Aktuelle Entscheidungen – Okt 2018
Beitrag verfasst von Mag. Claudia Gabauer, LL.M. am 31.10.2018 – KTR-Newsletter Okt 2018
1. Speicherdauer von Bewerberdaten
Im letzten Newsletter habe ich über einen Bescheid der Datenschutzbehörde zu Speicherfristen berichtet. Nun gibt es einen weiteren, vor wenigen Tagen publizierten Bescheid der Datenschutzbehörde vom 27.8.2018 (GZ: DSB-D123.085/0003-DSB/2018) zur Speicherdauer von Bewerberdaten, den Frau RA Mag. Claudia Gabauer, LL.M. zusammengefasst hat:
Ein Unternehmen speicherte Bewerberdaten über den Abschluss des Bewerbungsverfahren hinaus und lehnte ein vorzeitige Löschung der Daten eines abgelehnten Bewerbers ab. Da Bewerberdaten als Entscheidungsgrundlage für die Begründung von Arbeitsverhältnissen dienen, gestand die Datenschutzbehöde in dieser Entscheidung die weitere Speicherung dieser Daten zur Verteidigung gegen einen Anspruch gemäß § 26 Abs 1 GlBG nach Art 17 Abs 3 lit e DSGVO als notwendig zu. Im vorliegenden Fall benannte die Beschwerdegegnerin einen konkreten Zeitpunkt, ab wann sie die Bewerberdaten löschen werde, nämlich sieben Monate nach Bewerbungseingang. Für den Beschwerdeführer war somit klar erkennbar, ab welchem Zeitpunkt seine Bewerberdaten gelöscht werden. Darüber hinaus erklärte sich die Beschwerdegegnerin auch bereit, die Bewerberdaten zum ehest möglichen Zeitpunkt (also nach Ablauf der Frist von § 29 Abs 1 GlBG) zu löschen sowie die Bewerberdaten zwecks Verteidigung gegen einen Ersatzanspruch nach dem GlbG aufzubewahren und diese nicht mehr für die Besetzung etwaiger Stellen heranzuziehen.
Die Datenschutzbehörde begründete dies damit, dass nach § 29 Abs 1 GlBG kann ein Ersatzanspruch gemäß § 26 Abs 1 GlBG innerhalb einer Frist von sechs Monaten geltend gemacht werden kann. Die Beschwerdegegnerin bezog sich im Verfahren unter Berufung auf diese gesetzliche Bestimmung daher nicht allgemein auf ein potenziell zukünftiges Verfahren, sondern benannte einen konkreten Anspruch, der ihr gegenüber innerhalb eines konkreten Zeitraumes geltend gemacht werden könnte. Da Bewerberdaten naturgemäß als Entscheidungsgrundlage für die Begründung von Arbeitsverhältnissen dienen, sei die weitere Speicherung dieser Daten zur Verteidigung gegen einen Anspruch gemäß § 26 Abs 1 GlBG nach Art 17 Abs 3 lit e DSGVO notwendig.
Der vom Unternehmen zusätzlich berechnete Monat zu der sechsmonatigen Frist nach § 29 Abs 1 GlBG, um einen potenziellen Klageweg einzuberechnen, somit in Summe eine Speicherdauer von sieben Monaten ab Bewerbungseingang, sei laut Datenschutzbehörde angemessen und nicht unverhältnismäßig lange.
Angesichts des ersten Bescheids der DSB vom 28.5.2018, bei dem die DSB eine sehr restriktive Ansicht betreffend die Speicherdauer von Daten nach dem TKG 2003 vertrat, ist der gegenständliche Bescheid aus unternehmerischer Sicht sehr zu begrüßen.
Die Anknüpfung der siebenmonatigen Speicherfrist an den Eingang der Bewerbung könnte jedoch dazu führen, dass im Fall eines längeren Bewerbungsprozesses und einer späten Ablehnung des Bewerbers, die möglichen Risiken eines Verfahrens nach dem GlBG nicht gebührend berücksichtigt werden und die zur Verteidigung gegen die Rechtsansprüche erforderlichen Daten eventuell verfrüht gelöscht werden müssten. Das GlBG knüpft beim Fristenlauf für Klagen an das Datum der negativen Entscheidung des potentiellen Arbeitgebers, nicht an das Datum des Eingangs der Bewerbung – dies wurde in der Entscheidung der Datenschutzbehörde nicht berücksichtigt.
2. Kein Löschungsrecht ohne Löschungsantrag!
Mit der ebenfalls gerade im RIS publizierten Entscheidung der Datenschutzbehörde vom 2.8.2018 (GZ: DSB-D130.006/0002-DSB/2018) hat diese eine Beschwerde abgewiesen, mit der ein Betroffene sein „Recht auf Löschung betreffend ein automatische Vervollständigung seines Namens bei Suchen in einer Suchmaschine“ verlangt hatte. Der Beschwerdeführer hatte seiner Beschwerde bei der Datenschutzbehörde aber keine Kopie des ursprünglichen Antrages an den Suchmaschinenbetreiber vorgelegt und konnte diesen auch im Rahmen eines Mangelbehebungsantrages nicht vorlegen. Dies schlicht deshalb, weil er sein Löschansuchen über ein Web-Formular des Suchmaschinenbetreibers gestellt hatte und daher naturgemäß keinen „schriftlichen“ Antrag hatte (und sich offensichtlich auch keine Bildschirmkopie des Antrages gemacht hatte).
Den Verweis, dass sich der Inhalt des Antrages aus der Korrespondenz mit dem Suchmaschinenbetreiber ergebe, ließ die Datenschutzbehörde nicht gelten, sondern sah den nach §24 Abs 3 DSG gesetzlich gebotenen Mindestinhalt einer Beschwerde als nicht gegeben an und wies diese daher zurück.
Pech für den Betroffenen. Unternehmen werden daraus lernen, dass sich der Aufwand eines Webformulares lohnen kann…
