Datenschutz bei Bewerbungen in Frankreich: Was erlaubt ist

Die Gewinnung qualifizierter Mitarbeiter zählt zu den wichtigsten Aufgaben von Unternehmen. Gleichzeitig erfordert der Umgang mit Bewerberdaten seit Inkrafttreten der Datenschutzvorgaben besondere Sorgfalt. Wir befassen uns mit den Pflichten französischer Arbeitgeber sowie Maßnahmen zum Schutz personenbezogener Daten im Recruiting auf.

Die Datenschutz-Grundverordnung (in Frankreich RGPD, in Deutschland DSGVO) legt die Grundsätze für die Einhaltung von Vorschriften fest, die Unternehmen bei der Erhebung, Verarbeitung und Speicherung personenbezogener Daten beachten müssen.

Die RGPD (Règlement général sur la protection des données) verpflichtet Arbeitgeber, die personenbezogenen Daten von Bewerbern in Frankreich auf rechtmäßige, faire und transparente Weise zu erheben, zu verwenden und zu speichern. Nur die notwendigen Daten sollen erhoben, genau gehalten und vor Sicherheitsverletzungen geschützt werden.

• Minimierung der personenbezogenen Daten von Bewerbern: Der Grundsatz der Datenminimierung verpflichtet Arbeitgeber, nur die Daten zu erheben, die für das Bewerbungsverfahren tatsächlich erforderlich sind. Zulässig sind ausschließlich Informationen zur Eignung für die Stelle. Fragen etwa zur politischen Meinung, Gesundheit, Familienplanung oder Gewerkschaftszugehörigkeit sind unzulässig.

• Transparenz- und Loyalitätspflicht des Personalvermittlers: Personalverantwortliche sind zu transparenter und fairer Datenverarbeitung verpflichtet. Bewerber müssen klar darüber informiert werden, welche Daten erhoben werden, zu welchem Zweck sie verarbeitet, wie lange sie gespeichert und wie sie genutzt werden. Nur so bleiben Kontrolle über die eigenen Daten und die Ausübung der Betroffenenrechte gewährleistet.

• Rechtsgrundlage für die Datenverarbeitung: Jede Verarbeitung personenbezogener Daten benötigt eine rechtliche Grundlage, etwa Einwilligung, Vertrag oder berechtigte Interessen. Im Recruiting sind diskriminierende Auswahlverfahren, etwa nach Alter, Geschlecht oder Herkunft, unzulässig. Ausnahmen gelten nur, wenn bestimmte Daten, wie der Wohnort, für die Stelle objektiv erforderlich sind, beispielsweise bei Rufbereitschaft.

Personenbezogene Daten abgelehnter Bewerber dürfen nur so lange aufbewahrt werden, wie es für das Bewerbungsverfahren erforderlich ist. In Frankreich gilt in der Praxis eine maximale Speicherdauer von zwei Jahren in der aktiven Datenbank, sofern der Bewerber nicht zuvor die Löschung seiner Daten verlangt.

Arbeitgeber müssen geeignete Maßnahmen ergreifen, um die persönlichen Daten von Bewerbern vor Verlust, Diebstahl, Missbrauch, unbefugtem Zugriff oder Offenlegung zu schützen.

Bewerber haben umfassende Rechte an ihren personenbezogenen Daten und müssen diese einfach ausüben können. Online-Bewerbungsportale sollten dafür einen persönlichen Bereich bereitstellen. Anfragen sind grundsätzlich innerhalb eines Monats zu beantworten. Diese 6 Rechte sind:

• Recht auf Information: Bewerber haben das Recht zu erfahren, welche personenbezogenen Daten erhoben werden, zu welchem Zweck sie genutzt werden und wer darauf Zugriff hat. Dazu gehören insbesondere Informationen über den Verantwortlichen, die Speicherdauer und mögliche Empfänger der Daten.

• Recht auf Zugang: Das Auskunftsrecht ermöglicht Bewerbern zu erfahren, ob und wie ihre personenbezogenen Daten verarbeitet werden. Sie können Einsicht in ihre Daten sowie in Testergebnisse und deren Bewertung verlangen.

• Recht auf Berichtigung: Es ermöglicht, unrichtige oder veraltete personenbezogene Daten zu korrigieren, zu ergänzen und zu aktualisieren. Auch im Bewerberpool können etwa neue Kontaktdaten oder Qualifikationen jederzeit angepasst werden.

• Recht auf Löschung: Es erlaubt Bewerbern, die Entfernung ihrer personenbezogenen Daten zu verlangen, wenn diese für den ursprünglichen Zweck nicht mehr benötigt werden. Findet ein Bewerber beispielsweise eine neue Stelle, kann er die Löschung seiner Bewerbungsdaten beantragen.

• Recht auf Einschränkung der Verarbeitung: Streitet ein Bewerber die Richtigkeit seiner Daten oder die Art der Verarbeitung ab, muss der Personalvermittler dies prüfen. Bis zur Klärung kann die Verarbeitung der Daten vorübergehend eingeschränkt werden.

• Recht auf Datenübertragbarkeit: Es ermöglicht dem Kandidaten, einen Teil seiner Informationen in einem maschinenlesbaren Format abzurufen.

Unternehmen und Fachkräfte im Recruiting sind verpflichtet, die geltenden Datenschutzvorgaben einzuhalten. Verstöße können erhebliche Folgen haben, von finanziellen und rechtlichen Sanktionen bis hin zu einem nachhaltigen Vertrauensverlust bei Bewerbern.

• Finanzielle Sanktionen: Die CNIL stellt klar, dass Betroffene bei Datenschutzverstößen Anspruch auf Schadenersatz haben. Zudem kann sie in Frankreich als Aufsichtsbehörde bei Verstößen gegen die DSGVO hohe Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen.

• Strafrechtliche Sanktionen: Neben der DSGVO und dem französischen Datenschutzrecht verbietet auch das Strafgesetzbuch die zweckwidrige Nutzung personenbezogener Daten. Ein bekanntes Beispiel ist der
  Fall Ikea Frankreich, das wegen illegaler Datensammlungen zu hohen Geld- und Schadensersatzzahlungen sowie strafrechtlichen Sanktionen gegen Verantwortliche verurteilt wurde.

• Risiko für das Image: Die CNIL kann auch Maßnahmen wie die öffentliche Bekanntmachung von Verstößen ergreifen. In Zeiten sozialer Netzwerke und Plattformen wie Glassdoor kann ein Reputationsschaden für Unternehmen dabei oft schwerer wiegen als eine Geldstrafe. Umso wichtiger ist ein verantwortungsvoller und sensibler Umgang mit Bewerberdaten im Recruiting.

Mehr dazu:

• Mitarbeiter in Frankreich einstellen: Leitfaden für Arbeitgeber
• Recruiting-Trends in Frankreich: Neue Entwicklungen
• So verfassen Sie ein Stellenangebot in Frankreich: 10 Tipps

Olivier Geslin