Zentrale Speicherorte im Unternehmen – Beispiel Bewerbungsunterlagen

Im Bewerbungsprozess erhält das Unternehmen personenbezogene Daten häufig über verschiedene Kanäle, beispielsweise klassisch per Post, über ein Bewerbungsportal, per E-Mail an eine zentrale Bewerbungsadresse oder über ein Bewerbermanagementsystem. Damit diese Daten effizient, nachvollziehbar und datenschutzkonform verarbeitet werden können, ist die Festlegung und Umsetzung von zentralen Speicherorten im Unternehmen wichtig.

Festlegung des Ablageortes – Übersichtlichkeit und Einheitlichkeit

Wird im Unternehmen durch Richtlinien festgelegt, dass alle Bewerbungsunterlagen grundsätzlich und unabhängig vom Eingangskanal an EINEM festgelegten Ort gespeichert werden – dies kann die zentrale zugriffsbeschränkte Personalverwaltungssoftware oder ein zentraler geschützter Ordner auf dem Server sein – wird vermieden, dass Daten in persönlichen Postfächern oder auf lokalen Rechnern verstreut sind und der Überblick verloren geht, wo die Daten der Bewerber abgelegt wurden. Eine Löschung im persönlichen Postfach sollte umgehend nach zentraler Ablage erfolgen.
Begleitet wird dies von der Empfehlung, möglichst wenige Zusendekanäle für Bewerbungen anzubieten. So kann bereits zu Beginn des Prozesses bestmöglich gesteuert werden, dass bevorzugt beispielsweise eine bewerbung@…. E-Mail-Adresse und nicht die allgemeine Unternehmens E-Mail-Adresse wie info@…. für die Zusendung der Bewerbung genutzt werden soll.

Zentrale Vergabe von Zugriffsrechten

Über entsprechende Berechtigungen muss sichergestellt sein, dass nur die tatsächlich am Auswahlprozess beteiligten Personen (z. B. Personalabteilung, Fachvorgesetzte, ggf. Betriebsrat) auf die zentral abgelegten Unterlagen zugreifen können (z.B. Rechte- und Rollenkonzept). Eine „Einsichtnahme“ in die Unterlagen ist in den meisten Fällen zur Prüfung auf Geeignetheit des Bewerbers für die Stelle ausreichend. Auf ein separates Weiterleiten per E-Mail und Speichern auf einem lokalen Gerät bei Abteilungsleitern kann verzichtet werden. Das verhindert unnötige mehrfache Speicherung an verschiedensten Orten im Unternehmen.

Zentrale Löschung

Sobald der Zweck der Verarbeitung erfüllt ist – also nach Abschluss des Bewerbungsverfahrens zzgl. Einhaltung möglicher Nachweispflichten – können die Daten an einem zentralen Speicherort unkompliziert und vor allem vollständig zentral gelöscht werden. Dies stellt sicher, dass personenbezogene Daten nicht länger als erforderlich gespeichert werden.

Schnelle Umsetzung des Rechtes auf Auskunft

Sofern Bewerber ihr Recht auf Auskunft über ihre Daten gegenüber dem Unternehmen geltend machen, ist das Unternehmen bei der zentralen Speicherung bzw. Ablage in der Lage, die Auskunft fristgemäß (spätestens innerhalb eines Monats) und vor allem stressfrei zu erteilen.

Exkurs : Bezug zum AGG

Wenn ein Bewerber als Kandidat für eine Arbeitsstelle nicht in Frage kommt, sollten seine Daten unverzüglich gelöscht werden. Diese Pflicht greift jedoch dann nicht, solange die Speicherung der Bewerberdaten zur Verteidigung von Rechtsansprüchen erforderlich ist. In Deutschland besteht bspw. die Möglichkeit, dass Bewerber aufgrund des Allgemeinen Gleichbehandlungsgesetzes (AGG) gegen den potenziellen Arbeitgeber klagen können. Solange der Arbeitgeber mit einer solchen Klage rechnen muss, kann er die Bewerberdaten maximal 6 Monate aufbewahren.

Kein Datenschutz ohne Berechtigungskonzept

Unabhängig von dem konkreten Beispiel des Bewerbungsprozesses, kann die Empfehlung zur zentralen Speicherung auch auf andere Dokumente übertragen werden. Wichtig ist hier immer ein entsprechendes Rechte- und Rollenkonzept mit Einsichts- und Zugriffrechten.

Die Empfehlung zur zentralen Speicherung bedeutet jedoch nicht, dass keine Sicherheitskopien angefertigt werden. Denken Sie immer an den schlimmsten aller Fälle und die Daten müssen – aus welchem Grund auch immer – wiederhergestellt werden. Dann müssen selbstverständlich Backups verfügbar sein.

Interne Prozesse umzustellen oder Regelungen festzulegen fordert initial Ressourcen und vor allem die Bereitschaft zur Neuorganisation. Langfristig hat das Unternehmen damit jedoch Handlungssicherheit bei der Umsetzung rechtlicher Anforderungen.

Was ist jetzt zu tun?

Prüfen Sie, ob in Ihrem Unternehmen bereits einheitliche Speicherorte und Löschroutinen implementiert sind. Kontrollieren Sie auch, ob die Löschverfahren ggf. automatisiert werden können. Sprechen Sie uns jederzeit gern an, so dass wir gemeinsam Maßnahmen zur Speicherbegrenzung und Löschroutine abstimmen können.