Vorstellungsgespräch via Skype – datenschutzrechtlich unzulässig?

Es klingt so einfach und wäre auch tatsächlich durchaus geeignet, den Bewerbungsprozess für alle Beteiligten zu vereinfachen: Statt eines klassischen Vorstellungsgesprächs findet ein persönliches Kennenlernen via Skype statt. Dieser Weg ermöglicht es, sich (gegenseitig) einen persönlichen Eindruck vom Gegenüber zu verschaffen, ohne eine ggf. lange und kostenintensive Anreise in Kauf zu nehmen. Das sieht die Landesdatenschutzbehörde („LDSB“) Berlin anders. In ihrem Jahresbericht für das Jahr 2016 heißt es: „Wir haben (…) empfohlen, von der Nutzung von Skype in Bewerbungsverfahren abzusehen.“

Warum so streng?

Das Bezirksamt Friedrichshain-Kreuzberg in Berlin erwog, für bestimmte Bewerbungsverfahren zukünftig Skype nutzen zu wollen und begründete dies gegenüber der LDSB Berlin damit, dass insbesondere im ärztlichen Bereich häufig Bewerbungen aus dem „fernen“ Ausland eingingen. Um eine kostspielige – meist für die Bewerber, denn im öffentlichen Dienst wird die Übernahme von Vorstellungskosten in der Regel ausgeschlossen – und zeitaufwendige Anreise zu vermeiden, prüfte das Bezirksamt die Möglichkeit zur Durchführung von Vorstellungsgesprächen via Skype und erkundigte sich bei der LDSB Berlin nach der datenschutzrechtlichen Zulässigkeit eines solchen Verfahrens.

Die Antwort der LDSB Berlin überrascht. Denn sie rät von der Nutzung von Skype als Alternative zur Durchführung von klassischen Vorstellungsgesprächen pauschal ab:

• Nach ihrer Auffassung ist ein solches Verfahren nämlich einerseits nicht erforderlich, denn dazu müsse in objektiver Hinsicht ein Skype-Gespräch „unbedingt geboten sein, um überhaupt die entsprechende Stelle besetzen zu können“.
• Die Möglichkeit der Einholung einer wirksamen Einwilligung als zweite Alternative, um zulässig Daten erheben zu dürfen, schließt das Bezirksamt zwar nicht per se aus, stellt an eine solche aber hohe Anforderungen.
• Außerdem bemängelt die LDSB Berlin, dass die Chat-Protokolle von Skype auf den Servern von Microsoft in den USA bis zu 90 Tage zwischengespeichert werden und somit eine Datenübermittlung ins Ausland stattfinde.

Aufgaben der Landesdatenschutzbehörden

Die jeweiligen Datenschutzbehörden der Bundesländer als Aufsichtsbehörden sind zuständig für die Einhaltung der datenschutzrechtlichen Vorschriften. In ihren Jahresberichten veröffentlichen sie regelmäßig ihre Einschätzung zu Auslegung und Umsetzung des Datenschutzes. Dabei sollten sich private Unternehmen an den Bewertungen der Datenschutzbehörden orientieren, um unter Compliance-Gesichtspunkten datenschutzrechtlich „sauber“ zu handeln.

Was bewog die LDSB Berlin zu ihrer restriktiven Entscheidung?

Gemäß § 4 Abs. 1 BDSG ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur zulässig, (1) soweit das BDSG oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder (2) der Betroffene eingewilligt hat. Dabei lösen Vorstellungsgespräche (nicht nur via Skype) stets Datenerhebungen aus, denn die Bewerber stellen dem potentiellen Arbeitgeber Informationen über sich und somit personenbezogene Daten zur Verfügung.

(1) Erlaubnis oder Anordnung durch das BDSG oder eine andere Rechtsvorschrift

Für den Bewerbungsprozess kommt als Erlaubnisnorm § 32 BDSG (ab 25.05.2018: § 26 DSAnpUG-EU) in Betracht. Danach dürfen personenbezogene Daten eines Beschäftigten (bzw. Bewerbers) für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies u.a. für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Nach Auffassung der LDSB Berlin liege Erforderlichkeit aber nur dann vor, wenn die Datenerhebung unbedingt geboten ist, um die offene Stelle besetzen zu können. Warum die LDSB Berlin nicht wie üblich bei der Prüfung des § 32 BSDG die Erforderlichkeit im Rahmen einer Verhältnismäßigkeitsprüfung ermittelt und bewertet, in der die Interessen des Arbeitgebers mit den Interessen des Bewerbers abgewogen werden, sondern in objektiver Hinsicht zusätzlich eine unbedingte Gebotenheit der Datenerhebung verlangt, bleibt indes unbeantwortet und überrascht.

(2) Einwilligung des Betroffenen

Neben einer Erlaubnisnorm kann eine Datenerhebung auch durch eine Einwilligung nach § 4a Abs. 1 BDSG (ab 25.05.2018: § 51 DSAnpUG-EU) gerechtfertigt sein, die aber vom potenziellen Arbeitgeber eine umfassende Aufklärung hinsichtlich der Bedeutung der Einwilligung, des Verwendungszecks der Daten, beabsichtigter Datenübermittelungen sowie eine Mitteilung zum Zweck der Übermittlungen gegenüber dem Bewerber verlangt.

Eine Einwilligung muss außerdem stets freiwillig erfolgen. Diese Freiwilligkeit ist bei Bewerbern indes stets anzuzweifeln. Denn diese befinden sich in einer erheblichen Drucksituation und geben im Zweifel eine Einwilligung ab, um weiter am Bewerbungsprozess teilzunehmen – auf einem freien Willen beruhen diese dann aber nicht. Freiwilligkeit dürfte nur dann vorliegen, wenn der Bewerber von sich aus die Nutzung von Skype wünscht.

Zusätzlich fordert die LDSB Berlin im Übrigen nicht nur eine wirksame Einwilligung des Bewerbers, sondern auch des Beschäftigten, der sich im Auswahlgremium beim potenziellen Arbeitgeber befindet und über den zwangsläufig ebenfalls personenbezogene Daten erhoben werden.

(3) Außerdem: Datenübermittlung in die USA

Hinzu kommt nach Auffassung der LDSB Berlin, dass die Chat-Protokolle von Skype auf den Servern von Microsoft in den USA bis zu 90 Tage zwischengespeichert werden und somit eine Datenübermittlung in das Ausland stattfinde. Auch diese Datenübermittlungen seien nicht erforderlich und nur bei auch in dieser Hinsicht wirksam erteilten Einwilligungen zulässig.

Fazit und Ausblick

Dass die Auffassung der LDSB Berlin den Anforderungen an die fortschreitende Digitalisierung widerspricht und die Wettbewerbsfähigkeit des Standorts Deutschland sogar gefährdet, bedarf keiner näheren Ausführung. Ein Großteil des Landes kann bislang immerhin aufatmen: Die Datenschutzbehörden sind ausschließlich für jene Unternehmen zuständig, die in ihrem Bundesland ansässig sind. Berliner Unternehmen sollten sich deshalb an die Vorgaben der LDSB Berlin halten – in den übrigen Bundesländern sollten Unternehmen die Aktivitäten der jeweils zuständigen Datenschutzbehörden weiter gut beobachten.