Wie Mittelstand, Datenschutz und Praxis zusammenfinden – ohne pauschales US-Screening-Modell

Strukturierte Background Checks galten in Deutschland lange als Instrument für Banken, Grosskonzerne und Behörden. Nach Beobachtung von Validato fragen inzwischen auch mittelständische Industrie- und IT-Unternehmen zunehmend danach – ausgelöst durch eigene Sicherheitsvorfälle, Anforderungen von Kunden und Versicherern sowie die NIS2-Richtlinie. Anders als im US-amerikanischen Screening-Markt, wo breite, wenig differenzierte Prüfungen verbreitet sind, muss eine Datenverarbeitung im Rahmen eines Background Checks in Deutschland nach DSGVO für den verfolgten Zweck geeignet, erforderlich und angemessen sein. Dass diese Anforderung ernst zu nehmen ist, zeigt ein Urteil des Landesarbeitsgerichts Düsseldorf vom 10. April 2024 (Az. 12 Sa 1007/23): Es sprach einem Bewerber 1.000 Euro Schadensersatz nach Art. 82 DSGVO zu, weil eine Universität ihn ohne vorherige Information im Internet überprüft hatte. Validato empfiehlt deshalb eine rollenbasierte Prüftiefe statt eines pauschalen Vollchecks – aus 18 verfügbaren Modulen kommen laut Validato erfahrungsgemäss vier bis fünf je Position zum Einsatz – sowie ein eigenes External-Partner-Screening für Freelancer und Dienstleister, da das seit März 2026 geltende KRITIS-Dachgesetz Betreiber kritischer Infrastruktur ausdrücklich auch zur Prüfung externer Dienstleister verpflichtet. Validato positioniert sich dabei als europäischer Anbieter mit Sitz in Zürich, ISO-27001-Zertifizierung und Schweizer Serverstandort.

Background Checks erreichen den deutschen Mittelstand

Strukturierte Background Checks galten in Deutschland lange als Instrument für Banken, Grosskonzerne und Behörden. Nach Beobachtung von Validato fragen inzwischen auch mittelständische Industrie- und IT-Unternehmen zunehmend danach – häufig ausgelöst durch eigene Sicherheitsvorfälle, Anforderungen von Kunden und Versicherern oder den Ausbau von IT-Sicherheitskonzepten im Zuge der NIS2-Richtlinie. Validato bietet Background Checks dabei ohne Abonnementbindung an: Unternehmen buchen ausschliesslich die tatsächlich benötigten Module je Position, was den Einstieg auch für kleinere Organisationen erleichtern soll.

Warum das US-Screening-Modell in Deutschland an Grenzen stösst

Im US-amerikanischen Screening-Markt sind laut Validato vergleichsweise breite, wenig differenzierte Prüfungen verbreitet, die sich stärker am maximal Möglichen als am für eine Position Erforderlichen orientieren. Ein solches Vorgehen lässt sich im europäischen Rechtsrahmen kaum eins zu eins übertragen: Eine Datenverarbeitung im Rahmen eines Background Checks muss in Deutschland nach DSGVO für den verfolgten Zweck geeignet, erforderlich und angemessen sein – nicht lediglich technisch möglich.

Ein deutsches Urteil als Warnsignal

Das Landesarbeitsgericht Düsseldorf sprach mit Urteil vom 10. April 2024 (Az. 12 Sa 1007/23) einem Bewerber 1.000 Euro Schadensersatz nach Art. 82 DSGVO zu, weil eine Universität ihn ohne vorherige Information im Internet überprüft hatte. Das Gericht stellte klar, dass Betroffene vor einer Prüfung konkret informiert werden müssen. Der Fall zeigt aus Sicht von Validato, dass selbst eine oberflächliche Internetrecherche rechtlich denselben Anforderungen unterliegen kann wie ein strukturierter Background Check.

Rollenbasiert statt pauschal

Ein möglichst umfassender Background Check für alle Positionen klingt zunächst nach der sichereren Wahl – ist es aus Sicht von Validato aber oft nicht. Ein Rundumcheck widerspricht dem im Beschäftigtendatenschutz zentralen Verhältnismässigkeitsgrundsatz. Aus 18 verfügbaren Screening-Modulen kombinieren Unternehmen laut Validato erfahrungsgemäss typischerweise vier bis fünf Module je Position – abgestimmt auf das tatsächliche Risiko der jeweiligen Rolle und dokumentiert für den Streitfall.

Der blinde Fleck bei externen IT-Spezialisten

Freelancer, Consultants und externe Administratoren übernehmen in vielen deutschen Industrie- und IT-Unternehmen zentrale technische Aufgaben, werden aber trotz oft weitreichender Systemzugriffe seltener strukturiert geprüft als festangestelltes Personal. Das seit März 2026 geltende KRITIS-Dachgesetz verpflichtet Betreiber kritischer Infrastruktur ausdrücklich auch zur Überprüfung externer Dienstleister – ein Massstab, der laut Validato zunehmend auch ausserhalb des KRITIS-Bereichs Beachtung findet. Validato begegnet dem mit einem eigenen External-Partner-Screening-Modul, unabhängig davon, ob eine direkte Anstellung besteht.

Validato: europäischer Ansatz für die DACH-Region

Validato hat seinen Hauptsitz in Zürich und prüft Kandidatinnen und Kandidaten sowie externe Partner in mehr als 200 Ländern, mit besonderem Fokus auf Unternehmen in der DACH-Region. Die Plattform ist ISO-27001-zertifiziert, DSGVO-konform und hält Daten auf Schweizer Servern. „Wir wollten einen Anbieter aufbauen, bei dem Sicherheitsinteresse und europäischer Datenschutz von Anfang an zusammengedacht werden, nicht nachträglich verhandelt werden müssen”.