Von Auskünften

Absagen sind die höfliche Form des Nebels. Sie kommen geschniegelt, sie riechen nach Personalabteilung, sie enthalten genau null überprüfbare Tatsachen, und sie sind gerade deshalb so wirksam: Wer nichts sagt, kann nichts widerlegen lassen. Ich habe mir lange eingeredet, das sei bloss schlechte Manier, ein kultureller Tick der HR-Welt, ein Ritual zur Haftungsvermeidung. Doch spätestens seit der Erzählung der grossen Lügengeschichten unserer Zeit, kippt diese Deutung. Dann bleibt nur noch die nüchterne Feststellung: Die moderne Bewerbungsrealität ist für Bewerber ein Informationsvakuum mit Formularrand.

Das ändert sich nicht durch bessere Rhetorik, nicht durch „Motivationsschreiben“ und nicht durch die nächste Runde Selbstoptimierung. Was es verändert, ist Recht. Nicht als moralische Predigt, sondern als Zugriff auf Artefakte. Art. 15 DSGVO1 ist kein Trostpflaster. Er ist ein Hebel, mit dem sich die schwarze Kiste „Bewerbungsprozess“ wenigstens anritzen lässt. Nicht, weil ein Unternehmen plötzlich transparent werden möchte, sondern weil Transparenz kodifiziert ist.

Der folgende Beitrag behandelt ausschliesslich das Auskunftsersuchen nach Art. 15 DSGVO im Bewerbungsverfahren. Die Tracking- und Cookie-Schicht, also das TDDDG2, verdient ein eigenes Kapitel, weil dort die technische Beweislage anders funktioniert und die Rollenketten oft noch grotesker ausfallen. Hier geht es um das, was nach der Bewerbung passiert, nicht um das, was schon beim blossen Seitenbesuch schief läuft.

Vom Anspruch: kodifiziert, justiziabel, unerquicklich

Art. 15 DSGVO3 ist im Kern eine Dreiteilung: Erstens die Bestätigung, ob Daten verarbeitet werden, zweitens die Auskunft über Umfang und Umstände, drittens die Kopie der personenbezogenen Daten. Das ist kein „freundlicher Service“, sondern eine Pflicht, die sich mit Art. 12 DSGVO4 prozedural scharfkantig verbindet: transparent, verständlich, in geeigneter Form, grundsätzlich kostenfrei, mit klarer Frist.5

Die Frist ist nicht Verhandlungsmasse. Art. 12 Abs. 3 DSGVO setzt den Standard: unverzüglich, jedenfalls innerhalb eines Monats.6 Eine Verlängerung auf bis zu zwei weitere Monate gibt es nur bei Komplexität oder Vielzahl von Anträgen, und sie muss innerhalb der Monatsfrist mit Gründen mitgeteilt werden. Das steht so im Wortlaut und ist gerade deshalb ein dankbarer Prüfstein, weil Ausreden dort selten hineinpassen.

Auch die Form ist nicht beliebig. Die Datenschutzkonferenz7 hält in ihrem Kurzpapier zum Auskunftsrecht fest, dass die Auskunft je nach Sachverhalt schriftlich oder elektronisch erteilt werden kann, auf Wunsch der betroffenen Person sogar mündlich, und dass bei elektronischer Antragstellung eine Auskunft in einem gängigen elektronischen Format zu erfolgen hat, etwa als PDF. Das klingt banal, ist aber praktisch relevant: Wer per E-Mail anfragt, darf sich nicht mit einem Telefonat abspeisen lassen, das nur dazu dient, die Spur zu verwischen.8

Kosten sind ein weiterer Punkt, an dem Unternehmen gern kreativ werden. Art. 12 Abs. 5 DSGVO lässt ein Entgelt nur bei offenkundig unbegründeten oder exzessiven Anträgen zu, die erste Kopie ist grundsätzlich unentgeltlich. Der EuGH hat diese Linie bekräftigt. Die Bundesbeauftragte für den Datenschutz9 formuliert es bürgernah: Auskunft grundsätzlich kostenlos, erste Kopie kostenlos, Entgelt nur bei exzessiver Wiederholung. 10

Damit ist die Architektur klar: Anspruch, Modalitäten, Frist, Kosten. Was fehlt, ist der Stoff, an dem sich die Praxis entscheidet: Was genau bedeutet „Kopie“, was genau zählt als „personenbezogene Daten“, und wie weit reicht die Pflicht zur Offenlegung im Bewerbungssetting?

Von „Personenbezogenen Daten“

Ich erlebe immer wieder den Versuch, „personenbezogene Daten“ auf Stammdaten zu schrumpfen: Name, Adresse, Lebenslauf, vielleicht noch ein paar Mails. Alles, was nach Bewertung aussieht, wird dann als „intern“ etikettiert, als „Notiz“, als „Arbeitspapier“. Das ist bequem, aber dogmatisch zumindest fragwürdig.

Der EuGH hat den Begriff personenbezogener Daten früh weit ausgelegt. Im Fall Nowak ging es um Prüfungsantworten und Prüferanmerkungen. Der Gerichtshof behandelte auch solche Inhalte als personenbezogene Daten, weil sie sich auf eine identifizierbare Person beziehen und Aussagen über diese Person enthalten. Wer diesen Befund ernst nimmt, muss akzeptieren, dass Bewertungsbögen, Scorings, Interviewnotizen und Auswahlvermerke typischerweise personenbezogene Daten enthalten, selbst dann, wenn sie zusätzlich Betriebsabläufe widerspiegeln.11 12 13

Das ist kein akademischer Luxus. Es ist die Schneise, die aus dem Nebel eine Kontur macht. Ein Score ist nicht bloss eine Zahl, er ist eine Zuordnung. Ein Auswahlvermerk ist nicht bloss „intern“, er ist eine Entscheidungsspurenablage. Eine Mail, die intern über mich zirkuliert, ist nicht „Unternehmenskommunikation“, sondern in wesentlichen Teilen Information über mich.

Von der „Kopie“

Das Wort „Kopie“ ist in Deutschland toxisch geworden, weil es zwei reflexhafte Fehlinterpretationen provoziert. Die erste: „Kopie“ sei wörtlich als Fotokopie ganzer Dokumente zu verstehen. Die zweite, noch beliebtere: „Kopie“ bedeute gar nichts Zusätzliches, es genüge eine abstrakte Auflistung von Datenkategorien.

Beides trifft den Kern nicht.

Der EuGH hat in C-487/2114 15 präzisiert, was „Kopie“ meint: eine verständliche, originalgetreue Reproduktion der personenbezogenen Daten. Je nach Kontext kann das verlangen, dass Auszüge aus Dokumenten oder Datenbanken mitgeliefert werden, damit die Daten in ihrem Bedeutungszusammenhang nachvollziehbar bleiben.16 17 Das ist der Punkt, an dem sich die Rechtsdogmatik in Alltag übersetzt: Wer nur eine Liste von Feldnamen schickt, liefert keine Kopie; wer nur PDFs ohne Struktur abkippt, liefert vielleicht Masse, aber keine Verständlichkeit.18

Gleichzeitig folgt aus C-487/21 auch: Es gibt kein Automatismus-Recht auf „jede interne Datei als Datei“. Der Anspruch richtet sich auf personenbezogene Daten, nicht auf Dokumente als solche. Das ist die Stelle, an der man präzise formulieren muss, sonst verliert man sich in Symbolik.

Und genau hier wird ein zweites Gericht wichtig: das Bundesarbeitsgericht.

Das BAG hat mit 2 AZR 342/2019 20 eine prozessuale Klinge gesetzt, die in der Praxis oft unterschätzt wird: Ein „Kopie“-Begehren, das nur den Gesetzestext paraphrasiert, kann im Streitfall zu unbestimmt sein.21 Wer einklagt, muss den Antrag vollstreckungsfähig fassen. Der Effekt ist paradox: Ausgerechnet der Betroffene muss das Auskunftsbegehren so konkret machen, dass ein Gericht notfalls Zwangsvollstreckung anordnen kann.

Die Konsequenz ist simpel, aber unbequem: Ein wirksames Auskunftsersuchen ist kein lyrischer Appell. Es ist ein katalogisiertes Verlangen nach Datenarten und Artefaktklassen. ATS-Datensatz, Interviewnotizen, Auswahlvermerk, Scoringbogen, interne Korrespondenz über die Bewerbung, Export aus HR-Systemen. Alles so benannt, dass es in einer Organisation auffindbar sein muss, sofern es existiert.

Wer das tut, nimmt dem Unternehmen den Standardfluchtweg „zu unbestimmt“ und zwingt es in eine binäre Welt: entweder vorhanden, dann herauszugeben, oder nicht vorhanden, dann Negativauskunft.

Von Fristen. Von der Verlängerung.

Die Monatsfrist22 ist nicht bloss Kalenderromantik. Sie ist ein Steuerungsinstrument. Sie zwingt eine Organisation, die Sache nicht zu parken, sondern sie in den Workflow zu ziehen. Wer diese Frist bricht, bricht nicht nur eine Höflichkeitsregel, sondern eine Norm.

Art. 12 Abs. 3 DSGVO erlaubt die Verlängerung um bis zu zwei Monate nur unter Bedingungen. Der Verantwortliche muss innerhalb eines Monats nach Eingang über die Verlängerung informieren und die Gründe für die Verzögerung mitteilen. Das ist keine Bitte, das ist eine Pflicht.

Die Datenschutzkonferenz betont zudem den Kommunikationsrahmen: klare und einfache Sprache, geeignete Form, angemessene Sicherheitsanforderungen. Wer bei einer Bewerbung sensible Daten verarbeitet, wird sich schwer tun, gleichzeitig zu behaupten, eine sichere elektronische Auskunft sei unmöglich.23

Ein praktischer Zusatz: Aufsichtsbehörden weisen darauf hin, dass auch eine Negativauskunft geschuldet sein kann, falls keine Daten gespeichert sind. „Wir haben nichts“ ist zulässig, aber nur als klarer Befund, nicht als Schweigen.24

Von Bewerbungsverfahren. Von § 26 BDSG

Im Bewerbungsprozess gilt Datenschutzrecht nicht weniger, sondern konkreter. § 26 Abs. 1 BDSG25 erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, ausdrücklich auch für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses. Bewerber sind damit Teil des Beschäftigtendatenschutzes.

Das ist keine Generalklausel zur Intransparenz. Es ist eine Erlaubnisnorm für die Verarbeitung, nicht für die Geheimhaltung. Gerade weil Bewerbungsdaten im Unternehmen als heikel gelten, soll der Anspruch auf Auskunft verhindern, dass „heikel“ zur Blackbox wird.

Trotzdem existiert ein realer Konflikt: Bewerbungsverfahren erzeugen zwangsläufig Informationen über mehrere Personen. Eine Bewertungsmatrix ist selten monogam. Wer mich bewertet, vergleicht mich. Wer mich vergleicht, erzeugt Relationen zu anderen Bewerbern. Und damit sind wir bei der Reibungszone, die Unternehmen gern als Schutzschild verwenden.

Von Rechten Dritter. Von Firmeninterna

Art. 15 Abs. 4 DSGVO26 setzt eine Grenze: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Der Wortlaut ist knapp, die Wirkung gross.

Unternehmen interpretieren das gern maximal: Sobald irgendwo ein Dritter vorkommt, wird alles geschwärzt oder gleich pauschal verweigert. Wer so argumentiert, missbraucht die Schranke, um den Anspruch zu zerstören. Die Schranke verlangt Abwägung, nicht Vernichtung. „Schwärzung“ ist das naheliegende Mittel, nicht „Totalverweigerung“.

Hier liefert das BAG ein besonders brauchbares Praxisbild. Im Kontext eines Auswahlvermerks hat das BAG gezeigt, wie die Kollision zu lösen ist: Herausgabe des Auswahlvermerks, personenbezogene Daten anderer Bewerber geschwärzt. Das ist keine Grosszügigkeit, das ist Handwerk. Es zeigt, dass die Existenz Dritter den Anspruch nicht eliminiert, sondern lediglich die Aufbereitung prägt.

§ 34 BDSG27 kommt als nationale Vorschrift hinzu. Dort ist geregelt, unter welchen Bedingungen das Auskunftsrecht eingeschränkt werden kann. Entscheidend ist ein Detail, das viele übersehen: Wird die Auskunft abgelehnt, ist die Ablehnung grundsätzlich zu begründen, soweit nicht schon die Begründung selbst den Schutzzweck gefährden würde. Auch das ist kein Freipass zur Funkstille, sondern ein Begründungsregime.

Wer also pauschal „Geschäftsgeheimnisse“ ruft, muss präzisieren, welche Information weshalb geschützt ist und weshalb Schwärzung nicht genügt. Geschäftsgeheimnisschutz ist ein legitimes Interesse. Er ist aber kein Joker, der jeden datenschutzrechtlichen Anspruch vom Tisch wischt.

Es gibt eine weitere rhetorische Verdrehung, die ich regelmässig sehe: „Interne Notizen“ seien keine personenbezogenen Daten, weil sie subjektiv seien. Das ist semantische Akrobatik. Subjektivität ist kein Ausschlusskriterium. Eine Einschätzung über mich bleibt eine Information über mich. Genau deshalb ist „Nowak“ so wichtig.

Von Empfängern, Ketten, Weitergaben

Bewerbungsprozesse sind heute selten ein Zweierverhältnis zwischen Bewerber und Unternehmen. ATS-Anbieter28 29 30, Headhunter, Konzernmutter, externe HR-Services, manchmal sogar parallele Plattformen. Die DSGVO gibt hier einen harten Hebel: Art. 15 Abs. 1 lit. c verlangt Auskunft über Empfänger oder Kategorien von Empfängern. Der EuGH hat klargestellt, dass die betroffene Person grundsätzlich die Identität konkreter Empfänger verlangen kann, sofern Daten offengelegt wurden und der Antrag nicht exzessiv ist.

Das ist praktisch, weil es die üblichen Nebelwörter entwertet. „Dienstleister“ ist keine Auskunft, sondern eine Ausweichbewegung. „Konzernunternehmen“ ist keine Auskunft, sondern eine Sammelschublade. Wer Empfänger konkretisiert, macht die Kette prüfbar. Erst dann wird eine Beschwerde bei der Aufsicht oder eine Klage nicht zum Blindflug.

Vom Zweck. Von Motiven.

Unternehmen versuchen gern, Auskunftsersuchen als „missbräuchlich“ zu framen, wenn der Betroffene erkennbar nicht nur seine Daten sehen will, sondern auch die Prozesslogik, die zur Absage führte. Hier hilft eine simple, unangenehme Wahrheit: Die DSGVO verlangt keine Begründung des Auskunftsbegehrens. Das sagen Aufsichtsbehörden klar, und es entspricht der Systematik des Betroffenenrechts.31

Das heisst nicht, dass alles grenzenlos wäre. Exzessive Wiederholung kann sanktioniert werden. Die erste Anfrage aber ist kein Bittgang, sondern Ausübung eines Rechts.

Von der Realität.

Art. 15 DSGVO ist kein „Recht auf Begründung der Absage“. Wer das behauptet, verkauft Hoffnung als Dogmatik. Ich bekomme nicht automatisch eine juristische Entscheidungsbegründung, keine narrative Erklärung, kein Geständnis. Ich bekomme Daten. Daten sind trotzdem wertvoll, weil sie die Hintergrundmusik hörbar machen.

Ein ATS-Export zeigt, ob es ein Flag „nicht geeignet“ gibt, ob ein Score vergeben wurde, ob ein „Referral“ existiert, ob ein Recruiter-Kommentar gespeichert wurde. Ein Auswahlvermerk zeigt, welche Kriterien tatsächlich herangezogen wurden, nicht welche in der Ausschreibung stehen. Interne Korrespondenz zeigt, ob die Bewerbung überhaupt gelesen wurde oder nur durch ein Filterraster gefallen ist. Gerade diese banalen Artefakte sind entlarvend.

Der EuGH hat zudem im Kontext der Kopiepflicht betont, dass Vollständigkeit und Verständlichkeit zusammengehören. Wer bloss einzelne Felder liefert und Kontext wegschneidet, verletzt die Funktion des Anspruchs.32

Gleichzeitig gilt: Der Anspruch stösst dort an Grenzen, wo Rechte anderer Personen betroffen sind. Das führt nicht zur Nullauskunft, sondern zur redigierten Auskunft. Genau deshalb ist die Schwärzungspraxis relevant, und genau deshalb taugt das BAG-Beispiel mit dem Auswahlvermerk als Blaupause.

Von Firmeninterna.

„Firmenintern“ ist kein Rechtsbegriff, sondern ein Gefühl. Der Rechtsbegriff heisst „Rechte und Freiheiten anderer“ und, je nach Konstellation, „Geschäftsgeheimnis“33 34 35. Art. 15 Abs. 4 DSGVO verlangt, dass die Kopie die Rechte anderer nicht beeinträchtigt. Das ist eine Schranke mit einem klaren Telos: Schutz Dritter, nicht Schutz der Bequemlichkeit.

Eine Bewertungsmethode kann ein Betriebsgeheimnis sein, etwa die konkrete Gewichtung von Kriterien. Daraus folgt nicht, dass jede Bewertung über mich geheim bleiben dürfte. Das Unternehmen kann die Methode schützen und trotzdem die auf meine Person bezogenen Resultate offenlegen, notfalls in abstrahierter Form, solange die personenbezogenen Daten vollständig und verständlich bleiben.

§ 34 BDSG verstärkt diesen Gedanken, weil er Ablehnung begründungspflichtig macht. Wer ablehnt, muss erklären. Wer nicht erklärt, läuft in die Aufsicht.

Von Präzision

Viele schreiben Auskunftsersuchen wie eine Empörungserklärung. Das ist menschlich, aber taktisch schwach. Ein Unternehmen kann dann mit „unklar“ reagieren, die Sache drehen, Verzögerungen rechtfertigen.

Die Bestimmtheit, die das BAG in 2 AZR 342/20 betont, zwingt zur Disziplin: Dokumentarten nennen, Systeme nennen, Zeiträume nennen.

Auch die Fristkommunikation sollte nicht als Drohkulisse formuliert werden, sondern als Normverweis. Der Verantwortliche muss innerhalb eines Monats über eine Verlängerung informieren, mit Gründen. Wer das in sein Schreiben integriert, reduziert das Spektrum der Ausreden.

Ich bevorzuge eine nüchterne, fast technische Sprache. Keine Psychologie, kein Pathos. Nur: „Bitte geben Sie mir eine Kopie der Auswahlvermerke, Drittdaten können geschwärzt werden.“ Das ist nicht nett. Es ist sauber.

Von Ghost Jobs

Der Bewerbungsmarkt hat sich in eine bizarre Theaterbühne verwandelt. Stellenanzeigen, die monatelang unverändert online stehen, Ausschreibungen, die nur Talentpools füttern, Inserate, die Budgetanträge kaschieren, Vakanzen, die nie ernsthaft besetzt werden. Ich habe diese Praxis in meinem Text über „Ghost Jobs“ bereits als Symptom einer degenerierten Arbeitswelt beschrieben. Der Link36 dazu ist nicht Dekoration, sondern Kontext.

Art. 15 DSGVO ist in diesem Umfeld ein seltenes Instrument, das nicht vom Wohlwollen lebt. Es zwingt nicht zur Ehrlichkeit, aber zur Herausgabe dessen, was im System gespeichert ist. Und das reicht oft, um zumindest eine Frage zu beantworten, die sonst im luftleeren Raum hängt: Ist die Absage das Resultat einer tatsächlichen Auswahl oder bloss ein automatisierter Reflex einer Maschine, die von Anfang an keine Stelle füllen sollte?

Ein ATS-Datensatz kann zeigen, ob eine Bewerbung je in den Status „Interview“ kam oder direkt „Rejected“ mit Standardcode. Ein Auswahlvermerk kann zeigen, ob es überhaupt eine Vergleichsentscheidung gab. Korrespondenz kann zeigen, ob intern bereits Wochen vor der Absage feststand, dass gar keine Stelle existiert. Diese Indizien sind nicht immer spektakulär. Sie sind aber überprüfbar. Und damit sind sie das Gegenteil der HR-Poesie.

Wer das als „Zweckentfremdung“ kritisiert, verwechselt zwei Dinge: Art. 15 schützt nicht das Unternehmen vor unangenehmen Erkenntnissen. Er schützt die betroffene Person davor, zum Objekt einer intransparenten Datenverarbeitung zu werden. Die Motivation ist rechtlich unerheblich, solange der Antrag nicht exzessiv ist.

Epilog

Ich verwende Art. 15 im Bewerbungsverfahren als Realitätsabgleich. Ich will wissen, welche Daten existieren, wer sie gesehen hat, wohin sie flossen, wie lange sie bleiben, ob sie in Pools landen, ob Profile entstehen. Das ist das Minimum an informationeller Selbstbestimmung, das eine digitale Arbeitswelt schuldet, wenn sie schon meint, Menschen wie Datensätze zu behandeln.

Die Schranken sind real. Drittrechte sind real. Geschäftsgeheimnisse sind real. Daraus folgt keine Kapitulation, sondern redigierte Offenlegung. Art. 15 Abs. 4 DSGVO zwingt zu Schutzmassnahmen, nicht zum Schweigen.

Und ja: Ich werde durch ein Auskunftsersuchen niemals nicht unter keinen Umständen eingestellt. Ich werde auch nicht irgendeine Art von der so häufig bemühten „Gerechtigkeit“ erleben. Ich bekomme etwas viel Profaneres, aber Nützlicheres: Daten.

Vorlage

Sehr geehrte Damen,
Sehr geehrte Herren,

Hiermit verlange ich Auskunft nach Art. 15 DSGVO zu sämtlichen personenbezogenen Daten, die im Zusammenhang mit meiner Bewerbung auf die Stelle

""
Meta-Daten    :
Bewerbung URL : 
Bewerbung vom :
Bewerbung per : E-Mail

verarbeitet wurden.

Zur Auslegung und Reichweite meines Begehrens verweise ich u.a. auf die Rechtsprechung des EuGH, wonach die "Kopie" nach Art. 15 Abs. 3 DSGVO eine verständliche, originalgetreue Reproduktion der personenbezogenen Daten umfasst und bei Bedarf auch Dokumentauszüge erforderlich sein können, damit der Inhalt nachvollziehbar bleibt, EuGH, Urteil vom 04.05.2023, C-487/21. Zudem hat der EuGH den Begriff personenbezogener Daten weit gefasst; auch Bewertungen und / oder Anmerkungen über eine Person können darunterfallen, EuGH, Urteil vom 20.12.2017, C-434/16, Nowak.

Ich ersuche insbesondere um:

1. Bestätigung, ob und welche personenbezogenen Daten zu mir verarbeitet wurden, inkl. Kopie nach Art. 15 Abs. 3 DSGVO, z. B. ATS-Einträge, interne Vermerke, Scorings, Auswahl- und Bewertungsvermerke, Gesprächsnotizen, Korrespondenz, Weiterleitungen, Protokolle, einschließlich Metadaten wie z. B. Erstellungs- / Änderungsdaten, Zugriffsprotokolle; eine Verweigerung allein unter Hinweis auf unverhältnismässigen Aufwand ist dem Verantwortlichen grundsätzlich verwehrt, BFH, Urteil vom 14.01.2025, IX R 25/22.

2. Zwecke, Rechtsgrundlagen, Kategorien der Daten sowie Empfänger. Ich ersuche dabei um Benennung der konkreten Empfänger, soweit Daten offengelegt wurden; der EuGH erkennt hierfür grundsätzlich einen Anspruch an EuGH, Urteil vom 12.01.2023, C-154/21. Dies umfasst auch allfällige Konzernunternehmen im Rahmen gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO sowie sämtliche Dienstleister im Bewerbungsprozess.

3. Speicherdauer, Löschkonzept und das konkrete Datum der vorgesehenen Löschung, bzw. die Kriterien zur Festlegung der Speicherdauer. Soweit Daten unrichtig sind, ersuche ich um Berichtigung, Art. 16 DSGVO.

4. Ob meine Daten in einen Bewerberpool aufgenommen wurden; falls ja: Nachweis der Einwilligung, Zeitpunkt und Umfang. Falls eine Einwilligung vorliegt, widerrufe ich diese hiermit mit Wirkung für die Zukunft.

5. Herkunft der Daten nach Art. 15 Abs. 1 lit. g DSGVO, dies umfasst auch interne und / oder dritte Quellen, ob Daten zu mir aus öffentlich zugänglichen Quellen, z. B. berufliche Netzwerke, Web-Archive, Social-Media-Accounts, Suchmaschinen-Caches, erhoben wurden: welche Quellen konkret und mit welchem Inhalt.

6. Ob eine (teil-)automatisierte Entscheidungsfindung und / oder Profiling eingesetzt wurde, einschließlich aussagekräftiger Informationen über die involvierte Logik, die Tragweite und die angestrebten Auswirkungen, Art. 15 Abs. 1 lit. h i.V.m. Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g DSGVO.

7. Mitteilung, welche Verarbeitungstätigkeiten, Prozess-, Verarbeitungstitel, im Sinne von Art. 30 DSGVO meine Bewerbung betreffen und welche Löschfristen hierfür dokumentiert sind.

Damit mein Begehren hinreichend bestimmt ist, stelle ich klar, was ich unter "Kopie" verstehe. Hintergrund ist die Rechtsprechung des BAG, wonach ein rein formelhaftes "Kopie"-Begehren ohne Konkretisierung im Streitfall Bestimmtheitsprobleme verursachen kann, BAG, Urteil vom 27.04.2021, 2 AZR 342/20.

Mit "Kopie" meine ich insbesondere:

- ATS-Profil und / oder Datensatz, einschliesslich exportierbarer Felder / Logs, soweit personenbezogen,

- interne Bewertungsbögen und Scoring-Masken, soweit verwendet,

- Auswahlvermerk(e), Bewertungszusammenfassungen,

- Interviewnotizen / Gesprächsprotokolle,

- E-Mail- und Ticket-Korrespondenz über meine Bewerbung,

- exportierbare Datensätze aus den verwendeten HR-Systemen, die meine Person betreffen.

Bitte übermitteln Sie mir eine Kopie sämtlicher Auswahlvermerke und / oder Bewertungszusammenfassungen, die meine Bewerbung betreffen; personenbezogene Daten Dritter können geschwärzt werden; Schwärzungen sind jedoch nur zulässig, soweit sie Rechte Dritter oder Geschäftsgeheimnisse schützen, Art. 15 Abs. 4 DSGVO; pauschale Schwärzungen oder pauschale Verweigerungen sind unzulässig; erforderlich sind einzelfallbezogene Abwägung und zielgenaue Teilherausgaben, Art. 15 Abs. 4 DSGVO, Erwägungsgrund 63 DSGVO; eine pauschale Verweisung auf unverhältnismäßigen Aufwand ist unzulässig. Für Bewerbungsverfahren ist anerkannt, dass entsprechende Auswahlvermerke grundsätzlich unter Art. 15 DSGVO herauszugeben sind, unter Wahrung der Rechte Dritter durch Schwärzungen, BAG, Urteil vom 05.06.2025, 8 AZR 117/24.

Frist / Verfahrensmodus:

Bitte übermitteln Sie mir die Auskunft in elektronischer Form an diese E-Mail-Adresse: 

vorname.nachname@domain.tld

Die erste Kopie nach Art. 15 DSGVO ist unentgeltlich, EuGH, Urteil vom 26.10.2023, C-307/22.

Sollten Sie einzelne Informationen verweigern oder schwärzen, ersuche ich um konkrete Begründung unter Angabe der Rechtsgrundlage, Art. 15 Abs. 4 DSGVO sowie, soweit geltend gemacht, gem. § 34 BDSG.

Bitte bestätigen Sie den Eingang dieses Auskunftsersuchens bis zum TT.MM.JJJJ, hier eingehend.

Die Beantwortung hat grundsätzlich binnen eines Monats nach Eingang zu erfolgen, Art. 12 Abs. 3 DSGVO. Fristablauf ist demnach der TT.MM.JJJJ, hier eingehend.

Soweit Sie eine Verlängerung, maximal um zwei Monate, nach Art. 12 Abs. 3 DSGVO geltend machen, erwarte ich innerhalb der Monatsfrist hier eingehend eine schriftliche, abschließende, vollständige, substantielle Begründung sowie die klare Benennung, welche Teile meines Begehrens bis wann erledigt werden und aus welchen Gründen eine fristgerechte Beantwortung nicht möglich ist, ohne fristgerechte Mitteilung ist eine Verlängerung unbeachtlich. Die Mitteilung über eine Fristverlängerung nach Art. 12 Abs. 3 DSGVO hat mir innerhalb der Monatsfrist in Textform zuzugehen. Massgeblich ist der Eingang in meinem E-Mail-Postfach unter o.g. Adresse. Das Übermittlungsrisiko tragen Sie. Eine postalische Zustellung kann ergänzend erfolgen, bevorzugt als Einschreiben-Einwurf unter:

Postfach 10 00 00, 12345 Musterstadt

Bei Nichtbeachtung steht mir das Beschwerderecht bei der zuständigen Aufsichtsbehörde zu, Art. 77 DSGVO, sowie gerichtlichen Rechtsbehelf nach Art. 78 und 79 DSGVO.

Bei verspäteter, unvollständiger oder verweigerter Auskunft behalte ich mir Ansprüche nach Art. 82 DSGVO vor; EuGH, Urteil vom 14.12.2023, C-340/21; ein immaterieller Schaden kann insbesondere bei nachweisbaren negativen Folgen, z.B. Befürchtungen, Belastungen infolge des Verstosses, vorliegen, wobei der Nachweis im Einzelfall zu führen ist, EuGH, Urteil vom 20.06.2024, C-590/22; EuGH, Urteil vom 04.09.2025, C-655/23. 

Sollten Sie der Auffassung sein, dass einzelne begehrte Inhalte nicht herauszugeben sind, erwarte ich eine trennscharfe Entscheidung je Datenkategorie mit konkreter Rechtsgrundlage und nachvollziehbarer Abwägung nach Art. 15 Abs. 4 DSGVO.

Bei Rückfragen stehe ich Ihnen unter den o.g. Telekontakten zur Verfügung.

Mit freundlichen Grüssen

Unterschrift
  1. https://gdpr-text.com/pt/read/article-15/?col=2&lang1=pt&lang2=de ↩︎
  2. https://www.gesetze-im-internet.de/ttdsg/ ↩︎
  3. https://gdpr-text.com/pt/read/article-15/?col=2&lang1=pt&lang2=de ↩︎
  4. https://gdpr-text.com/pt/read/article-12/?col=2&lang1=pt&lang2=de ↩︎
  5. https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Betroffenenrechte/Betroffenenrechte_Auskunftsrecht.html ↩︎
  6. Ebenda. ↩︎
  7. https://www.datenschutzkonferenz-online.de/ ↩︎
  8. https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_6.pdf ↩︎
  9. https://www.bfdi.bund.de/DE/Home/home_node.html ↩︎
  10. https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Betroffenenrechte/Betroffenenrechte_Auskunftsrecht.html ↩︎
  11. https://curia.europa.eu/juris/liste.jsf?language=de&num=C-434/16 ↩︎
  12. https://rsw.beck.de/aktuell/daily/meldung/detail/eugh-pruefling-hat-recht-auf-auskunft-zu-schriftlichen-antworten-und-korrektur-anmerkungen-in-berufsbezogener-pruefung ↩︎
  13. https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-434/16 ↩︎
  14. https://curia.europa.eu/juris/document/document.jsf?text=&docid=273286&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1 ↩︎
  15. https://dejure.org/dienste/vernetzung/rechtsprechung?Text=C-487/21 ↩︎
  16. https://www.heuking.de/de/news-events/newsletter-fachbeitraege/artikel/der-europaeische-gerichtshof-konkretisiert-den-umfang-des-auskunftsrechts.html ↩︎
  17. https://www.datev-magazin.de/nachrichten-steuern-recht/recht/dsgvo-eugh-zum-recht-eine-kopie-der-personenbezogenen-daten-zu-erhalten-100365 ↩︎
  18. https://www.brak.de/newsroom/news/kopie-kann-auch-dokumente-oder-auszuege-aus-datenbanken-umfassen/ ↩︎
  19. https://www.bundesarbeitsgericht.de/entscheidung/2-azr-342-20/ ↩︎
  20. https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BAG&Datum=27.04.2021&Aktenzeichen=2%20AZR%20342/20 ↩︎
  21. https://www.lto.de/recht/nachrichten/n/bag-2azr34220-datenschutz-dsgvo-auskunft-kopie-mail-arbeitnehmer-klagebegehren-unbestimmt ↩︎
  22. https://gdpr-text.com/pt/read/article-12/?col=2&lang1=pt&lang2=de ↩︎
  23. https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_6.pdf ↩︎
  24. https://www.lda.bayern.de/de/thema_auskunft.html ↩︎
  25. https://www.gesetze-im-internet.de/bdsg_2018/__26.html ↩︎
  26. https://gdpr-text.com/pt/read/article-15/?col=2&lang1=pt&lang2=de ↩︎
  27. https://www.gesetze-im-internet.de/bdsg_2018/__34.html ↩︎
  28. https://www.appvizer.de/personalmanagement/ats ↩︎
  29. https://omr.com/de/reviews/category/applicant-tracking ↩︎
  30. https://www.hays.de/enterprise-solutions/recruitment-process-outsourcing/bewerbermanagementsystem ↩︎
  31. https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Betroffenenrechte/Betroffenenrechte_Auskunftsrecht.html ↩︎
  32. https://www.seitzpartner.de/blog/art-15-dsgvo-eugh-festigt-rechtsprechung-zu-umfang-und-zweck-des-anspruchs-auf-kopie/ ↩︎
  33. https://www.gesetze-im-internet.de/geschgehg/BJNR046610019.html ↩︎
  34. https://de.wikipedia.org/wiki/Betriebs-_und_Gesch%C3%A4ftsgeheimnis ↩︎
  35. https://www.ldi.nrw.de/system/files/media/document/file/_8_1_0_1.pdf ↩︎
  36. https://coresecret.eu/2025/12/15/vom-land-der-wirbellosen/ ↩︎

Categories: Deutschland, Digitalisierung, IT-Security, Justiz
Tags: , , , ,

You may also like

Search: