Background Checks bewegen sich in klaren rechtlichen Leitplanken

Ein Background Check ist kein rechtsfreier Informationsraum. Schweizer Arbeitgeber müssen bei der Bearbeitung von Personendaten im Arbeitsverhältnis insbesondere den Rollenbezug und die Erforderlichkeit beachten. Das Ausgangsdokument stellt Art. 328b OR dabei als zentrale arbeitsrechtliche Leitplanke heraus: Daten sollen die Eignung für das Arbeitsverhältnis betreffen oder für dessen Durchführung erforderlich sein. Für das Screening bedeutet das, dass eine technisch verfügbare Information nicht automatisch auch erhoben werden sollte. Unternehmen müssen erklären können, warum ein bestimmtes Prüfmodul für eine bestimmte Funktion relevant ist. Parallel dazu gelten die datenschutzrechtlichen Grundsätze des nDSG, darunter Transparenz, Zweckbindung, Verhältnismässigkeit und Datensicherheit. Ein professioneller Background-Check-Prozess muss diese Anforderungen von Beginn an berücksichtigen.

Verhältnismässigkeit beginnt bei der Position

Die wichtigste Frage lautet nicht: Welche Checks können wir durchführen? Sondern: Welche Risiken sind mit dieser Funktion verbunden? Eine Person mit Zugriff auf erhebliche Vermögenswerte, hochprivilegierte IT-Systeme oder besonders sensible Informationen trägt ein anderes Risikoprofil als eine Funktion ohne vergleichbare Verantwortung. Daraus kann sich ein unterschiedlicher Prüfumfang ergeben. Genau diese Differenzierung macht einen risikobasierten Ansatz aus. Ein umfassendes Screening für jede Person im Unternehmen ist aus dieser Perspektive ebenso wenig sinnvoll wie der vollständige Verzicht auf Prüfungen bei exponierten Funktionen. Unternehmen sollten stattdessen Risikokriterien definieren und daraus abgestufte Screening-Pakete ableiten. So wird der Prüfumfang nicht vom Bauchgefühl einzelner Recruiter bestimmt, sondern durch eine nachvollziehbare, positionsbezogene Logik.

Das nDSG erhöht die Anforderungen an saubere Prozesse

Das revidierte Datenschutzgesetz ist seit 1. September 2023 in Kraft. Das Ausgangsdokument verweist darauf, dass bestimmte vorsätzliche Pflichtverletzungen mit Bussen von bis zu CHF 250'000 sanktioniert werden können, typischerweise gegenüber verantwortlichen natürlichen Personen. Für Background Checks sollte diese Zahl jedoch nicht als isolierte Drohkulisse verstanden werden. Wesentlicher ist die dahinterstehende Erwartung an professionelle Datenbearbeitung: Unternehmen müssen wissen, welche Daten sie erheben, warum sie dies tun, wer Zugriff erhält, wie lange Informationen gespeichert werden und welche externen Dienstleister beteiligt sind. Besonders sensible Screening-Daten sollten nicht unkontrolliert über E-Mail, lokale Dateien oder informelle Rechercheprozesse verarbeitet werden. Datenschutz-Compliance entsteht damit durch die Kombination aus zulässigem Prüfumfang und sauberer operativer Umsetzung.

Low, Medium, High: Risikoklassen schaffen Konsistenz

Eine praktikable Möglichkeit besteht darin, Positionen in unterschiedliche Risikoklassen einzuteilen. Bei einem Low-Risk-Profil können beispielsweise grundlegende Identitäts- und Qualifikationsprüfungen genügen. Bei Medium- oder High-Risk-Funktionen können zusätzliche Module sachlich begründbar sein, wenn die Verantwortung der Rolle dies erfordert. Welche Checks konkret dazugehören, sollte jedes Unternehmen anhand seiner Organisation, Branche, regulatorischen Anforderungen und tatsächlichen Risiken definieren. Wichtig ist, dass die Logik dokumentiert und konsistent angewendet wird. So lässt sich gegenüber Kandidaten ebenso wie gegenüber internen Kontrollfunktionen erklären, warum zwei Positionen unterschiedlich geprüft werden. Human Risk Management wird damit zu einem Governance-Instrument: Risiken werden vor der Auswahl der Checks bewertet, anstatt im Nachhinein eine möglichst umfassende Prüfung zu rechtfertigen.

Validato bildet risikobasiertes Screening modular ab

Validato ist darauf ausgerichtet, Background Checks modular und positionsbezogen zusammenzustellen. Unternehmen können unterschiedliche Screening-Pakete für verschiedene Risikoprofile definieren und diese konsistent in Recruiting- und – wo rechtlich und sachlich angemessen – In-Employment-Prozesse integrieren. Zur Verfügung stehen unter anderem Identitäts-, Ausbildungs- und Beschäftigungsverifikationen sowie weitere Module für spezifische Risikokonstellationen. Die digitale Einwilligung der betroffenen Person und die Identitätsprüfung bilden einen festen Bestandteil des Prozesses. Validato versteht Human Risk Management dabei nicht als möglichst umfassende Kontrolle von Mitarbeitenden, sondern als strukturierte Entscheidungslogik: Die Verantwortung einer Position bestimmt das Risiko – und das Risiko bestimmt, welche Prüfungen sinnvoll und verhältnismässig sind.

Risikobasierte Background Checks statt One-Size-Fits-All

Sie möchten für unterschiedliche Funktionen nachvollziehbare Low-, Medium- und High-Risk-Screening-Pakete definieren? Validato unterstützt Sie dabei, einen modularen und verhältnismässigen Background-Check-Prozess aufzubauen.