Welche Daten du überhaupt erheben darfst

Der Massstab steht nicht im Datenschutzgesetz, sondern im Obligationenrecht. Artikel 328b OR sagt: Der Arbeitgeber darf Daten über den Arbeitnehmer nur bearbeiten, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind.

Der Wortlaut spricht von Arbeitnehmenden. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), die Aufsichtsbehörde des Bundes für den Datenschutz, wendet den Massstab jedoch ausdrücklich schon auf die Bewerbungsphase an: Vor dem Arbeitsverhältnis dürfen nur diejenigen Personendaten der Bewerbenden bearbeitet werden, welche die Eignung für das Arbeitsverhältnis betreffen.

Praktisch heisst das: Jede Frage im Bewerbungsformular muss sich an der Stelle messen lassen. Wer eine Lastwagenfahrerin sucht, darf nach dem Führerausweis fragen. Nach Zivilstand, Familienplanung oder Konfession fragt niemand, ausser die Stelle verlangt es zwingend. Ein Kriterienraster, das vor der Ausschreibung feststeht, hilft doppelt: Es hält die Datenerhebung schlank und macht die Auswahl nachvollziehbar.

Informationspflicht: was Bewerbende wissen müssen

Wenn du im Rahmen einer Rekrutierung Bewerbungsunterlagen einholst, musst du die betroffenen Personen darüber informieren. Mitzuteilen sind unter anderem der Zweck der Bearbeitung, wer verantwortlich ist und wie diese Stelle erreichbar ist.

In der Bewerbermanagement-Lösung Refline steht dafür eine Datenschutzerklärung direkt auf dem Bewerbungsformular. Alternativ liegt sie auf der Website, verlinkt an der Stelle, an der die Bewerbung startet. Wer die Information weglässt, riskiert eine Busse.

Löschpflicht: wie lange du ein Bewerbungsdossier behalten darfst

Bewerbungsunterlagen dürfen nur so lange aufbewahrt werden, wie der ursprüngliche Zweck besteht: die Besetzung dieser Stelle. Geht die Stelle an jemand anderen oder wird sie gar nicht besetzt, fällt dieser Zweck weg.

Damit ist die Frage aber noch nicht beantwortet. Das Datenschutzgesetz nennt keine feste Aufbewahrungsfrist, und der EDÖB hält ausdrücklich fest, dass die Dauer je Datenkategorie einzeln festzulegen ist. Neben dem ursprünglichen Zweck können weitere Pflichten und Interessen eine längere Aufbewahrung rechtfertigen: eine mögliche Klage wegen diskriminierender Ablehnung, Nachweise gegenüber SECO oder RAV, oder ein eigenes Interesse des Unternehmens, das sich begründen lässt.

Was daraus folgt, ist keine Zahl, sondern eine Entscheidung: Lege je Datenkategorie fest, wie lange du sie brauchst, halte den Grund dafür fest, und lösche danach. Wer sich an einer einzelnen Monatszahl festhält, ohne den eigenen Fall angeschaut zu haben, liegt entweder zu kurz oder zu lang.

Dazu kommt eine Pflicht, die oft untergeht: Nach Abschluss des Auswahlverfahrens müssen die Unterlagen abgelehnter Personen zurückgegeben und allfällige Kopien vernichtet werden. Behalten darfst du nur, was dir gehört, also Bewerbungsschreiben, Personalfragebogen und Auskünfte aus Referenzanfragen.

Warum das per E-Mail kaum zu schaffen ist

Kommt eine Bewerbung per Mail und wird sie intern weitergeleitet, kommentiert und irgendwo abgelegt, entsteht eine Datenspur über mehrere Postfächer und Laufwerke. Monate später alles zu finden und zu löschen, gelingt selten. Genau das verlangt das Gesetz aber.

Mit einer E-Recruiting-Lösung wie Refline liegt jede Bewerbung an einem Ort. Die Löschfristen, die du festgelegt hast, laufen automatisiert, Bewerbungen und Stellen archivierst du datenschutzkonform mit einem Klick. Statt Suchen und Nachfassen bleibt eine Frist, die von selbst greift.

Talent Pool: wann du ein Dossier länger behalten darfst

Ein Dossier nach der Absage aufzubewahren, ist erlaubt, sofern die Person zustimmt.

Diese Zustimmung muss ausdrücklich erfolgen, und sie braucht eine klare Frist: bis wann das Dossier aufbewahrt wird. «Bis auf Weiteres» genügt nicht. Damit die Einwilligung gültig ist, muss sie ausserdem freiwillig und nach angemessener Information für eine bestimmte Bearbeitung erteilt werden.

Für die Praxis heisst das: Jedes Dossier im Talent Pool hat ein Ablaufdatum, und die Person weiss davon, weil sie zugestimmt hat. Ein Pool ohne Verfallsdatum ist die häufigste stille Verletzung der Löschpflicht.

Auskunftsrecht: 30 Tage, kostenlos, unverzichtbar

Jede Person kann verlangen zu erfahren, ob Daten über sie bearbeitet werden. Bewerbende haben Anspruch auf eine vollständige und richtige Auskunft. Das Gesetz zählt auf, was mitzuteilen ist: Identität und Kontaktdaten der verantwortlichen Stelle, die bearbeiteten Personendaten selbst, der Zweck, die Aufbewahrungsdauer oder die Kriterien dafür, verfügbare Angaben zur Herkunft der Daten, die Empfänger, und bei einer automatisierten Einzelentscheidung auch die zugrunde liegende Logik.

Drei Punkte, an denen es in der Praxis hakt:

Die Frist. Die Auskunft muss innerhalb von 30 Tagen seit Eingang des Begehrens erteilt werden. Schaffst du das nicht, musst du die Person innert derselben Frist informieren und ihr sagen, bis wann sie mit der Auskunft rechnen kann. Dasselbe gilt, wenn du die Auskunft einschränken oder verweigern willst.

Die Kosten. Die Auskunft ist kostenlos. Nur bei unverhältnismässigem Aufwand darf eine angemessene Kostenbeteiligung von höchstens 300 Franken verlangt werden, und das muss vorher mitgeteilt werden.

Der Verzicht. Niemand kann im Voraus auf das Auskunftsrecht verzichten. Eine Klausel im Bewerbungsformular, die das versucht, ist wirkungslos.

Setzt du ein Bewerbermanagement-System eines Anbieters ein, bleibt die Auskunftspflicht trotzdem bei dir. Der Anbieter ist Auftragsbearbeiter, nicht Adressat des Begehrens.

Wo die Bewerberdaten liegen

Sobald ein Bewerbermanagement-System eines Anbieters im Spiel ist, bearbeitet dieser Anbieter die Daten in deinem Auftrag. Du bleibst dafür verantwortlich und musst dich vergewissern, dass er die Datensicherheit gewährleistet. Liegen die Daten im Ausland, kommen zusätzliche Anforderungen dazu.

Die kürzeste Antwort auf diese Frage ist, sie gar nicht erst stellen zu müssen. Refline betreibt alle Applikationen in der Schweiz, einschliesslich des CV-Parser-Moduls und der KI-Anwendungen. Die Rechenzentren sind nach ISO 27001 zertifiziert.

KI in der Vorselektion: was das Gesetz dazu sagt, und was nicht

Sobald ein System Bewerbungen automatisiert bewertet, sind zwei Begriffe im Spiel.

Profiling ist die automatisierte Bearbeitung von Personendaten, um persönliche Aspekte zu bewerten, etwa Arbeitsleistung, Zuverlässigkeit oder Verhalten. Ein Scoring von Bewerbungen fällt dem Wortlaut nach darunter. Profiling mit hohem Risiko liegt vor, wenn die Verknüpfung der Daten eine Beurteilung wesentlicher Persönlichkeitsaspekte erlaubt. Daran hängen zwei Folgen: Soweit eine Einwilligung nötig ist, muss sie ausdrücklich erfolgen. Und die Befreiung von der Pflicht, ein Verzeichnis der Bearbeitungstätigkeiten zu führen, fällt weg, auch für kleinere Unternehmen.

Automatisierte Einzelentscheidung ist der zweite Begriff. Beruht eine Entscheidung ausschliesslich auf automatisierter Bearbeitung und hat sie für die Person eine Rechtsfolge oder beeinträchtigt sie sie erheblich, musst du darüber informieren. Die Person kann ihren Standpunkt darlegen und verlangen, dass ein Mensch die Entscheidung überprüft. Entscheidend ist das Wort «ausschliesslich»: Sichtet eine Person die Vorschläge und entscheidet selbst, greift die Bestimmung nach ihrem Wortlaut nicht.

Und jetzt der Teil, den viele Ratgeber unterschlagen: Es gibt keine amtliche Schweizer Vorgabe, ab wann ein KI-Screening im Recruiting ein Profiling mit hohem Risiko ist. Wer dir eine klare Schwelle nennt, legt aus, statt zu zitieren. Belastbar ist nur der Umkehrschluss: Je mehr ein System selbst entscheidet und je mehr Merkmale es dafür verknüpft, desto eher liegst du im regulierten Feld. Wer ein KI-Tool im Bewerbungsprozess einsetzt, sollte deshalb dokumentieren, welche Rolle es hat und wer die Entscheidung trägt.

Wenn etwas schiefgeht: Meldepflicht und Bussen

Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person, musst du sie dem EDÖB melden, so rasch als möglich. Anders als die DSGVO nennt das Schweizer Gesetz keine 72-Stunden-Frist. Die Meldung nennt mindestens die Art der Verletzung, ihre Folgen und die getroffenen oder geplanten Massnahmen. Die betroffene Person informierst du, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt.

Die Bussen liegen bei bis zu 250’000 Franken und treffen die verantwortliche natürliche Person, nicht das Unternehmen. Sie setzen Vorsatz voraus. Kommt eine Busse von höchstens 50’000 Franken in Betracht und wäre es unverhältnismässig aufwendig, die verantwortliche Person zu ermitteln, kann die Behörde stattdessen den Geschäftsbetrieb verurteilen.

Häufige Fragen zum Datenschutz im Recruiting

Die Fragen, die uns Schweizer HR-Teams zum Datenschutz am häufigsten stellen.

Wie lange darf ich Bewerbungsunterlagen aufbewahren?

Das Datenschutzgesetz nennt keine feste Frist. Massgebend ist der Zweck: Ist die Stelle besetzt, fällt der ursprüngliche Zweck weg. Daneben können weitere Pflichten und Interessen eine längere Aufbewahrung rechtfertigen, etwa eine mögliche Klage wegen diskriminierender Ablehnung, Nachweise gegenüber SECO oder RAV oder ein eigenes Interesse des Unternehmens, das sich begründen lässt. Die Dauer legst du deshalb je Datenkategorie selbst fest und hältst den Grund dafür fest.

Darf ich ein Dossier ohne Zustimmung in den Talent Pool übernehmen?

In der Regel nicht. Der saubere Weg ist die ausdrückliche Einwilligung, verbunden mit einer klaren Frist, wie lange das Dossier aufbewahrt wird. Ohne diese Zustimmung ist der Talent Pool nicht der richtige Ort für das Dossier.

Wie schnell muss ich auf ein Auskunftsbegehren antworten?

Innerhalb von 30 Tagen seit Eingang. Reicht die Zeit nicht, musst du die Person innert derselben Frist informieren und ihr mitteilen, bis wann die Auskunft kommt. Die Auskunft ist kostenlos; nur bei unverhältnismässigem Aufwand darf eine Beteiligung von höchstens 300 Franken verlangt werden, angekündigt vor der Auskunft.

Braucht mein Unternehmen ein Verzeichnis der Bearbeitungstätigkeiten?

Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, sind von dieser Pflicht befreit. Die Befreiung fällt weg, sobald besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet.

Fazit: Datenschutz im Recruiting ist eine Prozessfrage

Keine der Pflichten aus diesem Beitrag ist für sich genommen schwierig. Schwierig wird es, wenn Bewerbungen über Postfächer, Laufwerke und Notizen verstreut sind. Dann scheitert die Löschfrist an der Suche, und die Auskunft innert 30 Tagen wird zur Nachtschicht. Wer die Bewerbungen an einem Ort führt, hat den grössten Teil erledigt, bevor die erste Frist läuft.

Datenschutz-Pflichten sauber gelöst, mit Refline

Mit der E-Recruiting-Lösung von Refline liegen die datenschutzrelevanten Funktionen im Bewerbungsprozess selbst. Von der Einwilligung auf dem Formular bis zur automatisierten Löschfrist. Betrieben in Rechenzentren in der Schweiz.