Hintergrundcheck Bewerber: Was DSGVO-konform ist

1. Warum das Thema KMU regelmäßig in die Falle laufen lässt

Du hast zwei gute Bewerbungen auf dem Tisch, willst die Entscheidung absichern und tippst den Namen kurz bei Google ein. Oder jemand aus dem Office schaut sich das LinkedIn-Profil an, klickt weiter zu Instagram und findet dort etwas, das im Bewerbungsgespräch nicht zur Sprache kam. So weit, so menschlich. Datenschutzrechtlich ist das aber kein harmloser Klick, sondern eine Verarbeitung personenbezogener Daten, und die braucht eine Rechtsgrundlage.

Genau hier laufen kleine und mittlere Unternehmen am häufigsten in Schwierigkeiten. Nicht aus bösem Willen, sondern weil niemand im Team eine klare Linie hat, was bei einem Hintergrundcheck erlaubt ist und was nicht. Bewerberdaten gehören zu den sensibelsten Daten, die ein Arbeitgeber überhaupt verarbeitet, und Bewerber, die abgelehnt werden, sind erfahrungsgemäß die Personengruppe, die am ehesten eine Beschwerde bei der Aufsichtsbehörde einreicht. Ein unsauberer Background Check ist damit ein doppeltes Risiko: ein datenschutzrechtliches und ein arbeitsrechtliches über das Allgemeine Gleichbehandlungsgesetz, wenn aus der Recherche ein Diskriminierungsvorwurf wird.

Dieser Artikel ordnet das aus Arbeitgebersicht. Er ersetzt im Einzelfall keine Rechtsberatung, gibt dir aber eine belastbare Linie, an der du dich orientieren kannst, bevor du jemanden im Team recherchieren lässt. Wenn die Personalprozesse in deinem Unternehmen noch nicht datenschutzfest aufgesetzt sind, lohnt ein strukturierter Blick auf das gesamte Thema, etwa über unsere Leistung Datenschutz in HR und Lohnabrechnung.

2. Der eine Maßstab, der alles entscheidet: Erforderlichkeit

Wenn du dir nur eine Sache aus diesem Artikel merkst, dann diese: Im Bewerbungsverfahren darfst du Daten nur erheben und verwenden, soweit sie für die Entscheidung über die konkrete Stelle erforderlich sind. Das ist kein weicher Richtwert, sondern der harte Prüfstein, an dem jede einzelne Recherche scheitert oder besteht.

Erforderlich heißt: Die Information muss einem legitimen Zweck dienen, geeignet sein, diesen Zweck zu erreichen, und es darf kein milderes Mittel geben, das genauso wirkt. Praktisch fragst du dich vor jeder Recherche drei Dinge. Erstens: Welche Eigenschaft der Person ist für genau diese Stelle relevant? Zweitens: Brauche ich dafür wirklich diese Quelle, oder kann ich die Frage einfach im Gespräch stellen? Drittens: Steht der Eingriff in einem angemessenen Verhältnis zum Nutzen für die Entscheidung?

Ein Beispiel macht den Unterschied klar. Bewirbt sich jemand als Buchhalter und hat in der Stellenbeschreibung Verfügungsgewalt über Firmenkonten, ist das Interesse an Zuverlässigkeit im Umgang mit Geld nachvollziehbar. Das rechtfertigt aber nicht automatisch eine Bonitätsauskunft, sondern zunächst nur die Frage danach. Bewirbt sich dieselbe Person dagegen als Grafikdesigner, hat ihre private Finanzsituation mit der Eignung für die Stelle nichts zu tun. Eine Recherche dazu wäre nicht erforderlich und damit unzulässig.

3. Rechtsgrundlage: Art. 6 DSGVO statt nur Paragraf 26 BDSG

Viele Vorlagen, Musterprozesse und ältere Datenschutzhinweise stützen die Verarbeitung von Bewerberdaten ausschließlich auf Paragraf 26 BDSG. Das ist seit einem Urteil des Europäischen Gerichtshofs heikel. Der EuGH hat am 30. März 2023 entschieden, dass die deutsche Generalklausel zum Beschäftigtendatenschutz die Anforderungen aus Art. 88 Abs. 2 DSGVO nicht erfüllt, weil sie die DSGVO im Kern nur wiederholt, ohne eigene spezifische Schutzmaßnahmen festzulegen. Damit kann Paragraf 26 Abs. 1 Satz 1 BDSG nicht als alleinige Tragnorm dienen. Die Einzelheiten dazu hat die Aufsichtsbehörde in Baden-Württemberg in einer FAQ aufbereitet.

Für dich heißt das in der Praxis: Die tragende Rechtsgrundlage ist Art. 6 DSGVO. Während das Bewerbungsverfahren läuft, stützt du die notwendige Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO, weil sie zur Anbahnung des Arbeitsvertrags gehört. Eine darüber hinausgehende Recherche, etwa der Blick ins berufliche Profil, läuft über Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, das du gegen die Interessen des Bewerbers abwägen musst. Will jemand zustimmen, dass du in einen Talent-Pool aufnimmst oder weitergehend recherchierst, brauchst du eine echte Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO, die freiwillig und widerrufbar sein muss.

4. Social Media und Websuche: enger erlaubt, als die meisten denken

Hier liegt das größte Missverständnis. Viele gehen davon aus, dass alles, was öffentlich im Netz steht, frei verwertbar ist. Das stimmt nicht. Entscheidend ist nicht, ob ein Profil öffentlich ist, sondern ob die Information erforderlich ist und für welchen Zweck die Person ihre Daten ursprünglich bereitgestellt hat.

Berufliche Netzwerke: in der Regel zulässig

LinkedIn und Xing sind dafür gedacht, dass Menschen ihre Qualifikation, ihren Werdegang und ihre fachliche Reichweite zeigen. Wer dort ein Profil pflegt, rechnet damit, dass potenzielle Arbeitgeber es ansehen. Ein Blick auf das berufliche Profil eines Bewerbers ist daher meist von deinem berechtigten Interesse gedeckt, solange du dich auf den fachlichen Teil beschränkst und keine privaten Details verwertest, die zufällig mit auftauchen.

Private Netzwerke: nur mit konkretem, stellenbezogenem Anlass

Bei Instagram, Facebook, TikTok oder einem privaten Blog sieht es anders aus. Diese Inhalte sind zur privaten Selbstdarstellung gedacht, nicht zur Bewerbung. Eine Recherche dort ist nur ausnahmsweise zulässig, wenn ein konkreter, stellenbezogener Anlass besteht und die Information anders nicht zu bekommen ist. Eine routinemäßige Komplettsuche über alle Plattformen hinweg, nur um sich ein Gesamtbild zu machen, ist nicht erforderlich und damit unzulässig.

Heikel wird es zusätzlich, wenn du dabei auf besondere Kategorien personenbezogener Daten stößt, etwa Hinweise auf Religion, politische Meinung, Gesundheit, Gewerkschaftszugehörigkeit oder die sexuelle Orientierung. Diese Daten genießen besonderen Schutz, und wenn deine Entscheidung sich darauf stützt, ist der Weg zum Diskriminierungsvorwurf nach dem Allgemeinen Gleichbehandlungsgesetz kurz. Hier gilt: Was du nicht sehen darfst, darf auch keine Rolle spielen, und am besten siehst du es gar nicht erst.

5. Führungszeugnis: nur bei bestimmten Positionen

Ein polizeiliches Führungszeugnis ist ein massiver Eingriff, weil es Daten zu Vorstrafen offenlegt. Deshalb darfst du es nicht pauschal von jedem Bewerber verlangen. Die Anforderung ist nur zulässig, wenn die konkrete Tätigkeit eine besondere Zuverlässigkeit erfordert oder eine gesetzliche Grundlage besteht.

Typische Konstellationen, in denen ein Führungszeugnis vertretbar oder sogar vorgeschrieben ist:

• Arbeit mit Minderjährigen oder Schutzbefohlenen, etwa in Kita, Schule, Jugendhilfe oder Pflege. Hier sieht das Gesetz teilweise ein erweitertes Führungszeugnis ausdrücklich vor.
• Positionen mit erheblicher Vermögensverantwortung, etwa im Finanz- und Bankenbereich oder bei Tätigkeiten mit direktem Zugriff auf hohe Geldbeträge.
• Sicherheitsrelevante Tätigkeiten, bei denen die Zuverlässigkeit gesetzlich vorausgesetzt wird, beispielsweise im Bewachungsgewerbe.

Bei einer normalen Büro-, Vertriebs- oder Sachbearbeiterstelle gibt es dagegen keinen Grund, ein Führungszeugnis zu fordern. Wenn doch ein konkreter Aspekt der Tätigkeit eine Prüfung nahelegt, beschränkst du die Anforderung auf das, was für genau diesen Aspekt nötig ist. Welche Variante des Führungszeugnisses zulässig ist und ob deine Stelle überhaupt in eine der Ausnahmekategorien fällt, ist eine Einzelfallfrage, die du sauber dokumentieren und im Zweifel rechtlich absichern solltest. Hintergründe dazu liefert der Überblick zum Führungszeugnis aus Arbeitgebersicht.

6. Detektei, Auskunftei und verdeckte Recherche

Die strengste Kategorie. Eine verdeckte Recherche durch eine Detektei oder eine Auskunft über eine Auskunftei ist im Bewerbungsverfahren praktisch nie zulässig. Solche Maßnahmen sind ein tiefer Eingriff in das Persönlichkeitsrecht und lassen sich kaum jemals mit dem Erforderlichkeitsprinzip vereinbaren, solange noch gar kein Arbeitsverhältnis besteht.

Auch eine Bonitätsprüfung über eine Wirtschaftsauskunftei ist im Regelfall unzulässig. Ein berechtigtes Interesse an der Zahlungsfähigkeit eines Bewerbers besteht allenfalls bei Positionen mit unmittelbarer Verfügungsgewalt über fremdes Vermögen, etwa in der Kassenverwaltung oder bei direktem Zugriff auf Firmenkonten. Selbst dann brauchst du eine saubere Rechtsgrundlage, eine dokumentierte Abwägung und die Information des Bewerbers. Ohne diesen Rahmen ist die Auskunft ein Datenschutzverstoß.

7. Transparenzpflicht: keine heimlichen Checks

Selbst wenn eine Recherche im konkreten Fall erforderlich und damit zulässig ist, ist sie nicht heimlich erlaubt. Die Transparenzpflicht aus Art. 13 und 14 DSGVO gilt auch dann, wenn du Daten nicht direkt beim Bewerber, sondern aus einer öffentlich zugänglichen Quelle erhebst. Der Bewerber muss grundsätzlich erfahren, welche personenbezogenen Daten du verarbeitest, zu welchem Zweck und auf welcher Rechtsgrundlage.

Praktisch heißt das: In deine Datenschutzhinweise für Bewerber gehört ein Abschnitt, der erklärt, ob und in welchem Umfang du externe Quellen wie berufliche Netzwerke heranziehst. Damit nimmst du der ganzen Frage die Brisanz. Wer offen kommuniziert, dass er das berufliche Profil ansieht, handelt transparent. Wer im Stillen jede Plattform durchsucht und das Ergebnis in die Entscheidung einfließen lässt, handelt nicht transparent, und genau das ist der Fall, der bei einer Beschwerde teuer wird.

Zur Transparenz gehört auch die richtige Frist für Bewerberdaten. Nach einer Absage löschst du Bewerberunterlagen in der Regel nach rund sechs Monaten, weil dann die Klagefrist aus dem Allgemeinen Gleichbehandlungsgesetz abgelaufen ist und kein Aufbewahrungsgrund mehr besteht. Willst du jemanden im Talent-Pool halten, brauchst du dafür eine eigene Einwilligung. Die Details zur Löschpraxis vertiefen wir im Beitrag Bewerbungen löschen: Welche Frist gilt.

8. Was bei welcher Stelle realistisch geht

Damit das Ganze greifbarer wird, hier eine grobe Orientierung. Die Tabelle ersetzt keine Einzelfallprüfung, zeigt aber, wie stark der Spielraum von der konkreten Stelle abhängt.

Du siehst das Muster: Das berufliche Profil ist der einzige Punkt, der quer über alle Stellen meist in Ordnung geht. Alles andere hängt davon ab, ob die konkrete Tätigkeit den Eingriff wirklich trägt. Im Zweifel ist die richtige Antwort, die Frage direkt im Gespräch zu stellen, statt im Hintergrund zu recherchieren.

9. Sauberer Prozess in vier Punkten

Wenn du Hintergrundchecks in deinem Unternehmen sauber regeln willst, reichen vier Festlegungen, die du einmal triffst und dann konsequent durchhältst.

Erstens: Recherche an die Stelle koppeln, nicht an die Person

Lege für jede Position vorab fest, welche Eignungsmerkmale relevant sind und ob überhaupt eine externe Recherche nötig ist. Diese Festlegung trifft die Personalverantwortung, nicht die Person, die gerade Lust auf eine Recherche hat. So vermeidest du, dass aus Neugier eine Verarbeitung ohne Grundlage wird.

Zweitens: Rechtsgrundlage und Abwägung dokumentieren

Halte fest, auf welcher Grundlage nach Art. 6 DSGVO du eine Recherche stützt und warum sie erforderlich ist. Diese kurze Notiz ist deine Versicherung, wenn die Aufsichtsbehörde fragt. Ohne Dokumentation steht im Streitfall Aussage gegen Aussage.

Drittens: Transparenz in den Bewerbungs-Datenschutzhinweisen

Ergänze deine Datenschutzinformation für Bewerber um den Punkt, ob und wie du externe Quellen heranziehst. Das ist ein einmaliger Aufwand mit großer Wirkung, weil er die ganze Recherche aus der Grauzone holt.

Viertens: Löschfristen einhalten

Lösche Bewerberdaten nach Abschluss des Verfahrens, in der Regel rund sechs Monate nach einer Absage. Wer Daten ohne Grund behält, schafft sich ein zweites Risiko, das mit dem eigentlichen Check gar nichts mehr zu tun hat.

Diese vier Punkte klingen nach Bürokratie, sind aber an einem Nachmittag erledigt und ersparen dir im Ernstfall sehr viel. Wenn du das nicht allein aufsetzen willst, unterstützen wir bei der datenschutzkonformen Gestaltung der Personalprozesse, von der Bewerber-Datenschutzinformation bis zur Löschroutine, über unsere Leistung Datenschutz in HR und Lohnabrechnung.

10. Häufige Fragen (FAQ)

11. Fazit

Ein Hintergrundcheck ist kein verbotenes Terrain, aber ein enges. Die Leitlinie ist immer dieselbe: Du darfst nur erheben, was für die konkrete Stelle erforderlich ist, du brauchst dafür eine Rechtsgrundlage nach Art. 6 DSGVO und nicht allein den inzwischen geschwächten Paragraf 26 BDSG, und du musst transparent machen, was du tust. Der Blick ins berufliche Profil ist meist in Ordnung, das Durchsuchen privater Accounts, das pauschale Führungszeugnis und die Detektei sind es fast nie.

Für den Alltag in einem KMU heißt das: Lege pro Stelle fest, was du brauchst, dokumentiere kurz die Grundlage, ergänze deine Bewerber-Datenschutzhinweise und halte die Löschfristen ein. Damit bist du auf der sicheren Seite, ohne auf eine sinnvolle Eignungsprüfung verzichten zu müssen. Und in allen Fällen, in denen es um besonders sensible Daten, Vorstrafen oder Bonität geht, ziehst du vor der Recherche einen Datenschutzberater oder Fachanwalt hinzu, statt im Nachhinein zu reparieren.