Background Checks im Recruiting

Bewerber-Prüfung mit Augenmaß: Wie viel Nachforschen erlaubt die DSGVO?

In meinen Jahren im Bankwesen war das Prüfen von Angaben Tagesgeschäft. Wer Geld, Mandate oder Verantwortung vergibt, schaut vorher hin. Im Recruiting ist das Bild ein anderes: Viele HR-Teams verzichten auf strukturierte Hintergrundprüfungen, aus Angst, gegen den Datenschutz zu verstoßen. Diese Angst ist verständlich, aber meist unbegründet. Das Problem ist selten das Prüfen selbst, sondern es falsch zu tun. Ich zeige Ihnen, wo die Grenze verläuft.

Ein prominenter Fall, der das Muster zeigt

Erinnern Sie sich an Petra Hinz? Die frühere SPD-Bundestagsabgeordnete hatte über Jahre ein Abitur und ein abgeschlossenes Jurastudium angegeben, beides frei erfunden. Als das 2016 auffiel, legte sie ihr Mandat nieder. Ein Fall aus der Politik, aber das Muster ist überall dasselbe.

Im britischen Gesundheitswesen brachte es Jon Andrewes bis zum Klinik-Geschäftsführer, mit einem erfundenen Doktortitel und ausgedachten Führungspositionen. Am Ende stand eine zweijährige Haftstrafe und die Rückzahlung von rund 97.000 Pfund. Und in Florida deckte das US-Justizministerium ein System auf: Über 7.600 gefälschte Pflege-Diplome wurden ausgestellt, rund 2.800 Empfänger bestanden damit sogar die staatlichen Examen.

Das sind Extremfälle. Aber sie stehen für ein Alltagsphänomen, das näher liegt, als man denkt.

Wie verbreitet Schummeln wirklich ist

Rund jeder dritte Lebenslauf im deutschsprachigen Raum enthält Unstimmigkeiten oder bewusst falsche Angaben. Am häufigsten wird bei Fähigkeiten und Kompetenzen übertrieben (knapp 79 % derjenigen, die zugeben, geschönt zu haben), gefolgt vom aktuellen Gehalt (rund 74 %), der Stellenbezeichnung (knapp 58 %) und dem Bildungsabschluss (rund 52 %).

Diese Zahlen zeigen nur, was Menschen zugeben. Der tatsächliche Anteil dürfte höher liegen, und auffallen tut das meiste ohnehin nur dort, wo strukturiert geprüft wird.

Warum die Einsätze 2026 höher sind als je zuvor

Zwei Entwicklungen verschärfen die Lage.

Erstens die künstliche Intelligenz. Fälschungen sind heute in Minuten generierbar, vom täuschend echten Zeugnis bis zum kompletten, erfundenen Online-Profil samt Foto. Marktbeobachter rechnen damit, dass in wenigen Jahren ein erheblicher Teil der Bewerberprofile zumindest teilweise manipuliert sein wird.

Zweitens das Innentäter-Risiko. Ein beträchtlicher Anteil der Sicherheitsvorfälle in Unternehmen geht auf Menschen mit legitimem Zugang zurück, also auf Personen, die einmal eingestellt wurden. Eine Fehlbesetzung ist teuer: Fachleute veranschlagen die Kosten im Schnitt auf einen erheblichen Anteil eines Jahresgehalts, bei Schlüsselpositionen ein Vielfaches davon.

Wer in dieser Lage gar nicht prüft, übernimmt bewusst ein Risiko, das sich mit überschaubarem Aufwand senken ließe. Das ist Risikomanagement, keine Übervorsicht.

Der rechtliche Boden hat sich verschoben

Jahrelang war § 26 Abs. 1 BDSG die zentrale Norm für den Umgang mit Beschäftigtendaten. Damit ist es vorbei.

Der Europäische Gerichtshof hat entschieden (Urteil vom 30. März 2023, C-34/21, bestätigt durch C-65/23 „Workday" vom 19. Dezember 2024), dass § 26 Abs. 1 S. 1 BDSG keine „spezifischere Vorschrift" im Sinne von Art. 88 DSGVO ist und damit nicht angewendet werden darf. Die Norm wiederholte im Kern nur die DSGVO, ohne eigene Schutzmaßnahmen zu schaffen.

Rechtsgrundlage ist heute unmittelbar Art. 6 Abs. 1 DSGVO. Für Hintergrundprüfungen zählen zwei Tatbestände:

• Lit. b (vorvertragliche Maßnahmen): die Basis für alles, was zur Eignungsabklärung im Bewerbungsverfahren erforderlich ist.
• Lit. f (berechtigtes Interesse): für tiefergehende Prüfungen bei besonderen Vertrauensstellungen, aber nur mit dokumentierter Interessenabwägung.

Ein eigenes Beschäftigtendatengesetz war Ende 2024 im Entwurf, wurde bislang aber nicht verabschiedet. Die Lage bleibt in Bewegung, unklar ist sie deshalb nicht.

Vier Felder, die Sie bedenkenlos prüfen dürfen

Die Faustregel: Zulässig ist, was tätigkeitsbezogen und verhältnismäßig ist.

1. Identität. Der Abgleich von Ausweis oder Pass gehört zur Vertragsanbahnung und ist über lit. b unproblematisch.

2. Frühere Anstellungen. Zeitraum, Position und Aufgabengebiet dürfen Sie bei ehemaligen Arbeitgebern verifizieren, vorausgesetzt, die Bewerbenden wissen vorab davon.

3. Abschlüsse und Zertifikate. Die Echtheit von Diplomen bei der ausstellenden Stelle zu prüfen, ist erlaubt und lohnt sich, denn genau hier tauchen die meisten Diskrepanzen auf. Oft reicht eine kurze Direktanfrage bei der Hochschule oder Kammer.

4. Berufliche Profile auf dafür gedachten Plattformen. Öffentlich einsehbare Profile auf LinkedIn oder Xing dürfen Sie sichten (Art. 6 Abs. 1 lit. f DSGVO). Diese Plattformen sind ausdrücklich für die berufliche Selbstdarstellung geschaffen, anders als private Social-Media-Kanäle.

Wer sich auf diese vier Felder beschränkt, prüft in aller Regel genug.

Wo es unzulässig und teuer wird

Tabu sind Nachforschungen zu Schwangerschaft, zu Vorstrafen ohne konkreten Tätigkeitsbezug und zu einer Schwerbehinderung in den ersten sechs Monaten, all das ist durch das Bundesarbeitsgericht klar abgesteckt. Bonitätsprüfungen sind nur bei Positionen mit echtem Vermögensbezug zulässig, etwa im Umgang mit Kasse, Treuhand oder auf Vorstandsebene.

Der Preis für Übergriffigkeit ist real: Nach § 22 AGG genügt bereits die Erhebung eines geschützten Merkmals als Indiz für eine Benachteiligung, die Beweislast kehrt sich dann um. § 15 AGG räumt abgelehnten Bewerbenden Entschädigungen von bis zu drei Bruttomonatsgehältern ein. Bei Führungspositionen ist man da schnell im fünfstelligen Bereich, pro Fall.

Der teuerste Denkfehler: die pauschale Einwilligung

Viele Unternehmen glauben, mit einer Einwilligungsklausel im Bewerbungsformular auf der sicheren Seite zu sein. Das Gegenteil ist der Fall.

Eine Einwilligung im Beschäftigungskontext ist juristisch heikel, weil zwischen Bewerber

und Arbeitgeber ein Machtgefälle besteht (Erwägungsgrund 43 und Art. 7 Abs. 4 DSGVO). Von echter Freiwilligkeit kann kaum die Rede sein, wenn jemand um den Job bangt. Belastbarer ist es, sich auf lit. b zu stützen, und nur dort, wo eine Prüfung darüber hinausgeht, eine dokumentierte Abwägung nach lit. f zu treffen.

Die eigentliche Lektion: nicht heimlich prüfen

Ein Fall aus Düsseldorf bringt es auf den Punkt. Ein Arbeitgeber hatte einen Bewerber gegoogelt und Treffer in die Auswahlentscheidung einfließen lassen, ohne ihn darüber zu informieren. Das Landesarbeitsgericht Düsseldorf sprach dem Bewerber 1.000 Euro Schadensersatz nach Art. 82 DSGVO zu (Urteil vom 10. April 2024, 12 Sa 1007/23), das Bundesarbeitsgericht bestätigte diese Linie (Urteil vom 5. Juni 2025, 8 AZR 117/24).

Der Maßstab war Art. 14 DSGVO: Werden Daten nicht bei der betroffenen Person selbst erhoben, muss diese über die Quelle informiert werden, auch dann, wenn die Daten öffentlich zugänglich sind.

Das ist die Kernbotschaft: Nicht das Prüfen ist verboten, sondern das Prüfen im Verborgenen. Ein klar formulierter Hinweis im Bewerbungsprozess (Art. 13/14 DSGVO) schafft Transparenz und senkt Ihr Haftungsrisiko drastisch. Aus meiner Erfahrung ist das der Schritt, der am häufigsten vergessen wird und der am wenigsten kostet.

Der unterschätzte Stolperstein: Daten ins Ausland

Sobald ein Dienstleister Daten außerhalb der EU verarbeitet, greift die Rechtsprechung aus „Schrems II". Dann brauchen Sie die Standardvertragsklauseln, ein dokumentiertes Transfer Impact Assessment und ergänzende Schutzmaßnahmen wie Verschlüsselung, dazu einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Für die USA existiert zwar seit 2023 ein Angemessenheitsrahmen, dessen politische Stabilität ist aber nicht garantiert. Klären Sie, wo Ihr Dienstleister tatsächlich verarbeitet. Eine europäische Datenhaltung spart Ihnen mehrere Schichten Aufwand.

Ihr Prüfprozess in sieben Schritten

1. Tätigkeitsbezug schriftlich definieren, welche Prüfung für welche Position, festgehalten in einer internen Richtlinie.
2. Rechtsgrundlage pro Schritt benennen, lit. b oder lit. f? Bei lit. f die Abwägung dokumentieren.
3. Datensparsam bleiben, nur erheben, was tätigkeitsrelevant ist, im Zweifel weniger.
4. Vorab und transparent informieren, Hinweis nach Art. 13/14 DSGVO, verständlich, nicht im Kleingedruckten.
5. Quellen bewusst begrenzen, berufliche Plattformen, ehemalige Arbeitgeber, Aussteller. Private Profile bleiben außen vor.
6. Dienstleister sauber vertraglich binden, AV-Vertrag nach Art. 28, bei Auslandstransfer zusätzlich SCC und TIA.
7. Dokumentieren und fristgerecht löschen, Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO, in der Regel etwa sechs Monate nach Absage.

Mein Fazit: Sorgfalt und Datenschutz ziehen am selben Strang

Die Debatte wird oft geführt, als müsste man sich zwischen gründlicher Auswahl und Datenschutz entscheiden. Diese Gegenüberstellung ist falsch. Ein sauberer Prüfprozess schützt das Unternehmen vor Fehlbesetzungen, Reputationsschäden und Innentäter-Risiken, und er schützt zugleich die ehrlichen Bewerbenden davor, gegen jene den Kürzeren zu ziehen, die ihren Lebenslauf frisieren. Der rechtliche Rahmen ist dabei kein Hindernis, sondern ein Geländer.