Strafregisterauszug im Recruiting: Sonderregel für strafrechtliche Daten

Ein Arbeitgeber möchte von Bewerberinnen oder Bewerbern einen Strafregisterauszug verlangen. Dabei geht es nicht nur um die Frage, ob ein Dokument vorgelegt werden kann. Informationen über strafrechtliche Verurteilungen und Straftaten unterliegen nach Art. 10 DSGVO einer besonderen Regel. Der berufliche Anlass allein beantwortet daher noch nicht, ob die Prüfung zulässig ist.

Dieser Beitrag ordnet die Prüfung im Recruiting ein. Im Mittelpunkt stehen der konkrete Arbeitsplatz, die zusätzliche rechtliche Absicherung nach Art. 10 DSGVO, der erforderliche Umfang, der Umgang mit dem Dokument und eine nachvollziehbare Entscheidung. Biometrische Zutrittskontrollen, allgemeine Zugriffe auf Beschäftigtendaten, Datenschutz-Folgenabschätzungen und Aufbewahrungsfristen sind eigenständige Themen.

Art. 10 DSGVO erfasst personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten sowie damit zusammenhängende Sicherungsmaßregeln. Solche Informationen dürfen nicht allein deshalb verarbeitet werden, weil sie für eine Personalentscheidung interessant erscheinen. Art. 10 verlangt eine Verarbeitung unter behördlicher Aufsicht oder eine ausdrückliche Zulässigkeit nach Unionsrecht oder dem Recht eines Mitgliedstaats mit geeigneten Garantien für die Rechte und Freiheiten der betroffenen Personen.

Ein Strafregisterauszug kann deshalb nicht wie eine gewöhnliche Angabe im Lebenslauf behandelt werden. Entscheidend sind der Inhalt des Dokuments, der konkrete Verwendungszweck und die rechtliche Grundlage für die Prüfung. Auch die Frage, ob nur Einsicht genommen oder eine Kopie gespeichert wird, gehört in die Bewertung.

Die Sonderregel betrifft nicht nur den Moment der Anforderung. Sie begleitet auch die interne Weitergabe, die Ablage, die Entscheidung über die Bewerbung und jede spätere Verwendung der Information. Der Arbeitgeber sollte den Prozess daher vor der ersten Aufforderung und nicht erst bei einem Streitfall beschreiben.

Für jede Verarbeitung personenbezogener Daten braucht der Verantwortliche zunächst eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Bei Daten über strafrechtliche Verurteilungen und Straftaten reicht diese erste Ebene jedoch nicht aus. Art. 10 DSGVO stellt zusätzliche Anforderungen auf. Die Prüfung muss daher beide Ebenen getrennt benennen und auf dieselbe konkrete Stelle beziehen.

Eine allgemeine Einwilligung im Bewerbungsformular oder der bloße Hinweis auf ein berechtigtes Interesse nimmt dem Arbeitgeber diese Sonderprüfung nicht ab. Ebenso genügt eine interne Sicherheitsrichtlinie nicht automatisch. Zu klären ist vielmehr, ob das Unionsrecht oder das einschlägige Recht eines Mitgliedstaats die Verarbeitung für diesen Zweck zulässt und welche Garantien die Rechte der betroffenen Person schützen.

Die Antwort kann je nach Tätigkeit, Verantwortungsbereich und anwendbarer Sonderregel unterschiedlich ausfallen. Der Arbeitgeber sollte daher nicht aus einer früheren Einstellungspraxis ableiten, dass ein Strafregisterauszug bei jeder vergleichbaren Bewerbung verlangt werden darf. Die konkrete Stelle und die einschlägige Rechtsgrundlage müssen jeweils nachvollziehbar feststehen.

Vor der Anforderung sollte die Organisation die Tätigkeit inhaltlich beschreiben. Welche Aufgaben werden wahrgenommen, welche besondere Vertrauensstellung besteht und welches konkrete Risiko soll durch die Information beurteilt werden? Je genauer dieser Anlass feststeht, desto besser lässt sich prüfen, ob die Verarbeitung für die Auswahlentscheidung überhaupt erforderlich ist.

Eine pauschale Abfrage bei allen Bewerberinnen und Bewerbern kann den Stellenbezug verlieren. Das gilt besonders, wenn die Tätigkeit keine nachvollziehbare Verbindung zu den abgefragten Informationen hat. Die Personalabteilung sollte deshalb nicht mehr verlangen, als für den konkreten Prüfzweck notwendig ist und die Entscheidung gegen eine allgemeine Routinekontrolle festhalten.

Auch die Auswahl des Dokuments ist relevant. Ein Arbeitgeber sollte prüfen, ob für die Entscheidung eine begrenzte Information genügt oder ob ein vollständiger Auszug tatsächlich erforderlich ist. Nicht benötigte Angaben dürfen nicht aus bloßer Gewohnheit mitverarbeitet werden. Der Umfang gehört gemeinsam mit dem Zweck in die Dokumentation.

Strafrechtliche Informationen gehören nicht in einen frei zugänglichen Bewerbungsordner. Der Arbeitgeber sollte festlegen, welche Stelle das Dokument entgegennimmt, wer es einsehen darf und wer die fachliche Entscheidung trifft. Personalverantwortliche, Führungskräfte und externe Dienstleister benötigen nicht automatisch denselben Zugriff.

Die Dokumentation sollte den Anlass, die geprüfte Stelle, die Rechtsgrundlagen, den Umfang der Anforderung, die Information der betroffenen Person und das Ergebnis der Prüfung erkennen lassen. Art. 5 Abs. 2 und Art. 24 DSGVO verlangen eine nachweisbare Verantwortung. Art. 32 DSGVO verlangt außerdem Schutzmaßnahmen, die zum Risiko der Verarbeitung passen.

Technisch und organisatorisch kommen etwa getrennte Berechtigungen, persönliche Konten, eine nachvollziehbare Protokollierung von Zugriffen und eine beschränkte Ablage in Betracht. Ein gemeinsames Postfach oder eine unstrukturierte Weiterleitung an mehrere Entscheidungsträger erschwert dagegen die Kontrolle. Die Dokumentation technischer und organisatorischer Maßnahmen bietet dafür einen passenden Anschluss.

Vor der Anforderung muss verständlich sein, warum der Auszug benötigt wird, welche Stelle betroffen ist und wie die Information im Auswahlverfahren verwendet wird. Die betroffene Person sollte nicht erst aus einer unerwarteten E-Mail oder einer unklaren Upload-Maske erfahren, dass strafrechtliche Daten verarbeitet werden sollen.

Zur Information gehören außerdem die verantwortliche Organisation, die Empfänger oder Empfängerkategorien und die wesentlichen Regeln für den Umgang mit dem Dokument. Die konkrete Information muss zum Verfahren passen. Ein allgemeiner Hinweis im Datenschutztext ersetzt keine klare Erklärung des unmittelbaren Recruiting-Schritts.

Wird ein externer Personalvermittler oder ein anderes Unternehmen eingebunden, müssen Rollen und Übermittlungen gesondert geprüft werden. Die Information darf nicht verschleiern, wer den Auszug tatsächlich erhält und in wessen Entscheidung er einfließt. Änderungen des Auswahlprozesses lösen eine erneute Prüfung aus.

Ergibt die Prüfung, dass der Stellenbezug oder die zusätzliche rechtliche Absicherung fehlt, sollte der Arbeitgeber den Strafregisterauszug nicht routinemäßig weiter anfordern. Zuerst ist zu klären, ob der Auswahlprozess ohne diese Information rechtmäßig und sachgerecht durchgeführt werden kann. Eine weniger eingriffsintensive Alternative darf nicht nur behauptet, sondern muss anhand der konkreten Aufgabe bewertet werden.

Lehnt eine Bewerberin oder ein Bewerber die Vorlage ab, ist zwischen der Zulässigkeit der Anforderung und den Folgen für die Bewerbung zu unterscheiden. Die Organisation sollte keine pauschale automatische Folge vorsehen, sondern den dokumentierten Zweck, die rechtliche Grundlage und die tatsächlichen Anforderungen der Stelle berücksichtigen. Die Entscheidung darf nicht auf unklaren oder unnötigen Zusatzinformationen beruhen.

Auch ein vorhandener Eintrag beantwortet nicht ohne Weiteres die Eignungsfrage. Relevant sind der konkrete Arbeitsplatz, die gesetzlich oder organisatorisch vorgesehenen Garantien und die nachvollziehbare Bewertung. Eine Entscheidung sollte daher nicht von einer unstrukturierten Notiz im Bewerbungsakt abhängen, sondern von einem kontrollierten und zugriffsbeschränkten Verfahren.

Allgemeine Sicherheitsformel statt Stellenbezug: Die Organisation verlangt den Auszug von allen Bewerberinnen und Bewerbern, ohne Aufgabe und Risiko konkret zu beschreiben.

Art. 6 wird mit Art. 10 verwechselt: Eine allgemeine Rechtsgrundlage wird dokumentiert, die zusätzliche Sonderregel aber nicht geprüft.

Vollständige Kopie ohne Notwendigkeit: Das gesamte Dokument wird abgelegt, obwohl für die Entscheidung ein engerer Nachweis ausreichen könnte.

Zu viele Empfänger: Der Auszug wird an ein gemeinsames Postfach oder an mehrere Führungskräfte weitergeleitet, obwohl nur eine zuständige Stelle ihn benötigt.

Automatische Entscheidung: Vorlage, Ablehnung oder Eintrag führen ohne konkrete Einzelfallprüfung sofort zu einer standardisierten Folge.

Beginnen Sie mit der Stellenbeschreibung und markieren Sie die konkrete Aufgabe, für die eine strafrechtliche Information relevant sein soll. Halten Sie danach fest, welche Daten wirklich benötigt werden, wer sie erhält und wie die Entscheidung im Recruiting dokumentiert wird.

Prüfen Sie anschließend Art. 6 DSGVO und Art. 10 DSGVO getrennt. Die Dokumentation sollte erkennen lassen, worauf die zusätzliche Zulässigkeit gestützt wird und welche Garantien die betroffene Person schützen. Bleibt eine dieser Fragen offen, sollte vor der Aufforderung eine fachliche Abklärung erfolgen.

Zum Abschluss gehören ein klarer Informationstext, ein begrenzter Übermittlungsweg, persönliche Zugriffe und ein konsistenter Entscheidungsnachweis. Für die allgemeine Bearbeitung von Auskunftsbegehren und Datenkopien finden Sie ergänzend den Beitrag Auskunftsbegehren nach Art. 15 DSGVO. Die dortigen Grundsätze ersetzen nicht die Sonderprüfung für Strafregisterauszüge.

Wir prüfen mit Ihnen den Stellenbezug, die Rechtsgrundlagen nach Art. 6 und Art. 10 DSGVO, den erforderlichen Umfang, die Information der Bewerberinnen und Bewerber sowie die internen Zugriffs- und Entscheidungsregeln. Übermitteln Sie dafür die Stellenbeschreibung, den geplanten Recruiting-Ablauf und den vorgesehenen Informationstext. Neue Beiträge und rechtliche Hinweise der Kanzlei erhalten Sie mit BRANDaktuellen Rechtsnews. Newsletter abonnieren.