Die Prüfmatrix sagt: Für diese Rolle gibt es Führungszeugnis und Bonitätsprüfung. Dann kommt die Frage, die das Meeting stoppt: Dürfen wir das für diese Rolle tatsächlich durchführen — in Deutschland? ISO 27001 A.6.1 antwortet mit seiner Verhältnismäßigkeitsklausel — Prüfungen sind begrenzt durch geltendes Recht, Vorschriften und Ethik —, woraus sich für jede Zulässigkeitsfrage dieselbe ehrliche ISO-Antwort ergibt: „Fragen Sie zuerst das deutsche Recht.“ Dieser Leitfaden tut das pro Prüfkategorie: Identität, Qualifikationen, Beschäftigungshistorie, Referenzen, Führungszeugnis, Bonität, Sanktionen und Adverse Media, Social Media — jeweils mit Rechtsgrundlage, Verhältnismäßigkeitsprüfung und dem, was zu dokumentieren ist. Die Mechanik der Rechtsgrundlagen steht im DSGVO-/BDSG-Grundlagen-Überblick; dieser Leitfaden ist die Entscheidungsschicht darüber.
ISO setzt das Fundament, deutsches Recht die Grenze
A.6.1 verlangt Prüfungen vor Beschäftigungsbeginn und Risikoproportionalität — das ist das Fundament. Das deutsche Recht setzt die Grenze: § 26 BDSG erlaubt die Verarbeitung personenbezogener Daten Beschäftigter nur, soweit sie für das Beschäftigungsverhältnis erforderlich ist (eine Norm, deren eigenständiger Charakter seit dem CJEU-Urteil C-34/21 bezweifelt wird — tragend ist die pro Check dokumentierte Erforderlichkeit), § 7 AGG verbietet Diskriminierung, und das Betriebsverfassungsrecht macht Teile des Screening-Prozesses mitbestimmungspflichtig: §§ 94, 95 BetrVG für Fragebögen und Auswahlrichtlinien, § 87 Abs. 1 Nr. 6 BetrVG für technische Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen sollen. Die Prioritätsregel lautet damit für jeden Check mechanisch: Erlaubt das deutsche Recht die Prüfung für diese Rolle nicht, ist es gleichgültig, ob die SoA sie aufführt oder der Auditor sie erwartet — die Kontrolle wird durch ein dokumentiertes, rechtmäßiges Programm erfüllt, nicht durch eine unrechtmäßige Prüfung. Konsequent angewendet macht diese Regel auch die Prüfmatrix prüffähig: Jede Zelle ist entweder für die Rolle rechtmäßig oder mit Begründung als out of scope markiert.
Die Entscheidungstabelle pro Check
| Prüfkategorie | Rechtsgrundlage | Typische Auslöserrollen | Verhältnismäßigkeit | Dokumentiert wird |
|---|---|---|---|---|
| Identität | § 26 BDSG Erforderlichkeit | Jede im Scope | Verifizieren, nicht mehr einsammeln | Prüfnote Identität |
| Qualifikationen | § 26 BDSG Erforderlichkeit | Jede im Scope | Nur jobspezifische Abschlüsse und Zertifikate | Verifikationsergebnis |
| Beschäftigungshistorie | § 26 BDSG Erforderlichkeit | Alle Rollen, Tiefe je Tier | Plausibilität statt Überwachung | CV-Prüfnote |
| Referenzen | Einwilligung (§ 26 Abs. 2 BDSG) | Erweiterte und privilegierte Tiers | Rollenrelevant, aktuelle Referenzgeber | Referenznotizen |
| Führungszeugnis | § 30 BZRG (einfach); § 30a BZRG (erweitert) | Vertrauenskritische Rollen | Erforderlichkeit nach § 26; erweitert nur bei gesetzlicher Verweisung | Zeugnis + Notwendigkeitsnotiz |
| Bonität | Einwilligung nach § 26 Abs. 2 BDSG | Nur finanzkritische Rollen | Unmittelbarer Geld- und Zahlungszugriff | Einwilligung + Entscheidungsnotiz |
| Sanktionen, PEP, Adverse Media | Art. 6 Abs. 1 DSGVO (c)/(f); Sanktionsrecht, soweit anwendbar | Regulierte und Risikorollen | Erforderlichkeit pro Rolle; Treffer menschlich prüfen | Screenergebnis + Prüfnotiz |
| Social Media | § 26 BDSG, eng | Selten verhältnismäßig | Nur Berufsnetzwerke, soweit arbeitsrelevant | Suchumfang + Ergebnisnotiz |
Die Tabelle ist die Abkürzung; die Abschnitte unten erklären die Wertungsentscheidung jeder Zeile — denn nach dieser wird gefragt, beim Datenschutzbeauftragten, beim Betriebsrat und, wenn es darauf ankommt, vor Gericht.
Identität, Qualifikationen, Beschäftigungshistorie: die sichere Grundlinie
Diese drei sind für nahezu jede im Scope liegende Rolle vertretbar — deshalb bilden sie das Standard-Tier der Matrix. Die Identitätsprüfung ist die unstrittigste Prüfung überhaupt: Der Arbeitgeber darf verifizieren, wen er beschäftigt; der Dokumentationsstandard lautet „verifizieren, nicht mehr einsammeln“ — eine Prüfnote, dass die Identität geprüft wurde, keine Kopie jedes Belegdokuments. Qualifikationen folgen dem Job: Abschlüsse und Zertifikate, die die Rolle erfordert, dürfen verifiziert werden; der Hobby-Führerschein von vor fünf Jahren nicht. Die Beschäftigungshistorie ist eine Plausibilitätsprüfung, keine Überwachung: Lücken und Überschneidungen werden markiert, die Kandidatin oder der Kandidat darf erklären, und die Notiz hält fest, was gefragt und geantwortet wurde. Die Erforderlichkeit wird pro Rollenkategorie einmalig in der Matrix dokumentiert, nicht pro Einstellung neu begründet.
Führungszeugnis: wann es standhält
Das Führungszeugnis ist der klassische A.6.1-Check für vertrauenskritische Rollen — und der klassische Fehlgriff außerhalb von ihnen. Der Rechtsrahmen: Das einfache Führungszeugnis nach § 30 BZRG kann jede Person ab 14 Jahren beantragen; ob der Arbeitgeber es verlangen darf, folgt aus der allgemeinen Erforderlichkeitsprüfung für die Rolle — typischerweise vertrauenskritische Positionen in Banken, Sicherheit oder Pflege, mit Ankündigung in der Stellenanzeige. Das erweiterte Führungszeugnis nach § 30a BZRG ist etwas anderes: Es existiert nur, wo ein Gesetz darauf verweist oder für Tätigkeiten mit Kindern und Jugendlichen, und es setzt die schriftliche Bestätigung des Arbeitgebers zu dieser Berechtigung voraus. „Mehr Sicherheit“ ist keine Rechtsgrundlage, und die Anforderung für jede Einstellung scheitert an der Erforderlichkeit pro Check. Die Abgrenzung zwischen Führungszeugnis und vollständiger Hintergrundprüfung steht in Führungszeugnis vs. Hintergrundprüfung.
Bonitätsprüfung: schmal, aber vertretbar
Bonitätsprüfungen an Beschäftigten sind in Deutschland nur in einem schmalen Band rechtlich zulässig. Die Verhältnismäßigkeit läuft über die Missbrauchsgelegenheit: Eine Rolle mit unmittelbarem Zugriff auf Geld und Zahlungsströme kann eine begrenzte Bonitätsprüfung rechtfertigen, eine Analystenrolle ohne diesen Zugriff nicht — auch wenn der Analysten-Titel „finanzieller“ klingt. Wo vertretbar, ist eine Einwilligung nach § 26 Abs. 2 BDSG erforderlich und muss tatsächlich informiert sein; die Prüfung selbst sollte begrenzt sein (Score-Bänder statt vollständiger Auskunftsdaten, keine unnötigen Details). Die Banken-Variante dieser Linie geht Pre-Employment-Screening in Banken nach § 26 BDSG durch.
Sanktionen, PEP und Adverse Media
Listenprüfungen laufen über Daten aus öffentlichen Registern und Quellen — aber öffentlich verfügbare Daten unterliegen vollumfänglich der DSGVO; der Eingriff liegt nicht im Datenzugriff, sondern darin, was mit einem Treffer geschieht. Der Verhältnismäßigkeitsanker liegt in der Rolle: Sanktionsbezogene Pflichten (regulierte Sektoren, Compliance-Funktionen) bringen Listenprüfungen naturgemäß in den Scope; eine Standard-Bürorolle nicht. Bedingungslos gilt die menschliche Prüfung bei Treffern: False Positives sind häufig (insbesondere Namenskollisionen), und ein automatisierter „Treffer“, den niemand geprüft hat, ist sowohl ein DSGVO-Problem als auch ein Einstellungsprozess-Problem. PEP-Screening im engeren Sinne ist ein Instrument der Geldwäscheprävention, das auf Kunden und Geschäftspartner zielt; bei Beschäftigten erscheint es als Teil einer breiteren Risikoprüfung, nicht als eigene gesetzliche Pflicht. Die Mechanik von PEP-Screening und der Vergleich der EU-/OFAC-/UN-Sanktionslisten ist in eigenen Beiträgen vertieft; hier zählt die Entscheidungsregel: Erforderlichkeit für die Rolle, menschlich geprüft, mit Klärung dokumentiert.
Social-Media-Sichtung und die Grenzen des Fragerechts
Die Social-Media-Sichtung ist die Stelle, an der A.6.1-Programme am häufigsten still übertreten. Die vertretbare Version ist schmal: Berufsnetzwerke (LinkedIn, Xing), in denen die Kandidatin oder der Kandidat das eigene Berufsprofil selbst veröffentlicht hat, sind arbeitsrelevante Information; private Profile sind in der Regel nicht. Die Grenze ist nicht die Etikette, sondern die Erforderlichkeit der Datenerhebung: Informationen aus der Privatsphäre haben in der Beschäftigungsentscheidung keinen Platz, sofern sie keine direkte, dokumentierte Relevanz für die Rolle haben. Zwei Pflichten begleiten selbst die zulässige Sichtung: die Pflicht, die Kandidatin oder den Kandidaten darüber zu informieren, was erhoben und berücksichtigt wurde (Transparenz nach Art. 13/14 DSGVO), und die Dokumentation dessen, was wo gesucht und gefunden wurde. Die praktische Regel für die Matrix: Netzwerk benennen, Umfang benennen, Ergebnis festhalten — und im Zweifel lassen. Die Grenzen sind in Social-Media-Screening und seine Grenzen durchgegangen, die zugrundeliegende Fragekultur in Was der Arbeitgeber fragen darf.
Betriebsrat: welche Norm wann greift
Wo ein Betriebsrat existiert, trifft Hintergrund-Screening an mehreren Stellen auf Mitbestimmung — jede mit eigener Norm. Standardisierte Fragebögen und Selbstauskünfte brauchen die Zustimmung des Betriebsrats nach § 94 BetrVG; wer Prüfergebnisse an Einstellung, Versetzung oder Kündigung mitentscheiden lässt, schreibt eine Auswahlrichtlinie nach § 95 BetrVG; und softwaregestütztes Screening von Beschäftigten kann § 87 Abs. 1 Nr. 6 BetrVG auslösen — das Mitbestimmungsrecht für technische Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen sollen; eine Norm, deren Reichweite für Screening-Konstellationen umstritten ist und deren Überwachungs-Eignung das Bundesarbeitsgericht traditionell weit auslegt — im Zweifel also Mitbestimmung annehmen. Wer das verkennt, belastet nicht nur die Beziehung: Ein ohne diese Rechte umgesetztes Verfahren erzeugt ein Haftungsproblem und zwingt zur Nacharbeit. Der Mitbestimmungsprozess, das Timing und die Optionen des Betriebsrats stehen in Mitbestimmung und Hintergrundprüfung.
Die Prüfmatrix als Zulässigkeitsnachweis
Jede Zulässigkeitsentscheidung oben endet am selben Ort: einer Zelle der Prüfmatrix, die sagt, welcher Check für welche Rolle läuft, auf welcher Grundlage, und warum er verhältnismäßig ist. Das macht die Matrix zum Prüfelement, das der ISO-Auditor in Stichproben prüft, und zum Nachweis, den der DSB verteidigt — ein Dokument, das die Frage „Dürfen wir das durchführen?“ beantwortet, bevor sie gestellt wird. Ist die Matrix das Was, ist dieser Leitfaden das Warum; beide sind darauf ausgelegt, zusammen mit dem A.6-Personalsicherheits-Grundlagenbeitrag zur Kontrolle selbst gelesen zu werden.
Häufige Fragen
Dürfen wir im Gespräch nach Prüfungen fragen?
Das Gespräch folgt dem Fragerecht: Fragen brauchen eine legitime, jobrelevante Grundlage, und auf unzulässige Fragen darf die Kandidatin oder der Kandidat unrichtig antworten, ohne dass es Konsequenzen hat. Praktisch: das Screening-Programm in der Stellenanzeige ankündigen, die Matrix im Gespräch referenzieren und keine Fragen improvisieren, die die Matrix nicht rechtfertigen würde.
Was, wenn die Kandidatin oder der Kandidat die Einwilligung verweigert?
Einwilligung muss tatsächlich freiwillig sein — wer die Verweigerung sanktioniert, untergräbt die Einwilligung selbst; die Verweigerung kann also nicht einfach gegen den Kandidaten gewertet werden. Der praktikable Pfad: Einwilligungsbasierte Checks (Referenzen, Bonität) laufen ohne Einwilligung nicht, die Risikobewertung der Rolle dokumentiert, welche Prüfungen durchgeführt wurden und welche nicht, und die Entscheidung wird auf der dokumentierten Grundlage getroffen. Erforderlichkeitsbasierte Checks (Identität, Qualifikationen) hängen nicht an der Einwilligung; wer die Identitätsprüfung verweigert, hat eine andere Frage beantwortet.
Der Check kommt unvollständig oder mit einem Befund zurück — was nun?
ISO/IEC 27002:2022 nennt den Pfad: Zugriff beschränken, Onboarding verzögern oder im Extremfall das Engagement beenden — die Akte braucht den Befund, die Prüfung (menschlich, nicht automatisiert), die Entscheidung und ihre Grundlage. Ein undokumentiertes negatives Ergebnis ist ein schlechterer Prüfbefund als das negative Ergebnis selbst.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.