Wie gut sind meine Bewerbungsdaten geschützt?

Der Datenschutz im Recruiting spiele mittlerweile «eine nicht unwesentliche Rolle», schreibt das HR-Beratungsunternehmen Jobfile in seinem Blog. Dabei spiele es keine Rolle, ob man die Bewerbungsunterlagen auf Papier verschickt, per E-Mail einreicht oder auf das Bewerbungstools eines Unternehmens hochlädt.

Wichtig zu wissen ist zuerst einmal: Motivationsschreiben, Lebenslauf, Fotos, Zeugnisse, Arbeitsproben und Referenzangaben gehören der Bewerberin, dem Bewerber. Das heisst, nach Abschluss des Verfahrens muss der potenzielle Arbeitgeber sie entweder wieder aushändigen oder vernichten bzw. löschen. Die Versicherung Baloise gibt in ihren Karrieretipps für postalisch eingereichte Unterlagen eine Frist von zwei bis drei Monaten nach der Besetzung der Stelle an. Und sie weist darauf hin, dass zu den geschützten Bewerbungsdaten auch «Notizen aus dem Job-Interview» zählen.

Bewerber*innen haben Löschrecht für ihre Unterlagen

Es kann sein, dass man die Stelle zwar nicht bekommt, aber doch so interessant ist, dass der Arbeitgeber die Bewerbungsunterlagen für eine allfällige spätere Stellenbesetzung behalten bzw. speichern möchte. Dieser Ablage in Talent Pools oder ähnlich bezeichneten Datenbanken muss die Bewerberin, der Bewerber ausdrücklich zustimmen, und er/sie kann die Einwilligung widerrufen. «Du hast ein Löschrecht: Bitte den Arbeitgeber schriftlich oder mündlich, deine Daten zu löschen!», rät die Baloise.

Wer genau darf die Bewerbung anschauen? Auch hier sind enge Grenzen gesetzt. Es müsse sichergestellt sein, schreibt Jobfile, «dass nur Personen darauf Zugriff haben, die in die Stellenbesetzung involviert sind. Dabei handelt es sich in der Regel um Personalabteilung, Fachvorgesetzte und Geschäftsführung.» Und bei Baloise heisst es ergänzend: «Alle sind der Verschwiegenheit verpflichtet und dürfen keine Daten weitergeben.» Auch Headhunter dürften die Bewerber*innendaten nur mit anderen teilen, wenn dafür die Zustimmung vorliegt.

Gesundheitsdaten dürfen unter Umständen erhoben werden

Und wie verhält es sich mit Daten, die nicht in den Bewerbungsunterlagen stehen? Ein Beispiel sind Referenzauskünfte, die der potenzielle beim aktuellen oder früheren Arbeitgeber einholt. Kurz gesagt, dürfen solche Auskünfte gemäss Eidgenössischem Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eingeholt bzw. gegeben werden, wenn die Bewerberin, der Bewerber damit einverstanden ist – was sie/er mit der Angabe von Referenzpersonen in der Bewerbung signalisiert. Ein anderes Beispiel sind Gesundheitsdaten. Der potenzielle Arbeitgeber darf solche per Fragebogen erheben, «sofern sie die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind», schrieb der EDÖB 2014.

Eine Verschärfung der Pflichten im Umgang mit Personendaten hat 2018 die Datenschutzgrundverordnung der EU gebracht. Sie gilt auch in der Schweiz, sofern hiesige Firmen Filialen bzw. Tochterunternehmen in der EU haben und/oder nach Bewerber*innen mit Wohnsitz in der EU suchen. «Die Suche nach Bewerbern wird zum Hürdenlauf» titelte damals die Handelszeitung und wies darauf hin, dass die Bewerbungsdaten gemäss neuer Datenregeln nach drei bis sechs Monaten zu löschen seien. 2020 revidierte auch die Schweiz ihr Datenschutzgesetz und glich es dem verschärften EU-Recht an. Es tritt mutmasslich 2022 in Kraft, zusammen mit der entsprechenden Verordnung, für die das Vernehmlassungsverfahren jüngst abgeschlossen wurde.

Kanton Aargau regelt Datenschutz für Bewerbungen in Richtlinie

Im Zusammenhang mit dem verschärften Datenschutz gehen immer mehr Unternehmen dazu über, eine umfangreiche Datenschutzerklärung zu publizieren – inkl. Cookie-Richtlinien, denn Daten können ja bereits durch den reinen Besuch der Webseite erhoben werden. Gewisse Arbeitgeber*innen sprechen in ihren Datenschutzerklärungen explizit das Bewerbungsverfahren an, so zum Beispiel auch der Kanton Aargau. Hier die wichtigsten Bestimmungen:

·       Wer darf die Bewerbung anschauen? «Die Bearbeitung Ihrer Daten erfolgt ausschliesslich durch dafür ermächtigte Mitarbeitende der kantonalen Verwaltung. […] Sie sind nur Mitarbeiterinnen und Mitarbeitern der Personaldienste nach Zuständigkeitsbereich sowie pro Stelle der zuständigen Anstellungsbehörde zugänglich.»

·       Speicherung, Weiterleitung und Bearbeitung: Persönliche Daten und Bewerbungsunterlagen werden während des Verfahrens in einem E-Recruiting-System gespeichert. «Ihre Daten werden nur dann intern weitergegeben, wenn Sie uns explizit dazu ermächtigen (Zustimmung Weitergaben vergleichbare Stellen oder Aufnahme in einen Pool). […] Die Daten können entpersonalisiert für statistische Zwecke (z.B. Reporting) bearbeitet werden.»

·       Bearbeitungsmöglichkeit und Auskunftsrecht: «Bei einer elektronischen Bewerbung haben Sie jederzeit über Ihr Profil (Login) die Möglichkeit, auf Ihre Daten zuzugreifen, diese zu ergänzen, die Bewerbung zurückzuziehen oder uns aufzufordern, ihr Profil inklusive sämtliche Dokumente zu löschen. […] Mit einem Auskunftsbegehren bei der im Stelleninserat bezeichneten Kontakstelle [sic!] können Sie Auskunft darüber verlangen, welche Daten über Sie bearbeitet werden.»

·       Löschung: «Wenn Sie sich auf eine Stelle beworben, jedoch einen ablehnenden Bescheid erhalten haben, werden Ihre Angaben 180 Tage nach Abschluss des Bewerbungsverfahrens gelöscht. Es erfolgt keine Mitteilung über die Löschung der Daten.» Bekommt man hingegen die Stelle, werden die «relevanten» Bewerbungsunterlagen zum Personaldossier gelegt.

Auch wenn man sich auf Jobplattformen registriert, um regelmässig über neue passende Stellen zu informieren, gibt man personenbezogene Daten preis, etwa seine E-Mail-Adresse. Wie diese verwendet werden, steht ebenfalls in den Datenschutzerklärungen, zum Beispiel von JobMarket: «Die im Rahmen einer Anmeldung zum Jobmail-Service erhobenen personenbezogenen Daten werden ausschliesslich zum Versand von Job-Angeboten verwendet.» Beim Anbieter Monster kann man seinen Lebenslauf hochladen; eine entsprechende Richtlinie regelt deshalb das «Hosting von persönlichen Lebenslaufdatenbanken». Careerjet bietet sowohl einen «Jobalarm» als auch die Erstellung bzw. Speicherung des Lebenslaufs an und verspricht in seiner Datenschutzrichtlinie: «Persönlich indentifizierbare [sic!] Informationen werden nur dann verwendet, wenn von Ihnen angefragte Informationen verarbeitet und übermittelt werden sollen, sowie von Ihnen gewünschte Dienste gewährleistet werden sollen.»