Der Umgang mit Bewerberdaten ist in vielen Unternehmen immer wieder ein großes Thema. Welche Daten darf ich abfragen und speichern? Wie lange darf ich die Unterlagen aufbewahren? Wie kann eine Bewerbermanagementsoftware datenschutzkonform genutzt werden? All diese Fragen werden uns immer wieder in unserer Tätigkeit als externe Datenschutzbeauftragte gestellt. In diesem Blogbeitrag möchten wir Ihnen den datenschutzkonformen Umgang mit Bewerbungsdaten näherbringen und Ihnen zeigen, dass die rechtlichen Vorgaben auch mit einem geringen Aufwand eingehalten werden können.

Ein Verstoß gegen die DSGVO liegt insbesondere dann vor, wenn die Daten ohne entsprechende Rechtsgrundlage verarbeitet werden. Dies war vorliegend der Fall, indem ein Fitnessstudio in Bayern die gesamte Trainingsfläche lückenlos überwachte und dafür eine Untersagungsanordnung vom Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) kassierte. Diese Sanktionierung sah jedoch das Sportstudio als Anlass, selbst gegen die Datenschutzaufsichtsbehörde verwaltungsgerichtlich vorzugehen. Das Verwaltungsgericht (VG) Ansbach urteilte nun am 23.02.2022 (Az. AN 14 K 20.00083), dass das vom Fitnessstudio beklagte BayLDA die Videoüberwachung rechts- und verhältnismäßig als eine Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO untersagt habe (Rn. 43‑44 ff.). Die Klage des Sportstudios sei dagegen „lediglich in geringem Umfang begründet“ gewesen (Rn. 26).

Welche Verfahren bei der Pseudonymisierung gibt es?

Bei der Pseudonymisierung kann der Verantwortliche über ein Rechte- und Rollenkonzept dafür sorgen, dass der pseudonymisierte Datensatz nicht mit den Identifikatoren zusammengeführt wird. So besteht eine Möglichkeit darin, die Identifikatoren zu verschlüsseln und den Schlüssel sicher zu verwalten, sodass nur Berechtigte den Datensatz entschlüsseln können.

Anonymisierung – vielfach ist damit im Kontext von Datenschutz gemeint: Verantwortliche müssen datenschutzrechtliche Vorschriften bei der weiteren Verarbeitung der Daten nicht weiter beachten. Hintergrund dieser Konnotation ist, dass die DSGVO nach Art. 2 Abs. 1 nur auf personenbezogene Daten Anwendung findet. Anonymisierte Datensätze zeichnen sich dadurch aus, dass sie nicht mehr personenbeziehbar sind. Wollen Verantwortliche sich den Anforderungen der DSGVO entziehen, bemühen sie sich um eine Anonymisierung der verarbeiteten Daten. Sollen umfangreiche Kundendatensätze bspw. zu Marketingzwecken analysiert und ausgewertet werden, ist das Ziel, die Datensätze zu anonymisieren, um im Rahmen ihrer weiteren Verarbeitung datenschutzrechtlichen Anforderungen nicht weiter genügen zu müssen.

„Marketing ist die Kunst Chancen aufzuspüren, sie zu entwickeln und davon zu profitieren. Manch ein Unternehmen mag eine solche Chance zur Absatzförderung in der Versendung von Bestätigungs-E-Mails im Rahmen des sogenannten Double-Opt-in-Verfahrens sehen. Das Double-Opt-in-Verfahren stellt eine in der Praxis weit verbreite und anerkannte Methode zur Absicherung einer datenschutzrechtlichen Einwilligung in eine dann folgende werbliche Kontaktierung dar. Es herrscht mittlerweile Einigkeit, dass eine Bestätigungs-E-Mail selbst keine unzumutbare Belästigung im Sinne des UWG (Gesetz gegen den unlauteren Wettbewerb) ist.

Der Datenschutzbeauftragte kann seine Funktion als Berater einer datenverarbeitenden Stelle nur angemessen nachkommen, wenn er vollständig unabhängig tätig werden kann. Aus diesem Grund ist seine Stellung im Unternehmen nach der Datenschutzgrundverordnung besonders geschützt. So besagt Art. 38 DSGVO insbesondere, dass ein Datenschutzbeauftragter auf Grund seiner Aufgaben nicht abberufen oder benachteiligt werden darf.  Auf diese Weise soll sichergestellt werden, dass ein Datenschutzbeauftragter auch wirklich unabhängig seinem Prüf und Beratungsauftrag nachkommen kann und nicht aus Angst vor beruflichen Konsequenzen datenschutzrechtliche Problemstellungen parteiisch bewertet.

Auftragsverarbeiter führen verschiedene Datenverarbeitungen für ihre Auftraggeber durch. Mitunter haben sie die Datenverarbeitung, die sie im Auftrag des Verantwortlichen ausführen, voll im Blick und wissen besser über die einzelnen Schritte Bescheid als der Verantwortliche selbst. Zudem treten sie bei Bedarf und je nach Datenverarbeitung nach außen hin gegenüber den Kunden des Auftraggebers auf. So kommt es dazu, dass die Kunden des Auftraggebers den Auftragsverarbeiter als Ansprechpartner wahrnehmen und sich direkt mit ihren Anliegen an ihn wenden. Was aber tun, wenn ein Kunde des Auftraggebers seine Betroffenenrechte aus der DSGVO gegenüber dem Auftragnehmer geltend macht?

Grundsätzlich müssen Verantwortliche gemäß Art. 32 Abs 1 DSGVO technische und organisatorische Maßnahmen ergreifen, die geeignet sind, ein angemessenes Schutzniveau zu gewährleisten. Die DSGVO nennt als mögliche Maßnahmen die Verschlüsselung oder Pseudonymisierung. Um festzustellen, welcher Maßstab an das angemessene Schutzniveau anzulegen ist, müssen Verantwortliche gemäß Art. 32 Abs. 2 DSGVO unter anderem die Risiken berücksichtigen, die bei der Verarbeitung relevant werden. Verantwortliche müssen technische und organisatorische Maßnahmen, die zur Gewährleistung dieses ermittelten, angemessenen Datenschutzniveaus notwendig sind, ergreifen. Bei der Entscheidung über die zu ergreifenden Maßnahmen haben sie unter anderem sowohl den Stand der Technik als auch die Implementierungskosten zu berücksichtigen. Zudem sind die Grundsätze privacy by default und privacy by design nach Art. 25 DSGVO bei der Entscheidung über die Schutzmaßnahmen einzuhalten.