Was im Internet steht, ist nicht auto­ma­tisch öff­ent­lich

Personalsuche ist zeit- und kostenaufwendig. Umso ärgerlicher, wenn sich der Bewerber kurz nach der Einstellung als ungeeignet entpuppt.

Deshalb machen sich Personaler nicht nur im Bewerbungsgespräch ein Bild vom Kandidaten, sondern prüfen dessen Angaben nicht selten noch einmal online gegen und greifen auch gern auf weitere Erkenntnisse aus dem Internet über ihn zurück.

Doch dürfen entsprechende Informationen aus dem Internet, zum Beispiel auch aus sozialen Netzwerken, im Bewerbungsverfahren ohne weiteres verwertet werden?

Datenschutzrecht: Personaler müssen vorsichtig sein

Im Bewerbungsverfahren geht es im Kern um nichts Anderes als um Datenverarbeitung, nämlich die Erhebung, Speicherung oder den Vergleich von personenbezogenen Daten von Bewerbern, um eine Einstellungsentscheidung treffen zu können.

Nach geltendem Recht bedarf es aber für die Verarbeitung von personenbezogenen Daten einer gesetzlichen oder zumindest kollektivvertraglichen Erlaubnisnorm oder – alternativ - der Einwilligung der Bewerber. Andernfalls ist die Datenverarbeitung unzulässig. Bei Verstößen drohen empfindliche Bußgelder oder Schadensersatzansprüche, insbesondere von abgelehnten Bewerbern - vom möglichen Imageschaden einmal abgesehen.

Zentrale gesetzliche Erlaubnisnorm für das Arbeitsverhältnis ist § 26 Abs. 1 Bundesdatenschutzgesetz (BDSG). Danach dürfen personenbezogene Daten verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Im Rahmen der Erforderlichkeit ist dabei eine Abwägung des berechtigten Informationsinteresses des Arbeitgebers mit dem Schutz des Bewerbers auf Vertraulichkeit personenbezogener Daten vorzunehmen.

Das heißt zum Beispiel: Die pauschale Frage des Arbeitgebers, ob der Bewerber vorbestraft ist, ist regelmäßig unzulässig, da etwa mögliche Verkehrsdelikte für die Frage der Eignung als Maskenbildner nicht aussagekräftig und damit nicht erforderlich sind. Anders sieht es aus, wenn es um eine Tätigkeit als Berufskraftfahrer geht. Dann darf gefragt werden - aber auch dann nur gezielt nach den einschlägigen Vorstrafen im Verkehrsbereich.

Rechtsgrundsätze gelten offline wie online

Diese Grundsätze gelten auch, wenn personenbezogene Daten indirekt – zum Beispiel online - erhoben werden, im Neudeutsch auch "Background-Check" genannt. Der ist keineswegs erst eine Erfindung des Internetzeitalters: Schon früher haben Arbeitgeber beim Ex-Chef des Bewerbers angerufen, um sich über den Kandidaten zu erkundigen.

Das Bundesarbeitsgericht (BAG) hat eine solche telefonische Auskunft in einer Entscheidung aus dem Jahr 1984 zwar für zulässig erklärt, aber zugleich auch eingeschränkt (Urt. v. 18.12.1984, Az. 3 AZR 389/83). Danach sind Auskünfte zu Verhalten und Leistung des Arbeitnehmers zulässig, nicht aber zum Beispiel Einsichtsgewährung in den alten Arbeitsvertrag.

Nun steckte das Datenschutzrecht damals noch in den Kinderschuhen, das Recht auf informationelle Selbstbestimmung war gerade erst vom Bundesverfassungsgericht formuliert worden. Heute aber sind sowohl für den analogen wie auch den digitalen Background-Check die Maßstäbe der Datenschutzgrundverordnung (DSGVO) und des BDSG anzulegen. Begibt sich der Personaler also in soziale Netzwerke, um Informationen zu sammeln, hat er sich an diesen aufgestellten Maßstäben zu orientieren.

Private Fotos in sozialen Medien – ist das schon eine Einwilliung?

Wer zum Beispiel bei Facebook rein private Informationen über sich zugänglich macht, inklusive Bildern vom letzten alkoholgetränkten Junggesellenabschied in der Düsseldorfer Altstadt, zeichnet vielleicht ein ganz anderes Bild als jenes, das er in seinem Bewerbungsschreiben von sich entworfen hat. Aber darf der Personaler diese Information berücksichtigen, etwa in einem Einstellungsgespräch darauf hinweisen?

Dafür scheint zu sprechen, dass Menschen, die ihre personenbezogenen Daten veröffentlichen, offenbar auf den Schutz ihrer personenbezogenen Daten insoweit möglicherweise verzichten. Hierbei ist an die Einwilligung zu denken, die eine Datenerhebung zulässig macht. Die Einwilligung liegt nahe, wenn die die betroffene Person die Daten selbst hochgeladen hat.

Hier ist aber zu beachten, dass eine Einwilligung nach DSGVO und BDSG an zahlreiche Bedingungen geknüpft sein muss. Zwar lässt Art. 4 Nr. 11 DSGVO durchaus die Möglichkeit einer Einwilligung zu, die durch schlüssiges Verhalten abgegeben wird. In jedem Fall ist die Einwilligung aber an das Kriterium der Bestimmtheit gebunden.

Das heißt, dass bei Abgabe der Einwilligung feststehen muss, zu welchem Zweck und zu welcher Verarbeitung die Zustimmung des Betroffenen erfolgt. Einem Nutzer, der private Lebenssachverhalte wie den letzten Partyabend anderen Nutzern zu privaten Zwecken in einem vorwiegend privaten sozialen Netzwerk zugänglich macht, kann nicht ohne weitere Anhaltspunkte unterstellt werden, er habe auch potenziellen Arbeitgebern Einblicke in sein "wahres" Freizeitverhalten geben wollen. Fehlendes Problembewußtsein im Zuge einer Veröffentlichung von Betroffenen ersetzt noch nicht das Vorliegen einer Einwilligung.

Und was ist mit Online-Berufsnetzwerken?

Anders kann es sich mit Informationen verhalten, die in sozialen Netzwerken verbreitet werden, die berufsorientiert sind, wie etwa LinkedIN oder Xing. Eine Verwendung dort enthaltener Informationen für professionelle Zwecke durch andere Nutzer liegt nahe.

Aber auch hier kann das Vorliegen einer schlüssigen Einwilligung daran scheitern, dass der Betroffene seinen Lebenslauf nicht für Bewerbungszwecke offengelegt hat, sondern vielleicht nur für die Ansprache von Kunden oder potenziellen Geschäftspartnern. Daher ist die Annahme einer schlüssig erklärten Einwilligung auch hier rechtlich zweifelhaft.

Helfen kann am Ende noch der Rückgriff auf den Rechtsgedanken des Art. 9 Abs. 2 lit. e) DSGVO. Danach können personenbezogene Daten verarbeitet werden, wenn die betroffene Person sie offensichtlich öffentlich zugänglich gemacht hat. Zwar gilt Art. 9 DSGVO direkt nur für besonders sensitive Daten, etwa Gesundheitsdaten, aber der darin enthaltene Rechtsgedanke lässt sich erst recht auf weniger sensitive Daten übertragen.

Aber Achtung: Das in der Norm geforderte"öffentlich Zugänglichmachen" liegt wohl nicht bei Netzwerken vor, die anmeldepflichtig sind und die daher nur einem begrenzten Kreis von Nutzern offenstehen. Die beispielhaft gewählten Portale Xing und LinkedIN fielen dann auch aus dieser Möglichkeit heraus.

Wann Personaler gemachte Angaben doch nutzen dürfen

Am Ende muss für die Zulässigkeit der Datenerhebung meist doch die gesetzliche Erlaubnisnorm des § 26 Abs. 1 BDSG bemüht werden. Das heißt, die Erhebung der Daten muss erforderlich, geeignet und angemessen sein, um eine Entscheidung für die Stellenbesetzung zu treffen.

Dort, wo der Bewerber Daten in einem professionellen, d.h. nicht privaten Umfeld zugänglich macht, (wenn auch nur einem begrenzten Kreis von Nutzern), besteht ein weniger schützenswertes Interesse als bei rein privaten Plattformen. Daher darf man davon ausgehen, dass Informationen etwa auf Xing durchaus verarbeitet werden dürfen, wenn sie einen nachvollziehbaren Schluss auf die Eignung des Bewerbers anhand des Stellenprofils zulassen.

Die Krux mit politischen und religiösen Ansichten

Stößt der Arbeitgeber nun beim Googlen auf Bilder von der letzten Corona-Demo, auf der ein Bewerber seine Ansichten zu den Lockdown-Maßnahmen verbreitet, wäre zunächst zu unterscheiden, ob der Betroffene selbst diese Information ins Netz gestellt und allgemein zugänglich gemacht hat. Sofern dies nicht eindeutig feststellbar ist, scheidet eine zulässige Verarbeitung grundsätzlich aus, denn eine Erforderlichkeit der Erhebung politischer Ansichten im Sinne des § 26 BDSG wird regelmäßig nicht vorliegen.

Ausnahmen sind natürlich denkbar, z. B kann es sich anders verhalten bei Arbeitgebern im Tendenzbereich, etwa bei Parteien, Gewerkschaften oder den Kirchen. Ansonsten aber ist – wie im Recht so häufig - auf den Einzelfall abzustellen. Es gilt dabei der Grundsatz wie im Bewerbungsgespräch: Politische Einstellungen sind regelmäßig tabu.

Übrigens: Beim Background-Check über Dritte hat der Arbeitgeber gegenüber dem Bewerber eine Informationspflicht nach Art. 14 DSGVO. Das bedeutet, dass auch über Background-Checks grundsätzlich informiert werden muss., wenn daraus Daten erhoben und im weiteren Verlauf des Bewerbungsverfahrens verarbeitet werden.

Fazit: Der Background-Check sollte nur eingeschränkt Verwendung finden. Vor jeder Recherche sollte sich der Personaler kritisch hinterfragen, ob die Informationen, nach denen er sucht, wirklich bei der Frage nach der persönlichen Eignung erforderlich sind. Falls hier Zweifel bestehen, sollte er von der Erhebung und Verwendung von Daten im Einstellungsverfahren lieber absehen.

Dr. Roland Klein, Partner, Rechtsanwalt und Fachanwalt für Arbeitsrecht bei der multidisziplinären Kanzlei Schomerus in Berlin. Er berät sowohl gewerbliche wie auch gemeinnützige und karitative Arbeitgeber und Non-Profit-Organisationen im Kollektiv- wie Individualarbeitsrecht und arbeitet eng mit seinen Partnern aus der Steuerberatung und Wirtschaftsprüfung zusammen.