Die DSGVO regelt die Erhebung, Verarbeitung und Speicherung von personenbezogenen Daten. Die Daten dürfen nach dem Grundsatz der Zweckbindung nur für festgelegte, eindeutige und zudem legitime Zwecke erhoben werden (Art. 5 Abs. lit. b DSGVO). Was bei der DSGVO beachtet werden muss und ob ein Schadensersatzanspruch bei DSGVO-Verstößen besteht, finden Sie hier!
Zweckbindung
Der Zweck der Erhebung muss bereits vor der Erhebung und Verarbeitung festgelegt werden. Zudem muss der Zweck eindeutig und zudem ein gesetzlicher Erlaubnistatbestand gegeben sein (Art. 6 DSGVO). Auch bei einer Zweckänderung bedarf es einen neuen Erlaubnistatbestandes und ebenfalls bei der Weitergabe.
Neben der Zweckbindung gibt es auch das Recht auf Vergessenwerden. Personenbezogene Daten müssen also gelöscht werden, wenn sie „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig“ sind (Art. 17 Abs. 1 lit. a DSGVO). Besteht also kein berechtigtes Interesse mehr an den Daten, so sind diese zu löschen.
Bewerbungsprozess
Auch im Bewerbungsprozess kommt es zur Übermittlung von personenbezogenen Daten des Erwerbers an das Unternehmen
Nach Art. 88 Abs. 1 DSGVO iVm § 26 BDSG dürfen personenbezogene Daten des Beschäftigten „für Zwecke des Beschäftigungsverhältnisses“ verarbeitet werden, wenn dies für „die Entscheidung über die Begründung eines Beschäftigungsverhältnisses (…) erforderlich“ sind. Zudem erteilt der Bewerber mit der Zusendung der Bewerbungsdaten, seine Einwilligung, dass die Daten zum vorgegebenen Zweck verarbeitet werden dürfen, Art. 6 Abs. 1 lit. a DSGVO.
Bei einer darüberhinausgehenden Verarbeitung der personenbezogenen Daten über konkrete Bewerbung hinaus, ohne eine diesbezügliche Einwilligung und ohne den Zweck der Entscheidung über die Einstellung des Bewerbers zu dienen, muss der neue Verarbeitungszweck mit dem alten kompatibel sein. Da hier aber noch vieles ungeklärt ist, sollte lieber eine Einwilligung eingeholt werden.
Eine Verwendung der Daten für eine weitere andere offene Stelle ist abhängig von der Formulierung in der Bewerbung und der Reichweite der Einwilligung. Nur die Einwilligung kann den Zweck der erlaubten Datenverarbeitung auf weitere Bewerbungsverfahren ausweiten. Eine Weitergabe an Drittunternehmen ist ebenfalls nur nach ausdrücklicher Einwilligung erlaubt.
Recht auf Vergessenwerden im Bewerbungsprozess
Das Recht auf Vergessenwerden besteht, wenn kein berechtigtes Interesse mehr an den Daten besteht. Da es nach dem Bewerbungsverfahren bei Nichteinstellung des Bewerbers auch noch Klagen wegen z.B. eines Verstoßes gegen das Benachteiligungsverbot geben kann (§ 15 Abs. 1, 2 AGG), besteht ein berechtigtes Interesse noch so lange, wie mit rechtlichen Streitigkeiten zu rechnen ist. So sind im AGG Ansprüche innerhalb von zwei Monaten geltend zu machen (§ 15 Abs. 4 AGG) und innerhalb von drei weiteren Monaten müssen sie eingeklagt werden (§ 61b ArbGG). Auf diese fünf Monate wird noch ein Sicherheitszuschlag von einem Monat hinzugerechnet, also sechs Monate. Bei einer Einstellung des Bewerbers müssen nicht für die Berufsausübung erforderliche Daten gelöschtwerden.
Gewinnspiele
Durch einen Gewinnspielvertrag liegen die Voraussetzungen für eine Datenverarbeitung vor, Art. 6 Abs. 1 lit. b DSGVO. Einer weiteren Einwilligung bzgl. der Datenverarbeitung bedarf es dann nicht mehr. Aufgrund der Zweckbindung dürfen Daten hier nur zur Durchführung des Gewinnspiels verwendet werden. Die Daten dürfen daher nicht ohne weiteres ohne eine weitere Einwilligung z.B. zur Versendung von Newslettern verwendet werden. Auch sollte zur Veröffentlichung des Gewinners eine weitere Einwilligung von diesem eingeholt werden.
Art. 5 Abs. 1 lit. c DSGVO ordnet eine Datenminierung an. Personenbezogene Daten dürfen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Es dürfen also nur erforderliche Daten erhoben werden.
Das LGZ Wien (Urteil vom 30.6.2020, Az. 3 Cg 52/14k-91) nahm einen Anspruch auf Schadensersatz i.H.v. 500€ an aufgrund einer Verletzung gegen die Auskunftspflicht. Das OLG Wien (Urteil vom 07.12.2020, Az. 11 R 153/20f) nahm ebenfalls 500€ an. 2.500€ wurden von der Rechtbank Rotterdam am 12.07.2021 (Az. ROT 20/2386) angenommen. Die Rechtbank Amsterdam (Urteil vom 11.03.2021, Az. C/13/692003) verneinte einen Schadensersatzanspruch aufgrund eines mangelnden konkreten Schadens.
Rechtsanwälte Dr. Krieg & Kollegen Köln Die Kanzlei Dr. Krieg & Kollegen aus Köln berät und vertritt bundesweit in rechtlichen Fragen. Haben Sie noch weitere Fragen im Bereich der Zweckbindung in der DSGVO und zum Schadensersatzanspruch bei DSGVO-Verstößen? Kontaktieren Sie uns hier!
Wir setzen auf unserer Website Cookies ein. Einige von ihnen sind essenziell, während andere uns helfen unser Onlineangebot zu verbessern und wirtschaftlich zu betreiben. Sie können dies akzeptieren oder per Klick auf die Schaltfläche „Cookie-Einstellungen“ nur die zur Funktionalität der Website "notwendig[en]" Cookies ablehnen sowie diese Einstellungen jederzeit aufrufen und Cookies auch nachträglich jederzeit abwählen (z.B. im Fußbereich unserer Website). Nähere Hinweise erhalten Sie in unserer Datenschutzerklärung.Cookie EinstellungenIch erkläre mich einverstanden!
Privacy & Cookies Einstellungen
Datenschutzbestimmungen
Wir setzen auf unserer Website Cookies ein. Einige von ihnen sind essenziell, während andere uns helfen unser Onlineangebot zu verbessern und wirtschaftlich zu betreiben. Sie können dies akzeptieren oder per Klick auf die Schaltfläche „Cookie-Einstellungen“ nur die zur Funktionalität der Website "notwendig[en]" Cookies ablehnen sowie diese Einstellungen jederzeit aufrufen und Cookies auch nachträglich jederzeit abwählen (z.B. im Fußbereich unserer Website). Nähere Hinweise erhalten Sie in unserer Datenschutzerklärung. .
Notwendige Cookies sind zwingend erforderlich, da sie die Funktionalität der Website gewährleisten. Daher fallen in diese Kategorie ausschließlich Cookies, die die grundlegende Funktionsabläufe der Website sowie deren Sicherheit dienen. Diese Cookies sammeln keine personenbezogenen Daten.
Sämtliche Cookie, die speziell auf die Sammlung von personenbezogenen Daten gerichtet sind (z.B. Google-Analytics) und nicht ausschließlich die Funktionalität der Website gewährleisten, werden als nicht notwendige Cookies betrachtet. Daher ist die vorherige Zustimmung in die Nutzung eben solcher Cookies von Seiten des Nutzers zwingend erforderlich.