Das Bundesarbeitsgericht (BAG) hat klargestellt, unter welchen Bedingungen Arbeitgeber im Internet nach Informationen über Bewerber suchen dürfen. Das Urteil ist besonders für Unternehmen und Nonprofit-Organisationen relevant, die Bewerbungsverfahren datenschutzkonform gestalten möchten.
Hintergrund: Anlassbezogene Internetrecherche und die Folgen
Ausgangspunkt war die Bewerbung eines Fachanwalts für Arbeitsrecht auf eine Stelle im Justiziariat der Universität Düsseldorf. Dem Personalleiter der Universität kam der Name des Bewerbers bekannt vor, weshalb er vor dem Vorstellungsgespräch eine Internetrecherche durchführte. Dabei stieß er auf verschiedene Einträge, darunter einen Wikipedia-Eintrag, die auf eine nicht rechtskräftige Verurteilung wegen versuchten Betruges hinwiesen. Es wurde der Vorwurf erhoben, der Anwalt habe Bewerbungen vorgetäuscht, um anschließend Schadensersatzansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) geltend zu machen. Diese Informationen wurden im Vorstellungsgespräch nicht direkt angesprochen, sondern lediglich die „Prominenz“ des Bewerbers angedeutet. Der Anwalt erhielt schließlich eine Absage.
Nach der Ablehnung erhob der Anwalt Klage und forderte unter anderem immateriellen Schadensersatz wegen Verletzung datenschutzrechtlicher Pflichten nach Art. 82 DSGVO. Er argumentierte, die Universität habe mit der Internetrecherche gegen die Informationspflichten der DSGVO verstoßen. Das Landesarbeitsgericht (LAG) Düsseldorf hatte bereits entschieden, dass ein Schadensersatzanspruch in Höhe von 1.000 Euro besteht. Das Bundesarbeitsgericht bestätigte nun diese Höhe des Schmerzensgeldes.
Wann ist eine Google-Recherche im Bewerbungsverfahren zulässig?
Das Urteil des BAG klärt, dass eine Internetrecherche über Bewerber unter bestimmten Bedingungen zulässig sein kann. Gemäß Art. 6 Abs. 1 S. 1 lit. b DSGVO ist die Verarbeitung personenbezogener Daten erlaubt, wenn sie zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. Das Bewerbungsverfahren wird hierbei als Teil der vorvertraglichen Maßnahmen angesehen. Es muss jedoch das Kriterium der Erforderlichkeit beachtet werden. Die Verarbeitung ist nur in dem für den jeweiligen Auswahlprozess notwendigen Umfang gestattet.
Im konkreten Fall war die Recherche gerechtfertigt, da der Arbeitgeber einen konkreten Verdacht in Bezug auf die Eignung des Bewerbers hatte. Der Personalleiter hatte bereits Kenntnis vom Namen des Bewerbers und die recherchierten Informationen hatten einen konkreten Bezug zur ausgeschriebenen Tätigkeit im Justiziariat. Dies diente dem Zweck, die berufliche Eignung des Bewerbers zu beurteilen. Das BAG betonte, dass ein konkreter Anlass vorliegen muss, der die Google-Suche erforderlich macht. Eine reine Neugierrecherche ohne Anlass sollte weiterhin vermieden werden. Für öffentliche Arbeitgeber kommt zusätzlich das verfassungsrechtliche Bestenauslesegebot aus Art. 33 Abs. 2 GG hinzu, welches eine strenge Prüfung der Eignung verlangt. Es wurde auch klargestellt, dass die Beschränkung auf öffentlich zugängliche Quellen, wie Google, relevant ist. Recherchen in vorwiegend zu privaten Zwecken genutzten sozialen Netzwerken wie Facebook oder Instagram dürften regelmäßig unzulässig sein.
Transparenz ist Pflicht: Informationspflicht nach Art. 14 DSGVO
Der Kern des Verstoßes lag in der Nichteinhaltung der Informationspflicht nach Art. 14 DSGVO. Dieser Artikel schreibt vor, dass eine betroffene Person zu informieren ist, wenn personenbezogene Daten nicht bei ihr selbst erhoben werden. Das bedeutet, dass Arbeitgeber Bewerber unverzüglich darüber in Kenntnis setzen müssen, welche Daten sie aus welchen Quellen gesammelt haben und zu welchem Zweck. Im vorliegenden Fall hatte die Universität den Bewerber nicht ausreichend und zum richtigen Zeitpunkt über die durchgeführte Google-Recherche und die gefundenen Informationen, insbesondere die strafrechtliche Verurteilung, informiert.
Obwohl der Arbeitgeber im Bewerbungsgespräch angedeutet hatte, den Wikipedia-Artikel über den Bewerber gelesen zu haben, genügte dies nicht den Anforderungen der Informationspflicht. Der Arbeitgeber muss über die verarbeiteten Datenkategorien – hier die Verarbeitung von Daten zur nicht rechtskräftigen Verurteilung wegen Betruges – konkret informieren. Die fehlende Information führt zu einem erheblichen Kontrollverlust für den Bewerber und stellt einen immateriellen Schaden dar. Diese Pflicht ist entscheidend, um Transparenz gegenüber den Bewerbern zu gewährleisten und die Grundsätze einer fairen und transparenten Verarbeitung zu wahren.
Schadensersatz bei Verstoß gegen die DSGVO
Ein Verstoß gegen die datenschutzrechtlichen Informationspflichten kann einen Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO begründen. Das BAG bestätigte, dass die unterbliebene Information selbst einen solchen immateriellen Schaden darstellt und pauschal mit 1.000 Euro zu vergüten ist. Die Höhe von immateriellen Schadensersatzansprüchen orientiert sich in der Regel an der Art der Verletzung, der Sensibilität der Daten und dem Ausmaß der Betroffenheit. Die fehlende Information über die Internetrecherche wurde dabei als eher geringfügiger Eingriff gewertet, obwohl es sich um eine deutlich negative und sensible Tatsache handelte.
Der Europäische Gerichtshof (EuGH) hat klargestellt, dass der bloße Verstoß gegen die Bestimmungen der DSGVO allein nicht ausreicht, um einen immateriellen Schadensersatzanspruch zu begründen. Es muss ein tatsächlicher Schaden erlitten worden sein, auch wenn dieser nicht unbedingt einen bestimmten Grad an Erheblichkeit erreichen muss. Der Begriff des immateriellen Schadens umfasst nach der Rechtsprechung auch den Verlust der Kontrolle über die eigenen Daten infolge eines Verstoßes gegen die DSGVO. Im vorliegenden Fall wurde ein solcher Kontrollverlust bejaht, da der Bewerber ohne Mitteilung zum bloßen Objekt der Datenverarbeitung wurde und dies negative Auswirkungen auf die Auswahlentscheidung hatte.
Das BAG wies jedoch höhere Forderungen des Klägers, etwa auf Entschädigung nach dem AGG oder Ersatz entgangenen Gewinns, zurück. Das Gericht betonte, dass der Schadensersatz eine Ausgleichsfunktion hat und keine abschreckende oder Straffunktion erfüllt. Für die Bemessung der Höhe des immateriellen Schadens ist die Intensität der Persönlichkeitsrechtsverletzung ein wichtiger Faktor.
Keine absoluten Verwertungsverbote für zulässig erhobene Daten
Ein bemerkenswerter Aspekt des Urteils ist, dass das Gericht kein generelles Verwertungsverbot für die durch die Recherche gewonnenen Daten anordnete. Bereits das LAG Düsseldorf hatte entschieden, dass ein Verstoß gegen die Auskunftspflicht nicht dazu führt, dass die Daten verwertungsrechtlich ausgeschlossen sind. Dies bedeutet, dass die Universität den Hinweis auf das Strafverfahren im Bewerbungsverfahren weiterhin berücksichtigen durfte, auch wenn ihr Fehlverhalten zum Schmerzensgeldanspruch führte. Das Gericht stellte fest, dass die erhobenen Daten, auch wenn die Informationspflicht verletzt wurde, grundsätzlich weiterhin verwendet werden können.
Wichtige Hinweise für Unternehmen und NPOs
Das Urteil hat Signalwirkung für Arbeitgeber und unterstreicht die Notwendigkeit klarer Prozesse im Bewerbungsverfahren.
Für Unternehmen und NPOs besonders relevant:
- Datenschutzbeauftragten einbeziehen: Die datenschutzrechtliche Zulässigkeit von Recherchen sollte stets mit dem Datenschutzbeauftragten abgestimmt werden.
- Anlassbezogenheit beachten: Recherchen sind nur zulässig, wenn ein konkreter, dokumentierter Anlass besteht, wie Zweifel an der Eignung oder Widersprüche im Lebenslauf. Eine reine Neugierrecherche ist unzulässig.
- Informationspflicht erfüllen: Wird eine Online-Recherche durchgeführt, muss der Bewerber unverzüglich und konkret darüber informiert werden, welche Datenkategorien aus welchen Quellen erhoben wurden und zu welchem Zweck. Eine schriftliche Information (z.B. per E-Mail) ist ideal.
- Dokumentation: Jede Recherche sollte sorgfältig dokumentiert werden, um bei späteren Ansprüchen Nachweise erbringen zu können.
- Schulung des Personals: Personalverantwortliche müssen umfassend im Bereich Datenschutz geschult werden, um Fehler und damit verbundene Schadensersatzansprüche zu vermeiden.
- Abgrenzung privater/beruflicher Netzwerke: Recherchen sollten sich auf berufliche und öffentlich zugängliche Informationen beschränken; private soziale Netzwerke sind in der Regel tabu.
So können Unternehmen und NPOs ihre Auswahlverfahren rechtssicher und transparent gestalten. Gerne sind wir Ihnen dabei behiflich.
BAG, Urteil v. 05.06.2025, Az. 8 AZR 117/24
Weiterlesen:
Arbeitnehmerdatenschutz rechtssicher umsetzen
Datenschutz: Diese Rechte und Pflichten hat der Betriebsrat
