Speicherung von Bewerbungsdaten nach Abschluss des Verfahrens

Bewerbungsunterlagen können auch nach Abschluss des Verfahrens zur Abwehr von Ansprüchen (z. B. nach dem Allgemeinen Gleichbehandlungsgesetz) für eine bestimmte Zeit aufbewahrt werden.

Sachverhalt

Ein Beschwerdeführer erhob vor dem Österreichischen Bundesverwaltungsgericht eine Datenschutzbeschwerde gegen eine Forschungsgesellschaft wegen einer behaupteten Verletzung im Recht auf Löschung. Begründend wurde im Wesentlichen ausgeführt, der Beschwerdeführer habe seine Bewerbungsunterlagen samt personenbezogenen Daten per E-Mail an die erstmitbeteiligte Partei übermittelt. Dabei habe er der erstmitbeteiligten Partei (der Forschungsgesellschaft) ausdrücklich erklärt, dass die Verwendung seine Bewerbungsunterlagen (personenbezogenen Daten) nur zum Zweck der Bewerbung erlaubt wären, sie nicht für den Zweck der Verteidigung von Rechtsansprüchen verarbeitet werden dürften und dass sie mit Abschluss des Bewerbungsprozesses sofort zu löschen wären. Allerdings sei ihm von der erstmitbeteiligten Partei mit der Absage mitgeteilt worden, dass seine personenbezogenen Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO für weitere sieben Monate gespeichert und demnach verarbeitet werden würden.

Darüber hinaus habe er ein Schreiben im Namen der erstmitbeteiligten Partei erhalten, woraus sich ergebe, dass die erstmitbeteiligte Partei gegen seinen ausdrücklichen Willen seine personenbezogenen Daten (zumindest seine E-Mail-Adresse und seinen Namen) an einen Dritten weitergegeben habe und die zweitmitbeteiligte Partei (beauftragte Rechtsanwaltskanzlei) in weiterer Folge seine Daten unrechtmäßig gespeichert habe.

Obwohl der Beschwerdeführer seine personenbezogenen Daten ausdrücklich nur zwecks der Bewerbung übermittelt habe, seien diese sowohl von der erst- als auch von der zweitmitbeteiligten Partei entgegen des Grundsatzes des Art. 5 Abs. 1 lit. b DSGVO zweckwidrig verarbeitet und trotz seiner Aufforderung nicht gelöscht worden.

Aus diesen Gründen sei er somit in seinem Recht auf Löschung gemäß Art. 17 Abs. 1 lit. d DSGVO verletzt worden.

Die zweitmitbeteiligte Partei gab mit Stellungnahme im Wesentlichen und soweit verfahrensrelevant an, die personenbezogenen Daten des Beschwerdeführers würden von den mitbeteiligten Parteien rechtmäßig verarbeitet werden. Diese seien zunächst auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO von der erstmitbeteiligten Partei zum Zweck der Bearbeitung der Bewerbung auf vorvertraglicher Grundlage verarbeitet worden. Die Bewerbungsunterlagen (Lebenslauf) seien sodann für die Dauer von sieben Monaten ab der Absage der Bewerbung zum Zweck der Abwehr von Rechtsansprüchen aus dem österreichischen Gleichbehandlungsgesetz verarbeitet worden (Art. 6 Abs. 1 lit. f DSGVO iVm § 17 Abs. 1 Z 1 iVm § 26 Abs. 1 und § 29 Abs. 1 GlBG). Der Lebenslauf sei zwischenzeitlich gelöscht worden.

Die übrige Korrespondenz in Zusammenhang mit der Bewerbung, insbesondere der Anhang des Beschwerdeführers „WICHTIG - bitte lesen!“, werde zur Wahrung des berechtigten Interesses der erstmitbeteiligten Partei an der Abwehr von Rechtsansprüchen und der Verteidigung im gegenständlichen Verfahren wegen behaupteter Datenschutzverstöße verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung werde zumindest für die Dauer des gegenständlichen Verfahrens erforderlich sein, wobei sich der endgültige Ablauf der Speicherfrist nach dem Ausgang des gegenständlichen Verfahrens richte.

Die zweitmitbeteiligte Partei habe die personenbezogenen Daten des Beschwerdeführers (nicht jedoch den Lebenslauf) zum Zweck der Beantwortung und Unterstützung der Beantwortung der Löschanfrage erhalten. Die erstmitbeteiligte Partei habe diese Daten daher auf Basis ihres berechtigten Interesses an die zweitmitbeteiligte Partei übermitteln können. Die zweitmitbeteiligte Partei verarbeite nunmehr die Daten zur Wahrung des berechtigten Interesses beider mitbeteiligten Parteien an der Abwehr unberechtigter Ansprüche im Rahmen des vorliegenden Verfahrens vor der Datenschutzbehörde. Eine Datenverarbeitung sei darüber hinaus durch die zweitmitbeteiligte Partei bereits deshalb zulässig gewesen, weil sie in ihrer Rolle als externe Datenschutzbeauftragte gehandelt habe.

Eine bei der Datenschutzaufsichtsbehörde eingereichte Beschwerde wurde von dieser abgewiesen.

Gegen diesen Bescheid der Datenschutzaufsichtsbehörde legte der Kläger Beschwerde beim Bundesverwaltungsgericht ein.

Auszüge aus der rechtlichen Beurteilung des Österreichischen Bundesverwaltungsgerichts

Art. 17 DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung.

Ein Löschungsanspruch steht der betroffenen Person im Wesentlichen dann zu, wenn der Verantwortliche bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze des Art. 5 verstößt oder sich auf keine Rechtgrundlage iSd Art. 6 – allenfalls iVm Art. 9 – (mehr) stützen kann. Verarbeitet der Verantwortliche keine Daten, scheitert der Löschungsanspruch. Ausschlaggebender Zeitpunkt für die Beurteilung der Voraussetzungen ist jener der Antragsstellung.

Sind u.a. die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig (Art. 17 Abs. 1 lit. a DSGVO) oder wurden die personenbezogenen Daten unrechtmäßig verarbeitet (Art. 17 Abs. 1 lit. d DSGVO) hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen (Art. 17 Abs. 1 DSGVO).

Ist die Verarbeitung erforderlich, damit der Verantwortliche einer rechtlichen Verpflichtung nach dem Recht des Mitgliedsstaates oder der Union nachkommen kann, besteht kein Löschungsanspruch der betroffenen Person. Es handelt sich hier daher um eine Öffnungsklausel, die im Besonderen auf handels- und steuerrechtliche Aufbewahrungspflichten abzielt. Darunter können aber auch gesundheitsrechtliche, haushaltsrechtliche oder archivrechtliche Aufbewahrungspflichten fallen. Aus dem Data Act ergeben sich keine besonderen Pflichten zur Speicherung oder Löschung von Daten.

Zudem stellt Art. 17 Abs. 3 lit. e DSGVO insofern für alle Arten von Daten klar, dass bei Erfüllung des Tatbestandes Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen für den Verantwortlichen keine Pflicht zur Löschung besteht.

Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen.

Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen.

Für den vorliegenden Fall bedeutet das:

Gegenständlich ist zunächst festzuhalten, dass die mitbeteiligten Parteien personenbezogene Daten des Beschwerdeführers iSd Art. 4 Ziffer 1 DSGVO verarbeiten. Dass die mitbeteiligten Parteien dafür als Verantwortliche iSd Art. 4 Ziffer 7 DSGVO zu qualifizieren sind, ist unstrittig.

Es ist daher zu prüfen, ob die mitbeteiligten Parteien ihre Verarbeitung auf den Erlaubnistatbestand der berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO stützen können.

Die Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 lit. f DSGVO ist unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen.

Zum berechtigten Interesse

In Ermangelung einer Definition des Begriffs des „berechtigten Interesses“ durch die DSGVO kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Der Unionsgesetzgeber hat diesbezüglich nicht verlangt, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein muss. Allerdings verlangt der Begriff „berechtigtes Interesse“ im Sinne von Art. 6 Abs. 1 lit. f DSGVO, auch wenn er nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt ist, dass das geltend gemachte berechtigte Interesse rechtmäßig ist.

Nach der Rechtsprechung des Europäischen Gerichtshofes stellen die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ein berechtigtes Interesse dar. Somit ist im vorliegenden Fall sowohl für die erstmitbeteiligte als auch für die zweitmitbeteiligte Partei grundsätzlich das Vorliegen eines berechtigten Interesses zu bejahen, da sie sich in einem datenschutzrechtlichen Verfahren befinden. Hinzu kommt, dass der Beschwerdeführer bereits mit seiner Bewerbung bei der erstmitbeteiligten Partei mit rechtlichen Konsequenzen gedroht hat, würde sich die erstmitbeteiligte Partei sich nicht exakt an die vom Beschwerdeführer vorgegebenen „Datenschutzbestimmungen“ halten würde.

Außerdem gibt es gesetzliche Gründe in Bewerbungsverfahren für die Verarbeitung, denn es könnten von den Bewerbern nach einem Bewerbungsprozess etwa Ansprüche nach dem Gleichbehandlungsgesetz geltend gemacht werden, weswegen die erstmitbeteiligte Partei ein berechtigtes Interesse hat, Bewerbungsunterlagen für eine bestimmte Zeit aufzubewahren.

Zur Erforderlichkeit

Im Hinblick auf die Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist. Die Voraussetzung der Erforderlichkeit ist gemeinsam mit dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO zu prüfen und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind.

Es ist hier nicht ersichtlich, wie sich die erstmitbeteiligte Partei ohne die gegenständlichen Daten des Beschwerdeführers (Lebenslauf, Korrespondenz mit dem Beschwerdeführer, Bewerbungsunterlagen) sich im Falle einer Beschwerde gegen die Stellenvergabe zur Wehr setzen könnte. Für die zweitmitbeteiligte Partei ist dieses Wissen aufgrund ihrer funktionalen Stellung zur Erstmitbeteiligten unabdingbar. Dass der Beschwerdeführer für den Fall der Löschung einen Verzicht auf eine solche Beschwerde in den Raum gestellt hat, kann daran nichts ändern. Da die mitbeteiligten Parteien die Verarbeitung von personenbezogenen Daten auch auf das notwendige Maß beschränkt haben, ist das Kriterium der Erforderlichkeit ebenfalls erfüllt.

Zur Interessenabwägung

In einem weiteren Schritt ist im Rahmen der Interessenabwägung zu prüfen, in welchem Verhältnis sich die Interessen der jeweiligen Parteien gegenüberstehen. Als generelle Maxime gilt bei der Prüfung, dass ein geringes und nicht besonders zwingendes Interesse eines Verantwortlichen für gewöhnlich nur dann stärker als die Interessen und Rechte der betroffenen Person zu gewichten ist, wenn die Auswirkungen auf diese Interessen und Rechte der betroffenen Person gering sind. Je wichtiger und zwingender die berechtigten Interessen des Verantwortlichen sind, desto massivere Eingriffe in die Interessen und Rechte der betroffenen Person lassen sich dadurch rechtfertigen. Hier sind auch Schutzmaßnahmen zur Abmilderung von unangemessenen Folgen für betroffene Personen zu berücksichtigen, die eine besondere Rolle in der Abwägung spielen. Die Interessenabwägung hat zudem immer aus objektiver Sicht zu erfolgen. Die Interessenabwägung endet mit einer Bewertung der berechtigten Interessen des Verantwortlichen auf der einen Seite und einer Folgenabschätzung für die Interessen und Rechte der betroffenen Person auf der anderen Seite.

Eine wichtige und recht hilfreiche Auslegungshilfe bei dieser Abwägung ist ErwGr 47 Satz 1 zu entnehmen: „Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.“ In dieselbe Richtung geht auch Satz 4 desselben ErwGr: „Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.“ Bei der Überlegung, was die vernünftige Erwartungshaltung der betroffenen Person im jeweiligen Verarbeitungszusammenhang umfasst, kommt es darauf an, ob die betroffene Person im Zeitpunkt der Datenerhebung unter Berücksichtigung der Umstände vernünftigerweise damit rechnen konnte, dass eine Datenverarbeitung für einen bestimmten Zweck stattfinden wird. Etwas spezifischer fügen Braun/Hasenauer (Jahrbuch Datenschutzrecht 2018, 34) als weiteres Kriterium hinzu, dass der sachliche Zusammenhang zwischen dem wesentlichen Kern der Beziehung zwischen der betroffenen Person und dem Verantwortlichen maßgeblich ist. Je enger und typischer dieser Zusammenhang aufgrund der Umstände ist, desto eher muss die betroffene Person vernünftigerweise mit der Verarbeitung rechnen.

In diesem Zusammenhang ist davon auszugehen, dass im Rahmen der vorzunehmenden Interessensabwägung im Einzelfall, das Interesse des Beschwerdeführers an der (vorzeitigen) Löschung seiner personenbezogenen Daten und jenes der mitbeteiligten Parteien, sich gegen geltend gemachte rechtliche Ansprüche des Beschwerdeführers zu verteidigen, gegeneinander abzuwiegen sind. Gegenständlich war dem Beschwerdeführer einerseits bewusst, dass durch die Übermittlung der Bewerbungsunterlagen seine personenbezogenen Daten durch die erstmitbeteiligte Partei verarbeitet werden würden. Andererseits war ihm schon bei Einbringung seiner Bewerbung klar, dass die erstmitbeteiligte Partei diese Daten über den Bewerbungsprozess hinaus verarbeiten muss, weil er exakt die hier in Rede stehende fortgesetzte Verarbeitung für sieben Monate aktiv zu vereiteln suchte.

Wenn der Beschwerdeführer nunmehr vorbringt, er hätte der erstmitbeteiligten Partei seine Unterlagen nicht übermittelt, wenn ihm bekannt gewesen wäre, dass diese über einen längeren Zeitraum nach Abschluss des Bewerbungsverfahrens gespeichert werden würden, ist ihm entgegenzuhalten, dass ihm der einschlägige Verarbeitungszweck bekannt war und er nicht nur mit einer entsprechenden Speicherung hätte rechnen müssen, sondern diese offenkundig sogar annahm (da er sie ja mit seiner Beilage auszuhebeln suchte), zumal die Aufbewahrung von Bewerbungsunterlagen gesetzlich vorgeschrieben ist.

Aus diesen Gründen überwiegen die berechtigten Interessen der mitbeteiligten Parteien die Grundrechte und Grundfreiheiten des Beschwerdeführers und kann im gegenständlichen Fall die Verarbeitung der personenbezogenen Daten des Beschwerdeführers auf die Bestimmung des Art. 6 Abs. 1 lit. f DSGVO gestützt werden.

Da gegenständlich die personenbezogenen Daten des Beschwerdeführers somit nicht unrechtmäßig verarbeitet werden, ist der Tatbestand des Art. 17 Abs. 1 lit. d DSGVO auch nicht erfüllt. Der erkennende Senat teilt darüber hinaus die im angefochtenen Bescheid vertretene Auffassung der belangten Behörde, wonach auch die übrigen Tatbestände des Art. 17 Abs. 1 DSGVO im vorliegenden Fall nicht einschlägig sind.

Soweit der Beschwerdeführer eine mangelhafte Information über die fortgesetzte Verarbeitung (ab Absage) geltend macht, ist zunächst festzuhalten, dass er diese Daten zunächst freiwillig und im eigenen Interesse (Bewerbung) zur Verfügung gestellt hat. Zweck und Umfang dieser Verarbeitung waren ihm zum Zeitpunkt der Übermittlung auch bekannt, was aus der Bewerbung samt Beilagen zweifelsfrei hervorgeht. Ebenso klar war ihm jedoch auch, dass eine Weiterverarbeitung in eingeschränktem Umfang erfolgen werde/müsse. Zusätzlich finden sich diese Informationen auch auf der Homepage des vom Beschwerdeführer zur Informationserlangung genutzten Portals.

Dies wurde ihm gemeinsam mit der Absage auf seine Bewerbung mitgeteilt und erfüllt inhaltlich die Kriterien des Art. 13 DSGVO. Wie die Datenschutzaufsichtsbehörde richtig ausgeführt hat, muss eine solche Information erst erteilt werden, wenn die weitere/geänderte Verarbeitung anläuft. Nicht aber bereits vor der ursprünglichen Verarbeitung. Damit ist die weitere Verarbeitung durch die erstmitbeteiligte Partei rechtskonform, was auf die Verarbeitung durch die zweitmitbeteiligte Partei (die in deren Auftrag agiert) durchschlägt.

Soweit der Beschwerdeführer von einer stillschweigenden Anerkennung seiner persönlichen Datenschutzregeln (gemäß der Beilage zur Bewerbung) ausgeht, ist dieser Überlegung nicht näherzutreten. Die (weitere) Verarbeitung erfolgt im gegenständlichen Fall aufgrund gesetzlicher Vorschriften und Verpflichtungen, die zivilrechtlich nicht abbedungen werden können. Soweit der Beschwerdeführer von einer Informationspflicht über die (allfällige) weitere Verarbeitung ausgeht, liegt erneut ein Irrtum vor. Auch im Falle der Vergabe der Stelle an den Beschwerdeführer wäre eine Änderung der Verarbeitung eingetreten – allerdings aus anderen Gründen (etwa der Vorbereitung eines Dienstvertrages, eines Personalaktes, etc.). Dem Verantwortlichen kann aber nicht auferlegt werden, bereits bei (im Übrigen eigeninitiativer) Übermittlung der Daten des Beschwerdeführers diesen über sämtliche potentiell im Raum stehende Änderungen des Verarbeitungszwecks zu informieren. Vielmehr ist gemäß der auch von der Datenschutzbehörde wiedergegebenen Judikatur die konkrete weitere/geänderte Verarbeitung der Daten entsprechend darzulegen.

Da die personenbezogenen Daten des Beschwerdeführers im gegenständlichen Fall somit nicht unrechtmäßig verarbeitet werden, besteht keine Löschungspflicht nach Art. 17 Abs. 1 lit. d DSGVO. Der erkennende Senat teilt überdies – in Übereinstimmung mit den Ausführungen der belangten Behörde im angefochtenen Bescheid – die Auffassung, dass auch die übrigen Tatbestände des Art. 17 Abs. 1 DSGVO im vorliegenden Fall nicht einschlägig sind.

Hinzu kommt, dass die Verarbeitung durch die mitbeteiligten Parteien gemäß Art. 17 Abs. 3 lit. e DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, da sie sich bereits (zumindest) in einem datenschutzrechtlichen Verfahren befinden.

Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. nicht anhaftet, war die dagegen erhobene Beschwerde durch die Datenschutzaufsichtsbehörde abzuweisen.

Fundstelle: 

Entscheidung des Österreichischen Bundesverwaltungsgerichts vom 8. Juli 2026 (W137 2333649-1) – abrufbar im Internet beispielsweise unter https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Bvwg&Dokumentnummer=BVWGT_20260708_W137_2333649_1_00

Hinweis: Auch wenn das Urteil von einem österreichischen Gericht erlassen wurde, hat es auch Auswirkung auf Deutschland, da es die unionseinheitliche DSGVO betrifft.