Personenbezogene Daten von Beschäftigten dürfen erhoben werden, wenn dies für die Einstellung und für das Einstellungsverfahren, also für die Begründung eines Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 BDSG). Das BDSG stellt klar, das Bewerberinnen und Bewerber Beschäftigte im Sinne der Datenschutzvorschriften sind (§ 26 Abs. 8 BDSG).
Zentrale Bedeutung hat die Erforderlichkeit, die sich am Fragerecht des Arbeitgebers zur Begründung des Arbeitsverhältnisses orientiert. Z.B. darf der Arbeitgeber nach Vorstrafen und laufenden Ermittlungsverfahren fragen und ein Führungszeugnis anfordern, wenn ein Bezug zum Arbeitsverhältnis besteht, der dem Arbeitgeber ein berechtigtes Interesse an der Information einräumt.
Bereits der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO und der Erforderlichkeitsgrundsatz aus § 26 Abs. 1 Satz 1 BDSG setzen ein tätigkeitsbezogenes Fragerecht voraus.
Steht dem Arbeitgeber kein Fragerecht zu, gibt es auch keine datenschutzrechtliche Grundlage, weil das berechtigte Interesse fehlt. Dies gilt z.B. bei unzulässigen Fragen nach Schwangerschaft, politischer Gesinnung oder Gewerkschaftszugehörigkeit; bei Krankheiten nur, soweit kein Bezug zur Tätigkeit oder eine erhöhte Ansteckungsgefahr besteht. In diesen Fällen besteht sogar ein „Recht auf Lüge“ für die Bewerberin bzw. Bewerber.
Auch der Umgang mit Daten, die vom Arbeitgeber nicht direkt beim Beschäftigten, sondern von Dritten bzw. aus anderen Quellen (Behörden, frühere Arbeitgeber etc.) im Rahmen sog. Background-Checks oder Pre-Employment-Screenings erhoben werden, muss sich grundsätzlich an den Maßstäben des Fragerechts und an § 26 BDSG messen lassen. Der ehemalige Arbeitgeber darf auch gegen den Willen des Beschäftigten Informationen über Leistung und Verhalten an einen möglichen neuen Arbeitgeber erteilen, dabei hat er sich aber an zeugnisrechtliche Grundsätze zu halten. So ist die Herausgabe von Teilen der Personalakte nicht gestattet.
Über diese Einholung von Informationen bei einem Dritten muss der Betroffene nach Art. 14 DSGVO informiert werden.
Öffentlich zugängliche Informationen, die erforderlich sind (Fragerecht des Arbeitgebers) können vom Arbeitgeber in den meisten Fällen genutzt werden (z.B. allgemeine Google-Recherche). Allerdings ist bei Daten aus Social Media zu differenzieren: Wenn private Beziehungen im Vordergrund stehen (z.B. Facebook, Twitter, Instagram) ist die Verarbeitung nicht zulässig, während die aus berufsbezogenen Netzwerken (z.B. XING, LinkedIn) erhobenen Daten genutzt werden dürfen. Hier gilt, dass die Verwendung der erhobenen Daten auf das Bewerbungsverfahren beschränkt sein muss.
Ärztliche Einstellungsuntersuchungen und psychologische Eignungstests dürfen dem Arbeitgeber aber nur als Ergebnis – geeignet / ungeeignet mitgeteilt werden.
Automatisierte Auswahlentscheidungen sind grundsätzlich im Bewerbungsverfahren ausgeschlossen, wenn keine Einwilligung erteilt wird.
Nach Art. 22 Abs. 1 DSGVO hat die betroffene Person das Recht, dass eine Entscheidung, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, nicht ausschließlich auf einer automatisierten Verarbeitung basiert. Dazu gehört auch Profiling.
Für die Praxis ratsam ist entweder eine Einwilligung des Bewerbers einzuholen und/oder die Bewerbungsprozesse innerbetrieblich durch eine freiwillige Betriebsvereinbarung zu flankieren. Die rechtlichen Vorgaben des Fragerechts können dadurch aber nicht ausgeweitet werden. Der Betriebsrat hat auf alle Fälle gemäß § 94 Abs. 1 BetrVG (Erfassung der Daten in Personalfragebögen) und ggf. nach § 87 Abs. 1 Satz 1 Nr. 6 BetrVG (mögliche Leistungs- oder Verhaltenskontrolle und Speicherung der Daten in einer Bewerberdatenbank) Mitbestimmungsrechte.