Mitarbeiter-Sicherheitsüberprüfung im Bewerbungsverfahren: was § 26 BDSG, Art. 10 DSGVO und das BZRG zulassen

Ein Background-Check beantwortet in Deutschland genau eine Frage belastbar: ob ein Bewerber ein Führungszeugnis vorlegt, in dem eine Eintragung steht. Ob er sorgfältig arbeitet, ob er erpressbar ist, ob er mit Kundendaten umgehen kann, steht in keinem Register — und genau diese Eigenschaften soll ein Informationssicherheitsmanagementsystem schützen. Wer Screening mit Vertrauensbildung verwechselt, baut ein Verfahren, das eine Akte produziert und ein Sicherheitsgefühl liefert, aber keinen der Risikofälle adressiert, die später tatsächlich eintreten.

Der rechtliche Rahmen ist in Deutschland enger, als die Anbieterlandschaft vermuten lässt. Es gibt keinen Anspruch des Arbeitgebers auf Auskunft über den Bewerber. Es gibt kein Register, in das ein privater Arbeitgeber Einsicht nehmen dürfte. Und es gibt seit der Neufassung des § 26 BDSG keine Vorschrift, die das Recherchieren von Vorstrafen zu Einstellungszwecken erlaubt. Was bleibt, ist ein schmaler, aber tragfähiger Weg: der Bewerber beschafft das Dokument selbst, und der Arbeitgeber prüft, was er freiwillig vorlegt.

Dieser Leitfaden beschreibt diesen Weg als Artefakt, nicht als Gesinnung: welche Norm welche Datenart trägt, welches Dokument was belegt, welche Rolle der Betriebsrat als Tor und nicht als Fußnote spielt, und wie ein Prüfer am Ende des Jahres nachrechnet, ob das Programm gewirkt hat. Die deutschen Seiten zu diesem Thema sind heute entweder Anbieterseiten, die einen Dienst beschreiben, oder Gesetzestext, der keine Verfahren angibt. Die Lücke dazwischen — die Prüfmatrix, die Löschfristen, die Arithmetik — ist der Gegenstand dieses Textes.

Was Control 6.1 fordert — und was daraus in Angeboten wird

Die ISO/IEC 27001:2022 führt Screening als Maßnahme 6.1 im Bereich der personenbezogenen Maßnahmen; in der Fassung von 2013 war es A.7.1.1. Der Kontrolltext verlangt Hintergrundprüfungen für alle Personen, die in die Organisation eintreten, vor dem Eintritt und fortlaufend, unter Berücksichtigung geltender Gesetze, Vorschriften und ethischer Grundsätze — und verhältnismäßig zu den Geschäftsanforderungen, der Klassifizierung der zugänglichen Informationen und den erkannten Risiken. Vier Bestandteile dieser einen Maßnahme sind es wert, getrennt betrachtet zu werden, weil in jedem einzelnen ein Programm scheitern kann: alle Personen, vor dem Eintritt, fortlaufend und verhältnismäßig.

Der erste Bestandteil ist der, der am häufigsten stillschweigend verletzt wird. „Alle Personen, die in die Organisation eintreten“ umfasst nicht nur unbefristete Angestellte, sondern auch Praktikanten, Werkstudenten, Leiharbeiter, freie Dienstleister und jede Person, die ein Sprungbrett in ein privilegiertes Konto bekommt. Ein Screening, das nur unbefristete Verträge prüft, deckt die Gruppe nicht ab, die in der Praxis am häufigsten Zugang zu Produktivsystemen erhält: den externen Dienstleister mit einem eigenen VPN-Zugang.

Der vierte Bestandteil ist der, über den am wenigsten geschrieben wird. Verhältnismäßigkeit ist keine Beschwichtigungsformel, sondern in Deutschland der Punkt, an dem die Maßnahme aufhört, eine Selbstverständlichkeit zu sein. Ein Auszug aus dem Bundeszentralregister ist für die Rolle des Administrators eines Kernbankensystems verhältnismäßig. Derselbe Auszug für eine Social-Media-Redakteurin ist es nicht, weil das Risiko, das er adressiert, in dieser Rolle nicht existiert. Wer alle Bewerber gleich prüft, prüft die meisten von ihnen ohne Rechtsgrundlage — und dokumentiert das auch noch.

Bestandteil aus 6.1	Was er fordert	Was ein Prüfer dafür sehen will	Typische Lücke im Betrieb
Alle Personen	Angestellte, Leiharbeiter, Praktikanten, Dienstleister, Subunternehmer	Liste der Rollen mit Screening-Stufe; Abgleich mit der Liste der Kontoinhaber	Dienstleister werden über den Vertrag abgedeckt, nie geprüft
Vor dem Eintritt	Abschluss vor dem ersten Zugang, nicht vor dem ersten Gehalt	Datum des Abschlusses gegen Datum der Kontoeinrichtung	Prüfung startet nach Vertragsunterschrift, Konto wird am ersten Tag erstellt
Fortlaufend	Wiederholung bei Rollenwechsel und für sensible Rollen in festen Intervallen	Intervall, letzte Durchführung, Auslöser bei Wechsel	Einmal bei Eintritt, danach nie wieder; Rollenwechsel ohne erneute Prüfung
Verhältnismäßig	Stufe folgt aus Rolle, Informationsklassifizierung und Risiko	Matrix mit Rollen, Datenarten und Begründung je Stufe	Eine Stufe für alle; Begründung fehlt, weil es keine Matrix gibt
Gesetze und Ethik	Zulässigkeit nach nationalem Recht, nicht nach Standardtext	Rechtsgrundlage je Datenart, Einwilligungstext, Löschfristen	Eine US-Vorlage wird unverändert übernommen

Die letzte Zeile erklärt, warum dieser Artikel überhaupt nötig ist. ISO 27001 ist ein internationaler Standard, und sein Kontrolltext ist bewusst neutral formuliert. Ein US-amerikanisches Programm kann einen Credit Report über einen Bewerber ziehen, weil der Fair Credit Reporting Act das mit Offenlegung und Adverse-Action-Verfahren regelt. In Deutschland ist eine Bonitätsauskunft über einen Bewerber ohne gesonderte Rechtsgrundlage keine Frage des Verfahrens, sondern eine unzulässige Verarbeitung — die Maßnahme 6.1 bleibt dieselbe, ihre Umsetzung ist eine andere. Ein Zertifizierungsaudit prüft, ob Sie eine Verhältnismäßigkeitsentscheidung getroffen und dokumentiert haben; es prüft nicht, ob diese Entscheidung dem deutschen Recht standhält. Das ist Ihre Aufgabe, nicht die des Auditors.

Der erste Denkfehler: Eignung ist keine Ermittlung

Der Begriff Background-Check trägt eine Annahme mit sich, die im deutschen Recht nicht existiert: dass es einen Hintergrund gibt, den man abfragen kann. Für US-amerikanische Verhältnisse ist das zutreffend, weil dort Auskunfteien und Register bestimmte Daten gegen Geld bereitstellen. In Deutschland hat ein privater Arbeitgeber keinen Zugang zu einem Strafregister, keine zentrale Auskunftei für Beschäftigungsdaten und keine öffentliche Quelle, aus der sich eine zutreffende Aussage über die Zuverlässigkeit einer Person ableiten ließe.

Was es gibt, sind Belege, die eine Person über sich selbst beschafft und freiwillig vorlegt. Das ist kein Verfahrensdetail, sondern der Kern: die Beweisrichtung ist umgekehrt. Der Arbeitgeber ermittelt nicht, er prüft das Vorgelegte. Diese Umkehrung hat drei praktische Folgen. Erstens kontrolliert der Bewerber den Zugang — er kann ein Dokument zurückhalten, indem er die Bewerbung nicht weiterverfolgt. Zweitens ist jede Prüfung ohne seine Mitwirkung entweder eine Recherche in offenen Quellen, die nichts Belastbares über Straftaten enthält, oder sie ist rechtswidrig. Drittens verschiebt sich der Zeitpunkt: das Dokument existiert erst, wenn der Bewerber es beantragt hat, und das dauert.

Daraus folgt die einzige sinnvolle Architektur: die Prüfungen so zu staffeln, dass die teuren und langsamen Stufen nur die Rollen treffen, bei denen die Verhältnismäßigkeit sie trägt, und sie früh genug auszulösen, dass sie den Eintrittstermin nicht verschieben. Wer es umgekehrt aufbaut — erst Vertrag, dann Prüfung — produziert entweder zwei Wochen Verzögerung oder die Lage, in der jemand am ersten Arbeitstag bereits Zugang hat und die Prüfung noch läuft.

§ 26 BDSG: drei Sätze, die die ganze Prüfung tragen

Die Vorschrift, um die sich alles dreht, ist § 26 BDSG. Absatz 1 Satz 1 lautet: „Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.“

Vier Wörter tragen diese Norm, und jedes davon ist eine Prüfungsfrage. Beschäftigte — nach Absatz 8 gelten Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis ausdrücklich als Beschäftigte, die Norm greift also im Bewerbungsverfahren. Für Zwecke des Beschäftigungsverhältnisses — der Zweck muss im Beschäftigungskontext liegen, nicht im allgemeinen Sicherheitsinteresse des Unternehmens. Für die Entscheidung über die Begründung — die Verarbeitung muss auf die Einstellungsentscheidung einwirken, nicht auf ein späteres Risikomanagement. Erforderlich — und Erforderlichkeit heißt: kein milderes Mittel, das denselben Zweck erreicht, und ein angemessenes Verhältnis zwischen Anlass und Eingriff.

Absatz 1 Satz 2 regelt einen anderen Fall, und die Verwechslung der beiden Sätze ist der häufigste Rechtsfehler in diesem Feld. Der Satz lautet: „Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.“

Lesen Sie die Bedingungen dieses Satzes im Bewerbungskontext und er fällt auseinander. Es müssen dokumentierte tatsächliche Anhaltspunkte einen Verdacht begründen, dass die Person im Beschäftigungsverhältnis eine Straftat begangen hat. Ein Bewerber steht nicht im Beschäftigungsverhältnis; ein Verdacht auf eine Tat in einem früheren Arbeitsverhältnis oder außerhalb der Arbeit ist von dieser Norm nicht erfasst. Satz 2 ist damit keine Ermächtigung zur Vorstrafenrecherche. Er ist die Ermächtigung für den Fall, dass ein bestehender Verdacht gegen einen Beschäftigten aufgeklärt werden muss — und selbst dann nur mit dokumentiertem Anlass, Erforderlichkeit und einer Verhältnismäßigkeitsprüfung, die den Einzelfall benennt.

Datenart	Tragende Norm	Grenze in der Praxis	Ohne Mitwirkung des Bewerbers zulässig
Identität (Ausweisdokument, Namensabgleich)	§ 26 Abs. 1 S. 1 BDSG	Kopie nur, wenn erforderlich; Geburtsdatum und Geburtsort nicht automatisch mit erheben	Nein, Einsicht setzt Vorlage voraus
Qualifikation (Zeugnisse, Zertifikate)	§ 26 Abs. 1 S. 1 BDSG	Echtheitsprüfung beim Aussteller nur mit Zustimmung; Speicherung auf das Nötige begrenzt	Nein
Referenzen (frühere Arbeitgeber)	§ 26 Abs. 1 S. 1 BDSG	Kontakt zum aktuellen Arbeitgeber erst nach Zustimmung, sonst Offenlegung der Bewerbung	Nein
Führungszeugnis (Belegart N)	§ 26 Abs. 1 S. 1 BDSG als Rechtsgrundlage, § 30 BZRG als Verfahren	Nur Vorlage durch den Bewerber; Belegart O ist öffentlichen Stellen vorbehalten	Nein, der Antrag ist persönlich zu stellen
Bonität, Auskunftei, Pfändungen	Für Bewerber keine tragende Norm	Allenfalls bei Zeichnungsvollmacht oder Bargeldverkehr und nur mit enger Begründung	Nein
Gesundheit, Krankheiten, Schwerbehinderung	§ 26 Abs. 3 BDSG nur bei rechtlicher Pflicht	Eignungsuntersuchung nur, soweit ein Gesetz sie vorschreibt; Fragen nach Krankheiten sind unzulässig	Nein
Social-Media-Profile, offene Quellen	§ 26 Abs. 1 S. 1 BDSG; Art. 6 Abs. 1 lit. f DSGVO nur bei überwiegendem Interesse	Systematisches Durchsuchen ist ein Eingriff ohne Erforderlichkeit; Diskriminierungsrisiko hoch	Technisch ja, rechtlich in der Regel nein
Aufenthaltsstatus, Arbeitserlaubnis	§ 4a AufenthG, § 26 Abs. 1 S. 1 BDSG	Prüfung ist Pflicht vor der Beschäftigung; Kopie nur solange erforderlich	Nein, die Vorlage ist Voraussetzung der Beschäftigung

Diese Tabelle ist der Teil des Programms, den ein Prüfer zuerst anfordert, und der Teil, den kaum ein Unternehmen hat. Der Grund ist nicht Nachlässigkeit, sondern die Reihenfolge: die meisten Programme beginnen mit dem Werkzeug und schreiben die Rechtsgrundlagen danach. Ein Auftragsverarbeitungsvertrag mit einem Screening-Anbieter löst das nicht — er regelt, wer für eine Verarbeitung verantwortlich ist, nicht ob sie zulässig ist.

Art. 10 DSGVO: die Schwelle, die niemand unter sich lässt

Daten über strafrechtliche Verurteilungen sind keine besondere Kategorie im Sinne des Art. 9 DSGVO, sondern ein eigener Fall mit eigener Schwelle. Art. 10 DSGVO lautet: „Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln aufgrund von Artikel 6 Absatz 1 darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. Ein umfassendes Register der strafrechtlichen Verurteilungen darf nur unter behördlicher Aufsicht geführt werden.“

Der Satz enthält zwei Türen und eine Wand. Die erste Tür ist die behördliche Aufsicht — für einen privaten Arbeitgeber nicht zugänglich. Die zweite Tür ist ein mitgliedstaatliches Gesetz, das die Verarbeitung erlaubt und dabei geeignete Garantien vorsieht. Die Wand ist der zweite Satz: ein umfassendes Register darf nur unter behördlicher Aufsicht geführt werden. Daraus folgt, dass ein Arbeitgeber keine eigene Kartei über Verurteilungen aufbauen darf — auch nicht über Jahre, auch nicht im Bewerbermanagement-System und auch nicht als „Historie“ im Hintergrund.

Die entscheidende Frage ist damit, ob § 26 BDSG die zweite Tür öffnet. Die Gesetzesbegründung zum BDSG 2018 bejaht das für Satz 1 und sieht in Satz 2 die geeigneten Garantien verwirklicht (BT-Drs. 18/11325, S. 97 f.). Der Wortlaut des Satzes 2 trägt aber, wie oben gezeigt, nur die Aufdeckung einer Straftat im Beschäftigungsverhältnis bei dokumentiertem Anlass. Für die Einstellungsentscheidung bleibt Satz 1 — und Satz 1 verlangt Erforderlichkeit für genau diese Entscheidung. Daraus folgt die Konsequenz, die kein Anbieter gern schreibt: es gibt in Deutschland keine belastbare Grundlage dafür, im Bewerbungsverfahren selbst nach Verurteilungen zu recherchieren. Es gibt nur die Grundlage dafür, das vom Bewerber vorgelegte Führungszeugnis zur Kenntnis zu nehmen und daraus die gesetzlich vorgesehenen Schlüsse zu ziehen.

Wer diese Unterscheidung nicht trifft, produziert zwei Fehler gleichzeitig. Er recherchiert dort, wo er nicht darf — Auskunfteien, offene Quellen, „Referenzpersonen“, die in Wahrheit Ermittler sind — und er unterlässt die Prüfung, die er darf: die Plausibilisierung der vorgelegten Dokumente und die strukturierte Befragung der Referenzen, die der Bewerber benannt hat.

Das Führungszeugnis: das einzige Dokument, das der Bewerber selbst beschafft

§ 30 Abs. 1 BZRG regelt den Zugang so: „Jeder Person, die das 14. Lebensjahr vollendet hat, wird auf Antrag ein Zeugnis über den sie betreffenden Inhalt des Registers erteilt (Führungszeugnis).“ Der Antrag ist nach Absatz 2 persönlich oder mit amtlich oder öffentlich beglaubigter Unterschrift schriftlich bei der Meldebehörde zu stellen, die Identität ist nachzuweisen — und nach Absatz 2 Satz 3 können sich die antragstellende Person und ihre gesetzliche Vertretung bei der Antragstellung nicht durch Bevollmächtigte vertreten lassen.

Dieser letzte Halbsatz ist der Grund, warum ein Arbeitgeber das Dokument nicht beschaffen kann, weder über einen Dienstleister noch über eine Kanzlei. Es gibt keinen Weg zu einem Führungszeugnis einer anderen Person, der nicht durch deren eigenen Antrag führt. In der Praxis heißt das: die Prüfstufe Führungszeugnis kostet den Bewerber einen Behördengang oder einen Brief mit beglaubigter Unterschrift und kostet den Arbeitgeber eine Nachfrist. Wer diesen Schritt erst nach der Zusage anstößt, verschiebt den Eintritt um die Bearbeitungszeit.

Zwei Belegarten sind für Arbeitgeber relevant, und die Unterscheidung ist keine Formalie. Die Belegart N ist das Zeugnis zur Vorlage bei einer nicht-öffentlichen Stelle; es wird dem Bewerber ausgehändigt und von ihm vorgelegt. Die Belegart O ist der Behörde vorbehalten. Das erweiterte Führungszeugnis nach § 30a BZRG ist ein dritter Fall: es setzt eine gesetzliche Bestimmung oder die Beaufsichtigung, Betreuung, Erziehung oder Ausbildung Minderjähriger voraus, und der Antrag verlangt nach Absatz 2 eine schriftliche Aufforderung der Stelle, die es verlangt. Für eine Position ohne Kontakt zu Minderjährigen ist es damit in der Regel nicht das richtige Dokument — und die Aufforderung, es vorzulegen, ist selbst eine begründungsbedürftige Erklärung.

Dokument	Grundlage des Bezugs	Was es zeigt	Was es nicht zeigt
Führungszeugnis, Belegart N	§ 30 Abs. 1, Abs. 2 BZRG; Antrag persönlich	Eintragungen, soweit § 32 Abs. 2 sie nicht ausnimmt	Verfahren ohne Verurteilung, ausländische Verurteilungen außerhalb des § 54 BZRG, Ordnungswidrigkeiten
Erweitertes Führungszeugnis	§ 30a BZRG; nur bei gesetzlicher Grundlage oder Minderjährigenbezug	Zusätzlich bestimmte Sexual- und Gewaltdelikte nach § 34 Abs. 2 BZRG	Alles außerhalb des gesetzlichen Anwendungsbereichs; nicht als allgemeines Instrument verwendbar
Arbeitszeugnis	§ 109 GewO; Vorlage durch den Bewerber	Beschäftigungsdauer, Aufgaben, Bewertung durch den Vorarbeitgeber	Richtigkeit der Bewertung; Echtheit ohne Rückfrage beim Aussteller
Referenzgespräch	§ 26 Abs. 1 S. 1 BDSG; Einwilligung für den Kontakt	Vergleichbare Angaben zu Aufgaben, Teamgröße und Zusammenarbeit	Alles, was die befragte Person nicht weiß oder nicht sagen will
Selbstauskunft	§ 26 Abs. 1 S. 1 BDSG; freiwillige Erklärung	Bestätigung, dass kein Beschäftigungsverbot besteht, Angaben zu Sperrverträgen	Richtigkeit; eine Falschangabe ist erst nach Aufdeckung verwertbar, dann aber regelmäßig ein Kündigungsgrund

Die zweite Zeile ist die, an der Bewerbungsverfahren für Kitas, Schulen und Jugendhilfe hängen — und an der viele Unternehmen sie fälschlich für sich übernehmen. Das erweiterte Führungszeugnis ist kein gründlicherer Check, sondern ein anderer Zweck mit einem engeren Anwendungsbereich. Wer es für einen IT-Administrator verlangt, hat für den Bezug keine Rechtsgrundlage und muss die Aufforderung nach § 30a Abs. 2 BZRG unterschreiben, obwohl die Voraussetzungen nicht vorliegen.

Was das Führungszeugnis nicht zeigt — vier Rechnungen

Die Grenzen des Dokuments sind nicht Meinungssache, sondern stehen im Gesetz, und man kann sie ausrechnen. Die erste Grenze ist die Tagessatz-Schwelle: nach § 32 Abs. 2 Nr. 5 BZRG werden Verurteilungen nicht in das Führungszeugnis aufgenommen, durch die auf Geldstrafe von nicht mehr als neunzig Tagessätzen erkannt worden ist. Die Schwelle liegt in Tagessätzen, nicht in Euro — und der Tagessatz ist nach § 40 Abs. 2 Satz 4 StGB auf mindestens einen und höchstens dreißigtausend Euro festgesetzt.

Rechnen Sie das durch. Neunzig Tagessätze zu je 30 Euro ergeben 2.700 Euro und stehen nicht im Zeugnis; einundneunzig Tagessätze zu je 30 Euro ergeben 2.730 Euro und stehen drei Jahre lang darin. Bei einem Tagessatz von 5.000 Euro liegt die Grenze bei 450.000 Euro: 90 × 5.000 = 450.000 stehen nicht im Zeugnis, 91 × 5.000 = 455.000 stehen darin. Und am oberen Rand der Skala, bei 90 × 30.000 = 2.700.000 Euro, kann eine siebenstellige Geldstrafe außerhalb des Dokuments bleiben. Das Dokument unterscheidet damit nicht nach dem Unrecht, sondern nach der Zahl der Tagessätze — und die richtet sich nach dem Nettoeinkommen, nicht nach dem Tatbestand.

Konstellation	Tagessätze	Betrag	Im Führungszeugnis
Geldstrafe unter der Schwelle	90	2.700 € (30 € je Tag)	Nein, § 32 Abs. 2 Nr. 5 BZRG
Geldstrafe über der Schwelle	91	2.730 € (30 € je Tag)	Ja, drei Jahre nach § 34 Abs. 1 Nr. 1 lit. a BZRG
Hoher Tagessatz, unter der Schwelle	90	450.000 € (5.000 € je Tag)	Nein
Hoher Tagessatz, über der Schwelle	91	455.000 € (5.000 € je Tag)	Ja
Statistischer Höchsttagessatz	90	2.700.000 € (30.000 € je Tag)	Nein
Freiheitsstrafe bis drei Monate	—	—	Ja, drei Jahre nach § 34 Abs. 1 Nr. 1 lit. a BZRG
Freiheitsstrafe mehr als ein Jahr	—	—	Ja, fünf Jahre nach § 34 Abs. 1 Nr. 3 BZRG, verlängert um die Strafdauer nach Abs. 3

Die zweite Grenze ist die Zeit. § 34 Abs. 1 BZRG staffelt, wie lange eine Verurteilung noch aufgenommen wird: drei Jahre bei Geldstrafe und bei Freiheitsstrafe bis drei Monaten, zehn Jahre bei bestimmten Sexualdelikten mit Freiheitsstrafe über einem Jahr, fünf Jahre in den übrigen Fällen — und nach Abs. 3 verlängert sich die Frist in den Fällen der Nummern 2 und 3 um die Dauer der Strafe. Die Tilgungsfristen nach § 46 BZRG laufen davon getrennt. Praktisch heißt das: ein Bewerber, dessen Verurteilung vier Jahre und einen Monat zurückliegt und mit einer Geldstrafe über neunzig Tagessätzen geendet hat, legt ein Zeugnis ohne Eintragung vor — nicht weil etwas gelöscht wurde, sondern weil die Frist abgelaufen ist. Das ist kein Trick des Bewerbers, sondern die Entscheidung des Gesetzgebers, dass eine erledigte Strafe nach Ablauf der Frist nicht mehr gegen jemanden verwendet werden darf.

Die dritte Grenze ist die Reichweite des Registers: ausländische Verurteilungen werden nur unter den Voraussetzungen des § 54 BZRG aufgenommen. Wer fünf Jahre in einem anderen Land gearbeitet hat, dessen dortige Verurteilung ist in einem deutschen Führungszeugnis in der Regel nicht sichtbar. Die vierte Grenze ist die, die am häufigsten übersehen wird: das Zeugnis dokumentiert Verurteilungen. Ein laufendes Ermittlungsverfahren, eine Einstellung nach § 153a StPO, ein Tatverdacht ohne Anklage und jeder Verstoß, der als Ordnungswidrigkeit endet, stehen nicht darin — und genau diese Konstellationen sind im Insiderrisiko häufiger als abgeschlossene Verurteilungen.

Daraus folgt keine Abschaffung des Dokuments, sondern eine nüchterne Einordnung: das Führungszeugnis ist ein Filter für eine kleine Gruppe klar definierter Fälle, und es ist kein Instrument zur Bewertung von Vertrauenswürdigkeit. Wer es so einsetzt, hat eine Prüfung, die belegt, dass geprüft wurde — und ein Sicherheitsgefühl, das durch die vier Grenzen oben nicht gedeckt ist.

Einwilligung: warum sie im Bewerbungsverfahren selten trägt

Der naheliegende Ausweg aus jeder Begründungsklemme ist die Einwilligung. § 26 Abs. 2 BDSG macht ihn enger als erwartet: für die Beurteilung der Freiwilligkeit sind insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, und der Verantwortliche hat über den Zweck der Datenverarbeitung und über das Widerrufsrecht nach Art. 7 Abs. 3 DSGVO in Textform aufzuklären.

Im Bewerbungsverfahren ist die Abhängigkeit am größten: der Bewerber will die Stelle, die Alternative ist die Ablehnung, und eine Verweigerung ist für ihn mit einem messbaren Risiko verbunden, auch wenn sie rechtlich folgenlos sein muss. Die Aufsichtsbehörden bewerten Einwilligungen von Bewerbern deshalb regelmäßig als nicht freiwillig, jedenfalls dann, wenn die Prüfung faktisch Voraussetzung der Einstellung ist. Eine Einwilligung ist damit kein Ersatz für eine Rechtsgrundlage, sondern ein Zusatzelement: sie kann einen Grenzfall tragen — etwa den Kontakt zu einer Referenzperson, die der Bewerber selbst benannt hat —, aber sie kann nicht die Erhebung von Daten rechtfertigen, für die es keine Erforderlichkeit gibt.

Für die Praxis folgt daraus ein Test, den ein Prüfer übernehmen kann: streichen Sie im Formular jede Passage, die mit „Ich bin einverstanden“ beginnt, und prüfen Sie, ob das Verfahren danach noch steht. Wenn nicht, fehlt die Rechtsgrundlage und nicht die Einwilligung. Der zweite Test betrifft den Widerruf: wenn ein Bewerber die Einwilligung widerruft, muss das Verfahren an dieser Stelle anhalten können, ohne dass die Einstellungsentscheidung zusammenbricht. Ein Programm, das den Widerruf nicht überlebt, hat ihn nie als freiwillig behandelt.

Betriebsrat: § 87 Abs. 1 Nr. 6 BetrVG ist ein Tor, kein Formfehler

Ein Screening-Werkzeug ist keine Personalmaßnahme, sondern eine technische Einrichtung — und danach richtet sich, wer mitentscheidet. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmerinnen und Arbeitnehmer zu überwachen. § 26 Abs. 6 BDSG stellt klar, dass die Beteiligungsrechte der Interessenvertretungen unberührt bleiben — die datenschutzrechtliche Bewertung ersetzt die Mitbestimmung nicht und umgekehrt.

Das Bundesarbeitsgericht hat den Begriff der technischen Einrichtung weit gefasst und die subjektive Absicht des Arbeitgebers ausdrücklich für unerheblich erklärt: es genügt, dass das System zur Überwachung geeignet ist. Für E-Mail-Systeme hat es mit Beschluss vom 23. März 2021 (1 ABR 31/19) entschieden, dass die Einführung und die Nutzung von Software, die für die E-Mail-Kommunikation erforderlich ist, der Mitbestimmung unterliegt, weil ein solches System Verhaltens- und Leistungsdaten erzeugen kann — und zwar unabhängig davon, ob der Arbeitgeber das beabsichtigt. Mit Beschluss vom 8. März 2022 (1 ABR 20/21) hat es diese Linie auf Office 365 übertragen.

Für ein Screening-Programm folgt daraus ein Gate, das vor dem ersten Bewerber stehen muss. Ein Werkzeug, das Bewerbungen bewertet, Trefferlisten erzeugt, Kandidaten gegeneinander in ein Ranking setzt oder Wiedervorlagen mit Zeitstempeln produziert, ist jedenfalls überwachungsgeeignet — und zwar nicht nur für Bewerber, sondern für die Beschäftigten, die es bedienen und über die es mittelbar Aussagen trifft. Wer es ohne Betriebsvereinbarung einführt, riskiert ein Unterlassungsverfahren nach § 23 Abs. 3 BetrVG und verliert im Zweifel die Nutzung des Werkzeugs, nicht nur die Form.

Entscheidung	Mitbestimmt nach § 87 BetrVG	Nicht mitbestimmt	Folge, wenn übergangen
Einführung des Screening-Werkzeugs	Ja, Abs. 1 Nr. 6, wenn überwachungsgeeignet	—	Unterlassungsanspruch; Nutzung untersagt bis zur Einigung
Auswahl der Prüfstufen je Rolle	Ja, soweit Beschäftigte betroffen sind; nein für den reinen Bewerberbezug	Die unternehmerische Entscheidung, welche Stelle besetzt wird	Kein Bestandsschutz für die Matrix; Nachbesserung im Einigungsstellenverfahren
Trefferlisten und Ranking von Bewerbern	Nein, Bewerber sind keine Arbeitnehmer im Sinne des BetrVG	Ja, soweit kein Beschäftigtenbezug	Datenschutzrechtliche Prüfung bleibt; § 26 BDSG gilt trotzdem
Auswertung von Verhaltensdaten Beschäftigter (Logs, Zugriffe)	Ja, Abs. 1 Nr. 6	—	Beweisverwertungsverbot und Unterlassung
Löschkonzept und Aufbewahrungsfristen	Ja, Abs. 1 Nr. 1 in Verbindung mit Nr. 6, soweit Verhalten dokumentiert wird	Die gesetzlichen Mindestfristen	Nachverhandlung; Fristen bleiben gesetzlich bindend

Die dritte Zeile ist die, die in der Praxis regelmäßig falsch beantwortet wird — in beide Richtungen. Bewerber sind keine Arbeitnehmer im Sinne des BetrVG, ein Mitbestimmungsrecht bei der Bewertung einzelner Bewerbungen besteht deshalb nicht. Das entlastet aber nicht von der Mitbestimmung bei der Einführung des Werkzeugs, weil dieses Werkzeug im Betrieb läuft, von Beschäftigten bedient wird und regelmäßig auch Beschäftigtendaten verarbeitet — etwa wenn interne Bewerbungen, Nachfolgeplanung oder Referenzen im selben System liegen. Programme, die mit dem Argument „betrifft nur Bewerber“ ohne Betriebsrat eingeführt wurden, sind deshalb der häufigste Nachbesserungsfall.

NIS2 und § 30 Abs. 2 Satz 2 Nr. 9 BSIG: Personalsicherheit als Pflicht

Die europäische Richtlinie (EU) 2022/2555 nennt in Art. 21 Abs. 2 Buchstabe i als eine der Mindestmaßnahmen die Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen. Das deutsche Umsetzungsgesetz spiegelt das in § 30 Abs. 2 Satz 2 Nr. 9 BSIG: wichtige und besonders wichtige Einrichtungen müssen Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen erstellen und dokumentieren.

Für das Screening ist das der entscheidende Satz, weil er den Zweck verschiebt. Nicht die Einstellungsentscheidung ist der Adressat der Pflicht, sondern das Zugriffsrisiko: Personal, das Zugriff auf kritische Systeme erhält, soll nach einem dokumentierten Konzept ausgewählt und berechtigt werden. Das ist eine andere Anforderung als ein Führungszeugnis, und sie ist mit einem Führungszeugnis nicht erfüllbar. Ein Konzept, das die Anforderung erfüllt, beschreibt vier Dinge: welche Rolle welchen Zugriff erhält, welche Prüfung vor der Berechtigung läuft, wer die Berechtigung erteilt und wann sie entzogen wird.

Die Prüfung ist darin ein Baustein von mehreren, und sie ist nicht der wichtigste. Der wichtigste ist der Entzug: die überwiegende Zahl der Schäden durch Beschäftigte entsteht nach dem Ausscheiden oder nach einem Rollenwechsel, wenn Berechtigungen bestehen bleiben. Ein Programm, das bei Eintritt prüft und beim Austritt nichts tut, hat die teure Hälfte gebaut und die wirksame Hälfte vergessen.

Die Rollenmatrix: vier Stufen mit Rechtsgrundlage und Nachweis

Die Matrix ist das einzige Dokument, das die Verhältnismäßigkeit sichtbar macht, und sie ist zugleich das Dokument, das im Audit zuerst verlangt wird. Sie hat vier Stufen, und die Zuordnung folgt aus dem Zugriff, nicht aus dem Vertragstyp. Ein Werkstudent mit Produktionszugang steht in Stufe 3, ein unbefristeter Mitarbeiter im Innendienst ohne Systemzugriff in Stufe 1. Wer die Stufe an der Vertragsart festmacht, hat die Matrix nicht verstanden.

Stufe	Rollen (Beispiel)	Datenarten	Tragende Norm	Nachweis im Audit
1 — Basis	Innendienst ohne Systemzugriff, Reinigung, Empfang ohne IT-Zugang	Identität, Qualifikation, Vertragsdaten	§ 26 Abs. 1 S. 1 BDSG; § 2 NachwG	Personalakte mit Identitätsabgleich; keine weitere Erhebung dokumentiert
2 — Erweitert	Zugriff auf personenbezogene Daten Dritter, Buchhaltung mit Zahlungsverkehr, Kundenservice	Zusätzlich Zeugnisse im Original, zwei strukturierte Referenzen, Selbstauskunft	§ 26 Abs. 1 S. 1 BDSG; Einwilligung nur für den Referenzkontakt	Referenzprotokoll mit Fragenkatalog und Datum; Zeugniskopien mit Vernichtungsdatum
3 — Sensibel	Administratoren mit privilegiertem Zugriff, Produktionsdaten, Zahlungsfreigabe, Schlüsselverwaltung	Zusätzlich Führungszeugnis Belegart N, Plausibilisierung der Identität, Prüfung auf Sperrverträge	§ 26 Abs. 1 S. 1 BDSG; § 30 BZRG für den Bezug	Vorlage des Zeugnisses mit Datum, Bewertung der Eintragung, dokumentierte Entscheidung
4 — Höchststufe	Geheimschutzbezug, sicherheitsempfindliche Bereiche nach SÜG, kritische Anlagen mit behördlicher Anforderung	Zusätzlich behördliche Überprüfung nach den Vorgaben der zuständigen Stelle	Vorgaben der zuständigen Behörde; SÜG; § 30 Abs. 2 Satz 2 Nr. 9 BSIG für das Konzept	Bescheid oder Mitteilung der Behörde; Nachweis, dass die Prüfung nicht vom Arbeitgeber selbst durchgeführt wurde

Stufe 4 ist die, bei der Arbeitgeber am häufigsten die Zuständigkeit überschätzen. Eine Sicherheitsüberprüfung nach dem Sicherheitsüberprüfungsgesetz führt nicht das Unternehmen durch, sondern die zuständige Behörde; das Unternehmen meldet die Person und erhält das Ergebnis in der Form, die das Verfahren vorsieht. Wer im Bewerbungsverfahren Fragebögen mit sicherheitsrelevanten Angaben einsammelt, um „schon einmal vorzuarbeiten“, sammelt Daten ohne Rechtsgrundlage — und darf sie anschließend nicht behalten.

Die Matrix braucht außerdem einen Takt, sonst ist sie eine Momentaufnahme. Ein sinnvoller Takt ist: Stufe 1 und 2 einmal bei Eintritt, Stufe 3 bei Eintritt und bei jedem Wechsel in eine privilegierte Rolle, Stufe 4 nach den Vorgaben der Behörde. Der Auslöser für die Wiederholung ist das Ereignis, nicht der Kalender — ein Rollenwechsel ist der häufigste Anlass, bei dem eine alte Prüfung stillschweigend weiterlebt.

Prüfquellen: was Zeugnis, Referenz und Selbstauskunft wirklich belegen

Innerhalb der Stufen gibt es fünf Quellen, und sie unterscheiden sich nicht in der Gründlichkeit, sondern in dem, was sie überhaupt belegen können. Wer sie nicht auseinanderhält, baut ein Verfahren, in dem die teuerste Quelle die schlechteste Aussage liefert.

Quelle	Belegt	Belegt nicht	Aufwand je Fall	Manipulationsrisiko
Identitätsdokument	Die Person ist die Person	Alles andere	5 Minuten	Gefälschte Dokumente bei Leiharbeit und Subunternehmen
Zeugnis und Zertifikat	Beschäftigungszeitraum, Aufgaben, formale Bewertung	Fähigkeit; Echtheit ohne Rückfrage	10 Minuten	Gefälschte Zeugnisse sind häufig und billig
Zertifikatsregister	Die Zertifizierung existiert und gilt	Praktische Fähigkeit	5 Minuten je Zertifikat	Gering, wenn beim Aussteller geprüft
Strukturiertes Referenzgespräch	Zusammenarbeit, Aufgabenumfang, Verlässlichkeit im Betrieb	Straftaten; Leistung in anderem Kontext	30 Minuten für zwei Referenzen	Gefälligkeitsreferenzen, wenn der Bewerber sie auswählt
Führungszeugnis	Eintragungen nach § 32 BZRG innerhalb der Fristen des § 34 BZRG	Alles außerhalb dieser vier Grenzen	15 Minuten Prüfung plus Bearbeitungszeit	Gering; die Vorlage ist personalisiert und datiert

Die vierte Zeile verdient einen zweiten Blick, weil sie die einzige Quelle ist, die Aussagen über das Verhalten in einem echten Arbeitsverhältnis liefert — und weil sie die einzige ist, deren Aussage durch die Auswahl der Befragten gesteuert wird. Ein Bewerber, der seine Referenzen selbst benennt, benennt die, bei denen es gut lief. Das ist kein Betrug, sondern Rationalität, und es ist der Grund, warum Referenzprüfungen nur dann vergleichbare Daten liefern, wenn die Fragen gleich sind und die Antworten auf einer Skala landen.

Referenzen einholen, ohne die Bewerbung zu verraten

Der erste Fehler im Referenzprozess ist der Anruf beim aktuellen Arbeitgeber. Er offenbart die Bewerbung gegenüber einer Person, die davon nichts wissen soll, und er ist datenschutzrechtlich eine Übermittlung personenbezogener Daten ohne Rechtsgrundlage — die Einwilligung des Bewerbers deckt den Kontakt mit einer von ihm benannten Person, nicht mit jedem Vorarbeitgeber. Die Regel ist deshalb einfach: nur die Personen, die der Bewerber benannt hat, und nur nach ausdrücklicher Zustimmung zum Kontakt.

Der zweite Fehler ist das offene Gespräch. Es produziert Eindrücke, keine Daten, und es ist nicht reproduzierbar. Ein Gespräch mit fünf festen Fragen, das in fünf Minuten dokumentiert wird, liefert Vergleichbarkeit. Fünf Fragen, die etwas belegen: Welche Aufgaben hatte die Person in den letzten zwölf Monaten? Wie viele Personen hat sie fachlich geführt? Wie oft musste eine Frist verschoben werden, und aus welchem Grund? Würden Sie die Person in einer Rolle mit Zugriff auf Produktionsdaten erneut einstellen, und warum? Gibt es etwas, das ich nicht gefragt habe und das Sie wissen sollten?

Die Antworten werden nicht bewertet, sondern protokolliert, mit Datum, Name der befragten Person und der Rolle, in der sie mit dem Bewerber gearbeitet hat. Der Nutzen liegt nicht in der einzelnen Antwort, sondern im Muster über mehrere Bewerbungen: wenn in vier von fünf Protokollen steht, dass Fristen regelmäßig verschoben wurden, ist das ein Signal, das kein Zeugnis liefert.

AGG: die Kriterien, die verbotene Merkmale abbilden

§ 1 AGG nennt die Merkmale, aus denen niemand benachteiligt werden darf: Rasse oder ethnische Herkunft, Geschlecht, Religion oder Weltanschauung, Behinderung, Alter und sexuelle Identität. § 7 Abs. 1 AGG verbietet die Benachteiligung von Beschäftigten aus diesen Gründen, und § 6 Abs. 1 Satz 2 AGG stellt Bewerberinnen und Bewerber ausdrücklich den Beschäftigten gleich. § 15 Abs. 2 AGG begrenzt den Schadensersatz bei einer Beschäftigung ohne Diskriminierung auf drei Monatsgehälter, und § 15 Abs. 4 AGG setzt für die Geltendmachung eine Frist von zwei Monaten ab Kenntnis.

Das Screening-Risiko liegt nicht darin, dass jemand bewusst nach dem Alter fragt. Es liegt in den Kriterien, die ein Merkmal abbilden, ohne es zu nennen — und in Prüfquellen, die es mitliefern. Ein Bonitätscheck korreliert mit Herkunft und Wohnort. Ein Social-Media-Scan liefert Religion, Familienstand und Gesundheitsangaben mit, obwohl niemand danach gesucht hat. Eine Lücke im Lebenslauf korreliert mit Elternzeit, Krankheit und Pflegezeit, also mittelbar mit Geschlecht und Behinderung. Ein Auswahlkriterium, das einen lückenlosen Lebenslauf verlangt, ist damit ein Kriterium, das die Merkmale aus § 1 AGG abbildet.

Prüfkriterium	Abgebildetes Merkmal	Risiko	Zulässige Alternative
Lückenloser Lebenslauf	Geschlecht, Behinderung, Religion	Mittelbare Benachteiligung; § 15 Abs. 2 AGG bis drei Monatsgehälter	Nachweis der für die Rolle erforderlichen Erfahrung, unabhängig von Zeiträumen
Bonitätsauskunft	Herkunft, Wohnort, sozialer Status	Keine Rechtsgrundlage; Diskriminierungsrisiko hoch	Vier-Augen-Prinzip und Freigabegrenzen bei Zahlungsvollmachten
Social-Media-Scan	Religion, Familienstand, Gesundheit, sexuelle Identität	Erhebung besonderer Kategorien ohne Grundlage	Kein Scan; Prüfung der fachlichen Nachweise
Foto im Lebenslauf	Herkunft, Alter, Geschlecht	Benachteiligungsrisiko im Auswahlprozess	Anonymisierte Erstprüfung der Qualifikation
Frage nach Familienplanung	Geschlecht	Unzulässige Frage; Beweislast beim Arbeitgeber	Frage nach Verfügbarkeit für Schicht- und Rufbereitschaft
Führungszeugnis für alle Rollen	Mittelbar Herkunft und Alter	Verhältnismäßigkeit fehlt; § 26 Abs. 1 BDSG nicht erfüllt	Stufe 3 nur bei privilegiertem Zugriff

Die letzte Zeile ist die unbequemste, weil sie ein Argument gegen das eigene Programm enthält: ein Führungszeugnis für alle Rollen ist nicht nur datenschutzrechtlich unverhältnismäßig, es wirkt auch statistisch ungleich, weil die Belastung mit Eintragungen nicht gleich verteilt ist. Wer die Prüfung auf die Rollen begrenzt, in denen sie etwas belegt, verkleinert beide Risiken gleichzeitig — das rechtliche und das der Fehlbesetzung.

Ein zweiter Punkt, der in Programmen fast immer fehlt, ist die Dokumentation der Entscheidung. § 22 AGG regelt die Beweislast: wenn im Streitfall Indizien für eine Benachteiligung vorliegen, muss der Arbeitgeber beweisen, dass kein Verstoß gegen die Benachteiligungsverbote vorliegt. Ein Auswahlprotokoll, das nur das Ergebnis festhält, beweist nichts. Ein Protokoll, das je Kandidat die geprüften Kriterien, die Quelle und die Bewertung festhält, verschiebt die Beweislast zurück dorthin, wo sie hingehört.

Die Arithmetik eines Screening-Programms

Ein Programm wird nicht dadurch verhältnismäßig, dass es richtig beschrieben ist, sondern dadurch, dass der Aufwand in einem Verhältnis zum Risiko steht — und dieses Verhältnis kann man ausrechnen, bevor man es baut. Das folgende Rechenbeispiel ist ein Modell mit ausdrücklich gesetzten Annahmen: 300 Bewerbungen, die eine Prüfstufe erreichen, 240 Einstellungen, ein Vollkostenansatz von 68 Euro je Personalstunde für die prüfende Person.

Stufe	Fälle	Minuten je Fall	Stunden	Kosten
1 — Basis	120	0	0,00	0 €
2 — Erweitert	105	45	78,75	5.355 €
3 — Sensibel	60	90	90,00	6.120 €
4 — Höchststufe	15	480	120,00	8.160 €
Summe	300	—	288,75	19.635 €

Drei Zahlen aus dieser Tabelle sind die, die eine Geschäftsführung tatsächlich braucht. Die erste ist der Aufwand je geprüftem Bewerber: 288,75 Stunden auf 180 geprüfte Fälle sind 1,604 Stunden, also etwa 96 Minuten. Die zweite ist der Aufwand je Einstellung: 288,75 auf 240 ergibt 1,203 Stunden. Die dritte ist der Anteil der Stufe 4: 15 Fälle tragen 120 der 288,75 Stunden, also 41,6 Prozent des Aufwands bei 5 Prozent der Fälle. Wer das Programm kürzen will, kürzt an dieser Stelle — nicht bei den Referenzen, die den größten Teil der Aussage liefern.

Die zweite Rechnung betrifft die Zeit, und sie ist der Grund, warum Prüfungen früh ausgelöst werden müssen. Ein Führungszeugnis ist nicht am Tag der Aufforderung da: der Bewerber muss einen Termin bei der Meldebehörde bekommen oder einen Brief mit beglaubigter Unterschrift schicken, die Behörde leitet den Antrag weiter, das Bundesamt für Justiz erteilt das Zeugnis und übersendet es nach § 30 Abs. 4 BZRG ausschließlich an die antragstellende Person. Realistisch sind eineinhalb bis zwei Wochen. Wer die Stufe 3 erst nach der Vertragsunterschrift startet, verschiebt den Eintritt um zehn Arbeitstage; wer sie parallel zum letzten Gespräch startet, verschiebt nichts. Bei 240 Einstellungen im Jahr sind das 4,62 Einstellungen pro Woche, und zehn Arbeitstage Verzug betreffen jede davon.

Warum ein Treffer selten ein Befund ist

Die zweite Zahl, die ein Programm kennen muss, ist die Trefferquote — und sie ist regelmäßig schlechter als erwartet. Nehmen Sie an, 1,5 Prozent der 300 geprüften Bewerber hätten einen Eintrag, der für die Rolle relevant ist: das sind 4,5 Fälle. Eine Prüfung, die 95 Prozent davon erkennt und bei 4 Prozent der unbelasteten Bewerber fälschlich anschlägt, erzeugt 4,27 richtige und 11,82 falsche Treffer.

Kennzahl	Annahme A	Annahme B
Geprüfte Bewerber	300	300
Relevante Fälle (Basisrate 1,5 %)	4,5	4,5
Sensitivität der Prüfung	95 %	95 %
Falsch-Positiv-Rate	4 %	10 %
Richtig Positive	4,27	4,27
Falsch Positive	11,82	29,55
Treffer insgesamt	16,09	33,83
Anteil echter Treffer (positiver Vorhersagewert)	26,6 %	12,6 %
Prüfaufwand für Treffer (1 Stunde je Treffer)	16,1 h — 1.094 €	33,8 h — 2.300 €

Bei Annahme A ist jeder vierte Treffer ein echter, bei Annahme B jeder achte. Das ist keine Kritik an der Prüfung, sondern eine Eigenschaft jeder Prüfung mit niedriger Basisrate: je seltener das gesuchte Merkmal ist, desto stärker bestimmen die falschen Treffer das Ergebnis. Für das Verfahren folgt daraus eine Regel, die in keinem Anbieterhandbuch steht: ein Treffer ist ein Anlass für ein Gespräch, nicht für eine Ablehnung. Und die Person, die das Gespräch führt, muss die Akte kennen, weil sie sonst den falschen Treffer als Befund behandelt.

Die dritte Konsequenz betrifft die Auswahl der Prüfquelle. Wenn eine Quelle mit 4 Prozent Falsch-Positiv-Rate 11,82 zusätzliche Fälle erzeugt, dann ist die Frage nicht, ob sie genauer geht, sondern ob der geprüfte Umstand für die Rolle überhaupt relevant ist. Bei den meisten Rollen ist er es nicht — und dann ist jede Verbesserung der Trefferquote eine Verbesserung eines Verfahrens, das nicht gebraucht wird.

Löschfristen: die sechs Monate und was danach passiert

Das DSGVO-Prinzip der Speicherbegrenzung verlangt eine Frist, und das BDSG nennt für Bewerberdaten keine. Die Frist lässt sich aber aus zwei Größen ableiten, die beide im Gesetz stehen: aus dem Zweck, der mit der Einstellungsentscheidung endet, und aus der Frist, in der ein abgelehnter Bewerber Ansprüche geltend machen kann. Nach § 15 Abs. 4 AGG sind das zwei Monate ab Kenntnis; sechs Monate sind damit der Abstand, der den Zweck abdeckt und darüber hinaus nichts trägt.

Für das Führungszeugnis gibt es einen gesetzlichen Maßstab, der genau diese Größenordnung bestätigt: nach § 30a Abs. 3 Satz 4 BZRG dürfen Daten aus einem erweiterten Führungszeugnis, die über die Prüfung der Eignung hinausgehen, nicht weiterverarbeitet werden und sind unverzüglich zu löschen, wenn die Tätigkeit nicht ausgeübt wird, spätestens sechs Monate nach dem letzten Einsatz. Für die Belegart N fehlt eine solche ausdrückliche Norm — die Sechs-Monats-Grenze folgt dort aus Art. 5 Abs. 1 lit. e DSGVO in Verbindung mit § 26 Abs. 1 BDSG, und sie ist der Wert, den ein Prüfer erwartet, weil der Gesetzgeber ihn für den parallelen Fall selbst gesetzt hat.

Datenart	Frist	Maßstab	Rechnung
Bewerbungsunterlagen abgelehnter Bewerber	6 Monate nach Absage	Art. 5 Abs. 1 lit. e DSGVO; § 15 Abs. 4 AGG	182,5 Tage; deckt die Zwei-Monats-Frist mit Puffer ab
Führungszeugnis, Einsicht und Kopie	6 Monate nach Abschluss der Prüfung	§ 30a Abs. 3 Satz 4 BZRG als Maßstab; Art. 5 Abs. 1 lit. e DSGVO	Löschung des Scans, nicht nur Sperrung; Nachweis der Löschung im Fall
Referenzprotokolle	6 Monate nach Absage	Art. 5 Abs. 1 lit. e DSGVO	Gleiche Frist wie die Bewerbungsunterlagen, gemeinsame Löschung
Bewerberpool mit Einwilligung	12 Monate, widerruflich	§ 26 Abs. 2 BDSG; Art. 7 Abs. 3 DSGVO	Verlängerung nur mit erneuter Einwilligung, nicht automatisch
Nachweis der durchgeführten Prüfung	Beschäftigungsdauer, danach Aufbewahrungsfristen	§ 26 Abs. 1 S. 1 BDSG; § 257 HGB, § 147 AO für Entgeltdaten	Nachweis ohne Dokument: Stufe, Datum, Ergebnis, Entscheider
Ergebnisse automatisierter Bewertung	Mit der Entscheidung	Art. 5 Abs. 1 lit. e DSGVO	Kein Zweck nach der Entscheidung; Score nicht archivieren

Die Zahlen hinter diesen Fristen sind unspektakulär und trotzdem der Punkt, an dem Programme kippen. 300 Bewerbungen mit durchschnittlich 14 Artefakten zu je 1,8 Megabyte sind 4.200 Dateien und 7.560 Megabyte, also 7,38 Gigabyte im ersten Jahr. Wird nach sechs Monaten gelöscht, liegt der Bestand im eingeschwungenen Zustand bei der Hälfte der Jahresmenge: 150 Fälle, 3,69 Gigabyte. Wird 24 Monate aufbewahrt, sind es 600 Fälle und 14,77 Gigabyte — das Vierfache des Notwendigen, und in jedem dieser Fälle eine Auskunft nach Art. 15 DSGVO, die vollständig zu beantworten ist.

Der zweite Punkt ist die Löschung selbst. Ein Bewerbermanagement-System, das Dokumente nur aus der Ansicht entfernt, hat nicht gelöscht; die Datei liegt im Speicher, im Backup und im Suchindex. Ein Löschkonzept, das eine Prüfung übersteht, nennt drei Dinge: was gelöscht wird (Datei, Datensatz, Index), wo es liegt (Datenbank, Dateisystem, Backup mit Aufbewahrungsdauer) und wie die Löschung nachgewiesen wird (Protokolleintrag ohne Personenbezug).

Dokumentation, die eine Prüfung übersteht: fünf Felder pro Fall

Die Dokumentation ist der Teil, der über den Ausgang eines Aufsichtsverfahrens entscheidet, und sie ist der Teil, der am wenigsten Aufwand kostet — fünf Felder, die für jeden geprüften Fall gefüllt werden. Sie sind bewusst so gewählt, dass sie die Verhältnismäßigkeit belegen und nicht nur das Ergebnis.

Das erste Feld ist der Zweck: für welche Entscheidung wurde geprüft, und in welcher Stufe steht die Rolle. Das zweite ist die Datenart mit ihrer Quelle: Zeugnis, Referenz, Register, Selbstauskunft — und bei jeder Quelle die tragende Norm. Das dritte ist das Ergebnis der Prüfung in der Form, die später vergleichbar ist, also nicht „unauffällig“, sondern die geprüfte Tatsache. Das vierte ist die Entscheidung mit ihrer Begründung und dem Namen der Person, die sie getroffen hat. Das fünfte ist das Löschdatum.

Feld	Inhalt	Was es im Streitfall belegt
Zweck und Stufe	Rolle, Stufe 1 bis 4, Begründung der Einstufung	Verhältnismäßigkeit; kein Screening ohne Anlass
Datenart und Quelle	Zeugnis, Referenz, Führungszeugnis, Selbstauskunft; Norm je Quelle	Rechtsgrundlage je Datum, nicht pauschal
Ergebnis	Geprüfte Tatsache, Datum, Aussteller	Nachvollziehbarkeit; kein pauschales „unauffällig“
Entscheidung	Einstellung oder Ablehnung, Begründung, Entscheider	Kein Automatismus; individuelle Bewertung nach Art. 22 DSGVO
Löschdatum	Datum der Löschung, Umfang, Nachweis	Speicherbegrenzung; Löschung ist erfolgt, nicht geplant

Das vierte Feld hat eine Funktion, die leicht übersehen wird: es ist der Nachweis, dass keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO getroffen wurde. Ein System, das Bewerbungen unterhalb einer Schwelle automatisch ausschleust, trifft eine Entscheidung mit erheblichen Folgen für die betroffene Person — und dann greifen die Anforderungen des Art. 22 Abs. 3 DSGVO, einschließlich der Möglichkeit, eine menschliche Überprüfung zu verlangen. Ein Protokoll, das eine menschliche Entscheidung mit Begründung zeigt, ist der Nachweis, dass der Fall nicht automatisiert entschieden wurde.

Typische Fehler und ihr Symptom

Die Fehler in diesem Feld wiederholen sich, und sie haben jeweils ein Symptom, das man in einem halben Tag findet. Die folgende Liste ist als Prüfungsliste gedacht, nicht als Schuldzuweisung — die meisten Punkte entstehen aus einer Reihenfolge, in der das Werkzeug vor der Matrix kam.

Fehler	Symptom im Betrieb	Nachweis, der ihn belegt
Einwilligung als tragende Grundlage	Formular beginnt mit „Ich bin einverstanden“; Widerruf führt zum Verfahrensstopp	Einwilligungstext ohne Rechtsgrundlage je Datenart
Prüfung aller Rollen gleich	Jeder Bewerber legt ein Führungszeugnis vor, auch für Empfang und Innendienst	Matrix fehlt; Stufe ist faktisch konstant
Prüfung nach Vertragsschluss	Eintrittstermin verschiebt sich regelmäßig um zwei Wochen	Datum Prüfungsabschluss liegt nach Datum Kontoeinrichtung
Kein Betriebsrat beteiligt	Werkzeug läuft, Betriebsvereinbarung existiert nicht	Einführungsdatum ohne Beteiligungsdokument
Führungszeugnis als Vertrauensnachweis	Eintragung entscheidet, ohne Bezug zur Rolle; Gespräch findet nicht statt	Protokoll mit Ergebnis ohne Bewertung und ohne Gespräch
Referenzanruf beim aktuellen Arbeitgeber	Bewerber erfährt davon; Beschwerde oder Abbruch	Gesprächsnotiz mit nicht benannter Referenzperson
Löschung nur in der Ansicht	Datei im Speicher und im Backup vorhanden	Suche im Dateisystem findet das Dokument nach dem Löschdatum
Score als Archiv	Bewertungen aus drei Jahren liegen im System, ohne Zweck	Datenexport enthält Scores zu Bewerbern ohne laufendes Verfahren

Der vorletzte Punkt ist der, der in Aufsichtsverfahren am häufigsten zum Problem wird, weil er sich ohne technische Prüfung nicht widerlegen lässt. Ein Nachweis der Löschung ist nur dann belastbar, wenn er drei Ebenen abdeckt: den Datensatz in der Anwendung, die Datei im Speicher und die Kopie im Backup — und bei der Kopie im Backup die Angabe, wann sie planmäßig ausläuft.

Die ersten 30 Tage

Ein Programm in vier Wochen ist realistisch, wenn man in der richtigen Reihenfolge arbeitet. Die Reihenfolge ist wichtig, weil jede Stufe auf der vorherigen aufbaut: eine Matrix ohne Betriebsrat ist angreifbar, eine Prüfung ohne Matrix ist unverhältnismäßig, und ein Löschkonzept ohne Prüfprotokoll löscht das Falsche.

Woche	Arbeit	Ergebnis
1	Rollen inventarisieren, Zugriffe je Rolle erfassen, Stufen 1 bis 4 zuordnen	Rollenmatrix mit Begründung je Stufe
2	Rechtsgrundlage je Datenart festlegen; Einwilligungstexte auf das reduzieren, was ohne sie nicht steht	Tabelle Datenart, Norm, Grenze; neue Formulare
2	Betriebsrat beteiligen, Betriebsvereinbarung aufsetzen, Einführungsdatum festlegen	Beteiligungsdokument; Termin für die Einführung
3	Fragenkatalog für Referenzen, Protokollvorlage mit fünf Feldern, Auslösezeitpunkte im Prozess	Prüfprotokoll und Prozessschritte im Bewerbermanagement
4	Löschkonzept mit drei Ebenen, Löschprotokoll, Testlauf an einem Fall	Nachweis der Löschung; Fristen im System hinterlegt
4	Rollout und Kontrolle: erster Monat mit Stichprobe von zehn Fällen	Stichprobenprotokoll; Korrekturen vor dem zweiten Monat

Der Testlauf in Woche 4 ist der Schritt, der am häufigsten ausgelassen wird und am meisten Zeit spart. Er besteht aus einer einzigen Frage: verschwindet ein Bewerber, der abgelehnt wurde, nach sechs Monaten vollständig aus dem System, aus dem Speicher und aus dem Backup-Zyklus? Die Antwort findet man nicht in der Dokumentation, sondern im Dateisystem.

Wo das Programm aufhört — und warum das der wichtigste Teil ist

Ein Screening endet mit der Einstellung, das Insiderrisiko beginnt danach. Die Fälle, die in den vergangenen Jahren öffentlich wurden, hatten fast alle dieselbe Struktur: eine Person mit gültigem Zugang, ein Zeitfenster, in dem niemand hinsah, und eine Berechtigung, die nach einem Rollenwechsel nicht entzogen wurde. Keine dieser drei Bedingungen wird durch ein Führungszeugnis adressiert.

Was sie adressiert, ist unspektakulär und in jedem Rahmenwerk beschrieben: kleinste notwendige Berechtigung, Entzug bei Austritt und Wechsel, Protokollierung privilegierter Zugriffe, Vier-Augen-Prinzip bei Zahlungen und eine Kontrolle, die tatsächlich stattfindet. Die technischen Maßnahmen nach Art. 32 DSGVO sind der Ort, an dem diese Kontrollen stehen — und sie sind der Grund, warum die Prüfung von Bewerbern als Baustein und nicht als Gebäude zu behandeln ist.

Für die Verbindung zwischen Personalprozess und technischer Kontrolle gibt es auf dieser Seite einen eigenen Leitfaden: DSGVO Art. 32: technische und organisatorische Maßnahmen beschreibt, wie die Maßnahmen ausgewählt, begründet und im Audit belegt werden. Wer das Screening dort einordnet, hat ein Programm, das den Standard erfüllt, ohne die Verhältnismäßigkeit zu verletzen.

Für Leser, die denselben Gegenstand im internationalen Vergleich brauchen — FCRA und Adverse Action in den USA, DBS-Stufen im Vereinigten Königreich, die europäische Diskussion um verzögerte KI-Regeln — steht der englische Leitfaden Employee Background Checks for Security Roles bereit. Die deutschen Regeln, die hier beschrieben sind, gelten unabhängig davon; sie sind enger, und sie sind der Maßstab für jede Prüfung, die in Deutschland durchgeführt wird.