Das digitale Zeitalter hat ohne Frage bereits etliche neue Richtlinien, Vorschriften und auch Gesetze hervorgebracht. Mit der EU-Datenschutzgrundverordnung (kurz: DSGVO) erlangt jetzt eine neue gesetzliche Vorgabe Gültigkeit. Das Ziel ist dabei klar: Dem Missbrauch von personenbezogenen respektive von sensiblen Daten soll ein Riegel vorgeschoben werden. Für die Eignungsdiagnostik besteht bei richtiger Anwendung sogar die Chance, dass Unternehmen vermehrt auf standarisierte Tests zurückgreifen können, um den neuen Regeln zu entsprechen.

Im Grunde genommen der richtige Weg im Hinblick auf einen verbesserten Datenschutz. Die neue Verordnung hat aber auch eine starke Wirkung auf verschiedene Teilgebiete innerhalb unternehmerischer Aktivitäten. So beeinflusst die DSGVO zum Beispiel gerade die Arbeit von Personalern; insbesondere in Bezug auf das Erfassen und Speichern von personenbezogenen Daten von Bewerbern oder potentiellen Kandidaten für eine zu besetzende Stelle. Schließlich sind eben diese personenbezogene Daten ein wichtiger Bestandteil eignungsdiagnostischer Auswahlverfahren. Für den Recruitingprozess bedeutet das, dass es um die Verarbeitung bzw. Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung, Abgleich, Verknüpfung und die Einschränkung, das Löschen oder das Vernichten von Bewerberdaten geht. Das ist schon eine ganze Menge, was es zu beachten gilt. 

Recruiter müssen Ihre eigenen Prozesse überprüfen, aber auch beim Einkauf von neuer, unterstützender Software, wie Bewerbermanagementsysteme oder Personaltests ist darauf zu achten, inwieweit die Lösung DSGVO-konform ist und ob die Datenschutzhinweise gemäß DSGVO aktualisiert wurden. Das schließt auch das Hosting auf EU-Servern ein, sind diese Dienstleister aus Drittstaaten, müssen Verantwortliche zudem die Rechtsgrundlagen für eine internationale Datenübermittlung prüfen. Insgesamt birgt die DSGVO aber gute Chancen, ineffiziente Recruiting-Prozesse neu zu gestalten. 

Optimierter Datenschutz: Zweijährige Übergangsfrist ist beendet - die DSGVO tritt in Kraft

Bereits im Mai des Jahres 2016 hat die Europäische Union (EU) die DSGVO beschlossen. Nach einer zweijährigen Übergangsfrist tritt die Verordnung nun am 25. Mai 2018 in Kraft. Dabei ersetzt die DSGVO zumindest weitestgehend das Bundesdatenschutzgesetz (BDSG) und das sogenannte Telemediengesetz (kurz: TMG). Zudem soll die neu in Kraft tretende DSGVO auch die bisher gültige Version der ePrivacy-Verordnung ergänzen. Durch die neuen gesetzlichen Bestimmungen im Rahmen der DSGVO wird gerade dem Online-Tracking konsequent ein Riegel vorgeschoben. Damit sollten komplizierte Datenschutz-Einstellungen im Browser sowie das ungefragte Archivieren bzw. Erfassen von expliziten Nutzerdaten der Vergangenheit angehören.

Die Datenschutz-Standards werden noch einmal deutlich erhöht

Grundsätzlich geht es bei der Datenschutzgrundverordnung darum, den generellen Umgang mit Datenmaterial zu regeln. So entscheidet jetzt nicht mehr der Firmensitz darüber, welches landesspezifische Datenschutzrecht Anwendung findet. Dieses Gesetz betrifft gerade Länder außerhalb der EU. Dies bedeutet: Wollen zum Beispiel Facebook, Twitter und Co. ihre Dienste weiterhin EU-Bürgern anbieten, müssen sie die hohen Standards beim Datenschutz innerhalb der Europäischen Union erfüllen. Zudem müssen Nutzer ab dem 25. Mai einer etwaigen Verarbeitung Ihrer Daten explizit zustimmen. Außerdem erhalten sie nunmehr das Recht auf die Einsicht, Veränderung, Übertragung und Löschung ihrer Daten. Bei Verstößen gegen den Datenschutz drohen Unternehmen Straf- bzw. Bußgelder bis zu 20 Millionen Euro; in bestimmten Fällen sieht die EU sogar ein Bußgeld vor, das insgesamt vier Prozent des Jahresumsatzes beträgt; dies kann durchaus Geldstrafen in Milliardenhöhe nach sich ziehen.

Auch Auswahltests mit eignungsdiagnostischer Komponente sind betroffen

Das Streben nach der höchstmöglichen Datenschutz nimmt schon seit Jahren einen hohen Stellenwert sowohl bei Unternehmen und Verbraucher als auch beim Gesetzgeber ein. Die fortschreitende Digitalisierung respektive die digitale Transformation heizt dieses Thema zusätzlich stark an. Für Unternehmen sind dabei alleine schon die drohenden Bußgelder Grund genug, sich intensiv mit dem Thema zu befassen. Dabei sollte keine Sparte ausgespart werden. Denn die DSGVO berührt zahlreiche Bereiche innerhalb eines Unternehmens. Dabei geraten auch gerade Recruiting-Verfahren, die auf Auswahltests mit eignungsdiagnostischer Komponente setzen, in den Fokus. Denn schließlich geht es hierbei auch immer um die Erhebung und Erfassung psychografischer Merkmale, also um äußerst sensible personenbezogene Daten.

Die Verarbeitung von personenbezogenen Daten müssen gesetzeskonform organisiert werden. Dazu zählen etwa die Betroffenenrechte, die unter anderem die Informationspflicht, das Auskunftsrecht oder ein Recht auf Löschung beinhalten. Eine weitere Herausforderung ist sicherlich die Informationssicherheit. Das betrifft unter anderem die Übermittlung von Kandidatenreports an Kunden. Hier muss eine DSGVO-konforme Übermittlung ermöglicht werden. Beim Profiling müssen die Betroffenen umfassend über die angestrebten Auswirkungen und die Tragweite des Verfahrens informiert werden. Zudem müssen Informationen zu den Analyse-Algorithmen abrufbar sein. Zukünftig gelten erweiterte Informationspflichten und es muss vor der Verarbeitung die Zustimmung eingeholt werden. 

Schon eine Beschwerde führt zu einer kompletten Prüfung des Sachverhalts

Aufgrund der neuen Datenschutz-Vorschriften reicht es nämlich im Prinzip jetzt aus, dass nur ein einziger Kandidat bei einem entsprechenden Auswahl- bzw. Recruiting-Verfahren mit eignungsdiagnostischen Inhalten sein Beschwerderecht (Art. 77 DSGVO) in Anspruch nimmt und bei der zuständigen Aufsichtsbehörde vorstellig wird. Dann spürt das für das Auswahlverfahren zuständige Unternehmen sofort den langen Arm des Gesetzes im Nacken. Denn die Aufsichtsbehörden sind gemäß Artikel 78 DSGVO dazu verpflichtet, dem jeweiligen Beschwerdeführer detailliert Auskunft über sowohl Stand als auch Ergebnisse der eingereichten Beschwerde zu erteilen. Dies kann aber nur dann gewährleistet werden, wenn das betroffene Unternehmen und seine Vorgehensweise im Hinblick auf die datenschutzrechtlichen Vorschriften auch haarklein unter die Lupe genommen wird.

Eignungsdiagnostische Tests: DSGVO verkompliziert die Erfassung von persönlichen Daten

Fakt ist diesbezüglich, dass sich ein Unternehmen bzw. ein Arbeitgeber natürlich immer zumindest ein ungefähres Bild von einem Bewerber oder potentiellen Kandidaten für eine offene Stelle respektive vakante Position machen muss. Ansonsten kann ein Personaler nicht genau die Informationen einholen, die er benötigt, um eine Einschätzung der Bewerber bzw. der Kandidaten vornehmen zu können. Die diesbezügliche Entscheidungsfindung basiert in der Regel auf eben genau dieser Einschätzung. Durch die DSGVO wird diese Thematik jetzt in das Scheinwerferlicht gerückt. Denn jetzt stellt sich die Frage, innerhalb welcher gesetzlichen Grenzen das Einholen von persönlichen Informationen überhaupt gestattet ist. Hierbei kommt es im Grunde genommen auch immer darauf an, ob das Informationsinteresse einer Firma das Recht auf informationelle Selbstbestimmung seitens des jeweiligen Bewerbers überwiegt. Das Problem liegt also auf der Hand: Daten, die ein Unternehmen während eignungsdiagnostischer Testverfahren im arbeitsrechtlichen Sinne zulässigerweise ermitteln bzw. abfragen darf, müssen gleichzeitig auch mit den Datenschutz-Vorschriften vollumfänglich einher gehen. Nur dann dürfen die Daten überhaupt erfasst und gespeichert werden. 

Chancen für die Eignungsdiagnostik

Der große Vorteil ist, dass eignungsdiagnostische Verfahren, die der DSGVO vollumfänglich entsprechen, den Bewerbungsprozess sicherer und kontrollierter gestalten. 

Unternehmen haben die Chance, ihr Vertrauensverhältnis gegenüber Kunden, Partnern und Mitarbeitern zu untermauern, wenn sie die Richtlinie umsetzen. Gewissenhafter und integrer Umgang mit Informationen ist heute sowieso unabdingbar – Geschäfte und Prozesse im Einklang mit der DSGVO beweisen diese korrekte Handhabung. Anbieter eignungsdiagnostische Systeme haben beispielsweise die Chance, die technischen Voraussetzungen zu bieten, um im Recruiting den gesetzlichen Anforderungen im Datenschutz zu entsprechen. Ein System, in dem alle Daten zum Kandidaten zentral gespeichert sind, kann alle Vorraussetzungen erfüllen, es müssen keine Daten im Excel oder in Ordnern abgespeichert werden, auch die Übermittlung der Kandidaten-Informationen an Kunden kann über das integrierte Testmanagementportal erfolgen.

Verschlüsselungen, Tokensierung, Pseudonymisierung und Anonymisierung sensibler Daten sind bereits seit längerer Zeit fester Bestandteil eignungsdiagnostischer Verfahren. Nur für Firmen, die bisher keine konsistente Daten-Agenda aufweisen konnten, bedeutet die neue Verordnung eine gewaltige Umstellung.

Best Practices: Mit organisatorischen Maßnahmen den neuen Herausforderungen begegnen

In der Personalerpraxis lassen sich einige Anforderungen der DSGVO allerdings gar nicht so leicht umsetzen.  Zum Beispiel ist Active Sourcing eigentlich nicht mehr möglich, denn bereits das Anschreiben eines potenziellen Kandidaten ist ohne die Einwilligung des Adressaten ein Verstoß. Allerdings gilt hier glücklicherweise eine Ausnahme: Wenn „die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist„, ist Active Sourcing weiterhin erlaubt. Denn es werden zwei Interessen gewahrt. 1. Kandidaten möchten den bestmöglichen Job angeboten  bekommen. 2. Unternehmen möchten die ausgeschriebene Stelle mit den bestmöglichen Kandidaten besetzen.   

Zukünftig sind Fragen der Testverantwortlichen bzw. der Unternehmen nach den Grunddaten, Zeugnissen oder anderweitigen Nachweisen über berufsrelevante Qualifikationen erlaubt. Auskünfte über politische Ansichten, über die sexuelle Orientierung oder über das Privatleben an sich sind nicht gestattet; sie dürfen in keiner Form erhoben, aufbereitet und gespeichert werden. Kein großes Problem für die meisten Testverfahren, da sich der Standard nach berufsbezogenen Fragen schon länger durchgesetzt hat. Dieser Standard ist nicht im Kontext des Datenschutzes entstanden, sondern um tatsächlich relevante Aussagen durch die Testverfahren zu erzeugen und deren Berufsrelevanz zu erhöhen. Dennoch: Angesichts der Herausforderungen für Personalabteilungen und Eignungstests sollten Unternehmen ihre Verfahren und Vorgehensweisen überprüfen und sich auf die verschärfte Situation vorbereiten. Folgende organisatorische Maßnahmen bieten sich dabei an:

• Ernennung eines internen oder Beauftragung eines externen Datenschutzbeauftragten.
  
• Benutzerschulungen , Training sowie Sensibilisierungsprogramme zum Beispiel für die Recruiter.
  
• Entwickeln von Arbeits- und Unternehmensrichtlinien gemäß der DSGVO-Vorschriften.
  
• Optimierung der unternehmenseigenen System-Konfigurationen in Form von System-Inventuren, Sicherheitskorrekturen sowie Grundstandards für alle Geräte.
  
• Einführung von Nutzer Privileg Management.
  
• Trennung der gesammelten Daten von direkten Identifikatoren.
  
• Gewährleistung von Verschlüsselungen, Tokensierung, Pseudonymisierung und Anonymisierung sensibler Daten.