Die DSGVO in Kürze erklärt
Die Datenschutz-Grundverordnung (DSGVO) ist die zentrale Regelung zum Umgang mit personenbezogenen Daten in der EU. Sie regelt, wie Daten verarbeitet, gespeichert und gelöscht werden müssen – mit dem Ziel, die Privatsphäre natürlicher Personen zu schützen. Besonders im Recruiting, wo täglich sensible Informationen verarbeitet werden, ist das ein zentrales Thema.
Wichtige Prinzipien der DSGVO:
- Recht auf Auskunft, Berichtigung und Löschung
- Privacy by Design: Datenschutz ist von Anfang an in der Systemarchitektur integriert.
- Privacy by Default: Datenschutz ist standardmässig aktiviert – ohne Zutun der Nutzer.
- Zweckbindung & Speicherbegrenzung: Bewerbungsdaten dürfen nur so lange gespeichert werden, wie sie wirklich gebraucht werden.
Personenbezogene Daten
Doch was sind personenbezogene Daten genau? Und wie lange dürfen diese gespeichert werden? Unter personenbezogenen Daten versteht man alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Also sämtliche Daten, die ausnahmslos einer Person zugeordnet werden (können) wie der Name, Telefonnummer oder die Kontodaten. Dabei wird unterschieden zwischen allgemeinen und besonderen personenbezogenen Daten: Besondere personenbezogene Daten wie genetische, biometrische oder ethnische Daten geniessen ein höheres Schutzniveau. Gespeichert werden dürfen personenbezogene Daten nur so lange, bis sie ihren Zweck erfüllt haben. Das schreibt der Grundsatz zur Speicherbegrenzung vor. Das bezieht sich beispielsweise auch auf Bewerbungen: Beim Speichern einer Bewerbung von natürlichen Personen aus der EU werden personenbezogene Daten verarbeitet.
Die DSGVO in der Schweiz: Wer ist betroffen?
In der Schweiz gilt grundsätzlich das Schweizer Datenschutzgesetz (DSG). Jedoch: auch Unternehmen in der Schweiz müssen sich mit der DSGVO auseinandersetzen – vor allem, wenn sie ganz nach dem Marktortprinzip Handelsbeziehungen in die EU pflegen. Hier sollten interne Prozesse, Verträge, Richtlinien und Datenschutzerklärungen gründlich geprüft werden. Die Konsequenz daraus: Sobald Schweizer Unternehmen personenbezogene Daten von natürlichen Personen aus der EU beziehen und verarbeiten, müssen sie sich an die EU-DSGVO halten. Insbesondere, wenn es um Waren und oder Dienstleistungen sowie das Verhalten der natürlichen Person geht. Hat das Unternehmen eine Niederlassung in der Europäischen Union? Wird ein Auftraggeber in der EU eingesetzt? Oder verarbeitet ein Schweizer Unternehmen im Auftrag einer Firma in der EU personenbezogene Daten? Auch dann gelten die Regeln der DSGVO in der Schweiz sowie ein Angemessenheitsbeschluss.
Ist das Unternehmen in der Schweiz von der DSGVO betroffen, weil eine klare Absicht zum Handel besteht? Dann gibt es folgende Pflichten:
- Informieren der betroffenen Person und Einholung ihrer Einwilligung zur Datenverarbeitung
- Garantie der Aspekte "Privacy by design" und "Privacy by default"
- Benennen eines Datenschutzvertreters oder einer Datenschutzvertreterin in der EU
- Erstellen eines Verzeichnisses der Verarbeitungstätigkeiten
- Meldung von Datenschutzverletzungen an die Aufsichtsbehörde Durchführung einer Datenschutz-Folgenabschätzung
Datenschutzbeauftragte in der Schweiz für die DSGVO
Ob intern oder extern: Eine kompetente Person, die sich um den Datenschutz kümmert, ist Gold wert – gerade im Recruiting. Sie kann die nötigen Prozesse definieren, prüfen und koordinieren. Wenn dein Unternehmen der DSGVO unterliegt, brauchst du ausserdem einen offiziellen Vertreter mit Sitz in einem EU-Mitgliedstaat als Anlaufstelle für Aufsichtsbehörden und betroffene Personen.
DSGVO-Verstösse: hohe Strafen möglich
Die DSGVO sieht bei Verstössen empfindliche Sanktionen vor:
Bei schweren Datenschutzverletzungen drohen Geldbussen von bis zu 4 % des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro – je nachdem, welcher Betrag höher ist.
Dass es sich dabei nicht um blosse Theorie handelt, zeigt die bereits existierende Rechtsprechung – auch im Recruiting-Kontext: So wurde etwa ein Unternehmen verurteilt, weil es Bewerbungsdaten versehentlich an Dritte versendet hatte, ohne den betroffenen Bewerber umgehend zu informieren. Auch das ungefragte Googeln von Kandidaten und Kandidatinnen ohne transparente Information kann gegen die DSGVO verstossen. Unternehmen sind also gut beraten, gerade im Umgang mit Bewerberdaten besonders sorgfältig vorzugehen.
Fazit: DSGVO betrifft auch Schweizer Unternehmen
Schweizer Unternehmen, die personenbezogene Daten von EU-Bürger und Bürgerinnen verarbeiten, könnten dann der DSGVO unterliegen, wenn sich ihr Angebot gezielt an den EU-Raum richtet – etwa im Rahmen des Marktortprinzips.
Das bedeutet: Selbst wenn der Firmensitz in der Schweiz liegt, kann ein Verstoss gegen die DSGVO schwerwiegende finanzielle und reputative Folgen haben – insbesondere, wenn Bewerberdaten oder Daten von Mitarbeitenden nicht korrekt geschützt oder verarbeitet werden. Gerade im Recruiting, wo täglich sensible Daten eingehen, ist eine saubere, rechtskonforme Datenverarbeitung unerlässlich. Datenschutz ist also längst kein Nice-to-have mehr, sondern ein geschäftskritisches Thema, das eine strategische Rolle spielt – und proaktiv angegangen werden soll.
Auch wenn dein Unternehmen in der Schweiz sitzt: unter gewissen Bedingungen ist es somit verpflichtet, die DSGVO einzuhalten. Es lohnt sich daher, die Ausgangslage und Prozesse zu prüfen, Mitarbeitende zu sensibilisieren und die Datenschutz-Standards zu erhöhen – besonders im Recruiting.
Bist du unsicher, wo du anfangen sollst? Unsere E-Recruiting-Lösung bildet alle Prozesse von der Bewerbung bis zur Löschung vollständig DSGVO-konform ab – inklusive Einwilligungsmanagement, transparenter Kommunikation und automatisierter Löschfristen.
Teste jetzt, wie einfach datenschutzsicheres Recruiting sein kann!