Kurzbeitrag : Praxisfälle zum Datenschutzrecht XXXI: Datenschutz und „Active Sourcing“ : aus der RDV 6/2024, Seite 341 bis 345
I. Sachverhalt
Aufgrund einer erhöhten Nachfrage nach seinen Produkten plant das Unternehmen U zu expandieren und mehrere hundert neue Mitarbeiter/-innen einzustellen. Trotz Ausschreibungen über diverse Medien und Portale kommt der Stellenausbau allerdings nur schleppend voran. Es sind nur einige Dutzend Bewerbungen eingegangen und die Bewerber/-innen erfüllen auch nur zum Teil das annoncierte Anforderungsprofil. Nach Wunsch der Unternehmensleitung sollen die für die Personalbeschaffung zuständigen Personen daher künftig aktiver agieren, indem sie potenzielle Talente auch ohne vorherige Bewerbung ihrerseits ansprechen und für einen Job bei U begeistern. Die Recherche nach geeigneten Kandidaten und Kandidatinnen für die Ansprache soll über berufliche Onlinenetzwerke erfolgen. Im Anschluss an die Recherche werden berufliche Kontaktdaten sowie Informationen zur jeweiligen Berufserfahrung in eine Datenbank aufgenommen, welche die Basis für eine nachfolgende Kontaktaufnahme bildet.
Die konkrete Kontaktaufnahme erfolgt durch einen nur wenige Minuten dauernden Telefonanruf am aktuellen Arbeitsplatz der betroffenen Personen, der sich inhaltlich auf den Hinweis auf die Möglichkeit des Stellenwechsels, eine kurze Beschreibung der Stelle sowie das Angebot einer Kontaktaufnahme außerhalb des Betriebs des aktuellen Arbeitgebers bezieht.
Ist das geplante Vorgehen zulässig?
II. Musterlösung
1. Allgemeines
Der vorliegend zu beurteilende Sachverhalt beschreibt einen Anwendungsfall des sog. „Active Sourcing“. „Active Sourcing“ meint aktive Personalbeschaffung, d.h. Maßnahmen eines Unternehmens, um proaktiv potenzielle Bewerber/-innen zu identifizieren.[1] Ziel ist es, im Unterschied zu normalen Stellenausschreibungen auch Personen zu erreichen, die nicht aktiv nach einer neuen Tätigkeit suchen.[2] Angesichts des in Deutschland bestehenden Fachkräftemangels und der Schwierigkeiten, vakante Stellen zu besetzen, erlangen Maßnahmen der aktiven Personalgewinnung zunehmend an praktischer Relevanz. Da entsprechende Maßnahmen typischerweise die Verarbeitung personenbezogener Daten erfordern, stellt sich die Frage nach den datenschutzrechtlichen Rahmenbedingungen des „Active Sourcing“. Fraglich ist insbesondere, welche Rechtsgrundlage für die mit dem „Active Sourcing“ einhergehenden Datenverarbeitungen herangezogen werden kann.
2. § 26 Abs. 1 S. 1 BDSG als Grundlage der Datenverarbeitung?
Mit § 26 BDSG sieht das nationale Recht eine spezielle Rechtsgrundlage zum Umgang mit personenbezogenen Daten im Beschäftigungskontext vor. Grundlage dieser nationalen Regelung soll die in Art. 88 DS-GVO für den genannten Bereich vorgesehene Öffnungsklausel sein. Die DS-GVO enthält keine spezifischen Regelungen zum Umgang mit Beschäftigtendaten und überlasst den Regelungsbereich den nationalen Gesetzgebern.[3]Allerdings ist spätestens seit einer Entscheidung des EuGH aus 2023[4] zweifelhaft, ob § 26 BDSG in seiner Gesamtheit als europarechtskonform anzusehen ist. Zwar bezog sich die Entscheidung nicht auf § 26 BDSG, sondern auf die Regelung zum Beschäftigtendatenschutz in § 23 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG). Allerdings ist die vom EuGH überprüfte hessische Bestimmung in wesentlichen Teilen wortgleich mit der Regelung in § 26 Abs. 1 S. 1 BDSG, so dass davon ausgegangen wird, dass auch die genannte BDSG-Bestimmung ganz bzw. teilweise nicht mehr herangezogen werden als Rechtsgrundlage.[5] Hintergrund der Europarechtswidrigkeit der nationalen Regelungen ist ihr fehlender Charakter als speziellere Regelungen im Verhältnis zur DS-GVO. Gegenstand der Öffnungsklausel in Art. 88 Abs. 1 DS-GVO sind nämlich ausschließlich „spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“.
Im Ergebnis wäre § 26 Abs. 1 S. 1 BDSG im vorliegenden Fall jedoch auch unabhängig vom Aspekt der Europarechtswidrigkeit nicht einschlägig, da der sachliche Anwendungsbereich der Regelung nicht eröffnet ist. Zwar ist der Beschäftigtenbegriff im Sinne der Vorschrift weit definiert und erfasst u.a. auch „Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist“ (§ 26 Abs. 8 S. 2 BDSG). Im Fall des „Active Sourcing“ liegt mangels eigenes Aktivwerdens der betroffenen Person aber noch nicht einmal ein Bewerbungsverhältnis vor.
3. Art. 6 Abs. 1 S. 1 lit. b) bzw. f) DS-GVO als mögliche Rechtsgrundlage?
a) Allgemeines
Mangels Anwendbarkeit und Einschlägigkeit der Spezialregelung in § 26 Abs. 1 S. 1 BDSG bleibt zu prüfen, inwiefern Verarbeitungen im Rahmen des „Active Sourcing“ auf die allgemeinen Erlaubnistatbestände der DS-GVO gestützt werden können. Eine Einwilligung (Art. 6 Abs. 1 S. 1 lit. a) DS-GVO) scheidet als Rechtsgrundlage aus, da es faktisch unmöglich ist, Einwilligungen von Personen einzuholen, die dem Verantwortlichen zu Beginn der Datenverarbeitung noch nicht bekannt sind.
Art. 6 Abs. 1 S. 1 lit. b) DS-GVO kann als potenzielle Rechtsgrundlage vorliegend ebenfalls nicht herangezogen werden. Nach der genannten Bestimmung ist eine Verarbeitung personenbezogener Daten rechtmäßig, sofern sie erforderlich ist „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen [..], die auf Anfrage der betroffenen Person erfolgen“. Fraglich erscheint bereits, ob das „Active Sourcing“ insgesamt eine vorvertragliche Maßnahme im Sinne der Vorschrift darstellt und nicht nur insofern, wie als dessen Ergebnis konkrete Vertragsangebote seitens des Verantwortlichen gemacht werden. Jedenfalls fehlt es an einer Anfrage der betroffenen Person im Sinne der Regelung. Die Voraussetzung, dass die Durchführung der vorvertraglichen Maßnahme auf eine Anfrage der betroffenen Person zurückgehen muss, soll sicherstellen, dass diese die Kontrolle über den Umfang der Verarbeitung ihrer Daten behält so wie im Rahmen von lit. b) Alt. 1 DS-GVO über das Erfordernis des Vertragsschlusses.[6]
Denkbar bleibt damit vorliegend nur eine Legitimation der Datenverarbeitung über Art. 6 Abs. 1 S. 1 lit. f) DS-GVO (Interessenabwägung). Die Anwendbarkeit von Art. 6 Abs. 1 S. 1 lit. f) DS-GVO im Zusammenhang mit Beschäftigungsverhältnissen wird von der herrschenden Meinung zwar aus guten Gründen stark eingeschränkt in dem Sinne, dass ein Rückgriff auf die Interessenabwägung nur bei sog. beschäftigungsfremden Zwecken in Betracht kommt, denn ansonsten bestünde die Gefahr, dass über eine Anwendung der Interessenabwägung das Kriterium der Erforderlichkeit der Datenverarbeitung im Rahmen von Art. 6 Abs. 1 S. 1 lit. b) DS-GVO ausgehöhlt würde.[7] Diese Gefahr besteht hier allerdings insofern nicht, als Art. 6 Abs. 1 S. 1 lit. b) DS-GVO hier (noch) gar nicht anwendbar ist.
Zwischenergebnis: Personenbezogene Datenverarbeitungen im Rahmen des „Active Sourcing“ sind an Art. 6 Abs. 1 S. 1 lit. f) DS-GVO (Interessenabwägung) zu messen.
b) Interessenabwägung
aa) Allgemeines
Um Verarbeitungen auf Art. 6 Abs. 1 lit. f) DS-GVO stützen zu können, bedarf es einer substanziellen und auf den konkreten Einzelfall bezogenen Auseinandersetzung mit den Interessen, Grundrechten und Grundfreiheiten der Beteiligten. Die Interessenabwägung ist entsprechend zu dokumentieren (Art. 5 Abs. 2 und Art. 24 Abs. 1 S. 1 DS-GVO). Ob die Voraussetzungen von Art. 6 Abs. 1 S. 1 lit. f) DS-GVO im konkreten Fall erfüllt sind, ist im Rahmen einer dreistufigen Prüfung zu ermitteln:[8]
- Schritt 1: Vorliegen eines berechtigten Interesses des Verantwortlichen oder eines Dritten?
- Schritt 2: Erforderlichkeit der Datenverarbeitung zur Wahrung dieser Interessen?
- Schritt 3: Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall
Gegen Datenverarbeitungen auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DS-GVO besteht ein Widerspruchsrecht (Art. 21 Abs. 1 DS-GVO), auf das die betroffene Person entsprechend hinzuweisen ist (Art. 21 Abs. 4 DS-GVO).
bb) Abwägung im Einzelnen
Die Schritte 1 und 2 im Rahmen der Interessenabwägung stellen vorliegend keine größeren Hürden dar. Unzweifelhaft stellt es sich im Grundsatz als berechtigtes Interesse im Sinne der DS-GVO dar, wenn ein Unternehmen auf Expansionskurs potenzielle neue Beschäftigte ausfindig machen und rekrutieren will. Dass die Datenverarbeitung im Rahmen des „Active Sourcing“ auch erforderlich ist im Sinne von Art. 6 Abs. 1 S. 1 lit. f) DS-GVO zeigt sich daran, dass das Unternehmen über die üblichen „passiven“ Kanäle zur Rekrutierung nicht den nötigen Erfolg hatte. Mildere, aber dennoch gleich effektive Mittel stehen U nicht zur Verfügung: Abwerbemaßnahmen per Brief dürften kaum den gleichen Erfolg versprechen wie die persönliche Kontaktaufnahme per Telefon. Auch stehen Talentscouts regelmäßig nur die beruflichen Kontaktdaten der Adressaten zur Verfügung. Bei Post an berufliche Adressen besteht aber stets die Gefahr, dass diese auch von anderen Personen gelesen wird (Sekretariat, Stellvertreter), was dem eigentlichen Adressaten in diesem Fall aber ggf. nicht recht ist.
Bzgl. der Abwägung der Interessen im Einzelfall sind im Übrigen die Wertungen des Gesetzes gegen den unlauteren Wettbewerb (UWG) zu beachten. Nach der Rechtsprechung des BGH[9] ist eine telefonische Kontaktaufnahme mit Mitarbeitern eines Konkurrenzunternehmens wettbewerbsrechtlich dann nicht zu beanstanden, wenn der Anruf nicht über eine erste Kontaktaufnahme hinausgeht und sich darauf beschränkt, bei Interesse die zu besetzende Stelle kurz zu umschreiben und ggf. eine Fortsetzung des Gesprächs außerhalb des Arbeitsplatzes zu verabreden.
Das hiermit einhergehende Verständnis, dass es sich bei kurzen Abwerbeanrufen um adäquate Maßnahmen im Wettbewerb der Unternehmen untereinander handelt, darf nicht dadurch konterkariert werden, dass die Verarbeitung der hierzu benötigten Kontaktdaten datenschutzrechtlich als unangemessen gewertet wird, zumal es sich lediglich um berufliche Kontaktinformationen (B2B-Daten) handelt und die Angesprochenen ggf. sogar ein Interesse an einer entsprechenden Ansprache haben, um sich beruflich zu verbessern. Zwar unterliegen auch berufliche Kontaktinformationen dem Datenschutzrecht, im Rahmen einer Interessenabwägung sind sie aber regelmäßig als weniger schutzwürdig zu betrachten als Daten, welche der privaten Sphäre zuzuordnen sind. Zu beachten ist schließlich, dass die betroffene Person Kontaktaufnahmen dieser Art jeweils nur einmal für kurze Zeit dulden muss. Danach ist es UWG-widrig und in der Folge regelmäßig auch datenschutzwidrig, sofern dieselbe Stelle noch mal anruft. Insgesamt dürften die Interessen der betroffenen Person am Ausbleiben der Datenverarbeitung die Vorteile der Verarbeitung im vorliegenden Fall damit nicht überwiegen.
Die Datenverarbeitung ist folglich als rechtmäßig anzusehen, sofern auf angemessene Löschfristen geachtet wird. Sofern kein Interesse an einer Bewerbung besteht, sind alle Daten, die nicht für eine entsprechende „Sperrliste“ benötigt werden, zeitnah zu löschen. Hat die kontaktierte Person Interesse und kommt es zu einem Bewerbungsverfahren, sind die insoweit relevanten Löschfristen einschlägig.
4. Informationspflichten des anwerbenden Unternehmens U
Neben dem Aspekt, dass eine Rechtsgrundlage für die im Rahmen der Anwerbung stattfindenden personenbezogenen Datenverarbeitungen benötigt wird, hat das Unternehmen U datenschutzrechtliche Informationspflichten zu beachten. Nach Art. 13 f. DS-GVO sind der betroffenen Person bei Datenerhebung näher aufgezählte Informationen mit Blick auf die geplante Datenverarbeitung zur Verfügung zu stellen, insbes. zur datenschutzrechtlich verantwortlichen Stelle, zu den Zwecken der Datenverarbeitung, den Speicherfristen und den Rechten der betroffenen Person im Zusammenhang mit der Datenverarbeitung (zu den Details der Informationspflichten vgl. jeweils die Absätze 1 und 2 von Art. 13 f. DS-GVO). Art. 13 DS-GVO ist einschlägig, sofern die Datenerhebung unmittelbar bei der betroffenen Person erfolgt, z.B., wenn ein Bewerber beim Unternehmen einen Fragebogen zu seiner Person ausfüllt. Art. 14 DS-GVO gilt in Fällen wie dem hier vorliegenden, nämlich, wenn personenbezogene Daten nicht bei der betroffenen Person selbst erhoben wurden. Wesentlicher Unterschied der Informationspflichten aus Art. 13 bzw. 14 DS-GVO ist, dass bei Art. 14 DS-GVO zusätzlich anzugeben ist, aus welcher Quelle die personenbezogenen Daten stammen und ggf. ob sie aus öffentlich zugänglichen Quellen stammen.
Im Hinblick auf den Zeitpunkt der Information sieht Art. 14 Abs. 3 DS-GVO Folgendes vor:
„Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2
a) Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats,
b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie oder,
[…]“
Im Hinblick auf die Fristen nach Art. 14 Abs. 3 DS-GVO empfiehlt sich eine zeitnahe Kontaktaufnahme mit den betroffenen Personen nach Erhebung der Daten, spätestens innerhalb eines Monats. Sofern die angesprochene Person an einem weiteren Kontakt interessiert ist und hierzu private Kontaktinformationen zur Verfügung stellt, können die Informationen nach Art. 14 DS-GVO hierüber bereitgestellt werden. Hat die angesprochene Person kein Interesse an beruflicher Veränderung, sollte sie dennoch um eine Kontaktmöglichkeit gebeten werden, um ihr die Datenschutzinformationen zur Verfügung stellen zu können. Denn ihre Daten können im Nachgang nicht komplett gelöscht werden, sondern die Person muss in eine „Sperrliste“ aufgenommen werden, um effektiv zu verhindern, dass man sie in Zukunft noch mal anspricht. Möchte die Person zur Bereitstellung der Datenschutzinformationen keine Kontaktdaten zur Verfügung stellen, ist dies zu dokumentieren. Sinnvoll erscheint es, wenn die Person für diesen Fall auf allgemein abrufbare Informationen zur Datenverarbeitung zum Recruiting, etwa auf der Website des Unternehmens, hingewiesen werden kann. Auf eine ungebetene Bereitstellung der Informationen nach Art. 14 DS-GVO an die aktuellen beruflichen Kontaktdaten sollte verzichtet werden, um den Adressaten nicht in mögliche Schwierigkeiten mit seinem aktuellen Arbeitgeber zu bringen.
Wie bereits ausgeführt, besteht gegen Datenverarbeitungen nach Art. 6 Abs. 1 S. 1 lit. f) DS-GVO grundsätzlich ein Widerspruchsrecht, auf das die betroffene Person entsprechend hinzuweisen ist (Art. 21 Abs. 1, Abs. 4 DS-GVO). Dieser Hinweis wird in der Praxis üblicherweise mit den Informationen nach Art. 13 f. DS-GVO verbunden. Hier macht ein Hinweis auf ein Widerspruchsrecht allerdings keinen Sinn, da die relevante Datenverarbeitung im Zusammenhang mit dem Abwerbeanruf, wie dargestellt, nur ein einziges Mal erfolgen darf. Der Widerspruch ist aber auf künftige Verarbeitungen gerichtet.
III. Ergänzende Informationen
1. Datenschutzrechtliche Verantwortlichkeit
In der Praxis kommen oft auch externe Scouts zum Einsatz, um geeignetes Personal für Unternehmen zu finden. Insoweit stellt sich die Frage nach der datenschutzrechtlichen Verantwortlichkeit. Eine bloße Auftragsverarbeitung (Art. 28 DS-GVO) dürfte in diesen Konstellationen regelmäßig nicht mehr vorliegen angesichts des weitreichenden Spielraums, der solchen Dienstleistern typischerweise eingeräumt wird.[10] Jedenfalls in Fällen, in denen der Dienstleister nicht exklusiv für das auftraggebende Unternehmen tätig wird, sondern geeignete Kandidaten bzw. Kandidatinnen in eine eigene Datenbank aufnimmt und diese auch anderen Unternehmen vorschlägt, dürfte im Hinblick auf die Datenerhebung eine gemeinsame Verantwortlichkeit i.S.v. Art. 26 DS-GVO anzunehmen sein.[11] Für den Fall der exklusiven Tätigkeit des Scouts für den jeweiligen Auftraggeber wurde bislang regelmäßig von einer getrennten datenschutzrechtlichen Verantwortlichkeit ausgegangen, konkret der Verantwortlichkeit des Dienstleisters für die Datenerhebung beim Bewerber und die Weitergabe an den Auftraggeber sowie des Auftraggebers für die nachfolgende Verarbeitung zum Zweck des Bewerbungsverfahrens. Angesichts der weiten Interpretation von Art. 26 DS-GVO durch den EuGH[12]scheint aber auch eine andere Beurteilung nicht ausgeschlossen. Denn die Datenverarbeitung wird in diesem Fall durch den potenziellen Arbeitgeber veranlasst und er profitiert auch von dieser.
2. Ansprache ehemaliger Bewerber/-innen
Die vorliegend relevante Konstellation des „Active Sourcing“ unterscheidet sich datenschutzrechtlich von Fällen, in denen eine Stelle Personen noch mal ansprechen möchte, mit denen sie bereits in Kontakt stand, die aber trotz Potenzial nicht eingestellt werden konnten, z.B., weil es sehr viele gute Bewerber/-innen gab oder im Fall einer Initiativbewerbung keine passende Stelle existierte. Die Aufnahme in einen solchen Pool erfordert regelmäßig die Einwilligung der betroffenen Personen,[13] während das „Active Sourcing“ aufgrund des faktischen Ablaufes gar nicht auf eine Einwilligung gestützt werden könnte.
*RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016
[1] HmbBfDI, Bewerberdatenschutz und Recruiting im Fokus, 06.06.2024, S. 3.
[2] HmbBfDI, Bewerberdatenschutz und Recruiting im Fokus, 06.06.2024, S. 3.
[3] Gola/Heckmann/Gola/Pötters, DS-GVO BDSG, 3. Aufl., § 26 BDSG Rn. 1.
[4] EuGH, Urt. v. 30.03.2023 – C-34/21.
[5] Vgl. etwa Glocker/Hoffmann, BB 2023, 1333; Neufeld/Grosche, ArbRAktuell 2024, 455; BayLDA, TB 2022, S. 55 Fn. 1: „Im Lichte der EuGH-Rechtsprechung in der Rechtssache C-34/21 sehen wir § 26 Abs. 1 S. 1 BDSG nicht für anwendbar an.“; HmbBfDI, Bewerberdatenschutz und Recruiting im Fokus, 06.06.2024, S. 2.
[6] Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Datenschutzrecht, DS-GVO Art. 6 Abs. 1 Rn. 41
[7] Gola, Handbuch Beschäftigtendatenschutz, 8. Aufl. (2019), Rn. 748.
[8] Zur Interessenabwägung vgl. auch EDSA, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, Vers. 1.0 (08.10.2024). Zu diesem Papier findet aktuell eine öffentliche Konsultation statt.
[9] BGH, Urt. v. 04.03.2004 – I ZR 221/01; BGH, Urt. v. 22.11.2007 – I ZR 183/04.
[10] Zur Abgrenzung von (gemeinsamer) Verantwortlichkeit und Auftragsverarbeitung vgl. GDD-Praxishilfe „PH Joint Controllership“, Vers. 1.0, Stand: Dez. 2019, Abschnitt 9 (mit Checklisten).
[11] Vgl. auch DSK, Kurzpapier Nr. 16: Gemeinsam für die Verarbeitung Verantwortliche, Stand: 19.03.2018, S. 5.
[12] Urt. v. 05.06.2018 – C-210/16; Urt. 10.07.2018 – C-25/17; Urt. v. 29.07.2019, C-40/17
[13] HmbBfDI, Bewerberdatenschutz und Recruiting im Fokus, 06.06.2024, S. 5.