Fr
De
EnDatenschutz bei Bewerbungen in Frankreich: was ist erlaubt
Jedes Unternehmen versucht, die besten Mitarbeiter für seine Teams zu finden, das ist ein wichtiger HR-Prozess. Aufgrund der seit dem 25. Mai 2018 geltenden Datenschutzbestimmungen und des wachsenden Bewusstseins für den Schutz personenbezogener Daten, müssen Arbeitgeber jedoch auch die Sicherheit und Vertraulichkeit der Bewerberdaten berücksichtigen. Im Zuge der Personalbeschaffung werden viele personenbezogene Daten erhoben und verarbeitet, nämlich die Daten von Bewerbern, um ihre Profile mit den zu besetzenden Stellen abzugleichen. Wir befassen uns mit den gesetzlichen Verpflichtungen und Verantwortlichkeiten der französischen Arbeitgeber in Bezug auf den Datenschutz, die Risiken bei Datenschutzverletzungen und die Maßnahmen zum Schutz der Daten von Bewerbern erläutert.
2. Die Dauer der Speicherung von Daten, die zum Zweck der Personalbeschaffung erhoben werden
3. Mögliche Sanktionen bei der Einstellung in Frankreich
Die Datenschutz-Grundverordnung (in Frankreich RGPD, in Deutschland DSGVO) legt die Grundsätze für die Einhaltung von Vorschriften fest, die Unternehmen bei der Erhebung, Verarbeitung und Speicherung personenbezogener Daten beachten müssen.
Die RGPD verpflichtet Arbeitgeber, die personenbezogenen Daten von Bewerbern in Frankreich auf rechtmäßige, faire und transparente Weise zu erheben, zu verwenden und zu speichern. Nur die notwendigen Daten sollen erhoben, genau gehalten und vor Sicherheitsverletzungen geschützt werden.
Die Minimierung der personenbezogenen Daten von Bewerbern
Der Grundsatz der Datenminimierung besagt, dass die personenbezogenen Daten den Zwecken entsprechen sollen, für die sie verarbeitet werden und auf das erforderliche Maß beschränkt werden müssen.
So dürfen Arbeitgeber die personenbezogenen Daten von Bewerbern nur im Rahmen des Einstellungsverfahrens und aus rechtmäßigen Gründen, wie z. B. der Beurteilung der Eignung für eine Stelle, erheben.
Es ist beispielsweise verboten, einen Bewerber nach Informationen über seine Eltern, Geschwister, politischen Ansichten, seinem Gesundheitszustand, seiner geplanten Elternschaft oder seiner Gewerkschaftszugehörigkeit zu fragen.
Die Transparenz- und Loyalitätspflicht des Personalvermittlers
Der Personalvermittler ist zur Transparenz verpflichtet, die sich auf das Recht des Bewerbers auf Information bezieht. Er ist auch zur loyalen Datenverarbeitung verpflichtet, die sich auf die Art und Weise bezieht, in der die Daten erhoben werden.
Arbeitgeber müssen die Bewerber darüber informieren, dass ihre personenbezogenen Daten erhoben werden, aus welchen Gründen die Daten erhoben werden, wie sie verwendet werden und wie lange sie gespeichert werden.
Der für die Verarbeitung Verantwortliche muss vollständige, klare und präzise Informationen bereitstellen, damit der Bewerber:
- den Grund für die Erhebung der verschiedenen Daten kennt
- die Verarbeitung der Daten versteht
- die Kontrolle über seine Daten gewährleistet ist
- die Ausübung seiner Rechte erleichtert wird
Die Rechtsgrundlage für die Datenverarbeitung
Die Rechtsgrundlage einer Datenverarbeitung ist die gesetzliche Erlaubnis zu ihrer Durchführung. Das erlaubt dem Personalvermittler, die Erhebung und Verwendung der persönlichen Daten vorzunehmen.
Es gibt 6 Rechtsgrundlagen in Frankreich:
- Einwilligung
- Vertrag
- gesetzliche Verpflichtung
- Wahrung lebenswichtiger Interessen
- öffentliches Interesse
- legitime Interessen
Sofern keine besonderen Umstände vorliegen, ist es unzulässig, dass ein Personalverantwortlicher ein System zur Bewertung von Bewerbungen verwendet, das zu diskriminierenden Praktiken in Bezug auf Alter, Geschlecht, Herkunft, Behinderung oder Wohnort des Bewerbers führt.
Es ist jedoch möglich, den Wohnort eines Bewerbers zu verwenden, wenn die Stelle Bereitschaftsdienst oder Rufbereitschaft erfordert. In diesem Fall erfüllt die Verarbeitung eine wesentliche berufliche Anforderung, das Ziel ist rechtmäßig und die Anforderung ist verhältnismäßig, auch in Frankreich.
Wie lange darf der Personalverantwortliche die Daten eines nicht erfolgreichen Bewerbers aufbewahren? Arbeitgeber sollten die persönlichen Daten von Bewerbern nur für einen begrenzten Zeitraum speichern und nicht länger als nötig.
In der Praxis beträgt die Aufbewahrung in der aktiven Datenbank, die sich auf die Verwendung von Bewerberinformationen während des laufenden Einstellungsverfahrens in Frankreich bezieht, maximal zwei Jahre, es sei denn, der Bewerber verlangt die Löschung seiner Daten.
Integrität und Vertraulichkeit der Daten
Arbeitgeber müssen geeignete Maßnahmen ergreifen, um die persönlichen Daten von Bewerbern vor Verlust, Diebstahl, Missbrauch, unbefugtem Zugriff oder Offenlegung zu schützen.
Die Rechte von Bewerbern in Bezug auf ihre persönlichen Daten im Rahmen der Einstellung
Im Rahmen der Einstellung haben die Bewerber Rechte in Bezug auf ihre persönlichen Daten. Diese Rechte müssen auf einfache Anfrage ausgeübt werden können, wobei der Bewerber seine Identität mit allen Mitteln nachweisen kann.
Wenn die Organisation über eine Webseite verfügt, auf der die Einrichtung eines Bewerberkontos für Online-Bewerbungen angeboten wird, wird empfohlen, den Bewerbern die Möglichkeit zu geben, ihre Rechte über ihren persönlichen Bereich auszuüben. Die Organisation muss so schnell wie möglich, spätestens aber innerhalb eines Monats (einmal verlängerbar) antworten.
Diese Rechte sind die folgenden:
Das Recht auf Information
Das Recht auf Information sieht vor, dass jeder ein Recht auf Einsicht in seine eigenen Daten hat, sowie auf die Zwecke, zu denen ihre Erhebung durch Dritte genutzt wird.
Im Rahmen einer Einstellung, muss der Bewerber über die Identität des für die Verarbeitung Verantwortlichen, den Zweck der Erhebung seiner Informationen, die Aufbewahrungsfrist seiner Daten und die Empfänger, die diese Daten einsehen können, informiert werden.
Das Recht auf Zugang
Durch das Auskunftsrecht kann ein Bewerber erfahren, ob die Personalvermittlungsstelle seine persönlichen Daten (Lebenslauf, Anschreiben, Kontaktdaten) speichert und wie sie verarbeitet werden. Er kann eine transparente Offenlegung seiner personenbezogenen Daten verlangen, um deren Inhalt zu überprüfen.
Wenn sich ein Antrag auf Zugang auf die Ergebnisse eines Tests bezieht, müssen die dem Bewerber zur Verfügung gestellten Daten nicht nur die Ergebnisse als solche umfassen, sondern auch die Elemente, die es ermöglichen, sie zu interpretieren.
Das Recht auf Berichtigung
Das Recht auf Berichtigung sieht vor, dass jedermann seine personenbezogenen Daten berichtigen, ergänzen und aktualisieren lassen kann, wenn Fehler oder Ungenauigkeiten festgestellt wurden. Ein ehemaliger Bewerber, der seine Einwilligung zur Speicherung seiner Daten in einer Datenbank vom Typ "Bewerberpool" gegeben hat, muss somit die Möglichkeit haben, seine Telefonnummer und seine Adresse zu berichtigen, wenn sich diese ändern oder er einen neuen Abschluss erwirbt.
Das Recht auf Löschung
Das Recht auf Löschung bietet dem Bewerber die Möglichkeit, die Löschung seiner persönlichen Daten aus den Datenbanken des Personalvermittlers zu verlangen, wenn die Daten z. B. im Hinblick auf den verfolgten Zweck nicht mehr erforderlich sind.
Ein Bewerber, der dem Personalvermittler mitteilt, dass er bereits eine Stelle gefunden hat, kann dann vom Personalvermittler die Löschung der Daten verlangen, die mit seiner Bewerbung verknüpft sind.
Das Recht auf Einschränkung der Verarbeitung
Wenn der Bewerber die Richtigkeit der verwendeten Daten bestreitet oder sich der vom Personalvermittler vorgenommenen Verarbeitung dieser Daten widersetzt, muss der Recruiter eine Prüfung des Antrags des Bewerbers durchführen. Das Recht auf Einschränkung der Verarbeitung ermöglicht es, seine persönlichen Daten für die Dauer der Prüfung vorübergehend einzufrieren.
Das Recht auf Datenübertragbarkeit
Das Recht auf Datenübertragbarkeit macht es dem Kandidaten möglich, einen Teil seiner Informationen in einem maschinenlesbaren Format abzurufen.
Fachkräfte im Bereich der Personalbeschaffung müssen die Datenschutzbestimmungen einhalten. Die Nichteinhaltung dieser Rechte kann nämlich negative Auswirkungen für das Unternehmen haben, wie z. B. finanzielle, aber auch strafrechtliche Sanktionen sowie einen Vertrauensverlust der Bewerber.
Die finanziellen Sanktionen
Die Commission nationale de l'informatique et des libertés (CNIL) sieht laut Artikel 82 folgendes vor:
"Jede Person, der durch einen Verstoß gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat das Recht, von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter Schadenersatz zu verlangen."
Für den Fall, dass diese Wiedergutmachung nicht erfolgt, ist es Aufgabe der nationalen Aufsichtsbehörden, die Einhaltung der RGPD durch die Verhängung von Verwaltungsstrafen sicherzustellen (Art. 83).
In Frankreich liegt diese Verantwortung bei der CNIL. Je nach Art und Schwere des Verstoßes, ist die CNIL befugt, Bußgelder zu verhängen, die bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen können, wenn der Verstoß die Rechte von Personen, die Nichteinhaltung von Einwilligungen oder die unerlaubte Übermittlung personenbezogener Daten außerhalb der Europäischen Union betrifft.
Die strafrechtlichen Sanktionen
Neben des Schutzes personenbezogener Daten durch das Gesetz über Informatik und Freiheiten von 1978, der Europäischen Datenschutzverordnung (DS-GVO), verbieten auch die Artikel 226-16 ff. des Strafgesetzbuchs, Informationen über Daten zu zweckentfremden.
Am 15. Juni 2021 verurteilte das Strafgericht Versailles Ikea Frankreich zur Zahlung einer Geldstrafe von 1 Million Euro und zur Zahlung von 300.000 Euro Schadensersatz an die Zivilparteien. Im Januar 2023 wurde die Strafe für einen ehemaligen Manager der französischen Tochtergesellschaft in Berufung auf vier Monate Gefängnis auf Bewährung und eine Geldstrafe von 20.000 € wegen "Beihilfe zur Sammlung persönlicher Daten" reduziert. Zwischen 2009 und 2012 wurden Hunderte von Angestellten unter die Lupe genommen worden, ihr Vermögen, ihr Privatleben und ihre Vorstrafen wurden gewissenhaft überprüft.
Das Risiko für das Image
Ein Bußgeld oder eine strafrechtliche Verurteilung ist nicht unbedingt die Sanktion, die von der zuständigen Behörde sofort verhängt wird.
Die CNIL kann angesichts der Schwere des betreffenden Verstoßes auch alternative Maßnahmen wie die Veröffentlichung von Sanktionen verhängen. Die Regulierung der digitalen Beziehungen stützt sich auch auf die neue Fähigkeit des Einzelnen, seine eigenen Urteile zu fällen und sich freiwillig zu deren Verteidigung mit Plattformen wie Glassdoor zusammenzuschließen.
Während das Arbeitgeberimage der Schlüssel zum Erfolg bei der Personaleinstellung ist, zeigt die Art und Weise, wie soziale Netzwerke manchmal zu einer Volksjury werden, dass "Name and Shame" für das Unternehmen auf andere Weise teurer sein kann als eine Geldstrafe.
Letztendlich ist es entscheidend, ein stärkeres Bewusstsein der Personalverantwortlichen einzufordern und die Notwendigkeit, die persönlichen Daten von Bewerbern verantwortungsvoll zu schützen.
Mehr dazu:
