Pre-Employment-Screening ist in Banken zulässig, wenn die Datenverarbeitung für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich ist — das ist der Maßstab des § 26 Abs. 1 S. 1 BDSG, und § 26 Abs. 8 BDSG stellt Bewerberinnen und Bewerber Beschäftigten ausdrücklich gleich. Für Banken kommt hinzu: Die Zuverlässigkeitsprüfung von Mitarbeitern ist nach § 6 Abs. 2 Nr. 5 GwG eine gesetzlich definierte interne Sicherungsmaßnahme. Zwischen Geldwäscheprävention und Datenschutz besteht damit kein Widerspruch, sondern ein Erforderlichkeitsmaßstab, den ein strukturierter Prüfprozess sauber abbilden kann.
GwG-Pflicht und Datenschutz folgen demselben Maßstab
Viele HR-Abteilungen behandeln Screening und Datenschutz als Gegensätze: Die Compliance verlangt eine Prüfung, der Datenschutzbeauftragte bremst. Rechtlich ist das Verhältnis einfacher. Wer als Verpflichteter nach dem GwG die Zuverlässigkeit seiner Mitarbeiter sicherstellen muss, hat einen tragfähigen sachlichen Grund für die Verarbeitung von Bewerberdaten — allerdings nur in dem Umfang, der für die konkrete Position erforderlich ist. Neben § 26 BDSG kommen die allgemeinen Rechtsgrundlagen der DSGVO in Betracht; die Details haben wir im Beitrag zu den Rechtsgrundlagen des Pre-Employment-Screenings nach DSGVO vertieft.
Die Erforderlichkeit ist dabei kein Freibrief, sondern eine Abwägung: Je näher die Position an Geld, Kundendaten und Kontrollfunktionen liegt, desto mehr darf — und muss — geprüft werden.
Was § 26 BDSG erlaubt
Zulässig ist, was einen nachvollziehbaren Bezug zur Einstellungsentscheidung hat und aus rechtmäßig zugänglichen Quellen stammt. In der Praxis bewährt haben sich klar definierte Prüfkategorien, etwa:
- Identitäts- und Dokumentenprüfung — stimmen Person, Lebenslauf und Nachweise überein?
- Registerquellen — Handelsregister, Insolvenzbekanntmachungen und vergleichbare öffentliche Verzeichnisse, soweit positionsrelevant.
- Sanktions- und Watchlisten — für Verpflichtete nach dem GwG regelmäßig unverzichtbar.
- Adverse-Media-Recherche — berufsbezogene Berichterstattung aus öffentlich zugänglichen Medien.
- Referenzen und Zeugnisse — mit Wissen der Bewerberin oder des Bewerbers.
Entscheidend ist weniger die einzelne Quelle als der Prozess: Ein definierter, kategorienbasierter Prüfablauf mit dokumentierter Begründung je Kategorie ist datenschutzrechtlich deutlich sicherer als das informelle „Googeln“ durch den Hiring Manager, das weder Rechtsgrundlage noch Dokumentation kennt.
Wo die rote Linie verläuft
Ebenso klar sind die Grenzen. Nicht erforderlich — und damit regelmäßig unzulässig — sind insbesondere:
- die anlasslose Auswertung erkennbar privater Social-Media-Profile,
- Recherchen ohne Bezug zur konkreten Tätigkeit, etwa zu Familienverhältnissen oder Weltanschauung,
- verdeckte Methoden, die die betroffene Person gezielt umgehen,
- die Vorratssammlung von Daten „für später“ ohne konkreten Prüfzweck.
Wer diese Grenzen überschreitet, gewinnt keine Sicherheit, sondern schafft neue Risiken: Ergebnisse aus unzulässigen Quellen lassen sich in der Einstellungsentscheidung nicht verwerten und können im Konfliktfall gegen das Institut sprechen. In mitbestimmten Häusern gehört außerdem der Betriebsrat frühzeitig an den Tisch; wie die Einbindung gelingt, zeigt unser Beitrag zur Mitbestimmung bei Background-Checks.
Verhältnismäßigkeit: Prüftiefe je Position
Die praktische Umsetzung gelingt über eine risikobasierte Staffelung. Eine Position im Zahlungsverkehr, in der Vermögensverwaltung oder mit Administratorrechten rechtfertigt eine tiefere Prüfung als eine Rolle ohne Kunden- oder Systemzugriff. Banken, die ihre Positionen in zwei bis drei Risikoklassen einteilen und jeder Klasse einen festen Katalog an Prüfkategorien zuordnen, erfüllen beides zugleich: die Sicherungspflicht aus dem GwG und den Erforderlichkeitsmaßstab des BDSG. Die Klassifizierung selbst sollte schriftlich begründet sein — sie ist das Dokument, mit dem Sie später gegenüber Datenschutzaufsicht und Betroffenen erklären, warum welche Position wie tief geprüft wurde. Wie die Zuverlässigkeitsprüfung nach GwG inhaltlich aussieht, erläutert unser Grundlagenbeitrag zur Mitarbeiterprüfung nach § 6 Abs. 2 Nr. 5 GwG.
Handlungsempfehlung
Wenn Sie Ihr Pre-Employment-Screening rechtssicher aufstellen wollen, empfiehlt sich folgender Dreischritt:
- Positionen klassifizieren: Risikoklassen definieren und jeder Klasse einen festen Prüfumfang zuordnen — dokumentiert, nicht ad hoc.
- Quellen und Rechtsgrundlagen mappen: Für jede Prüfkategorie festhalten, warum sie für die Position erforderlich ist.
- Prozess statt Einzelfall: Prüfungen standardisiert durchführen und die Ergebnisse revisionsfest dokumentieren.
Ein strukturierter Report mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) nimmt Ihnen dabei die heikelste Arbeit ab — Indicium liefert genau das als prüffesten Software-Report, zugeschnitten auf regulierte Branchen.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.