DSB bestätigt: Bewerberdaten dürfen 7 Monate aufbewahrt werden.

Eine Person wendete sich an die Datenschutzbehörde, und mit Eingabe vom 26. Juni 2018 behauptete eine Verletzung im Recht auf Löschung und brachte vor, dass er am 31. Mai 2018 per E-Mail die Löschung seiner personenbezogenen Daten aus der Bewerberdatenbank der Beschwerdegegnerin beantragt habe.

Die Löschung sei abgelehnt worden.

Dieser Bewerber hatte sich am 17. Mai 2018 sowie am 11. Juni 2018 über die Bewerberdatenbank „hr-***“ beworben,  und wollte unmittelbar darauf (am 31. Mai 2018) die Löschung der Daten. 

Eine Löschung nach Artikel 17 DSGVO ist nicht erforderlich, wenn die Daten für folgende Zwecke zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art 17 Abs 3 lit e DSGVO) erforderlich.

Für „Bewerberdaten“ ist insbes. das Gleichbehandlungsgesetz, und im Speziellen § 17 Abs 1 Z 1 GlBG, § 26 Abs 1 GlBG und § 29 GlBG zu beachten.

Gleichbehandlungsgebot im Zusammenhang mit einem Arbeitsverhältnis

§ 17. (1) Auf Grund der ethnischen Zugehörigkeit, der Religion oder Weltanschauung, des Alters oder der sexuellen Orientierung darf im Zusammenhang mit einem Arbeitsverhältnis niemand unmittelbar oder mittelbar diskriminiert werden, insbesondere nicht 1. bei der Begründung des Arbeitsverhältnisses,

Rechtsfolgen der Verletzung des Gleichbehandlungsgebotes bei Begründung des Arbeitsverhältnisses

§ 26. (1) Ist das Arbeitsverhältnis wegen Verletzung des Gleichbehandlungsgebotes des § 17 Abs. 1 Z 1 nicht begründet worden, so ist der/die Arbeitgeber/in gegenüber dem/der Stellenwerber/in zum Ersatz des Vermögensschadens und zu einer Entschädigung für die erlittene persönliche Beeinträchtigung verpflichtet. […]

Fristen für die Geltendmachung von Ansprüchen bezüglich § 26 Abs 1 GlBG:

§ 29. (1) Ansprüche nach § 26 Abs. 1 und 5 sind binnen sechs Monaten gerichtlich geltend zu machen. 

„Diese Regelung greift in zeitlicher Hinsicht jedenfalls dann, wenn die Geltendmachung, Ausübung oder Verteidigung von (bzw. gegen) Rechtsansprüchen schon stattfindet oder sicher bevorsteht. Die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen ist nicht ausreichend (vgl. Herbst in Kühling/Buchner, DSGVO Kommentar [2017] Art. 17 Rz 83).

Der Verfassungsgerichtshof hat im Zusammenhang mit einem Löschbegehren gegen einen Verantwortlichen des öffentlichen Bereichs ebenfalls ausgesprochen, dass der bloß allgemeine Hinweis, es wären noch „entsprechende Verfahren anhängig“, nicht ausreichend ist. Vielmehr muss im Einzelfall konkret dargelegt werden, weshalb nach Abschluss eines Verfahrens eine „Notwendigkeit zur Aufbewahrung der Unterlagen betreffend das Privatleben“ des Betroffenen besteht. Ferner ist darzulegen, welche konkreten Verfahren noch anhängig sind, die in Verbindung mit den Unterlagen des bereits abgeschlossenen Verfahrens bestehen (vgl. das Erkenntnis des Verfassungsgerichtshofs vom 12. Dezember 2017, E 3249/2016-11; vgl. auch den Bescheid der Datenschutzbehörde vom 25. April 2018, DSB-D122.776/0007-DSB/2018).

Umgelegt auf ein Löschbegehren gegen einen Verantwortlichen des privaten Bereichs (wie vorliegend) bedeuten diese Ausführungen, dass der allgemeine Hinweis auf potenziell zukünftige, noch nicht anhängige bzw. nicht sicher bevorstehenden (Gerichts-) Verfahren nicht ausreichend ist, um dem Löschbegehren nicht entsprechen zu müssen.

Vielmehr muss der Verantwortliche darlegen, welche konkreten zukünftigen Verfahren auf welcher Grundlage anhängig gemacht werden könnten und inwiefern durch derartige Verfahren zum Zeitpunkt der Entscheidung der Datenschutzbehörde eine Notwendigkeit zur weiteren Speicherung der personenbezogenen Daten begründet wird.

Nach § 29 Abs. 1 GlBG kann ein Ersatzanspruch gemäß § 26 Abs. 1 GlBG innerhalb einer Frist von sechs Monaten geltend gemacht werden. Die Beschwerdegegnerin bezieht sich somit nicht allgemein auf ein potenziell zukünftiges Verfahren, sondern benennt einen konkreten Anspruch, der ihr gegenüber innerhalb eines konkreten Zeitraumes geltend gemacht werden könnte.

Bewerberdaten können naturgemäß als Grundlage für die Entscheidung dienen, ob ein Arbeitsverhältnis mit einem gewissen Bewerber begründet wird. Vor diesem Hintergrund ist iSv Art. 17 Abs. 3 lit e DSGVO die weitere Speicherung von Bewerberdaten notwendig, um sich gegenüber einem Anspruch gemäß § 26 Abs. 1 GlBG zu verteidigen bzw. um im Rahmen eines Verfahrens nach dem GlBG begründen zu können, weshalb keine Diskriminierung iSv § 17 Abs. 1 Z 1 GlBG vorliegen würde.

Ferner benannte die Beschwerdegegnerin einen konkreten Zeitpunkt, ab wann sie die Bewerberdaten löschen werde. Für den Beschwerdeführer ist somit klar erkennbar, ab welchem Zeitpunkt seine Bewerberdaten gelöscht werden. Darüber hinaus erklärte sich die Beschwerdegegnerin auch bereit, die Bewerberdaten des Beschwerdeführers zum ehest möglichen Zeitpunkt zu löschen, also nach Ablauf der Frist von § 29 Abs. 1 GlBG (gegenständlich sieben Monate nach Bewerbungseingang, somit berechnet ab dem 17. Mai 2018 bzw. 11. Juni 2018)

Der zusätzlich berechnete Monat zu der sechsmonatigen Frist nach § 29 Abs. 1 GlBG, um einen potenziellen Klageweg einzuberechnen, sohin sieben Monate ab Bewerbungseingang, ist angemessen und nicht unverhältnismäßig lange".

1.      Bewerberdaten dürfen für den Zweck der Abwehr von etwaigen Rechtsansprüchen wegen Diskriminierung bei Begründung eines Arbeitsverhältnisses für einen Zeitraum von 6 Monaten sowie einen angemessenen Zeitraum eines Nachlaufes (1 Monat) aufbewahrt werden.  

2.      Zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dürfen Daten aufbewahrt (gespeichert) werden, wenn der Rechtsgrund des Anspruches konkret benannt wird, und auch die Frist klar und deutlich festgelegt ist. Der Verantwortliche muss darlegen können, welche konkreten zukünftigen Verfahren auf welcher Grundlage anhängig gemacht werden könnten und inwiefern durch derartige Verfahren eine Notwendigkeit zur weiteren Aufbewahrung der personenbezogenen Daten begründet wird.