Hintergrundüberprüfungen, Background Screening und Pre-Employment Screening werden für Unternehmen zunehmend wichtiger, um Integritäts-, Sicherheits-, Finanz- und Compliance-Risiken zu steuern.
Sobald eine Hintergrundüberprüfung jedoch Informationen über strafrechtliche Verurteilungen oder Straftaten umfasst, gelten zusätzliche Anforderungen der DSGVO.
Ein häufiges Missverständnis besteht darin, dass Artikel 10 DSGVO die Verarbeitung strafrechtlicher Daten grundsätzlich verbietet.
Das ist nicht der Fall.
Artikel 10 DSGVO stellt vielmehr zusätzliche rechtliche Anforderungen. Daten über strafrechtliche Verurteilungen und Straftaten dürfen unter behördlicher Aufsicht oder dann verarbeitet werden, wenn dies nach Unionsrecht oder dem Recht eines Mitgliedstaats zulässig ist und angemessene Garantien vorgesehen sind.
Für HR-, Legal- und Compliance-Teams sollte die Frage daher nicht nur lauten: „Dürfen wir eine Hintergrundüberprüfung durchführen?“
Sondern: "Warum ist diese Überprüfung erforderlich, welche Daten werden benötigt, welche Rechtsgrundlage nach Artikel 6 DSGVO gilt und welche zusätzliche gesetzliche Grundlage besteht, wenn strafrechtliche Daten verarbeitet werden?"
Wie gilt Artikel 10 DSGVO bei einer Hintergrundüberprüfung?
Artikel 10 DSGVO betrifft personenbezogene Daten über strafrechtliche Verurteilungen, Straftaten und damit zusammenhängende Sicherungsmaßregeln.
Er stellt eine zusätzliche rechtliche Ebene neben den allgemeinen Rechtsgrundlagen der DSGVO dar. Bei Background Screening und Pre-Employment Screening sollten Unternehmen deshalb zwei unterschiedliche Fragen beantworten.
Erstens:
Besteht eine Rechtsgrundlage nach Artikel 6 DSGVO für die Verarbeitung?
Zweitens:
Wenn die Bewerberüberprüfung strafrechtliche Daten umfasst, besteht zusätzlich eine entsprechende rechtliche Befugnis nach Artikel 10 DSGVO und dem anwendbaren nationalen Recht?
Ein berechtigtes Interesse nach Artikel 6 Abs. 1 lit. f DSGVO allein erfüllt nicht automatisch die zusätzlichen Anforderungen von Artikel 10.
Behandeln Sie Daten über Straftaten nicht wie gewöhnliche HR-Daten
Artikel 10 bedeutet, dass Ihr aktueller Prozess nicht konform sein könnte – unabhängig davon, wie solide Ihre Rechtsgrundlage nach Artikel 6 ist. Nutzen Sie Background Checks, die auf das EU-Recht zugeschnitten sind, damit Sie Deep-Tech- und Fintech-Talente sicher an Bord holen können.
Konforme Background Checks ansehenArtikel 6 und Artikel 10 DSGVO haben unterschiedliche Funktionen
Artikel 6 bestimmt die allgemeine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Abhängig von den Umständen können beispielsweise eine gesetzliche Verpflichtung, berechtigte Interessen oder eine andere anwendbare Rechtsgrundlage relevant sein.
Bei einem Background Screening auf Grundlage berechtigter Interessen sollten insbesondere Zweck, Erforderlichkeit und Verhältnismäßigkeit geprüft und gegen die Rechte und Interessen des Bewerbers oder Mitarbeiters abgewogen werden.
Dabei ist die konkrete Position entscheidend. Ein CFO mit umfassenden Zahlungsbefugnissen, ein Mitarbeiter mit Zugang zu kritischer Infrastruktur oder ein Entwickler mit privilegiertem Zugriff auf hochsensible IP kann ein anderes Risikoprofil haben als eine Position ohne vergleichbare Zugriffsrechte.
Deshalb sollte eine Hintergrundüberprüfung risikobasiert und nicht pauschal für alle Mitarbeiter gleich durchgeführt werden.
„Wir wollen es einfach wissen" ist keine Rechtsgrundlage
Berechtigte Interessen nach Artikel 6 Abs. 1 lit. f decken Background Screening nicht automatisch ab. Stellen Sie sicher, dass Ihre HR-Prozesse den Anforderungen von Artikel 10 entsprechen, und schützen Sie so sowohl Ihr Unternehmen als auch Ihre Kandidaten.
HR-konformes Background Screening ansehenPre-Employment Screening und strafrechtliche Daten
Nicht jede Mitarbeiterüberprüfung umfasst strafrechtliche Daten. Identitätsprüfung, Überprüfung des beruflichen Werdegangs oder Verifizierung von Ausbildungsabschlüssen fallen beispielsweise nicht automatisch unter Artikel 10 DSGVO.
Strafregisterprüfungen oder bestimmte Formen einer erweiterten Integritätsprüfung können hingegen Informationen umfassen, die unter Artikel 10 fallen.
Deshalb muss für jede Komponente eines Background Screenings geprüft werden, welche personenbezogenen Daten tatsächlich verarbeitet werden.
Nationales Recht ist beim Background Screening entscheidend
Artikel 10 DSGVO verweist ausdrücklich auf Unionsrecht und das Recht der Mitgliedstaaten. Damit können die gesetzlichen Möglichkeiten für Hintergrundüberprüfungen von Land zu Land unterschiedlich sein.
Ein internationales Unternehmen kann zwar eine einheitliche globale Screening Policy mit Risikokategorien und allgemeinen Grundsätzen definieren. Die einzelnen Pre-Employment Checks müssen jedoch an die jeweilige lokale Gesetzgebung angepasst werden.
Ein praktisches Beispiel: lizenzierte private Ermittlungsunternehmen
Die Niederlande bieten ein Beispiel dafür, wie nationales Recht die Anforderungen von Artikel 10 DSGVO konkretisieren kann. Private Ermittlungsunternehmen unterliegen dort bei regulierten Ermittlungstätigkeiten dem Wet particuliere beveiligingsorganisaties en recherchebureaus (Wpbr) und benötigen eine entsprechende staatliche Erlaubnis.
Das niederländische DSGVO-Ausführungsgesetz enthält zudem eine spezifische Regelung für die Verarbeitung strafrechtlicher personenbezogener Daten durch Verantwortliche, die im Rahmen einer solchen Wpbr-Lizenz für Dritte tätig werden.
Dieses Beispiel zeigt einen wichtigen Grundsatz:
Artikel 10 DSGVO kann nicht isoliert betrachtet werden. Das jeweils anwendbare nationale Recht ist entscheidend.
Andere Mitgliedstaaten können andere gesetzliche Regelungen, Einschränkungen oder Befugnisse vorsehen.
Verwandeln Sie Ihre Checkliste in konformes Screening
Jeder Schritt dieser Checkliste wird einfacher, wenn er fest in Ihren Recruiting-Workflow integriert ist. Reduzieren Sie manuellen Aufwand und DSGVO-Risiken mit Pre-Employment-Screening-Software, die für EU-Konformität entwickelt wurde.
Konformes Pre-Employment-Screening erhaltenBedeutet eine Lizenz, dass jede Hintergrundüberprüfung erlaubt ist?
Eine behördliche Lizenz setzt die DSGVO nicht außer Kraft und erlaubt keine unbegrenzte Sammlung personenbezogener Informationen. Die allgemeinen Datenschutzgrundsätze gelten weiterhin. Dazu gehören insbesondere:
- Rechtmäßigkeit und Transparenz;
- Zweckbindung;
- Datenminimierung;
- angemessene Sicherheit;
- angemessene Speicherfristen;
- Erforderlichkeit;
- Verhältnismäßigkeit.
Der Umfang einer Hintergrundüberprüfung muss deshalb zum tatsächlichen Risiko der jeweiligen Position passen.
Berechtigtes Interesse und Artikel 10 DSGVO
Berechtigtes Interesse und Artikel 10 beantworten unterschiedliche rechtliche Fragen. Für bestimmte Verarbeitungsvorgänge innerhalb eines Pre-Employment Screenings kann möglicherweise Artikel 6 Abs. 1 lit. f DSGVO relevant sein. Das bedeutet jedoch nicht automatisch, dass damit auch die Anforderungen von Artikel 10 erfüllt sind.
Ein vereinfachtes Modell lautet:
Geschäfts-, Sicherheits- oder Compliance-Risiko
↓
Definierter Screening-Zweck
↓
Rechtsgrundlage nach Artikel 6 DSGVO
↓
Erforderlichkeit und Verhältnismäßigkeit
↓
Werden strafrechtliche Daten verarbeitet?
↓
Artikel 10 DSGVO
↓
Anwendbares EU- oder nationales Recht
↓
Angemessene Schutzmaßnahmen
Nutzen Sie Artikel 10 als Leitplanke, nicht als Hindernis
Ein präziser Zweck, eine rechtmäßige Grundlage, Erforderlichkeit und Verhältnismäßigkeit machen Ihr Screening rechtssicherer und weniger risikoreich. Fordern Sie ein Angebot an, das auf Ihre regulierten Hiring-Anforderungen zugeschnitten ist.
Angebot für konformes Screening anfordernReicht die Einwilligung des Bewerbers aus?
Nicht automatisch. Bewerber müssen transparent über das Pre-Employment Screening informiert werden und müssen bei bestimmten Überprüfungen möglicherweise aktiv Dokumente oder Informationen bereitstellen.
Transparenz oder die Mitwirkung eines Bewerbers bedeutet jedoch nicht automatisch, dass Einwilligung die richtige DSGVO-Rechtsgrundlage darstellt.
Gerade im Beschäftigungskontext muss berücksichtigt werden, ob eine Einwilligung aufgrund des bestehenden Machtungleichgewichts tatsächlich freiwillig erteilt werden kann. Unternehmen sollten deshalb für jede Screening-Aktivität die tatsächliche Rechtsgrundlage bestimmen.
Warum Hintergrundüberprüfungen risikobasiert sein sollten
Ein gutes Screening-Programm beginnt beim Risiko der Position und nicht bei der Menge der verfügbaren Informationen. Unternehmen können beispielsweise unterscheiden zwischen:
Positionen mit normalem Risiko
Identitäts-, Beschäftigungs- und Qualifikationsprüfungen können ausreichend sein.
Positionen mit erhöhtem Risiko
Zusätzliche Integritäts- oder Compliance-Prüfungen können aufgrund des Zugangs zu sensiblen Informationen, Systemen oder Vermögenswerten angemessen sein.
Kritische oder regulierte Positionen
Umfangreichere Mitarbeiterüberprüfungen können bei erheblichen finanziellen Befugnissen, kritischer Infrastruktur, hochsensibler IP oder besonderen regulatorischen Anforderungen gerechtfertigt sein.
So lässt sich eine Bewerberüberprüfung nachvollziehbar an das tatsächliche Risiko der Position anpassen.
Strafrechtliche Überprüfungen unterscheiden sich von Land zu Land
Es gibt keinen einheitlichen internationalen „Criminal Background Check“. Die Länder unterscheiden sich hinsichtlich Strafregistersystemen, Zugangsrechten, Tilgungs- und Rehabilitationsvorschriften sowie datenschutzrechtlichen Einschränkungen.
Je nach Rechtsordnung kann beispielsweise der Bewerber selbst einen offiziellen Nachweis beantragen, ein Arbeitgeber darf bestimmte Informationen nur für definierte Positionen anfordern oder bestimmte Prüfungen dürfen nur durch befugte Stellen durchgeführt werden.
Internationales Background Screening erfordert deshalb lokale rechtliche Umsetzung innerhalb eines konsistenten globalen Screening-Frameworks.
Verantwortung von Arbeitgeber und Screening-Anbieter
Die Beauftragung eines professionellen Anbieters für Pre-Employment Screening entbindet den Arbeitgeber nicht von seinen eigenen Verantwortlichkeiten.
Der Arbeitgeber sollte begründen können, warum eine bestimmte Hintergrundüberprüfung für die jeweilige Position angemessen ist und warum die ausgewählten Prüfungen erforderlich und verhältnismäßig sind.
Gleichzeitig kann der Screening-Anbieter eigene datenschutzrechtliche, regulatorische und berufliche Pflichten haben. Die DSGVO-Rollen sollten deshalb anhand der tatsächlichen Verarbeitung und Entscheidungsbefugnisse bestimmt werden.
Wie PESCHECK Background Screening umsetzt
PESCHECK unterstützt Unternehmen dabei, Background Screening, Pre-Employment Screening und Mitarbeiterüberprüfungen risikobasiert, transparent und verhältnismäßig zu gestalten. Ein ausgereiftes Screening-Konzept sollte vorab festlegen:
- welche Risiken mit der Position verbunden sind;
- welchem Zweck die Hintergrundüberprüfung dient;
- welche Screening-Komponenten angemessen sind;
- welche Rechtsgrundlage nach Artikel 6 DSGVO gilt;
- ob Artikel 10 DSGVO Anwendung findet;
- welche nationale Gesetzgebung relevant ist; und
- welche Schutzmaßnahmen für Bewerber und Mitarbeiter erforderlich sind.
Für relevante Ermittlungstätigkeiten in den Niederlanden arbeitet PESCHECK innerhalb des anwendbaren Wpbr-Lizenzrahmens.
Bei internationalen Hintergrundüberprüfungen müssen lokale Anforderungen gesondert bewertet werden, da sich die gesetzlichen Möglichkeiten für Strafregisterprüfungen, Mitarbeiterüberprüfungen und Pre-Employment Screening je nach Land unterscheiden.
Erleben Sie unseren risikobasierten Screening-Ansatz in der Praxis
Entdecken Sie, wie die Pre-Employment-Screening-Software von PESCHECK Ihnen hilft, die richtigen Checks für die richtige Position anzuwenden – im Einklang mit der DSGVO und den lokalen gesetzlichen Anforderungen.
Pre-Employment-Screening entdeckenWas HR, Legal und Compliance beachten sollten
Artikel 10 DSGVO ist kein allgemeines Verbot von Hintergrundüberprüfungen, Background Screening oder Pre-Employment Screening.
Ein berechtigtes Interesse nach Artikel 6 DSGVO bedeutet jedoch ebenfalls nicht automatisch, dass strafrechtliche Daten verarbeitet werden dürfen.
Ein belastbares Screening-Konzept berücksichtigt mehrere Ebenen:
- Artikel 6 DSGVO -> Welche Rechtsgrundlage besteht für die Verarbeitung?
- Artikel 10 DSGVO -> Werden strafrechtliche personenbezogene Daten verarbeitet?
- Nationales Recht -> Besteht eine zusätzliche gesetzliche Befugnis für diese Verarbeitung?
- Erforderlichkeit und Verhältnismäßigkeit -> Ist diese konkrete Hintergrundüberprüfung für diese Position angemessen?
Die bessere Frage lautet deshalb nicht: „Ist Background Screening nach der DSGVO erlaubt?“
Sondern: „Ist diese konkrete Hintergrundüberprüfung für diese konkrete Position erforderlich, verhältnismäßig und durch die richtige Rechtsgrundlage sowie das anwendbare nationale Recht gedeckt?“
Das ist die Grundlage für ein verantwortungsvolles und rechtlich belastbares Pre-Employment Screening.
