Rechtssatz
Die Datenschutzbehörde hat entschieden, dass ein Bewerber kein Recht auf Löschung seiner Bewerbungsdaten hat, wenn die Erstbeschwerdegegnerin diese zur Abwehr angekündigter Rechtsansprüche speichert.
Die Weiterverarbeitung ist gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) und Art. 6 Abs. 4 DSGVO (Kompatibilität der Zwecke) rechtmäßig.
Sachverhalt
Ein Bewerber bewarb sich im Jänner 2024 auf eine IT-Stelle und legte seinen Bewerbungsunterlagen ein ausführliches Dokument bei, das detaillierte Anweisungen zur Datenverarbeitung, zur Löschung und zur Geltendmachung von Rechtsansprüchen (insbesondere Schadensersatz wegen Datenschutzverletzung, Urheberrecht und Strafrecht) enthielt.
Nach Ablehnung der Bewerbung teilte das Unternehmen dem Bewerber schriftlich mit, dass es die Daten zur Abwehr möglicher Rechtsansprüche speichern werde.
Der Bewerber erhob daraufhin Beschwerde bei der Datenschutzbehörde und verlangte die Löschung seiner Daten. Das Unternehmen gab die Daten auch an seine externen Rechtsberater weiter.
Rechtliche Begründung
Die Datenschutzbehörde prüfte zunächst die Einhaltung der Grundsätze nach Art. 5 DSGVO.
Zum Transparenzgrundsatz hielt die Behörde fest, dass eine Information vor der Weiterverarbeitung genügt; eine bestimmte zeitliche Spanne wird nicht verlangt.
Da das Unternehmen den Bewerber am selben Tag, an dem die Absage erging, schriftlich über die Weiterverarbeitung und deren Zweck informierte, lag keine Verletzung vor.
Zum Zweckbindungsgrundsatz (Art. 5 Abs. 1 lit. b DSGVO) prüfte die Behörde die Kompatibilität nach Art. 6 Abs. 4 DSGVO. Sie berücksichtigte, dass der Bewerber selbst Rechtsansprüche ankündigt, daher die Weiterverarbeitung zur Rechtsverteidigung für ihn unter Einbeziehung vernünftiger Erwartungen vorhersehbar war. Die Datenminimierung war gewahrt, da die Daten nur so lange gespeichert wurden, wie die Verjährungsfristen es erforderten (7 Monate für Lebenslauf, 1 Jahr für Korrespondenz, 3 Jahre für Schadensersatzansprüche). Zur Rechtmäßigkeit der Verarbeitung stützte sich das Unternehmen auf Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).
Die Behörde anerkannte die Abwehr angekündigter Rechtsansprüche als berechtigtes Interesse, die Erforderlichkeit der Datenverarbeitung für diese Verteidigung und ein Überwiegen gegenüber den Rechten des Bewerbers. Eine Ausnahme nach Art. 17 Abs. 3 lit. e DSGVO (Verarbeitung erforderlich zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen) lag somit vor.
Fazit
Die Datenschutzbehörde wies die Beschwerde als unbegründet ab. Das Unternehmen durfte die Bewerbungsdaten zur Abwehr der vom Bewerber angekündigten Rechtsansprüche speichern. Die Weiterverarbeitung war rechtmäßig, da sie mit dem ursprünglichen Zweck der Bewerbungsbearbeitung vereinbar ist und auf dem berechtigten Interesse des Unternehmens an der Rechtsverteidigung beruht. Das Löschungsrecht nach Art. 17 DSGVO kam nicht zur Anwendung.
Was bedeutet das für Verantwortliche?
Unternehmen dürfen Bewerbungsdaten zur Abwehr von Rechtsansprüchen speichern, wenn diese angekündigt oder angedroht werden.
Wichtig ist:
(1) Informieren Sie Bewerber zeitnah und transparent über die Weiterverarbeitung und ihren Zweck;
(2) Halten Sie die Speicherdauer an die relevanten Verjährungsfristen (für Gleichbehandlungsgesetz ca. 6 Monate, für DSGVO-Beschwerden 1 Jahr, für Schadensersatz 3 Jahre);
(3) Begrenzen Sie den Personenkreis, an den Daten weitergegeben werden, auf notwendige Fachleute (z. B. Rechtsberater);
(4) Löschen Sie Daten unverzüglich nach Ablauf der relevanten Aufbewahrungsfristen.
Bei unklaren Ankündigungen von Rechtsansprüchen sollten Sie dokumentieren, dass ein berechtigtes Interesse an der Rechtsverteidigung vorliegt.
Schlagworte
DSGVO, Löschungsrecht, Bewerbungsdaten, Berechtigte Interessen, Zweckbindung, Datenschutzbehörde, Art. 17 DSGVO, Rechtsverteidigung, Verjährungsfrist
Originalentscheidung: https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Dsk&Dokumentnummer=DSBT_20251124_2024_0_835_856_00
Kommentar schreiben