Was für ein Zungenbrecher: Pseudonymisierung! Eigentlich schon mal kein Begriff, den man gerne verwendet. Und was hat der jetzt mit deinem Recruiting zu tun?
Wahrscheinlich hast du es schon geahnt. Pseudonymisierung hat etwas mit Datenschutz zu tun. Und Datenschutz ist eben auch ein wichtiges Thema im Zusammenhang mit Bewerberdaten*. Nicht nur aus rechtlichen Gründen, sondern auch vor dem Hintergrund einer positiven Candidate Experience sollte man sich also damit beschäftigen. Insbesondere dann, wenn man mit Dienstleistern zusammenarbeitet oder Tools von Anbietern nutzt, in denen Bewerber personenbezogene Daten hinterlegen sollen. Ein schönes Beispiel dafür sind Testverfahren zur Personal-/ Azubi-Auswahl.
Formaler Background
In der DSGVO (du erinnerst dich sicher an die endlosen Debatten in 2018) wird der Begriff in Art. 4 Nr. 5 definiert:
„Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden.
Und, alles klar? Dann herzlichen Glückwunsch – du brauchst nicht weiterlesen. Für alle anderen noch Hinweise zu drei häufigen Fragen in diesem Zusammenhang:
1. Muss ich mich als Recruiter mit Pseudonymisierung beschäftigen?
Das Datenschutzrecht verlangt von uns, möglichst sparsam mit personenbezogenen Daten umzugehen und soweit wie möglich Risiken zu reduzieren. Z.B. wird das beim Einbinden von Dritten in das Recruiting relevant. Wenn Dienstleister für die Erbringung ihrer Leistungen eigentlich nicht alle Bewerberdaten benötigen, sollten diese auch nicht an den Dienstleister weitergegeben werden. Das kann auch für externe Test- oder AC-Anbieter gelten. So benötigt ein Testanbieter für die eigentliche Testdurchführung eigentlich gar keine personenbezogenen Daten. Zur Identifizierung reicht grundsätzlich ein Pseudonym. Nur du bzw. euer Unternehmen muss wissen, wer sich hinter dem Pseudonym verbirgt.
2. Wie kann ich personenbezogene Daten pseudonymisieren?
Letztlich braucht es eine 1-zu-1-Zuordnung von Bewerber zu Pseudonym. Je nach Digitalisierungsgrad in eurem Recruiting kann das eine Exceltabelle sein oder ein Feld im Bewerberdatensatz eures Bewerbermanagement-Systems (BMS). Wichtig ist nur, dass das Pseudonym keine Hinweise enthält, über die Bewerber identifiziert werden können.
3. Wir benötigen Bewerbungsdaten für unsere statistischen Auswertungen und KPI-Berechnungen auch über Löschfristen hinaus. Ist dann die Pseudonymisierung ein ausreichendes Mittel?
Da bei der Pseudonymisierung die Identität der betreffenden Person über eine Zuordnung immer noch möglich ist, sollten Daten für statistische Belange anonymisiert werden. D.h. alle Angaben, die einen Rückschluss auf die Identität zulassen, sollten gelöscht werden. In vielen Bewerbermanagement-Systemen sind hierfür entsprechende Funktionen vorgesehen. Auch dies ist ein guter Grund zur Nutzung eines BMS.
Datenschutz zahlt auf Candidate Experience ein
Bewerber nehmen Datenschutzthemen im Bewerbungsprozess ernst. 86% der Befragten einer Studie gaben sogar an, Datenschutz im Karriereumfeld noch ernster zu nehmen als bei anderen Internetnutzungen (z.B. Shopping oder Nutzung von Online-Diensten). Zweifel besteht insbesondere darüber, ob die Daten bei den Arbeitgebern sicher sind und möglichem Datendiebstahl ausreichend vorgebeugt wird. Daher lesen auch mehr Bewerber als man glaubt (42%) die Datenschutzrichtlinien eines Arbeitgebers. Und gut zu wissen: deutsche Arbeitgeber und HR-Dienstleister genießen einen Vertrauensvorschuss. Umso wichtiger ist es auch in der Praxis zu zeigen, dass man ein in Bezug auf Datenschutz vertrauenswürdiger Arbeitgeber ist. Auch Pseudonymisierung von Bewerberdaten kann dazu einen Beitrag leisten.
Hinweis
Diese Ausführungen sind keine Rechtsberatung, sondern stellen nur allgemeine Informationen dar. Zur individuellen Beurteilung konkreter Fälle wenden Sie sich an Ihren Datenschutzbeauftragten oder einen entsprechenden Fachanwalt.
* Auch wenn wir zu Gunsten der Lesbarkeit auf die gleichzeitige Nutzung aller Genderformen verzichten, meinen wir immer alle Geschlechter.
