Social-Media-Screening von Bewerberinnen und Bewerbern ist zulässig, wenn es sich auf berufsbezogene Netzwerke wie LinkedIn oder Xing beschränkt, auf einer dokumentierten Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO beruht und die betroffene Person darüber informiert wird. Die anlasslose Auswertung privater Profile, verdeckte Recherche oder das Umgehen von Privatsphäre-Einstellungen sind dagegen unzulässig — unabhängig davon, wie leicht die Inhalte auffindbar sind. Die rote Linie verläuft also nicht zwischen „öffentlich“ und „privat zugänglich“, sondern zwischen berufsbezogen und privat.
Die Trennlinie: berufsbezogene vs. private Netzwerke
Die deutschen Datenschutzaufsichtsbehörden (DSK-Linie) unterscheiden konsequent nach dem Zweck des Netzwerks: Wer sich auf LinkedIn oder Xing präsentiert, tut das gerade, um beruflich wahrgenommen zu werden — die Auswertung dieser Selbstdarstellung im Bewerbungskontext ist im Rahmen der Interessenabwägung regelmäßig vertretbar. Private Netzwerke dienen dagegen der privaten Lebensgestaltung; dass ein Profil technisch öffentlich einsehbar ist, macht seine Auswertung noch nicht erforderlich oder verhältnismäßig. Hinzu kommt der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): erhoben werden darf nur, was für die Einstellungsentscheidung tatsächlich relevant ist. Für die Praxis heißt das: Die Frage ist nicht, ob Sie etwas finden können, sondern ob Sie es für die konkrete Position suchen dürfen — und ob Sie diese Suche im Zweifel gegenüber der Aufsichtsbehörde begründen könnten.
Was zulässig ist
Innerhalb dieses Rahmens bleibt ein sinnvoller Prüfraum:
- Berufsprofile abgleichen — stimmen Stationen, Titel und Zeiträume auf LinkedIn/Xing mit dem Lebenslauf überein?
- Berufsbezogene Öffentlichkeitsarbeit — Fachbeiträge, Vorträge, Unternehmensnennungen, soweit positionsrelevant.
- Anlassbezogene Vertiefung — wenn konkrete Widersprüche oder Hinweise auftauchen, dokumentiert und mit Begründung.
- Adverse-Media-Recherche in redaktionellen Quellen — Presseberichterstattung ist kein Social-Media-Screening und folgt eigenen Maßstäben; zur Rechtsgrundlagen-Systematik im Übrigen unser Beitrag zu den DSGVO-Rechtsgrundlagen des Pre-Employment-Screenings.
Was unzulässig ist
Ebenso klar sind die Tabuzonen — sie gelten auch dann, wenn die Position sicherheitsrelevant ist:
- Verdeckte Recherche und Fake-Profile, um Zugang zu geschützten Inhalten zu erlangen,
- Umgehung von Privatsphäre-Einstellungen, etwa über Dritte mit Kontaktzugang,
- anlasslose Auswertung erkennbar privater Profile ohne Bezug zur Tätigkeit,
- Rückschlüsse auf besondere Datenkategorien nach Art. 9 DSGVO — Gesundheit, politische Meinung, Religion, sexuelle Orientierung sind in sozialen Profilen allgegenwärtig und dürfen nicht in die Entscheidung einfließen.
Gerade der letzte Punkt macht die „schnelle Google-Recherche“ des Hiring Managers riskant: Wer private Profile sichtet, nimmt zwangsläufig Art.-9-Daten wahr und kann später kaum belegen, dass sie die Entscheidung nicht beeinflusst haben.
Informationspflicht: Art. 14 DSGVO gilt auch bei öffentlichen Quellen
Ein verbreiteter Irrtum lautet, öffentlich zugängliche Daten dürften ohne Weiteres verarbeitet werden. Tatsächlich verlangt Art. 14 DSGVO die Information der betroffenen Person auch dann, wenn die Daten nicht bei ihr selbst erhoben wurden — also gerade bei der Recherche in Netzwerken und anderen öffentlichen Quellen. Bei Direkterhebung greift Art. 13 DSGVO. Praktisch gehört deshalb in jeden Bewerbungsprozess ein Datenschutzhinweis, der benennt, welche Quellenarten zu welchem Zweck ausgewertet werden. Ein pauschaler Verweis auf „öffentlich zugängliche Quellen“ genügt dafür nicht; die Hinweise sollten Quellenarten, Zweck und Rechtsgrundlage konkret benennen. Ein Screening ohne diese Information ist selbst dann angreifbar, wenn es inhaltlich einwandfrei war.
Handlungsempfehlung
Wenn Sie Social-Media-Recherche im Recruiting nutzen wollen, empfiehlt sich folgender Rahmen:
- Schriftliche Leitlinie: Zulässige Netzwerke, Tabuzonen und Anlässe für vertiefte Recherche festlegen — und die informelle Einzelrecherche durch Führungskräfte ausdrücklich ausschließen.
- Interessenabwägung dokumentieren: Je Positionsgruppe begründen, warum welche Quellen erforderlich sind.
- Transparenz herstellen: Datenschutzhinweise um die Screening-Quellen ergänzen (Art. 13/14 DSGVO).
- Betriebsrat einbinden: In mitbestimmten Unternehmen früh — wie das gelingt, zeigt unser Beitrag zur Mitbestimmung bei Background-Checks.
Ein professionelles, dokumentiertes Screening mit definierten Kategorien, datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) schlägt die DIY-Recherche rechtlich in jedem Punkt — wie der Indicium-Software-Report das umsetzt, sehen Sie in einer Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.