„Pre-Employment-Screening“: Datenschutz im Personalauswahlverfahren

Zuletzt aktualisiert am 1. Juni 2026

Ist im Unternehmen eine Stelle neu zu besetzen, sind Personaler bemüht, diese Stelle mit Hilfe eines Personalauswahlverfahrens bestmöglich zu besetzen. Nicht selten greifen sie dabei selbst zur Recherche, um mehr Informationen über den Bewerber zu erhalten oder bekannte Informationen zu verifizieren. Dieses sogenannte „Pre-Employment-Screening“ (oder auch ­„Background Check“ genannt) bringt im Personalauswahlverfahren einige Fragen aus dem Datenschutzrecht auf.

Erfahren Sie hier, was Sie bei der Informationsbeschaffung über Bewerber beachten sollten.

Personalauswahlverfahren mit Hilfe des Internets

In der modernen (Arbeits-)Welt lassen sich viele Informationen über den Bewerber ganz einfach im Internet finden. In sozialen Netzwerken aus dem Bereich der Freizeit (zum Beispiel Facebook oder Instagram) oder des beruflichen Umfeldes (zum Beispiel LinkedIn oder Xing) lassen sich die Informationen aus der Bewerbung überprüfen und ergänzen. Daneben existieren auch Datenbanken, die zum Beispiel Informationen über Straftaten liefern.

Diese Informationen, die die Identifikation einer Person zulassen, sind personenbezogene Daten im Sinne der DSGVO. Damit sind die datenschutzrechtlichen Regelungen im Umgang mit ihnen zu wahren.

Rechtliche Grundlage für „Pre-Employment-Screening“

Nach der DSGVO muss die Verarbeitung dieser personenbezogenen Daten auf einer Rechtsgrundlage beruhen. In Frage kommt zunächst die Einwilligung durch den betroffene Bewerber (Art. 6 I 1 lit. a DSGVO). Auch eine Erforderlichkeit für den angestrebten Arbeitsvertrag (Art. 6 I 1 lit. b DSGVO) könnte vorliegen.

Einwilligung

Eine datenschutzrechtliche Einwilligung muss zunächst freiwillig sein. Aufgrund des Ungleichgewichts zwischen dem potentiellen Arbeitgeber und dem Bewerber treten hier Schwierigkeiten auf. Denn erklärt der Bewerber sich auf Nachfrage damit einverstanden, dass ein „Background Check“ durchgeführt wird, tut er dies meist aus Angst vor Ablehnung.

Auch wenn eine Einwilligung des Bewerbers eingeholt wird, genügt diese damit nicht den Anforderungen des Datenschutzrechtes.

Erforderlichkeit

Für den potenziellen Arbeitgeber könnte das „Pre-Employment -Screening“ erforderlich für die spätere Begründung eines Arbeitsvertrages sein (Art. 6 I 1 lit. b DSGVO). Hierfür muss eine Abwägung der Interessen und des Maßes an Erforderlichkeit im Einzelfall vorgenommen werden. Dies wird meist aber zu Ungunsten des Arbeitgebers ausfallen.

Umgang mit „Pre-Employment-Screening“ in der Praxis

Wenn der Personaler den am besten geeigneten Bewerber finden will, ohne gegen Datenschutzrecht zu verstoßen, gibt es einige Praxis-Tipps, die er beachten sollte.

Auch im Bewerberauswahlverfahren gilt: Wer nicht fragt, bleibt dumm! Sind die eingreichten Unterlagen also unvollständig oder werfen Fragen auf, wenden Sie sich als erstes an den Bewerber persönlich.

Nutzen Sie Gespräche, Einstellungstests oder ähnliche Formate, um ein besseres Bild von den Bewerbern zu bekommen. Die hier gewonnenen Erkenntnisse sind meist wertvoller als alle schriftlich eingereichten Bewerbungsunterlagen.

Bei Unklarheiten darüber, welche Daten über den Bewerber eigenhändig recherchiert werden dürfen, orientiert man sich am besten an dem Fragerecht aus dem Allgemeinen Gleichbehandlungsgesetz (AGG), dessen Regelungen jeder Personaler aus Bewerbungsgesprächen kennt. Geht es um Informationen, die auch nach dem AGG im Bewerbungsgespräch nicht erfragt werden dürfen, sollte man diese auch nicht selbst recherchieren.

Alle Prozesse sollten immer aktuell und transparent den Regelungen der DSGVO entsprechen.

Außerdem sollte die private und berufliche Ebene streng getrennt werden. Wenn eine eigenhändige Recherche durchgeführt werden soll, orientieren Sie sich dabei an beruflich orientierten Quellen (zB LinkedIn oder Xing).

Fazit

Beim „Pre-Employment-Screening“ ist mit Vorsicht vorzugehen. Nicht alles, was der Personaler über den Bewerber finden kann, darf er auch suchen. Es ist zu empfehlen, weitgehend auf althergebrachte Auswahlverfahren wie Gespräche und Einstellungstests zu setzen.

Haben Sie Fragen zu der datenschutzkonformen Umsetzung von Bewerberauswahlverfahren, wenden Sie sich gerne an unser Experten-Team!

Besondere Kategorien personenbezogener Daten im Bewerbungsverfahren

Bei einem Pre-Employment-Screening können auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO betroffen sein. Dazu zählen Informationen über die ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit oder Gesundheitsdaten. Die Verarbeitung solcher Daten ist grundsätzlich untersagt und nur in eng begrenzten Ausnahmefällen zulässig.

In der Praxis bedeutet dies: Wenn ein Personaler auf dem Social-Media-Profil eines Bewerbers Informationen über dessen Gesundheitszustand, religiöse Überzeugung oder politische Aktivitäten findet, darf er diese Informationen nicht in die Personalentscheidung einbeziehen. Bereits das bewusste Zur-Kenntnis-Nehmen und Verwerten solcher Informationen stellt eine datenschutzrechtlich relevante Verarbeitung dar.

Internationale Bewerber und grenzüberschreitende Datenverarbeitung

Bei internationalen Bewerbern ergeben sich zusätzliche datenschutzrechtliche Herausforderungen. Werden Daten aus Drittländern erhoben oder dorthin übermittelt, müssen die Anforderungen der Art. 44 ff. DSGVO beachtet werden. Dies betrifft insbesondere Background-Checks, die über internationale Dienstleister durchgeführt werden oder bei denen Referenzen im Ausland eingeholt werden.

Unternehmen, die regelmäßig internationale Bewerber prüfen, sollten daher ein standardisiertes Verfahren etablieren, das die unterschiedlichen datenschutzrechtlichen Anforderungen berücksichtigt. Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO ist hierfür nötig.

Aufbewahrung und Löschung von Bewerberdaten

Ein oft vernachlässigter Aspekt des Pre-Employment-Screenings betrifft die Aufbewahrung und Löschung der erhobenen Daten. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck der Verarbeitung erforderlich ist.

Im Bewerbungsverfahren bedeutet dies konkret: Wird ein Bewerber abgelehnt, sind seine Daten grundsätzlich innerhalb von sechs Monaten zu löschen. Diese Frist orientiert sich an der Klagefrist nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). Eine längere Aufbewahrung ist nur mit ausdrücklicher Einwilligung des Bewerbers zulässig, beispielsweise für einen Talentpool.

Empfehlungen für ein datenschutzkonformes Screening

Um ein datenschutzkonformes Pre-Employment-Screening sicherzustellen, sollten Unternehmen folgende Maßnahmen umsetzen: Erstens eine klare interne Richtlinie, die festlegt, welche Recherchen zulässig sind und welche nicht. Zweitens eine transparente Information der Bewerber darüber, welche Daten erhoben und wie sie verarbeitet werden. Drittens eine regelmäßige Schulung der Personalabteilung zu datenschutzrechtlichen Anforderungen im Beschäftigtendatenschutz.

Außerdem empfiehlt es sich, den Datenschutzbeauftragten frühzeitig in die Gestaltung des Bewerbungsprozesses einzubeziehen. Dieser kann nicht nur bei der rechtlichen Bewertung unterstützen, sondern auch bei der Erstellung von Datenschutzhinweisen für Bewerber und der Dokumentation der Verarbeitungstätigkeiten im Verarbeitungsverzeichnis.

Social-Media-Screening und seine Grenzen

Das Durchsuchen von Social-Media-Profilen ist eine der häufigsten Formen des Pre-Employment-Screenings. Dabei ist grundsätzlich zwischen beruflichen Netzwerken wie LinkedIn oder Xing und privaten Netzwerken wie Facebook oder Instagram zu unterscheiden. Informationen aus beruflichen Netzwerken, die der Bewerber bewusst öffentlich zugänglich gemacht hat, dürfen in der Regel für die Bewerbungsbewertung herangezogen werden, da sie dem beruflichen Kontext zuzuordnen sind.

Anders verhält es sich mit privaten Netzwerken. Selbst wenn ein Facebook-Profil öffentlich zugänglich ist, bedeutet dies nicht automatisch, dass ein potenzieller Arbeitgeber die dort verfügbaren Informationen für das Bewerbungsverfahren nutzen darf. Private Postings, Fotos aus dem Privatleben oder persönliche Meinungsäußerungen sind für die Beurteilung der fachlichen Eignung eines Bewerbers in der Regel nicht relevant und sollten daher nicht berücksichtigt werden.

Referenzauskünfte und Datenschutz

Das Einholen von Referenzauskünften bei früheren Arbeitgebern ist eine gängige Praxis im Personalauswahlverfahren. Datenschutzrechtlich ist dies jedoch nur unter bestimmten Voraussetzungen zulässig. Grundsätzlich sollte der Bewerber vorab über die beabsichtigte Kontaktaufnahme informiert und um seine Zustimmung gebeten werden. Eine heimliche Kontaktaufnahme mit dem aktuellen Arbeitgeber des Bewerbers ist datenschutzrechtlich besonders problematisch und kann erhebliche Konsequenzen für den Bewerber haben.

Auch der ehemalige Arbeitgeber muss bei der Erteilung von Referenzauskünften die datenschutzrechtlichen Grenzen beachten. Er darf nur solche Informationen weitergeben, die für die Beurteilung der beruflichen Eignung relevant sind. Angaben über Krankheitstage, private Verhältnisse oder die Mitgliedschaft in einer Gewerkschaft dürfen nicht übermittelt werden. Ein strukturierter Prozess für Referenzauskünfte schützt beide Seiten vor datenschutzrechtlichen Risiken.

Dokumentation des Screening-Prozesses

Unternehmen, die Pre-Employment-Screening durchführen, sollten den gesamten Prozess sorgfältig dokumentieren. Diese Dokumentation dient nicht nur der internen Qualitätssicherung, sondern ist auch im Hinblick auf die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erforderlich. Die Dokumentation sollte festhalten, welche Quellen durchsucht wurden, welche Informationen gefunden und welche davon tatsächlich in die Personalentscheidung einbezogen wurden.

Außerdem sollte das Unternehmen in der Lage sein, nachzuweisen, dass das Screening verhältnismäßig und auf einer Rechtsgrundlage basierend durchgeführt wurde. Im Streitfall kann eine lückenhafte Dokumentation dazu führen, dass die Beweislast zu Ungunsten des Unternehmens ausfällt. Die Einbindung des Datenschutzbeauftragten in die Gestaltung und Überwachung des Screening-Prozesses ist daher dringend zu empfehlen.

Automatisierte Entscheidungen im Bewerbungsprozess

Ein zunehmend relevantes Thema im Kontext des Pre-Employment-Screenings ist der Einsatz von Künstlicher Intelligenz und automatisierten Entscheidungssystemen bei der Bewerberauswahl. Art. 22 DSGVO gewährt Betroffenen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet. Im Bewerbungsverfahren kann dies relevant werden, wenn Bewerbungen automatisch vorsortiert oder aussortiert werden.

Unternehmen, die KI-gestützte Tools für das Bewerbungsmanagement einsetzen, müssen sicherstellen, dass die Entscheidungskriterien transparent und diskriminierungsfrei sind. Der Bewerber muss über den Einsatz automatisierter Entscheidungssysteme informiert werden und das Recht haben, eine menschliche Überprüfung der Entscheidung zu verlangen. Die Kombination aus automatisierter Vorauswahl und menschlicher Endentscheidung ist datenschutzrechtlich der sicherste Weg.

Strafrechtliche Dimension unzulässiger Screenings

Neben den datenschutzrechtlichen Konsequenzen kann ein unzulässiges Pre-Employment-Screening auch strafrechtliche Relevanz haben. Das Ausspähen von Daten nach § 202a StGB ist strafbar, ebenso wie das unbefugte Abfangen von Daten nach § 202b StGB. Auch das Verwerten illegal beschaffter Informationen kann arbeitsrechtliche Konsequenzen haben und die Wirksamkeit einer darauf gestützten Personalentscheidung in Frage stellen.

Auch bei der Nutzung von Personalberatungen und Headhuntern muss der datenschutzrechtliche Rahmen beachtet werden. Der Personalberater handelt als Auftragsverarbeiter, wenn er im Auftrag des Unternehmens Bewerberdaten erhebt und verarbeitet. Ein entsprechender Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist zwingend erforderlich. Die Verantwortung für die datenschutzkonforme Gestaltung des gesamten Bewerbungsprozesses verbleibt beim auftraggebenden Unternehmen.

Insgesamt zeigt sich, dass ein datenschutzkonformes Pre-Employment-Screening möglich ist, wenn es sorgfältig geplant und durchgeführt wird. Die enge Zusammenarbeit zwischen Personalabteilung, Rechtsabteilung und Datenschutzbeauftragtem ist dabei nötig. Unternehmen, die ihre Bewerbungsprozesse datenschutzkonform gestalten, minimieren nicht nur das Risiko von Bußgeldern, sondern stärken auch ihr Arbeitgeberimage.

Datenschutz für Ihr Unternehmen

• DSGVO-Beratung
• Verarbeitungsverzeichnis
• TOM Datenschutz
• Datenschutz-Schulung

Erstberatung anfragen