Background Checks in Österreich: Rechtliche Grundlagen für Arbeitgeber

Österreichische Arbeitgeber setzen zunehmend auf Background Checks, um Qualifikationen zu verifizieren, Einstellungsrisiken zu mindern und sektoralen Sorgfaltspflichten nachzukommen. Österreich wendet die DSGVO jedoch neben nationalen Instrumenten wie dem Datenschutzgesetz (DSG) und dem Arbeitsvertragsrechts-Anpassungsgesetz (AVRAG) an, die gemeinsam bestimmen, was erhoben werden darf, von wem und auf welcher Rechtsgrundlage. Dieser Artikel skizziert die rechtlichen Grundlagen in einem praktischen Schritt-für-Schritt-Format für HR- und Compliance-Teams in Österreich.

Rechtsrahmen im Überblick

Für Pre-Employment Screening in Österreich sind drei Ebenen relevant:

• DSGVO: Unmittelbar anwendbar. Sie regelt die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, die Grundsätze nach Art. 5 und die Rechte von Bewerbern.
• Datenschutzgesetz (DSG): Das nationale Datenschutzgesetz Österreichs, das die DSGVO ergänzt und bestimmte verfahrensrechtliche Aspekte präzisiert, darunter die Rolle des Datenschutzrates und Regelungen zu Datenübermittlungen.
• Arbeitsrechtliche Instrumente: AVRAG, das Angestelltengesetz (AngG) und das Allgemeine Bürgerliche Gesetzbuch (ABGB) definieren Zeugnispflichten, Probezeitregelungen und die Grenzen dessen, was ein Arbeitgeber von Bewerbern oder Vorarbeitgebern erfragen darf.

Sektorspezifische Vorschriften können weitere Anforderungen stellen, beispielsweise für Kreditinstitute unter dem Bankwesengesetz (BWG) oder für wesentliche und wichtige Einrichtungen nach der österreichischen Umsetzung der NIS-Richtlinie (Netz- und Informationssystemsicherheitsgesetz, NISG).

Schritt 1: Legitimen Zweck definieren

Bevor Daten erhoben werden, ist der konkrete Zweck der Überprüfung zu definieren. Ein generisches „wir möchten mehr über den Bewerber wissen“ genügt nicht nach Art. 5 Abs. 1 lit. b DSGVO.

Typische legitime Zwecke im österreichischen Kontext umfassen:

• Verifizierung von Identität und Arbeitsberechtigung.
• Bestätigung beruflicher Qualifikationen und Registrierungen (etwa bei reglementierten Berufen).
• Beurteilung der Integrität für Positionen mit Treuhandpflichten oder Zugang zu sensiblen Vermögenswerten.
• Erfüllung gesetzlicher Zuverlässigkeitsanforderungen im Finanzdienstleistungssektor.

Der Zweck muss dokumentiert und mit der konkreten Stelle verknüpft sein. Eine pauschale Überprüfung aller Bewerber unabhängig von der Position lässt sich schwer rechtfertigen.

Schritt 2: Datenminimierung und Erforderlichkeit anwenden

Art. 5 Abs. 1 lit. c DSGVO verlangt, dass Daten angemessen, sachlich relevant und auf das Notwendige beschränkt sind. In Österreich wird dies durch das Grundrecht auf Geheimhaltung nach § 1 DSG verstärkt, das auch private Verantwortliche unmittelbar bindet. In der Praxis bedeutet dies:

• Eine Lagerkraft erfordert keine finanzielle Zuverlässigkeitsprüfung.
• Ein CFO-Bewerber rechtfertigt eine eingehendere Prüfung als eine temporäre Verwaltungsposition.
• Anforderungen einer Strafregisterbescheinigung sollten auf Positionen beschränkt bleiben, in denen eine unbescholtene Strafregisterbescheinigung eine genuine berufliche Anforderung darstellt (etwa Zugang zu schutzbedürftigen Personen, Treuhandfunktionen). Bei Tätigkeiten mit Kontakt zu Minderjährigen ist die engere Strafregisterbescheinigung Kinder- und Jugendfürsorge nach § 10 StRegG 1968 das einschlägige Instrument; sie weist nur kinderschutzrelevante Verurteilungen aus und ist der vollständigen Bescheinigung vorzuziehen.

Die Erforderlichkeit wird anhand des Stellenprofils beurteilt, nicht am allgemeinen Risikoappetit des Arbeitgebers. Wenn dieselbe Einstellungsentscheidung mit weniger Daten sachgerecht getroffen werden kann, sind die zusätzlichen Daten nicht erforderlich.

Schritt 3: Zulässige Informationsquellen wählen

In der österreichischen Praxis werden mehrere Quellkategorien unterschieden, jeweils mit eigenen rechtlichen Merkmalen.

Vom Bewerber eingereichte Unterlagen. Der Bewerber kann Lebenslauf, Diplome, Zertifikate und eine aktuelle Strafregisterbescheinigung vorlegen, ausgestellt von der Landespolizeidirektion und erhältlich bei jeder Gemeinde bzw. jedem Magistrat oder jeder Polizeidienststelle. Die Selbstauskunft ist in der Regel der am wenigsten eingriffsintensive Weg.

Dienstzeugnis (Arbeitszeugnis). Nach § 39 AngG (für Angestellte) und § 1163 ABGB (allgemein) sind frühere Arbeitgeber auf Anforderung verpflichtet, ein schriftliches Zeugnis über Art und Dauer der Beschäftigung auszustellen. Nach § 39 Abs. 2 AngG darf es keine Eintragungen enthalten, die dem Dienstnehmer die Erlangung einer neuen Stelle erschweren; das österreichische Dienstzeugnis ist ein einfaches Zeugnis und enthält keine Leistungs- oder Verhaltensbeurteilung, sofern der Dienstnehmer eine solche nicht verlangt. Direkter Kontakt zwischen künftigem und bisherigem Arbeitgeber ohne Wissen des Bewerbers ist nicht der Standardweg und wirft datenschutzrechtliche Bedenken auf.

Öffentliche Register. Das Firmenbuch unterstützt die Verifizierung früherer Geschäftsführungsmandate. Daten zu wirtschaftlich Berechtigten liegen in einem gesonderten Register, dem Register der wirtschaftlichen Eigentümer nach dem WiEReG, geführt vom Bundesministerium für Finanzen; seit den EuGH-Urteilen in den verbundenen Rechtssachen C-37/20 und C-601/20 ist es nicht mehr allgemein öffentlich zugänglich und taugt daher nicht als Routine-Screeningquelle. Berufsregister (etwa für Rechtsanwälte, Wirtschaftsprüfer, Arztberufe) bestätigen die aktuelle Zulassung.

Sanktions- und Adverse-Media-Screening. Die Prüfung gegen EU- und nationale Sanktionslisten sowie strukturierte Adverse-Media-Quellen ist bei leitenden und regulierten Positionen gängige Praxis. Ergebnisse müssen vor einer Entscheidung durch eine Person überprüft werden.

AMS-Kontext. Wurde ein Bewerber über das Arbeitsmarktservice (AMS) vermittelt, können bestimmte vermittlungsbezogene Informationen bereits über den AMS-Prozess an den künftigen Arbeitgeber gelangen. Dies begründet jedoch keine allgemeine Befugnis, darüber hinausgehende Hintergrunddaten zu erheben.

Schritt 4: Bewerber informieren und Einwilligung einholen, wo erforderlich

Transparenz nach Art. 13 und 14 DSGVO ist verpflichtend. Bewerber sollten eine klare Datenschutzerklärung erhalten, die Folgendes beschreibt:

• den Verantwortlichen und etwaige Auftragsverarbeiter;
• die Kategorien erhobener Daten;
• die verwendeten Quellen;
• Zweck und Rechtsgrundlage für jeden Verarbeitungsschritt;
• Aufbewahrungsfristen;
• die Rechte des Bewerbers, einschließlich Auskunft, Berichtigung und Löschung.

Die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) ist eine mögliche Rechtsgrundlage, ihre Gültigkeit im Beschäftigungskontext ist jedoch wegen des Machtgefälles eingeschränkt. Sofern sie genutzt wird, muss sie freiwillig, spezifisch, informiert und widerruflich sein. Für viele Überprüfungen ist eine passendere Grundlage Art. 6 Abs. 1 lit. b (Schritte vor Vertragsschluss) oder Art. 6 Abs. 1 lit. f (berechtigte Interessen), gestützt auf eine dokumentierte Interessenabwägung.

Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – wie Gesundheitsdaten oder Gewerkschaftszugehörigkeit – sind die Hürden höher, und solche Daten sollten vor einer Angebotserstellung grundsätzlich nicht erhoben werden. Daten über strafrechtliche Verurteilungen und Straftaten unterliegen einer gesonderten, strengeren Regel: Art. 10 DSGVO erlaubt die Verarbeitung nur unter behördlicher Aufsicht oder wenn das Unionsrecht bzw. das Recht der Mitgliedstaaten dies mit geeigneten Garantien zulässt. In Österreich erfolgt diese Zulassung durch § 4 Abs. 3 DSG — und genau deshalb ist die vom Bewerber selbst vorgelegte Strafregisterbescheinigung, nicht eine arbeitgeberseitige Registerabfrage, der Regelweg.

Schritt 5: Verarbeitung dokumentieren

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass der Arbeitgeber die Einhaltung nachweisen kann. Führen Sie Folgendes:

• ein Verarbeitungsverzeichnis, das den Screening-Ablauf abdeckt;
• die Zweckdefinition für jede Rollenkategorie;
• die Rechtsgrundlagenanalyse, einschließlich einer etwaigen Interessenabwägung;
• Einwilligungsnachweise, sofern die Einwilligung genutzt wird;
• einen Löschplan, der an das Einstellungsergebnis gekoppelt ist.

Die Dokumentation sollte verhältnismäßig sein. Ein kleiner Arbeitgeber muss nicht die Governance-Struktur einer regulierten Bank replizieren, aber die Kernelemente müssen vorhanden und abrufbar sein.

Schritt 6: Ergebnisse und negative Befunde behandeln

Wenn das Screening negative Informationen liefert, muss der Arbeitgeber:

• Den Treffer verifizieren. Namen und Geburtsdaten können zu Fehltreffern führen, insbesondere bei Sanktions- und Adverse-Media-Screening.
• Eine menschliche Überprüfung vor jeder Entscheidung anwenden. Automatisierte Entscheidungen mit rechtlicher oder vergleichbar weitreichender Wirkung sind nach Art. 22 DSGVO eingeschränkt.
• Dem Bewerber eine Gelegenheit zur Stellungnahme geben, wenn die Information die Einstellungsentscheidung beeinflussen kann, im Einklang mit Art. 22 Abs. 3 DSGVO, der der betroffenen Person das Recht einräumt, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten.
• Nur das Notwendige aufbewahren. Wird ein Bewerber nicht eingestellt, sollten Screening-Daten nach einer definierten Frist gelöscht werden, es sei denn, eine längere Aufbewahrung ist gerechtfertigt (etwa Dokumentation einer abgelehnten Bewerbung im Falle einer Diskriminierungsklage nach dem Gleichbehandlungsgesetz).

Praktische Checkliste

Häufige Fallstricke im österreichischen Kontext

Zu weit gefasste Einwilligungserklärungen. Eine einzige Einwilligungsklausel für „alle Background Checks“ erfüllt den Standard des spezifischen und informierten Einverständnisses kaum. Sofern die Einwilligung als Rechtsgrundlage gewählt wird, sollte sie in einzelne, zweckbezogene Punkte aufgegliedert werden.

Inoffizielle Referenzanrufe. Die direkte Kontaktaufnahme mit einem früheren Arbeitgeber ohne Wissen des Bewerbers verarbeitet personenbezogene Daten ohne klare Rechtsgrundlage und birgt das Risiko einer Verletzung der Verschwiegenheitspflicht des früheren Arbeitgebers.

Strafregisterbescheinigung als allgemeines Screening-Instrument. Eine unbescholtene Strafregisterbescheinigung ist nur relevant, wenn die Stelle dies tatsächlich erfordert. Die routinemäßige Anforderung für jede Position schwächt das Erforderlichkeitsargument.

Grenzüberschreitende Sachverhalte ignorieren. Hat der Bewerber in anderen DACH-Rechtsräumen oder außerhalb des EWR gearbeitet, gelten die Übermittlungsregeln nach Kapitel V DSGVO. Das österreichische DSG setzt diese Pflichten nicht außer Kraft.

Vertrauen auf automatisierte Adverse-Media-Treffer. Medienberichte können unzutreffend, veraltet oder auf eine andere Person bezogen sein. Eine menschliche Überprüfung muss Relevanz und Zuverlässigkeit prüfen, bevor Konsequenzen folgen.

Wie Indicium österreichische Arbeitgeber unterstützt

Indicium Technologies AG bietet registerbasierte Verifizierung, UBO- und Sanktions-Screening sowie strukturierte Adverse-Media-Prüfung für DACH-Arbeitgeber, einschließlich solcher, die in Österreich einstellen. Jedes Screening-Ergebnis wird vor der Auslieferung von einem menschlichen Analysten geprüft, wodurch Arbeitgeber bei der Anwendung von Erforderlichkeit, Richtigkeit und Fairness in ihren Einstellungsprozessen unterstützt werden. Der Arbeitgeber bleibt verantwortlich für die Rechtsgrundlage, die Zweckdefinition und die finale Einstellungsentscheidung.

Dieser Artikel informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.