichten: Der Arbeitgeber muss die Erwartungen der Beschäftigten und seine Fürsorgepflichten besonders beachten. Beschäftigte haben oft berechtigte Erwartungen, dass ihre Daten vertraulich und zweckgebunden behandelt werden.
Wachsende Dokumentationspflicht für den Arbeitgeber
Durch die geplante Umkehr der Beweislast im Rahmen der Interessenabwägung fordert der Referentenentwurf des BeschDG-E zumindest indirekt, dass Arbeitgeber jede Interessenabwägung für jede Maßnahme sorgfältig dokumentieren. Schließlich könnte im Streitfall eine unzureichende Dokumentation gravierende Nachteile mit sich bringen, da ohne diese Nachweise die Einhaltung der Datenschutzvorgaben nur schwer belegbar wäre. Von einer Entlastung der Bürokratie kann hier keine Rede sein – im Gegenteil, die ohnehin belastete Wirtschaft wird durch zusätzliche, oft aufwändige Dokumentationspflichten weiter gefordert werden. Auch muss nach dem Gesetzesentwurf der Zweck der Datenerhebung bei jeder individuellen Datenerhebung gesondert dokumentiert werden, um eine Datenerhebung nachprüfbar zu gestalten.
Auswirkung der neuesten nationalen politischen Vorgänge
Auch wenn die derzeitige Regierung dieses Gesetz angesichts der aktuellen politischen Lage voraussichtlich nicht mehr einbringen wird, bleibt aufgrund der Unanwendbarkeit des Paragrafen 26 BDSG und der damit verbundenen Dringlichkeit einer gesetzlichen Regelung zu erwarten, dass sich eine zukünftige Koalition an diesem Entwurf – zumindest in wesentlichen Teilen – orientieren könnte.
Schon die derzeitige Rechtslage, geprägt durch die EuGH-Rechtsprechung, macht eine Überprüfung der Datenschutz-Compliance im Bewerbungsverfahren erforderlich. Ob und gegebenenfalls wie schnell ein (künftiger) Gesetzgeber ein Beschäftigtendatengesetz tatsächlich umsetzt, bleibt abzuwarten. Sollte das Gesetz jedoch in der geplanten oder ähnlichen Form verabschiedet werden, müssen sich Unternehmen auf erheblich ausgeweitete Dokumentationspflichten einstellen. Es bleibt zu hoffen, dass der Entwurf in Zukunft mindestens eine ausführliche Überarbeitung erfährt, um unnötige Bürokratie möglichst zu vermeiden.
Weitere Artikel zum Arbeitsrecht:
Kevin Kuss
