Wie KMU, Datenschutz und Praxis zusammenfinden, ohne pauschales US-Screening-Modell

Strukturierte Background Checks galten auch in Österreich lange als Instrument für Banken, Grosskonzerne und Behörden. Nach Beobachtung von Validato fragen zunehmend auch mittelständische Industrie- und IT-Unternehmen danach – ausgelöst durch eigene Sicherheitsvorfälle, Anforderungen von Kunden und Versicherern sowie das neue NISG 2026, das unter anderem Lieferkettensicherheit und Governance-Pflichten vorschreibt. Anders als im US-amerikanischen Screening-Markt, wo breite, wenig differenzierte Prüfungen verbreitet sind, muss eine Datenverarbeitung im Rahmen eines Background Checks in Österreich nach DSGVO und österreichischem Datenschutzgesetz (DSG) für den verfolgten Zweck geeignet, erforderlich und angemessen sein. Zur Veranschaulichung dieses Prinzips verweist Validato auf ein deutsches Urteil: Das Landesarbeitsgericht Düsseldorf sprach 2024 einem Bewerber Schadensersatz nach Art. 82 DSGVO zu, weil er ohne vorherige Information im Internet überprüft worden war – ein Grundsatz, der aus der unmittelbar geltenden DSGVO folgt und daher auch für österreichische Unternehmen relevant sein dürfte, auch wenn es sich um keine österreichische Entscheidung handelt. Validato empfiehlt eine rollenbasierte Prüftiefe statt eines pauschalen Vollchecks sowie ein External-Partner-Screening für Freelancer und Dienstleister, das an die im NISG 2026 verankerten Lieferkettenanforderungen anknüpft.

Background Checks erreichen den österreichischen Mittelstand

Strukturierte Background Checks galten lange als Instrument für Banken, Grosskonzerne und Behörden. Nach Beobachtung von Validato fragen inzwischen auch mittelständische Industrie- und IT-Unternehmen in Österreich zunehmend danach – häufig ausgelöst durch eigene Sicherheitsvorfälle, Anforderungen von Kunden und Versicherern oder den Ausbau von IT-Sicherheitskonzepten im Zuge des neuen NISG 2026. Validato bietet Background Checks dabei ohne Abonnementbindung an: Unternehmen buchen ausschliesslich die tatsächlich benötigten Module je Position.

Warum das US-Screening-Modell in Österreich an Grenzen stösst

Im US-amerikanischen Screening-Markt sind laut Validato vergleichsweise breite, wenig differenzierte Prüfungen verbreitet, die sich stärker am maximal Möglichen als am für eine Position Erforderlichen orientieren. Ein solches Vorgehen lässt sich im europäischen Rechtsrahmen kaum eins zu eins übertragen: Eine Datenverarbeitung im Rahmen eines Background Checks muss nach DSGVO und österreichischem Datenschutzgesetz (DSG) für den verfolgten Zweck geeignet, erforderlich und angemessen sein.

Ein deutsches Urteil als Denkanstoss

Das Landesarbeitsgericht Düsseldorf sprach mit Urteil vom 10. April 2024 (Az. 12 Sa 1007/23) einem Bewerber 1.000 Euro Schadensersatz nach Art. 82 DSGVO zu, weil eine Universität ihn ohne vorherige Information im Internet überprüft hatte. Es handelt sich um eine deutsche, keine österreichische Gerichtsentscheidung – der zugrunde liegende Massstab aus Art. 82 DSGVO gilt jedoch unmittelbar auch in Österreich. Unternehmen sollten die konkrete Übertragbarkeit auf die österreichische Rechtspraxis im Zweifel mit einer Rechtsberatung klären.

Rollenbasiert statt pauschal

Ein möglichst umfassender Background Check für alle Positionen klingt zunächst nach der sichereren Wahl – ist es aus Sicht von Validato aber oft nicht. Aus 18 verfügbaren Screening-Modulen kombinieren Unternehmen laut Validato erfahrungsgemäss typischerweise vier bis fünf Module je Position – abgestimmt auf das tatsächliche Risiko der jeweiligen Rolle und dokumentiert für den Streitfall.

Der blinde Fleck bei externen IT-Spezialisten

Freelancer, Consultants und externe Administratoren übernehmen auch in österreichischen Industrie- und IT-Unternehmen zentrale technische Aufgaben, werden aber trotz oft weitreichender Systemzugriffe seltener strukturiert geprüft als festangestelltes Personal. Das neue NISG 2026 verpflichtet betroffene Unternehmen ausdrücklich zu einem Risikomanagement mit Schwerpunkt auf Lieferkettensicherheit – ein Massstab, der aus Sicht von Validato die Überprüfung externer Dienstleister zusätzlich an Bedeutung gewinnen lässt. Validato begegnet dem mit einem eigenen External-Partner-Screening-Modul.

Validato: europäischer Ansatz für die DACH-Region

Validato hat seinen Hauptsitz in Zürich und prüft Kandidatinnen und Kandidaten sowie externe Partner in mehr als 200 Ländern, mit besonderem Fokus auf Unternehmen in der DACH-Region, also auch Österreich. Die Plattform ist ISO-27001-zertifiziert, DSGVO-konform und hält Daten auf Schweizer Servern. „Wir wollten einen Anbieter aufbauen, bei dem Sicherheitsinteresse und europäischer Datenschutz von Anfang an zusammengedacht werden, nicht nachträglich verhandelt werden müssen”.