DSGVO und Online-Assessments — die Checkliste.

Die Einwilligung ist eine von mehreren möglichen Rechtsgrundlagen. In den meisten Fällen kann die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden (vorvertragliche Maßnahmen), wenn der Test zur Beurteilung der Eignung für die konkrete Stelle genutzt wird. Eine Einwilligungserklärung ist zusätzlich empfehlenswert, insbesondere bei Persönlichkeitstests.

Für abgelehnte Bewerber gilt üblicherweise eine Frist von 6 Monaten nach Absage (Schutz vor AGG-Klagen). Für eingestellte Mitarbeiter werden die Daten Teil der Personalakte. Testprotokolle und Antworten sollten spätestens nach 6 Monaten gelöscht werden, es sei denn, es bestehen berechtigte Interessen oder gesetzliche Aufbewahrungspflichten.

Ein AVV ist ein Vertrag zwischen Ihrem Unternehmen (Verantwortlicher) und dem Software-Anbieter (Auftragsverarbeiter), der regelt, wie Ihre Daten verarbeitet werden dürfen. Er ist gesetzlich vorgeschrieben (Art. 28 DSGVO), wenn Sie personenbezogene Daten an einen Dienstleister übermitteln — also immer, wenn Sie eine Cloud-basierte Assessment-Software nutzen.

Nur mit expliziter Einwilligung und wenn die KI-Verarbeitung transparent kommuniziert wird. Art. 22 DSGVO schränkt zudem automatisierte Entscheidungen mit rechtlicher Wirkung ein — ein Test-Score als einziges Auswahlkriterium ohne menschliche Kontrolle wäre problematisch.

Sie sind verpflichtet, innerhalb von 30 Tagen Auskunft zu erteilen (Art. 15 DSGVO): Welche Daten, zu welchem Zweck, wie lange gespeichert. Außerdem hat der Bewerber ein Recht auf Kopie seiner Antworten und des Ergebnisses. Gute Assessment-Software sollte diese Exporte ermöglichen.