Programme zur Bewerberverwaltung Checkliste für Datenschutz und DSGVO

Das Wichtigste auf einen Blick

Datenschutz-Checkliste Bewerberportal

Rechtsgrundlage Art. 6 DSGVO und § 26 BDSG
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Löschfristen automatisch ausführen und protokollieren
Serverstandort, Subunternehmer und TOM prüfen
Nachweise verlangen statt Zusagen

Rechtlicher Rahmen für Bewerberdaten

Bewerbungsunterlagen enthalten Name, Anschrift, Lebenslauf, Zeugnisse und teils Angaben zur Gesundheit. All das sind personenbezogene Daten, für deren Verarbeitung Sie eine Rechtsgrundlage brauchen.

Für Bewerbungen ist das in der Regel Artikel 6 Absatz 1 Buchstabe b der Verordnung (EU) 2016/679 in Verbindung mit § 26 BDSG. Die Norm erlaubt die Verarbeitung, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Nach § 26 Absatz 8 BDSG gelten Bewerber insoweit als Beschäftigte.

Artikel 5 Absatz 1 DSGVO verlangt Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung. Ein Bewerberportal darf deshalb keine Felder abfragen, die für die Auswahl nicht nötig sind. Angaben zu Herkunft, Religion oder Familienplanung sind unzulässig.

Mit der Absage entfällt der Zweck. Dann greift Artikel 5 Absatz 1 Buchstabe e DSGVO: Daten sind zu löschen, sobald sie nicht mehr benötigt werden. Eine Aufbewahrung zur Abwehr von Ansprüchen nach dem Allgemeinen Gleichbehandlungsgesetz ist zulässig, aber zu begründen und zu befristen.

Für einen Bewerberpool brauchen Sie eine Einwilligung nach § 26 Absatz 2 BDSG. Sie muss freiwillig sein, dokumentiert und jederzeit widerrufbar. Koppeln Sie sie nicht an die Bewerbung um eine konkrete Stelle.

Nutzen Sie ein externes Programm, ist der Anbieter Auftragsverarbeiter. Nach Artikel 28 Absatz 3 DSGVO schließen Sie einen schriftlichen Vertrag. Er regelt Weisungsbindung, Vertraulichkeit, Subunternehmer, Löschung nach Weisung und Unterstützung bei Betroffenenrechten.

Fünf Prüffragen an den Anbieter

In welchem Land laufen Produktionsdatenbank und Backup, und wo arbeiten Support und Monitoring?
Welche Subunternehmer verarbeiten Bewerberdaten, und wie werden Sie über Wechsel informiert?
Legen Sie das Muster des Auftragsverarbeitungsvertrags nach Artikel 28 Absatz 3 DSGVO vor, einschließlich Kündigungsfolgen.
Wie sind Löschfristen konfiguriert, wie werden sie technisch ausgeführt, und lässt sich das Protokoll exportieren?
Welchen Export liefert das System für Auskunft und Datenübertragbarkeit, in welchem Format und mit welcher Laufzeit?

Stellen Sie diese Fragen schriftlich. Mündliche Zusagen ersetzen keine Nachweise. Lassen Sie die Antworten von der Geschäftsleitung bestätigen, damit die Auswahlentscheidung dokumentiert ist.

Prüftabelle: Nachweis statt Zusage

Prüfpunkt	Konkrete Frage	Geforderter Nachweis
Serverstandort	In welchem Land laufen Datenbank und Backup?	Standortangabe für Betrieb, Backup, Support
Subunternehmer	Welche Dienstleister sehen Bewerberdaten?	Liste mit Sitz und Ankündigungsfrist bei Wechsel
Löschung	Wie werden Fristen ausgeführt und belegt?	Löschprotokoll aus dem System
Betroffenenrechte	Welchen Export liefert das Programm?	Testexport in der Probephase
Sicherheit	Welche Maßnahmen nach Artikel 32 DSGVO gelten?	TOM-Dokumentation, ISO 27001 oder C5-Testat

Löschfristen und Betroffenenrechte

Absage ohne KlagerisikoLöschung sechs Monate nach Zugang der Absage.
BewerberpoolEinwilligung mit Befristung, höchstens 24 Monate, jederzeit widerruflich.
Löschung automatisch ausführen und protokollieren lassen.
Sperrung statt Löschung nur bei laufendem Verfahren oder gesetzlicher Aufbewahrungspflicht.

Legen Sie fest, wer löschen darf. Löschrechte gehören nicht in die Hände aller Nutzer. Ein Protokoll zeigt später, wann welche Daten entfernt wurden.

Betroffene haben Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen sind binnen eines Monats zu beantworten, nach Artikel 12 Absatz 3 DSGVO. Prüfen Sie, ob das Programm einen vollständigen Export liefert. Fehlt er, bearbeiten Sie jede Anfrage manuell.

Serverstandort und Cloudbetrieb

Ein Server in Deutschland ist nicht Pflicht. Entscheidend sind Rechtsgrundlage, Garantien nach Kapitel V DSGVO und belastbare Nachweise des Anbieters. Für Verarbeitung in einem Drittland brauchen Sie einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Bei Cloudbetrieb prüfen Sie Verschlüsselung, Mandantentrennung, Backup-Standorte und Exit-Regelungen. Der Leitfaden Cloud Computing des Bitkom eignet sich als Prüfraster für die Anbieterauswahl.

Programme am Markt prüfen

Zu den verbreiteten Systemen gehören softgarden, Rexx Systems, d.vinci, Personio, Concludis, Prescreen, SAP SuccessFactors Recruiting und Haufe Talent Management. Die Tarifübersichten sagen wenig über Datenschutz. Ob Auftragsverarbeitungsvertrag, Löschautomatik und Export enthalten sind, steht dort meist nicht.

Fragen Sie bei softgarden, Rexx Systems, d.vinci, Personio und Concludis dieselben fünf Nachweise ab. Zwei Preislisten machen die Staffelung nach Mitarbeiterzahl sichtbar: die Preise von softgarden und die Preise von Rexx Systems. Rechnen Sie Einrichtung, Schnittstellen, Schulung und Betrieb hinzu. Ein günstiger Tarif hilft nicht, wenn der Anbieter die Nachweise aus der Tabelle nicht liefert.

Dokumente, die Sie vorhalten müssen

Das Verzeichnis von Verarbeitungstätigkeiten führen Sie nach Artikel 30 DSGVO. Die Bewerberverwaltung ist darin eine eigene Tätigkeit mit Zweck, Datenkategorien, Empfängern, Löschfristen und technischen und organisatorischen Maßnahmen.

Bei großen Bewerberzahlen, Profilbildung oder Scoring prüfen Sie eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO. Halten Sie das Ergebnis schriftlich fest, auch wenn keine Pflicht besteht. Prüfen Sie Maßnahmen jährlich und nach jedem Anbieterwechsel.

Häufige Fragen

Dürfen Bewerbungsdaten ohne Einwilligung gespeichert werden?

Ja, für das laufende Verfahren. Rechtsgrundlage ist § 26 Absatz 1 BDSG. Für einen Bewerberpool brauchen Sie eine Einwilligung nach § 26 Absatz 2 BDSG.

Wie lange dürfen abgelehnte Bewerbungen aufbewahrt werden?

Solange Sie Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz abwehren müssen. Sechs Monate nach der Absage sind üblich, danach ist zu löschen.

Muss der Server in Deutschland stehen?

Nein. Entscheidend sind Garantien nach Kapitel V DSGVO und die Nachweise des Anbieters. Ein Standort in der EU vereinfacht die Prüfung.

Was gehört in den Vertrag zur Auftragsverarbeitung?

Weisungsbindung, Vertraulichkeit, Subunternehmer, Löschung, Meldung von Datenschutzverletzungen und Unterstützung bei Betroffenenrechten.

Brauchen wir ein Verzeichnis von Verarbeitungstätigkeiten?

Ja, nach Artikel 30 DSGVO. Die Bewerberverwaltung ist darin mit Zweck, Datenkategorien und Löschfristen aufzuführen.