Wer sein Pre-Employment-Screening allein auf § 26 Abs. 1 S. 1 BDSG stützt, baut auf eine Norm, die der EuGH gekippt hat: Mit Urteil vom 30.03.2023 (C-34/21) hat der Gerichtshof entschieden, dass eine solche Generalklausel den Anforderungen des Art. 88 Abs. 2 DSGVO nicht genügt. Rechtssicher wird das Screening, wenn jede Prüfkategorie direkt auf eine Rechtsgrundlage des Art. 6 Abs. 1 DSGVO gestützt wird — lit. b, c oder f, je nach Kategorie. Dieser Beitrag zeigt das Mapping und die Punkte, an denen es in der Praxis scheitert.
Was der EuGH entschieden hat — und was davon bleibt
Art. 88 DSGVO erlaubt den Mitgliedstaaten „spezifischere Vorschriften“ für den Beschäftigtendatenschutz. Der EuGH hat in C-34/21 klargestellt: Eine nationale Norm, die im Kern nur den allgemeinen Erforderlichkeitsmaßstab wiederholt, ist keine solche spezifischere Vorschrift und genügt Art. 88 Abs. 2 DSGVO nicht. Genau diesem Vorwurf ist § 26 Abs. 1 S. 1 BDSG ausgesetzt — die Norm ist damit als alleinige Rechtsgrundlage für ein Screening nur noch eingeschränkt tragfähig. Der Entwurf eines Beschäftigtendatengesetzes, der die Lücke schließen sollte, ist liegengeblieben und Stand Juli 2026 nicht verabschiedet.
Für die Praxis bedeutet das keine Prüfungssperre, sondern einen Wechsel der Begründungsebene: Die allgemeinen Rechtsgrundlagen der DSGVO tragen das Screening — wenn sie sauber je Prüfkategorie zugeordnet werden.
Rechtsgrundlagen-Mapping: Art. 6 DSGVO je Prüfkategorie
Ein pauschales „wir prüfen auf Grundlage des BDSG“ genügt nicht mehr. Belastbar ist ein Mapping, das jede Kategorie einer eigenen Rechtsgrundlage zuweist:
- Identitäts- und Lebenslaufprüfung — Art. 6 Abs. 1 lit. b DSGVO: Die Verifikation der Angaben, die die Bewerberin oder der Bewerber selbst gemacht hat, ist Teil der vorvertraglichen Maßnahmen.
- Sanktions- und Watchlisten — Art. 6 Abs. 1 lit. c DSGVO bei Verpflichteten: Wo eine gesetzliche Prüfpflicht besteht (etwa im Finanzsektor), ist die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
- Register- und Adverse-Media-Recherche — Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse mit dokumentierter Interessenabwägung, positionsbezogen begründet.
Die Zuordnung ist mehr als Formalie: Sie bestimmt, welche Informationen Sie der betroffenen Person geben müssen und wie tief die Prüfung je Position gehen darf. Für Institute im Anwendungsbereich des GwG haben wir das Zusammenspiel mit der Zuverlässigkeitsprüfung im Beitrag zum Pre-Employment-Screening in Banken vertieft.
Sonderproblem Art. 10 DSGVO: strafrechtsbezogene Daten
Eine eigene Hürde gilt für Daten über strafrechtliche Verurteilungen und Straftaten: Art. 10 DSGVO erlaubt ihre Verarbeitung nur unter behördlicher Aufsicht oder auf Basis einer Rechtsvorschrift mit geeigneten Garantien. Wer im Screening etwa Presseberichte über Strafverfahren auswertet, bewegt sich in diesem Sonderregime und braucht dafür eine tragfähige Grundlage und dokumentierte Schutzmaßnahmen. Gerade hier trennt sich das strukturierte, kategorienbasierte Screening vom informellen Googeln durch HR — Letzteres kennt weder Rechtsgrundlage noch Garantien.
Transparenz nach Art. 13 und 14 DSGVO
Unabhängig von der Rechtsgrundlage gilt: Die betroffene Person ist zu informieren — bei Direkterhebung nach Art. 13 DSGVO, bei Erhebung aus anderen Quellen (Register, Medien, Netzwerke) nach Art. 14 DSGVO. Ein Screening, das inhaltlich zulässig wäre, wird angreifbar, wenn die Information fehlt. Praktisch heißt das: Datenschutzhinweise im Bewerbungsprozess, die die Prüfkategorien, Quellenarten und Rechtsgrundlagen benennen. Welche Grenzen speziell bei sozialen Netzwerken gelten, zeigt unser Beitrag zum Social-Media-Screening von Bewerbern; in mitbestimmten Unternehmen kommt die Einbindung des Betriebsrats hinzu.
Handlungsempfehlung: Interessenabwägung in vier Schritten
Für die lit.-f-Kategorien empfiehlt sich eine dokumentierte Muster-Interessenabwägung, die Sie je Position durchdeklinieren:
- Berechtigtes Interesse benennen: Integritätsschutz, regulatorische Erwartungen, Schutz von Kunden und Vermögenswerten — konkret auf die Position bezogen.
- Erforderlichkeit prüfen: Gibt es ein milderes Mittel als die jeweilige Prüfkategorie? Warum genügt es nicht?
- Abwägen: Schwere des Eingriffs (Quellenart, Datenkategorien, Art. 10-Bezug) gegen das Prüfinteresse — je näher die Rolle an Geld, Daten und Kontrollfunktionen, desto mehr trägt die Abwägung.
- Dokumentieren und informieren: Ergebnis schriftlich festhalten, Datenschutzhinweise anpassen, Prüfumfang je Risikoklasse festschreiben.
Ein prüffester Report mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) bildet genau diese Struktur ab — wie das aussieht, zeigt der Indicium-Software-Report für regulierte Branchen.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.