TL;DR
Mit Beschluss SAN-2026-010 vom 21. Juli 2026, veröffentlicht am 9. September, hat die CNIL gegen Extia ein Bußgeld von 300.000 Euro verhängt. Von 265 Löschanträgen aus 2024, überwiegend von Bewerbern, waren 204 nicht korrekt bearbeitet: 12 nie bearbeitet (Art. 12 und 17), 166 Personen nie über das Ergebnis informiert, 27 nach Ablauf der Monatsfrist informiert. Das Unternehmen argumentierte, viele Daten seien bereits automatisch gelöscht worden. Die CNIL entgegnete, dass automatische Löschung nicht von der Information befreit. Ins Gewicht fielen die verletzten Grundsätze, die Zahl der Betroffenen und zwei frühere Ermahnungen.
Der Fall
Extia rekrutiert IT-Berater und Ingenieure und setzt sie bei Kundenunternehmen ein: es gehen viele Bewerbungen ein, also auch viele Löschanträge. 2024 erhielt die CNIL Beschwerden von Bewerbern und ehemaligen Beschäftigten, die die Löschung ihrer Daten nicht erreichten. Die Prüfung im April 2025 erfolgte auch im Rahmen der 2025 gestarteten koordinierten Aktion des Europäischen Datenschutzausschusses zum Recht auf Löschung: eine aus einer europäischen Initiative entstandene Prüfung, die mit einem nationalen Bußgeld endet.
- 265 Löschanträge im Jahr 2024, überwiegend von Bewerbern.
- 12 nie bearbeitet: Verstoß gegen Art. 12 und 17. Im Verfahren behoben.
- 166 Personen nie über das Ergebnis ihres Antrags informiert: Verstoß gegen Art. 12 Abs. 3.
- 27 Personen erst nach Ablauf der Monatsfrist informiert, mit Verzögerungen von bis zu mehreren Monaten.
- Zwei frühere Ermahnungen der CNIL zu denselben Pflichten: ein Faktor, der die Höhe beeinflusst hat.
Die Daten sind weg, die Antwort ist trotzdem geschuldet
Extia verteidigte sich damit, dass viele Anträge Bewerber betrafen, deren Daten bereits automatisch gelöscht waren. Die CNIL wies das zurück: automatische Löschung befreit nicht davon, der Person das Ergebnis ihres Antrags binnen eines Monats mitzuteilen. Es sind zwei verschiedene Pflichten. Für eine Restzahl von Fällen akzeptierte die CNIL die vorgebrachten Gründe, etwa dass die Person nicht identifiziert werden konnte: das muss aber im Einzelfall nachgewiesen werden.
Warum es alle betrifft
Die Personalgewinnung ist das typische Feld: viele Bewerber, Daten, die für künftige Stellen aufbewahrt werden, Anträge, die an eine allgemeine Adresse gehen und verloren gehen. Die koordinierte europäische Aktion von 2025 hat die Behörden genau auf diesen Ablauf schauen lassen, und die Prüfungen dieser Kampagne führen jetzt zu Entscheidungen. Der Fall zeigt auch: Ermahnungen werden nicht abgelegt, sie kehren in der Begründung des nächsten Bußgelds zurück.
Was jetzt zu prüfen ist
- Jeder Antrag mit Eingangsdatum erfasst: die Monatsfrist läuft ab dort, nicht ab dem Lesen.
- Eine schriftliche Antwort auf jeden Antrag, auch wenn die Daten bereits gelöscht oder nie vorhanden waren.
- Die Verlängerung um zwei Monate nur bei komplexen oder zahlreichen Anträgen, mitgeteilt innerhalb des ersten Monats mit Gründen.
- Ein Kanal für Bewerber, der tatsächlich die Stelle erreicht, die Anträge bearbeitet, nicht nur das Recruiting.
- Automatische Löschungen dokumentiert: welches System, welche Regel, wann.
In der Plattform
Im Bereich Betroffenenanfragen von DPO Workspace hat jeder Vorgang das Eingangsdatum, die Monatsfrist mit eventueller Verlängerung und das Datum der versandten Antwort. Es lohnt sich, einen Vorgang auch für bereits automatisch erledigte Löschanträge anzulegen: er schließt erst, wenn die Person eine Antwort erhalten hat, und genau dieses Datum fragt eine Behörde ab.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
