Welche Daten sind sicher und echt?

Frau Uttinger, was ändert sich mit dem neuen Datenschutzgesetz (nDSG) im Recruiting?

In der Bewerbungsphase ist neu die Frage entscheidend, ob ich über ein Bewerbungstool rekrutiere oder nicht. Wenn es ein Bewerbungstool ist: Gibt es da eine automatisierte Auswahl? Falls es so eine automatisierte Bearbeitung gibt, muss die betroffene Person darüber informiert werden. Dadurch erhält die betroffene Person die Möglichkeit, eine Überprüfung durch eine natürliche Person zu verlangen. Was nicht bedeutet, dass das Ergebnis anders sein muss.

Was muss ein Arbeitgeber ausserdem beachten?

Auch im Bewerbungsprozess sollte man schauen, dass nur diese Leute Zugriff haben zu Daten, die das tatsächlich brauchen. Da Daten heute elektronisch sind, gibt man Daten schnell mal weiter. Dabei kann sowohl das «Need-to-know-Prinzip» also auch die Transparenz gegenüber der Betroffenen Person verletzt werden. Plötzlich hat dadurch ein zu grosser Kreis Einblick in die Bewerbungsdaten.

Gibt es weitere Punkte, die juristisch heikel sind?

Woran wir auch denken müssen: Stimmen die Daten überhaupt? Heute kann man technisch relativ einfach ein Zeugnis oder ein Zertifikat fälschen. Dies darf durch Rückfrage bei den angegebenen Stellen überprüft werden: Stimmt es tatsächlich, dass die Person diese Ausbildung gemacht hat, dass die Person dort gearbeitet hat? Solche Angaben dürfen überprüft werden, man darf dort nachfragen. Es geht dabei nicht um eine Referenzauskunft, vielmehr, ob eine Person X während einer bestimmten Zeit in der angegebenen Funktion dort gearbeitet hat.

Wann sollte man die Daten löschen?

Wenn eine Person nicht für eine Stelle in Frage kommt. Dann gilt es, die Daten zu löschen. Wobei: Bei einer Klage wegen Diskriminierung müsste man allerdings nachweisen können, dass die Nichtanstellung nichts mit Diskriminierung zu tun hat. Ob man sicherheitshalber alle Daten gut drei Monate aufbewahren will? Diese Risiken wollen abgewogen werden. Einmal mehr stehen Datensparsamkeit und allfällige Beweismittel im Widerstreit. Persönlich erachte ich das Risiko einer Klage gestützt auf das Gleichstellungsgesetz in den wenigsten Fällen als gross.

Was kann man sich im Recruiting sparen?

Man sollte sich kritisch hinterfragen: Brauche ich einen Strafregisterauszug? Man neigt dazu, einen Strafregisterauszug «zur Sicherheit» zu verlangen. Doch, falls jemand tatsächlich vorbestraft ist, was sind die Folgen? Klar, wenn jemand mit Kindern zu tun hat, will man wissen, ob ein Berufsverbot besteht. Doch für andere Funktionen kann man vieles auch mit einem schlauen Prozessdesign lösen. Etwa mit dem Vier-­Augen-Prinzip, wenn jemand mit Zahlungen zu tun hat. Das gibt auch keine falsche Sicherheit, wie ein Strafregisterauszug.

Modernes Arbeiten heisst auch Zugriff von verschiedenen Orten und gemeinsames Arbeiten an einem Papier. Wo sind da die Herausforderungen?

Hier stellen sich primär Fragen der Datensicherheit: Wie kann man auf Daten zugreifen? Gibt es etwa eine Multi-Faktor-­Authentifizierung? Weiter sollten Mitarbeitende bezüglich eines verantwortungsvollen Umgangs mit den Personendaten sensibilisiert sein. Mit der Revision des Gesetzes braucht es allenfalls eine Datenschutz-Folgenabschätzung (DSFA); diese ist mit Aufwand verbunden, entspricht aber der Idee des risikobasierten Ansatzes der Revision.

Ist eine DSFA die Lösung?

Diese Frage ist sehr berechtigt. Es wird sich zeigen, wo die DSFA mehr Papiermonster sein wird. Grundsätzlich ist positiv, dass damit der Schutz der Grundrechte und Persönlichkeit gestärkt werden soll.