Background Check und DSGVO: Was Arbeitgeber in DACH prüfen dürfen
Nabil el Berr11.8.2026
Rechtssicheres Pre-Employment Screening in Deutschland, Österreich und der Schweiz
Inhalt
- Rechtssichere Background Checks sind kein Hexenwerk
- Was ist ein Background Check im Bewerbungsprozess?
- Welche Rechtsgrundlage erlaubt Background Checks?
- Was dürfen Arbeitgeber in DACH konkret prüfen?
- Welche Informationspflichten gelten dabei?
- Was gilt in Deutschland, Österreich und der Schweiz?
- Wie setzt du Background Checks rechtssicher um?
- Praxisbeispiel: CFO-Besetzung mit digitalem Screening
- Fazit: Compliance ist ein Feature, kein Hindernis
Das Wichtigste in Kürze
- Background Checks sind nach der DSGVO legal, solange sie verhältnismäßig, tätigkeitsbezogen und für Bewerber*innen transparent sind.
- Berufsbezogene Netzwerke wie LinkedIn sind als Datenquelle zulässig, während private Social-Media-Profile strikt tabu bleiben.
- Die rechtliche Grundlage basiert primär auf vorvertraglichen Maßnahmen und berechtigtem Interesse direkt aus Art. 6 DSGVO.
- Automatisierte Software-Lösungen garantieren rechtssichere Prozesse durch eingebaute Transparenz, Dokumentation und fristgerechte Datenlöschung.
Rechtssichere Background Checks sind kein Hexenwerk
Kaum ein Thema sorgt in HR-Abteilungen für so viel Unsicherheit wie das Stichwort Background Check DSGVO. Darf ich Bewerber*innen googeln? Darf ich Referenzen einholen? Und was passiert, wenn die Datenschutzaufsicht anklopft? Als Anwalt und Geschäftsführer eines Schweizer Anbieters für digitale Background Checks erlebe ich beide Seiten: die berechtigte Vorsicht der Unternehmen – und die falsche Annahme, Pre-Employment Screening sei in der DACH-Region praktisch verboten. Das Gegenteil ist der Fall: Wer die Spielregeln kennt, kann Bewerber*innen umfassend und rechtssicher prüfen. Und das Beste daran: Einen Großteil der regulatorischen Anforderungen – Datensparsamkeit, Informationspflichten, Löschfristen, Dokumentation – kann heute Software zuverlässiger erfüllen als jeder manuelle Prozess. In diesem Artikel erkläre ich, was erlaubt ist, wo die Grenzen liegen und wie du Background Checks so aufsetzt, dass sie einer Prüfung standhalten.
Die Zahlen sprechen eine klare Sprache: Lebenslauf-Schönungen sind kein Randphänomen. Studien gehen seit Jahren davon aus, dass ein erheblicher Teil aller Bewerbungsunterlagen geschönte oder falsche Angaben enthält – von erfundenen Abschlüssen bis zu verschwiegenen Insolvenzverfahren. Gleichzeitig steigen die Anforderungen: Wer im Finanzsektor, in kritischer Infrastruktur oder in Führungspositionen einstellt, muss Sorgfaltspflichten nachweisen können. Ein sauber aufgesetzter Background Check ist deshalb längst keine Misstrauenserklärung mehr, sondern Teil einer professionellen Recruiting-Strategie. Die entscheidende Frage ist nicht ob, sondern wie – und genau hier kommt die DSGVO ins Spiel.
Was ist ein Background Check im Bewerbungsprozess?
Ein Background Check – auch Pre-Employment Screening genannt – ist die systematische Überprüfung von Angaben und Hintergründen einer Bewerberin oder eines Bewerbers vor der Einstellung. Typische Bausteine sind die Verifikation von Ausbildungs- und Arbeitszeugnissen, der Referenzcheck bei früheren Arbeitgebern, die Prüfung öffentlich zugänglicher Register (etwa Handelsregister, Insolvenzregister oder Sanktionslisten) sowie die Auswertung öffentlich verfügbarer Online-Quellen.
Wichtig ist die Abgrenzung: Ein professioneller Background Check ist keine Detektivarbeit und kein Ausforschen des Privatlebens. Er ist eine anlassbezogene, tätigkeitsbezogene Prüfung, die immer eine Frage beantwortet: Ist diese Person für diese konkrete Position geeignet? Alles, was diese Frage nicht beantwortet, gehört nicht in den Check. Dieses Prinzip der Datensparsamkeit im Recruiting ist nicht nur eine rechtliche Pflicht, sondern auch der beste Qualitätsmaßstab: Ein guter Check ist tief, wo es die Position verlangt – und blind, wo sie es nicht tut.
Welche Rechtsgrundlage erlaubt Background Checks?
Hier hat sich zuletzt Grundlegendes getan, und viele HR-Abteilungen arbeiten noch mit veraltetem Wissen. Jahrelang war in Deutschland § 26 BDSG die Standardantwort auf die Frage nach der Rechtsgrundlage für einen Background Check. Der Europäische Gerichtshof hat dann in der Rechtssache C-65/23 („Workday", Dezember 2024) entschieden, dass § 26 Abs. 1 S. 1 BDSG den Anforderungen an eine „spezifischere Vorschrift" nach Art. 88 DSGVO nicht genügt. Die praktische Konsequenz: Die Rechtsgrundlage für Background Checks ergibt sich heute unmittelbar aus der DSGVO selbst.
Meine Einschätzung als Jurist: Das ist für Arbeitgeber keine schlechte Nachricht – im Gegenteil, es schafft Klarheit. Drei Rechtsgrundlagen tragen in der Praxis:
- Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen): Die Prüfung von Angaben, die Bewerber*innen selbst gemacht haben – Zeugnisse, Stationen im Lebenslauf, Qualifikationen – dient der Entscheidung über den Vertragsschluss. Das ist die tragfähigste Grundlage für den Kern des Screenings.
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Für darüber hinausgehende Prüfungen, etwa die Recherche in öffentlichen Registern oder berufsbezogenen Netzwerken, braucht es eine dokumentierte Interessenabwägung. Je sensibler die Position, desto mehr wiegt das Prüfinteresse.
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die Einwilligung der Bewerber*innen nach DSGVO ist im Bewerbungskontext heikel, weil ihre Freiwilligkeit wegen des Machtgefälles angezweifelt werden kann. Für bestimmte Bausteine – klassisch der Referenzcheck beim früheren Arbeitgeber – ist sie aber etabliert und sinnvoll.
Die Rechtsgrundlage für den Background Check ist also kein Blocker. Sie verlangt aber, dass du vor dem Check definierst, was du warum prüfst – und das dokumentierst.
Was dürfen Arbeitgeber in DACH konkret prüfen?
Bildunterschrift
Die Faustregel lautet: erlaubt ist, was tätigkeitsbezogen und verhältnismäßig ist. Konkret heißt das:
Unproblematisch sind in aller Regel die Verifikation von Abschlüssen und Zeugnissen, die Prüfung der im Lebenslauf angegebenen Stationen, öffentlich zugängliche Unternehmens- und Registerdaten (Handelsregister, Insolvenzbekanntmachungen) sowie Sanktions- und PEP-Listen bei entsprechend regulierten Positionen.
Anlassbezogen zulässig sind Bonitätsauskünfte (nur bei Positionen mit besonderer Finanzverantwortung), Führungszeugnisse bzw. Strafregisterauszüge (nur, wenn die Tätigkeit es rechtfertigt – dazu unten mehr) und der Referenzcheck bei Bewerber*innen, für den du dir vorab die Zustimmung holst.
Tabu sind Gesundheitsdaten, Informationen über Schwangerschaft, Religionszugehörigkeit, sexuelle Orientierung oder Gewerkschaftsmitgliedschaft – Art. 9 DSGVO setzt hier enge Grenzen. Und beim Social Media Screening von Bewerber*innen gilt eine Trennlinie, die ich für die wichtigste des ganzen Themas halte: Berufsbezogene Netzwerke wie LinkedIn oder Xing dürfen ausgewertet werden, denn dort präsentieren sich Menschen bewusst beruflich. Private Profile auf Instagram, Facebook oder TikTok sind hingegen grundsätzlich off-limits – selbst wenn sie öffentlich einsehbar sind. Öffentlich zugänglich heißt nicht frei verwertbar.
Welche Informationspflichten gelten dabei?
Der häufigste Fehler im Umgang mit Bewerberdaten nach DSGVO ist nicht, dass zu viel geprüft wird – sondern dass heimlich geprüft wird. Die Verordnung verlangt Transparenz: Nach Art. 13 und 14 DSGVO müssen Bewerber*innen wissen, dass ein Background Check stattfindet, welche Datenkategorien aus welchen Quellen geprüft werden, auf welcher Rechtsgrundlage das geschieht, wer die Prüfung durchführt und wie lange die Daten gespeichert werden.
In der Praxis löst du das mit einem sauberen Informationsblatt, das Kandidat*innen vor Beginn des Checks erhalten – idealerweise direkt integriert in den Bewerbungsprozess, etwa über dein Bewerbermanagement-System. Dazu kommen die klassischen Betroffenenrechte: Auskunft, Berichtigung, Löschung. Und eine oft übersehene Pflicht: Nach Abschluss des Verfahrens müssen die Daten abgelehnter Kandidat*innen nach angemessener Frist gelöscht werden – üblich sind je nach Land vier bis sechs Monate. Genau solche Fristen sind übrigens ein Paradebeispiel dafür, was Software heute besser kann als jede manuelle Wiedervorlage.
Was gilt in Deutschland, Österreich und der Schweiz?
Bildunterschrift
Die drei Märkte sind sich näher, als viele denken – mit relevanten Unterschieden im Detail:
Deutschland: Nach dem Workday-Urteil gilt unmittelbar Art. 6 DSGVO (siehe oben). Das polizeiliche Führungszeugnis darf nur verlangt werden, wenn die Position es rechtfertigt – etwa bei Tätigkeiten mit Vermögensverantwortung oder dem Umgang mit Schutzbefohlenen. Ein geplantes eigenständiges Beschäftigtendatengesetz wurde bislang nicht verabschiedet; bis dahin bleibt die DSGVO der Maßstab.
Österreich: Es gilt die DSGVO plus nationales Datenschutzgesetz. Bemerkenswert: Die österreichische Praxis steht der Einwilligung als Grundlage für Strafregisterabfragen besonders kritisch gegenüber, weil die Freiwilligkeit im Bewerbungsverhältnis bezweifelt wird. Der Strafregisterauszug darf nur verlangt werden, wenn die Tätigkeit es erfordert – und statt der Kopie genügt ein Aktenvermerk „geprüft, keine Beanstandung". Gelebte Datensparsamkeit.
Schweiz: Hier gilt seit September 2023 das revidierte Datenschutzgesetz (nDSG), das sich stark an die DSGVO anlehnt. Art. 328b OR begrenzt die Datenbearbeitung auf das, was die Eignung für das Arbeitsverhältnis betrifft. Den Strafregisterauszug können nur die Betroffenen selbst bestellen; Referenzauskünfte setzen die ausdrückliche Zustimmung der Bewerber*innen voraus. Für international rekrutierende Unternehmen heißt das: Ein einheitlicher, DSGVO-konformer Prozess deckt in der Regel auch nDSG und österreichisches Recht ab – wenn er auf dem strengsten gemeinsamen Nenner aufsetzt.
Wie setzt du Background Checks rechtssicher um?
Hier wird es praktisch – und hier bin ich Techno-Optimist. Vor fünf Jahren bedeutete ein rechtssicherer Background Check: Anwält*innen, Checklisten, Excel-Listen mit Löschfristen und viel Hoffnung, dass niemand etwas vergisst. Heute lassen sich die zentralen Compliance-Anforderungen direkt in Software abbilden. Mein Vorgehen in fünf Schritten:
- Positionsprofile definieren: Lege je Rollentyp fest, welche Prüfmodule verhältnismäßig sind – Standardrolle, Finanzverantwortung, Führungsposition. Das ist deine dokumentierte Interessenabwägung.
- Transparenz in den Prozess einbauen: Information und – wo nötig – Einwilligung der Kandidat*innen gehören an den Anfang des Prozesses, nicht ans Ende. Moderne Recruiting-Software und Tools aus der Kategorie Recruiting-Automation bilden das direkt in der Candidate Journey ab.
- Nur zulässige Quellen anbinden: Spezialisierte Background-Check-Tools prüfen ausschließlich rechtlich zulässige, tätigkeitsbezogene Quellen – und lassen private Social-Media-Profile technisch außen vor. Was das System nicht abfragt, kann kein*e Recruiter*in versehentlich verwerten. Compliance by Design schlägt jede Schulung. Wir haben unsere eigene Plattform, den Indicium Digital Analyst von Indicium Technologies, von Grund auf nach diesem Prinzip gebaut: Jede Quelle ist juristisch geprüft, jede Abfrage protokolliert, jeder Report nach dem Prinzip der Datensparsamkeit aufgebaut.
- Dokumentation automatisieren: Rechtsgrundlage, Zeitpunkt, Prüfumfang und Ergebnis jedes Checks gehören in ein revisionssicheres Protokoll. Bei einer Anfrage der Aufsichtsbehörde ist das der Unterschied zwischen einem Nachmittag und mehreren Wochen Aufwand.
Wer noch tiefer einsteigen will: Auch bei angrenzenden Themen wie der Bewerbung per WhatsApp und dem Datenschutz gelten dieselben Grundprinzipien – Transparenz, Zweckbindung, Datensparsamkeit.
Praxisbeispiel: CFO-Besetzung mit digitalem Screening
Ein typischer Fall aus unserer Praxis (Details verfremdet): Ein Mittelständler mit rund 800 Mitarbeitenden besetzt die CFO-Position. Der favorisierte Kandidat überzeugt im Gespräch, die Zeugnisse wirken makellos. Vor der Vertragsunterschrift beauftragt das Unternehmen einen strukturierten Background Check: Der Kandidat wird vorab schriftlich informiert, willigt in den Referenzcheck ein, und die Prüfung läuft softwaregestützt über definierte Module – Identität, Werdegang, Handelsregister, Insolvenzregister, Sanktionslisten, berufsbezogene Online-Präsenz.
Das Ergebnis: Zwei angegebene Führungsstationen waren real, aber deutlich kürzer als im Lebenslauf dargestellt – und eine frühere Geschäftsführertätigkeit endete zeitgleich mit einem Insolvenzverfahren der Gesellschaft, das im Lebenslauf nicht auftauchte. Beides stammte aus öffentlich zugänglichen, rechtlich einwandfrei nutzbaren Quellen. Der gesamte Check dauerte drei Werktage, jede Abfrage war protokolliert, der Kandidat erhielt auf Wunsch Einsicht in die Ergebnisse.
Meine Einordnung: Das Beispiel zeigt, worum es wirklich geht. Kein Schnüffeln, keine Grauzonen – sondern die Verifikation entscheidungsrelevanter, berufsbezogener Fakten mit sauberer Rechtsgrundlage und vollständiger Transparenz. Genau diese Kombination macht den Unterschied zwischen einem Risiko und einem Qualitätsinstrument. Und sie ist heute für jedes Unternehmen zugänglich, nicht nur für Konzerne mit eigener Rechtsabteilung.
Fazit: Compliance ist ein Feature, kein Hindernis
Meine Kernbotschaft nach vielen Jahren an der Schnittstelle von Recht und Technologie: Die DSGVO verbietet Background Checks nicht – sie professionalisiert sie. Tätigkeitsbezug, Transparenz und Datensparsamkeit sind keine bürokratischen Hürden, sondern die Merkmale eines guten Screenings. Und der Großteil dieser Anforderungen lässt sich heute technisch lösen: Zulässige Quellen, automatische Protokollierung, erzwungene Löschfristen und integrierte Informationspflichten machen den rechtssicheren Check vom Projekt zum Standardprozess.
Mein Ausblick: Die Regulierung wird eher zunehmen – in Deutschland steht ein Beschäftigtendatengesetz weiter im Raum, und die Anforderungen an Sorgfaltsprüfungen wachsen branchenübergreifend. Unternehmen, die ihre Prüfprozesse jetzt sauber digitalisieren, verwandeln kommende Regulierung von einem Risiko in einen Wettbewerbsvorteil: Sie können jederzeit nachweisen, dass sie genau das prüfen, was sie prüfen dürfen – nicht mehr und nicht weniger. Das schützt nicht nur das Unternehmen, sondern auch die Bewerber*innen. Und genau so sollte modernes Recruiting funktionieren.
Autor*In
Nabil el Berr
Nabil el Berr ist Rechtsanwalt und Geschäftsführer der INDICIUM Technologies AG mit Sitz in der Schweiz. Mit dem Indicium Digital Analyst (IDA) hat INDICUM eine Software-Plattform entwickelt, die Background Checks und Compliance-Prüfungen DSGVO-konform automatisiert. An der Schnittstelle von Recht und Technologie berät er Unternehmen in der DACH-Region dabei, Pre-Employment Screening rechtssicher und effizient aufzusetzen. Mehr unter indicium.ag.
