DSGVO für Schweizer Arbeitgeber
Die DSGVO (Datenschutz-Grundverordnung) gilt für Ihr Schweizer Unternehmen, wenn Sie Personendaten von Bewerbern oder Mitarbeitern aus dem EWR verarbeiten. Ihr Standort in der Schweiz befreit Sie nicht davon. Schweizer Behörden akzeptieren DSGVO-Konformität als Erfüllung der revDSG-Anforderungen. Ein Datenschutz-Anwalt sollte Ihre Einstellungspraxis überprüfen.
Die DSGVO ist EU-Recht und regelt, wie Organisationen Personendaten von Menschen im Europäischen Wirtschaftsraum handhaben. Wenn Sie grenzübergreifend rekrutieren oder EU-Bürger beschäftigen, gilt die DSGVO für Sie – Ihr Schweizer Sitz schützt Sie nicht.
Die Schweiz hat das Bundesgesetz über den Datenschutz (revDSG), das der DSGVO ähnelt. Schweizer Behörden akzeptieren DSGVO-Konformität als Erfüllung der Schweizer Anforderungen. Die beiden Gesetze unterscheiden sich aber in Details; ein Anwalt sollte Ihren Ansatz für beide überprüfen.
Wann die DSGVO beim Recruiting relevant ist
Die DSGVO-Pflichten entstehen, sobald Sie einen CV, ein LinkedIn-Profil oder ein Bewerbungsformular von einem EU-Kandidaten erhalten. Das gilt auch für Bewerber, die die Stelle nicht bekommen. Sie müssen eine Rechtsgrundlage (Zustimmung, Vertrag oder berechtigtes Interesse) haben und transparent sein.
Wenn Sie eine Recruiting-Software nutzen oder Daten auf Servern ausserhalb der Schweiz speichern, prüfen Sie, wo die Daten physisch liegen. Cloud-Services wie Google Workspace oder Microsoft 365 könnten EU-Daten verarbeiten und aktivieren damit DSGVO-Anforderungen für Ihr Unternehmen.
- Erheben Sie nur Daten, die für die Stelle relevant sind (kein Geburtsort, Religion oder Foto ohne Job-Bezug)
- Teilen Sie jedem Kandidaten mit, wie lange Sie seine Daten speichern und wer Zugriff hat
- Löschen Sie Bewerbungen von abgelehnten Kandidaten innerhalb von 6–12 Monaten, es sei denn, Sie haben einen Aufbewahrungsgrund
- Falls Sie ein Bewerbermanagementsystem nutzen: Stellen Sie sicher, dass der Anbieter eine Datenverarbeitungsvereinbarung unterzeichnet
- Geben Sie Kandidaten das Recht, ihre Daten abzurufen, zu korrigieren oder löschen zu lassen
- Melden Sie Datenpannen der zuständigen EU-Behörde (wenn die Person in der EU ist) innerhalb von 72 Stunden
Ihre Pflichten als Arbeitgeber
Dokumentieren Sie Ihren Einstellungsprozess: Schreiben Sie auf, warum Sie jeden Datenpunkt erheben und wie lange Sie ihn speichern. Diese ‚Datenschutzerklärung' muss Kandidaten vor oder bei der Bewerbung mitgeteilt werden. Behörden überprüfen dies zuerst bei einer Kontrolle.
Wenn Sie das Recruiting an eine Agentur auslagern oder Hintergrundüberprüfungen nutzen, werden diese zu ‚Datenverarbeitern' unter der DSGVO. Sie müssen einen schriftlichen Vertrag (Datenverarbeitungsvereinbarung) haben, der festlegt, was sie mit Daten tun dürfen.
- Ernennen Sie einen Datenschutzbeauftragten, wenn Sie eine öffentliche Behörde sind oder Daten im grossen Stil verarbeiten
- Schulen Sie Ihre Einstellungsmanager: Keine Fragen zu Familienstand, Gesundheit oder Gewerkschaftszugehörigkeit auf Bewerbungsformularen
- Nutzen Sie verschlüsselte Passwörter auf Recruiting-Plattformen; aktivieren Sie Zwei-Faktor-Authentifizierung
- Führen Sie eine Datenschutzfolgenabschätzung (DSFA) durch, wenn Sie KI-Screening-Tools oder automatisierte Entscheidungen nutzen
- Überprüfen Sie Ihre Praktiken bei Arbeitszeugnissen und Personalakten; die DSGVO begrenzt, wie lange Sie Leistungsunterlagen speichern
- Beantworten Sie Anfragen von Kandidaten zum Datenzugriff innerhalb von 30 Tagen
Der häufigste Fehler
Arbeitgeber meinen, die DSGVO gelte nicht, weil sie in der Schweiz sind. Falsch. Wenn Sie eine Stelle auf einem EU-Jobportal ausschreiben oder Bewerbungen aus der EU akzeptieren, ist die DSGVO bindend. Unwissenheit schützt nicht; Bussgelder können bis zu EUR 20 Millionen oder 4% des globalen Umsatzes erreichen.
Der zweite häufige Fehler: Kandidatendaten ‚zur Sicherheit' speichern, ohne einen dokumentierten Grund. Die DSGVO verlangt, dass Sie Daten nach Abschluss des Einstellungsprozesses löschen, es sei denn, Sie haben einen Grund (rechtliche Auseinandersetzung, Überprüfungsbeschwerde). CVs zu horten verstösst gegen das Speicherprinzip.
- Verlassen Sie sich nicht nur auf Zustimmung; dokumentieren Sie berechtigte geschäftliche Gründe für jeden Datenpunkt
- Speichern Sie Passwörter oder sensible Daten nicht unverschlüsselt in E-Mails oder Tabellen
- Gehen Sie nicht davon aus, dass eine Datenverarbeitungsvereinbarung mit Ihrem Softwareanbieter existiert; fordern Sie sie schriftlich an
- Vergessen Sie nicht, dass Kandidaten unter der DSGVO mehr Rechte haben als unter der revDSG allein
- Überspringen Sie keine Datenschutzerklärungen; sie sind Ihr Nachweis der Transparenz im Streitfall
- Bestätigen Sie Ihren Ansatz mit einem Schweizer Datenschutz- oder Arbeitsrechtsanwalt, bevor Sie die Rekrutierung ausbauen
Häufige Fragen
- Brauche ich die DSGVO, wenn ich nur in der Schweiz einstelle?
- Nein – wenn alle Ihre Kandidaten und Mitarbeiter Schweizer Bewohner sind und Sie keine EU-Personendaten verarbeiten. Wenn Sie aber auf EU-Jobportalen ausschreiben, Bewerbungen von EU-Bürgern akzeptieren oder Arbeitnehmer in der EU haben, gilt die DSGVO. Im Zweifelsfall konsultieren Sie einen Anwalt.
- Was ist der Unterschied zwischen DSGVO und Schweizer revDSG?
- Beide schützen Personendaten, aber die DSGVO ist strenger bei Zustimmung, Betroffenenrechten und Bussgeldern. Wenn Sie DSGVO-konform sind, erfüllen Sie meist auch revDSG-Anforderungen. Aber revDSG hat eigene Regeln (z.B. zur Mitarbeiterüberwachung). Ein Anwalt sollte beide überprüfen.
- Wie lange darf ich den CV eines abgelehnten Kandidaten speichern?
- Die DSGVO verlangt, dass Sie ihn nach der endgültigen Einstellungsentscheidung löschen, es sei denn, Sie haben schriftliche Zustimmung für zukünftige Stellen (muss Opt-in sein) oder einen Rechtsgrund (z.B. Diskriminierungsschutz, üblicherweise bis 6 Monate). Sicherster Weg: Nach 3 Monaten löschen, sofern der Kandidat nicht länger zustimmt.
Allgemeine Informationen für Schweizer Arbeitgeber, keine Rechtsberatung. Lassen Sie alles mit rechtlichen Folgen von einer Juristin prüfen.