Vorwort

Abkürzungsverzeichnis

Einleitung

§ 1 Entwicklung des Beschäftigtendatenschutzes

§ 2 Gang der Darstellung

Erster Teil: Das Bewerbungsverfahren

§ 3 Initiativbewerbungen und Stellenausschreibungen

§ 4 Social Media Recruiting

§ 5 Formen des Bewerbungsverfahrens

A. E-Mail

I. Bestehen einer Verschlüsselungspflicht?

1. Meinungsstand

2. Stellungnahme

II. Disponibilität von Datensicherheitsmaßnahmen

1. Nichtdisponibilität

2. Disponibilität

3. Stellungnahme

4. Form der Einwilligung

B. Online-Bewerbungsportal

Zweiter Teil: Rechtliche Rahmenbedingungen

§ 6 Datenschutz-Grundverordnung und Bundesdatenschutzgesetz

A. Zeitlicher Anwendungsbereich

B. Arbeitgeber als Adressat

C. Sachlicher Anwendungsbereich

I. Sachlicher Anwendungsbereich der DSGVO

1. Personenbezogenes Datum

a. Bezug auf alle Informationen

aa. Alle Informationen

bb. Bezug

b. Identifizierte oder identifizierbare natürliche Person

aa. Relativer Personenbezug

bb. Absoluter Personenbezug

cc. Vermittelnder Ansatz

dd. Stellungnahme

2. Ganz oder teilweise automatisierte Verarbeitung

a. Verarbeitung

aa. Erhebung bei „aufgedrängten Informationen“?

bb. Verarbeitung bei „aufgedrängten Informationen“?

b. Ganz oder teilweise automatisiert

3. Nichtautomatisierte Verarbeitung bei Speicherung in einem Dateisystem

a. Nichtautomatisierte Verarbeitung

b. Dateisysteme im Bewerbungsverfahren

aa. Strukturierte Sammlung personenbezogener Daten

bb. Nach bestimmten Kriterien zugänglich

cc. Speicherung in einem Dateisystem

dd. Zwischenfazit

4. Kein Anwendungsausschluss der DSGVO

a. Ausschlussgründe nach Art. 2 Abs. 2 lit. a, b, d, Abs. 3, 4 DSGVO

b. Persönliche oder familiäre Tätigkeiten, Art. 2 Abs. 2 lit. c DSGVO

II. Sachlicher Anwendungsbereich des BDSG

1. Spezifizierungsklausel, Art. 88 Abs. 1 DSGVO

a. Beschäftigter

aa. Begriff des Beschäftigten

(1) Weite Auslegung

(2) Enge Auslegung

(3) Rechtsprechung des EuGH

(4) Stellungnahme

bb. Bewerber als Beschäftigter

b. Beschäftigungskontext

aa. Meinungsstand

bb. Rechtsprechung des EuGH

cc. Stellungnahme

c. Spezifischere Vorschriften

aa. Gewohnheitsrecht und Richterrecht als Rechtsvorschriften?

bb. Inhaltliche Reichweite der spezifischeren Vorschriften

(1) Möglichkeit der Absenkung des Schutzniveaus?

(a) Möglichkeit der Absenkung

(b) Keine Möglichkeit der Absenkung

(c) Stellungnahme

(2) Möglichkeit der Erhöhung des Schutzniveaus?

(a) Vollharmonisierung

(b) Mindeststandard

(c) Stellungnahme

(3) Rechtsprechung des EuGH

2. Anforderungen des Art. 88 Abs. 2 DSGVO

a. Geeignete und besondere Maßnahmen

b. Beachtung des Normwiederholungsverbots

3. Mitteilungspflicht nach Art. 88 Abs. 3 DSGVO

4. Verhältnis von Art. 6 Abs. 2, 3 DSGVO zu Art. 88 Abs. 1 DSGVO

5. Umsetzung der Spezifizierungsklausel durch § 26 BDSG

D. Räumlicher Anwendungsbereich

I. Verhältnis von Art. 3 DSGVO und § 1 Abs. 4 BDSG

II. Räumlicher Anwendungsbereich der DSGVO

1. Niederlassungsprinzip, Art. 3 Abs. 1 DSGVO

a. Niederlassung

b. Im Rahmen der Tätigkeiten

aa. Unionsfremder Auftraggeber mit Auftragsverarbeiter in der Union

(1) Bindung des Auftragsverarbeiters an die DSGVO?

(2) Bindung des Auftraggebers an die DSGVO?

bb. Auftraggeber in der Union mit unionsfremden Auftragsverarbeiter

2. Marktortprinzip, Art. 3 Abs. 2 DSGVO

a. Angebot von Waren oder Dienstleistungen

b. Verhaltensbeobachtung

III. Räumlicher Anwendungsbereich des BDSG

1. Verarbeitung im Inland, § 1 Abs. 4 S. 2 Nr. 1 BDSG

2. Inländische Niederlassung, § 1 Abs. 4 S. 2 Nr. 2 BDSG

3. Europäisches Marktortprinzip, § 1 Abs. 4 S. 2 Nr. 3 BDSG

§ 7 Weitere relevante Regelungen

Dritter Teil: Grundsätze der Datenverarbeitung

§ 8 Rechtmäßigkeit, Treu und Glauben, Transparenz, Art. 5 Abs. 1 lit. a DSGVO

§ 9 Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO

A. Zweckänderung

B. Art. 6 Abs. 4 DSGVO als Erlaubnisnorm?

I. Rückgriff auf ursprüngliche Erlaubnisnorm

II. Kumulatives Vorliegen von Art. 6 Abs. 1 und 4 DSGVO

III. Art. 6 Abs. 1 DSGVO als Rechtsvorschrift i.S.d. Art. 6 Abs. 4 DSGVO

IV. Stellungnahme

§ 10 Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO

§ 11 Richtigkeit, Art. 5 Abs. 1 lit. d DSGVO

§ 12 Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO

A. Speicherfrist bei abgelehnten Bewerbern

I. Meinungsstand

II. Stellungnahme

1. Speicherfristen

a. § 15 Abs. 4 S. 1 AGG

b. § 257 Abs. 1 Nr. 2, Abs. 4 HGB

c. § 147 Abs. 1 Nr. 5 AO

d. Zwischenfazit

2. Erlaubnisnorm für die Speicherung

a. Erforderlich für die Begründung des Beschäftigungsverhältnisses?

b. Berechtigtes Interesse nach Art. 6 Abs. 1 S. 1 lit. f DSGVO

c. Art. 17 Abs. 3 DSGVO als eigenständige Erlaubnisnorm?

B. Speicherfrist bei Initiativbewerbungen

C. Speicherfrist bei angenommenen Bewerbern

D. Speicherfrist im Bewerberpool

I. Meinungsstand

II. Geltung der Einwilligung

§ 13 Integrität und Vertraulichkeit, Art. 5 Abs. 1 lit. f DSGVO

§ 14 Grundsatz der Direkterhebung?

A. Weitergeltung

B. Keine Weitergeltung

C. Stellungnahme

§ 15 Folgen eines Verstoßes gegen die Grundsätze der DSGVO

Vierter Teil: Erlaubnisnormen für die Verarbeitung von Bewerberdaten

§ 16 Erforderlichkeit für die Begründung des Beschäftigungsverhältnisses, Art. 6 Abs. 1 S. 1 lit. b Var. 2, Art. 88 Abs. 1 DSGVO i.V.m. § 26 Abs. 1 S. 1 Var. 1 BDSG

A. Schaffung nationaler Erlaubnisnormen

I. Möglichkeit zur Schaffung nationaler Erlaubnisnormen

II. Keine Regelungsbefugnis für nationale gesetzliche Erlaubnisnormen

III. Rechtsprechung des EuGH

IV. Stellungnahme

B. § 26 Abs. 1 S. 1 Var. 1 BDSG als „spezifischere Vorschrift“ i.S.d. Art. 88 Abs. 1 DSGVO?

I. Meinungsstand

II. Rechtsprechung des EuGH

III. Stellungnahme

C. Umsetzung der Anforderungen des Art. 88 Abs. 2 DSGVO?

I. Meinungsstand

II. Stellungnahme

D. Mitteilungspflicht nach Art. 88 Abs. 3 DSGVO

E. Voraussetzungen des § 26 Abs. 1 S. 1 Var. 1 BDSG

I. Adressat des § 26 BDSG

II. Persönlicher Anwendungsbereich, § 26 Abs. 8 BDSG

III. Sachlicher Anwendungsbereich des § 26 BDSG

1. Ausklammerung von sozialüblichen Fragen

2. Europarechtskonformität der erweiterten Regelung?

IV. Materielle Voraussetzungen

1. Begründung eines Beschäftigungsverhältnisses

2. Erforderlichkeit

a. Fortführung des § 32 BDSG a.F.

aa. Geeignetheit

bb. Erforderlichkeit im engeren Sinne

cc. Angemessenheit

(1) Grundsatz: Maßgeblichkeit der nationalen Grundrechte

(2) Nebeneinander von nationalen und europäischen Grundrechten

(3) Maßgeblichkeit der europäischen Grundrechte

(4) Stellungnahme

b. Unionskonforme Auslegung

c. Stellungnahme

3. Offenbarungspflicht des Bewerbers

F. Voraussetzungen des Art. 6 Abs. 1 S. 1 lit. b Var. 2 DSGVO

I. Vorvertragliche Maßnahmen auf Anfrage des Bewerbers

II. Erforderlichkeit

1. Meinungsstand

2. Stellungnahme

§ 17 Datenverarbeitungen in Bezug auf den Betriebsrat

A. Datenübermittlung des Arbeitgebers an den Betriebsrat, § 99 BetrVG

I. Erforderlichkeit einer Erlaubnisnorm?

II. Einschlägige Erlaubnisnormen

1. Meinungsstand

2. Stellungnahme

a. § 99 BetrVG als spezielle Erlaubnisnorm?

b. Art. 6 Abs. 1 S. 1 lit. b Var. 2 DSGVO

c. Art. 6 Abs. 1 S. 1 lit. c DSGVO i.V.m. § 99 Abs. 1 S. 1 BetrVG

d. Art. 6 Abs. 1 S. 1 lit. f DSGVO

3. Erforderlichkeit

III. Anforderungen des § 99 BetrVG

1. Bewerbungsunterlagen

2. Vorlage

3. Frist

IV. Übermittlungswiderspruch durch Bewerber?

B. Datenverarbeitung durch den Betriebsrat

I. Einschlägige Erlaubnisnormen

1. Meinungsstand

2. Stellungnahme

II. Erforderlichkeit

§ 18 Kollektivvereinbarung, Art. 88 Abs. 1 DSGVO, § 26 Abs. 1 S. 1, Abs. 4 S. 1 BDSG

A. Kollektivvereinbarung als datenschutzrechtliche Erlaubnisnorm?

I. Direkte Erlaubnis aus Art. 88 Abs. 1 DSGVO

II. Möglichkeit zur nationalen Regelung

III. Erlaubnisnorm nach Art. 6 Abs. 1 DSGVO

IV. Keine Möglichkeit zur Schaffung einer Erlaubnisnorm

V. Stellungnahme

B. Anforderungen des Art. 88 Abs. 2 DSGVO

I. Geeignete und besondere Maßnahmen

II. Normwiederholungsverbot und Beachtung des nationalen Rechts

C. Mitteilungspflicht nach Art. 88 Abs. 3 DSGVO

D. Wirkung von Betriebsvereinbarungen für Bewerber?

§ 19 Einwilligung, Art. 6 Abs. 1 S. 1 lit. a DSGVO

A. Möglichkeit des Ausschlusses der Einwilligung?

B. Voraussetzungen der Einwilligung

I. Freiwilligkeit

1. Freiwilligkeit im Bewerbungsverhältnis?

2. Freiwilligkeit beim Vorliegen einer gesetzlichen Erlaubnisnorm?

a. Unwirksamkeit bzw. Sperrwirkung der Einwilligung

b. Keine Sperrwirkung

c. Stellungnahme

3. „Kopplungsverbot“ in der Bewerbungsphase?

4. Grenzen der Einwilligung

II. Erklärung für einen bestimmten Fall und in Kenntnis der Sachlage

III. Informiertheit

IV. Widerruf

1. Form des Widerrufs

a. Hinweis auf Widerrufsrecht als Wirksamkeitsvoraussetzung?

b. Textform nach § 26 Abs. 2 S. 4 BDSG

2. Verhältnis zu gesetzlichen Erlaubnisnormen

a. Sperrwirkung

b. Keine Sperrwirkung

c. Stellungnahme

V. Form

1. Vorgaben der DSGVO

2. Umsetzung im BDSG, § 26 Abs. 2 S. 3 BDSG

3. Europarechtskonformität des § 26 Abs. 2 S. 3 und Abs. 3 S. 2 BDSG?

a. Meinungsstand

b. Stellungnahme

4. Konkludente Einwilligung

§ 20 Erst-Recht-Schluss zu Art. 9 Abs. 2 lit. e DSGVO?

§ 21 Interessenabwägung, Art. 6 Abs. 1 S. 1 lit. f DSGVO

A. Anwendbarkeit im Beschäftigungsverhältnis?

I. Meinungsstand

II. Stellungnahme

B. Berechtigtes Interesse

C. Erforderlichkeit

D. Interessenabwägung

E. Widerspruchsrecht

I. Besondere Situation des Bewerbers

II. Zwingende schutzwürdige Gründe des Arbeitgebers

1. Überwiegen der Bewerberinteressen

2. Rechtsansprüche des Arbeitgebers

§ 22 Auftragsverarbeitungsvertrag, Art. 28 Abs. 3 DSGVO

A. Privilegierungswirkung unter dem BDSG a.F.

B. Privilegierungswirkung unter der DSGVO

I. Fehlende Privilegierung

II. Art. 28 Abs. 3 DSGVO als eigenständige Erlaubnisnorm

III. Privilegierung

IV. Stellungnahme

C. Weitergabe personenbezogener Daten an unionsfremde Auftragsverarbeiter

§ 23 Verhältnis der Erlaubnisnormen

A. Verhältnis der Erlaubnisnormen in Art. 6 Abs. 1 DSGVO

B. Verhältnis von Art. 6 Abs. 1 DSGVO zum § 26 Abs. 1 S. 1 BDSG

I. Gleichrang der Vorschriften

II. Spezialitätsverhältnis

III. Stellungnahme

C. Verhältnis von § 26 Abs. 1 S. 1 BDSG zu § 26 Abs. 3 BDSG

D. Verhältnis von Kollektivvereinbarungen zu gesetzlichen Erlaubnisnormen

§ 24 Ausgewählte Verarbeitungssituationen

A. Pre-Employment Screening

I. Suchmaschinen

1. Einwilligung

2. Vorvertragliche Maßnahme

3. Berechtigtes Interesse

II. Soziale Netzwerke

1. Einwilligung

2. Vorvertragliche Maßnahme

3. Berechtigtes Interesse

III. Früherer Arbeitgeber

1. Meinungsstand

2. Stellungnahme

B. Sprachanalysetools (am Beispiel von Precire)

I. Erlaubnisnorm

1. Meinungsstand

2. Stellungnahme

a. Einhaltung der grundlegenden Standards der Eignungsdiagnostik?

b. Datenschutzrechtliche Rechtmäßigkeit

II. Art. 22 DSGVO

1. Rechtscharakter des Art. 22 DSGVO

2. Ausschließlich einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen

3. Rechtliche Wirkung oder erhebliche Beeinträchtigung

a. Verweigerung des Arbeitsvertrages?

b. Abschluss des Arbeitsvertrages?

4. Ausnahmen, Art. 22 Abs. 2, 3 DSGVO

a. Erforderlichkeit für den Abschluss eines Vertrages

b. Ausdrückliche Einwilligung

c. Angemessene Maßnahmen, Art. 22 Abs. 3 DSGVO

d. Sensible Daten, Art. 22 Abs. 4 DSGVO

Fünfter Teil: Ausnahmetatbestände für die Verarbeitung besonderer Kategorien personenbezogener Daten sowie Daten über strafrechtliche Verurteilungen und Straftaten

§ 25 Grundsätzliche Untersagung, Art. 9 Abs. 1 DSGVO

A. Definition der besonderen Kategorien personenbezogener Daten

I. Zwei Gruppen

1. Erste Gruppe

a. Rassische und ethnische Herkunft

b. Politische Meinungen

c. Religiöse oder weltanschauliche Überzeugungen

d. Gewerkschaftszugehörigkeit

2. Zweite Gruppe

a. Genetische Daten, Art. 4 Nr. 13 DSGVO

b. Biometrische Daten, Art. 4 Nr. 14 DSGVO

c. Gesundheitsdaten, Art. 4 Nr. 15 DSGVO

d. Daten zum Sexualleben oder der sexuellen Orientierung

II. Einschränkung des Anwendungsbereichs?

1. Auswertungsabsicht

2. Subjektive und/oder objektive Zielrichtung

3. Rechtsprechung des EuGH

4. Stellungnahme

B. Verhältnis zum AGG und GenDG

I. AGG

II. GenDG

1. Anwendungsvorrang der DSGVO?

2. Anwendbarkeit von § 20 Abs. 2 GenDG?

§ 26 Ausnahmetatbestände, Art. 9 Abs. 2 DSGVO

A. Verhältnis von Art. 6 Abs. 1 S. 1 und Art. 9 Abs. 2 DSGVO

I. Art. 9 Abs. 2 DSGVO als eigenständige Erlaubnisnormen

II. Art. 9 Abs. 2 lit. a-d und f-j DSGVO als eigenständige Erlaubnisnormen

III. Art. 9 Abs. 2 als zusätzliche Voraussetzung zu Art. 6 Abs. 1 S. 1 DSGVO

IV. Stellungnahme

1. Grammatische Auslegung

2. Systematische Auslegung

3. Historisch-genetische Auslegung

4. Teleologische Auslegung

5. Zwischenfazit

B. Relevante Ausnahmetatbestände

I. Einwilligung, Art. 9 Abs. 2 lit. a DSGVO i.V.m. § 26 Abs. 3 S. 2 BDSG

1. „Ausdrücklichkeit“ der Einwilligung

2. Weitere Anforderungen an die Einwilligung

3. Umsetzung im BDSG

II. Arbeitsrecht und Sozialrecht, Art. 9 Abs. 2 lit. b DSGVO

1. Verhältnis zu Art. 88 DSGVO

2. Voraussetzungen des Art. 9 Abs. 2 lit. b DSGVO

a. Rechte und Pflichten aus dem Arbeitsrecht für den Bewerber?

b. Erforderlichkeit

c. Geeignete Garantien

aa. Vorgaben des Art. 9 Abs. 2 lit. b DSGVO

bb. Europarechtskonforme Umsetzung in § 22 Abs. 2 BDSG?

cc. Rechtsfolge bei Verstoß gegen § 22 Abs. 2 BDSG

3. Umsetzung in § 26 Abs. 3 S. 1 BDSG

a. Anwendbarkeit auf die Bewerbungsphase?

b. Anforderungen des Art. 9 Abs. 2 lit. b DSGVO umgesetzt?

aa. Normwiederholungsverbot?

bb. Geeignete Garantien?

III. Kollektivvereinbarungen, Art. 9 Abs. 2 lit. b DSGVO

IV. Offensichtlich öffentlich gemachte Daten, Art. 9 Abs. 2 lit. e DSGVO

1. Öffentlich gemachte Daten

2. Offensichtlichkeit

a. Soziale Netzwerke

aa. Unterscheidung zwischen berufsorientierten und freizeitorientierten Netzwerken?

(1) Daten in berufsorientierten Netzwerken

(2) Daten in freizeitorientierten Netzwerken

bb. Stellungnahme

b. Suchmaschinen

c. Allgemeine Geschäftsbedingungen, §§ 305ff. BGB

d. Paywall

e. Pseudonym

f. Zufallsfunde

g. Erschleichen und Erzwingen des Zugangs

V. Rechtsansprüche, Art. 9 Abs. 2 lit. f DSGVO

VI. Einstellungsuntersuchung, Art. 9 Abs. 2 lit. h i.V.m. Abs. 3 DSGVO

1. Umsetzung in § 22 Abs. 1 Nr. 1 lit. b BDSG

2. Verhältnis von § 22 Abs. 1 Nr. 1 lit. b BDSG und § 26 Abs. 3 BDSG

3. Europarechtskonformität des § 22 Abs. 1 Nr. 1 lit. b BDSG?

§ 27 Strafrechtliche Verurteilungen und Straftaten, Art. 10 DSGVO

A. Strafrechtliche Verurteilung

B. Straftat

C. Behördliche Aufsicht

D. Nutzung der Öffnungsklausel?

I. Meinungsstand

II. Stellungnahme

1. Umsetzung der Vorgaben des Art. 10 S. 1 DSGVO in § 26 BDSG?

2. Beispiel: Führungszeugnis

Sechster Teil: Zusammenfassung der Ergebnisse

Literaturverzeichnis