Eine Nachricht im Bewerbungsverfahren ist schnell verschickt. Ein falscher Empfänger ist ebenso schnell ausgewählt. Was im Arbeitsalltag wie ein Versehen wirkt, kann datenschutzrechtlich erhebliche Folgen haben.
Das zeigt eine aktuelle Entscheidung des Bundesgerichtshofs* zu einer fehlgeleiteten Xing-Nachricht im Bewerbungsverfahren. Eine vertrauliche Nachricht, die für einen Bewerber bestimmt war, wurde versehentlich auch an einen unbeteiligten Dritten versandt. Die Nachricht enthielt unter anderem Angaben zum laufenden Bewerbungsverfahren, zur Einschätzung des Bewerberprofils und zu einer konkreten Gehaltsvorstellung.
Datenschutz im Recruiting ist kein Nebenthema. Bewerberdaten sind sensibel – nicht immer im Sinne besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO), aber in ihrer praktischen Wirkung. Sie können Rückschlüsse auf Wechselabsichten, berufliche Entwicklung, Gehaltsvorstellungen, Verhandlungspositionen und persönliche Netzwerke zulassen.
Bewerberdaten sind personenbezogene Daten
Der BGH stellte klar, dass derartige Informationen personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) sind. Das gilt auch dann, wenn eine Nachricht nicht den vollständigen Namen oder sämtliche Kontaktdaten enthält. Entscheidend ist, ob eine Person identifizierbar ist. Im beruflichen Kontext können bereits Kombinationen aus Nachname, beruflicher Funktion, Bewerbungsverfahren, Profilbewertung oder Gehaltsangaben ausreichen, um eine Person zuzuordnen. Gerade in Branchen, Netzwerken oder kleineren Märkten ist der Kreis der Personen häufig überschaubar.
Für Arbeitgeber bedeutet das: Bewerberkommunikation ist vertraulich zu behandeln. Unabhängig davon, ob sie per E-Mail, über ein Bewerbermanagementsystem, einem Karrierenetzwerk oder einer Messenger-Funktion erfolgt.
Kontrollverlust kann einen Schaden begründen
Nach Art. 82 DSGVO kann eine betroffene Person Schadensersatz verlangen, wenn ihr wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist.
Der bloße Datenschutzverstoß allein genügt dafür nicht automatisch. Es müssen weiterhin Verstoß, Schaden und Kausalität vorliegen. Allerdings ist der Begriff des immateriellen Schadens weit auszulegen. Eine besondere Erheblichkeitsschwelle gibt es nicht. Im Fall der fehlgeleiteten Bewerbernachricht war entscheidend, dass der unbeteiligte Empfänger die Nachricht gelesen und den Bewerber darauf angesprochen hatte. Damit blieb es nicht bei einem rein abstrakten Risiko. Der Kontrollverlust über vertrauliche Bewerberdaten hatte eine konkrete Auswirkung.
Für Unternehmen ist das ein wichtiger Punkt: Auch vermeintlich kleine Fehler im Bewerbungsprozess können zu Ansprüchen, Auseinandersetzungen und Reputationsrisiken führen.
Recruiting ist ein Risikoprozess
In vielen Unternehmen werden Bewerbungsprozesse heute über mehrere Kanäle geführt: E-Mail, Bewerbermanagementsysteme, Karrierenetzwerke, Messenger-Funktionen, Fachabteilungen, externe Recruiter oder Personalberater. Genau dadurch entstehen Schnittstellenrisiken. Wer darf mit Bewerbern kommunizieren? Welche Kanäle sind freigegeben? Welche Informationen dürfen über berufliche Netzwerke ausgetauscht werden? Wer prüft Empfänger, Anhänge und Inhalte vor dem Versand? Und was passiert, wenn doch etwas schiefgeht?
Datenschutz im Recruiting scheitert häufig an unklaren Prozessen und fehlender Verantwortlichkeit.
Datenpanne: prüfen, dokumentieren, gegebenenfalls melden
Wird eine vertrauliche Bewerbernachricht an einen falschen Empfänger versandt, liegt regelmäßig eine Datenschutzverletzung im Sinne der DSGVO nahe. Arbeitgeber müssen dann prüfen, ob ein Risiko für die Rechte und Freiheiten der betroffenen Person besteht. Je nach Inhalt der Nachricht kann auch eine Meldung an die Datenschutzaufsichtsbehörde erforderlich sein. Bei einem hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Person notwendig werden.
Wichtig ist: Nicht jede Fehlversendung ist automatisch meldepflichtig. Aber jede Fehlversendung mit personenbezogenen Daten sollte strukturiert bewertet und dokumentiert werden. Dazu gehört insbesondere die Prüfung, welche Daten betroffen sind, wer sie erhalten hat, ob eine Rückholung oder Löschung möglich ist und welche Folgen für die betroffene Person entstehen können.
Handlungsbedarf für Arbeitgeber
Arbeitgeber sollten Bewerbungsprozesse nicht erst dann überprüfen, wenn eine Datenpanne passiert ist. Eindeutige Vorgaben zu Kommunikation, Zuständigkeiten und technische Umsetzung sind empfehlenswert:
1. Kommunikationskanäle festlegen
Definieren Sie, über welche Kanäle Bewerberkommunikation erfolgen darf und über welche nicht. Berufliche Netzwerke, Messenger-Funktionen und private Kommunikationswege sollten nicht ungeprüft genutzt werden.
2. Zuständigkeiten klären
Legen Sie fest, wer im Recruiting welche Informationen versenden darf. Das betrifft HR, Fachabteilungen, Geschäftsführung, externe Recruiter und sonstige Beteiligte.
3. Empfängerprüfung absichern
Bei vertraulichen Nachrichten, Gehaltsangaben, Vertragsentwürfen oder Absagen mit sensiblen Inhalten sollte eine sorgfältige Empfängerprüfung erfolgen. In risikobehafteten Fällen kann ein Vier-Augen-Prinzip sinnvoll sein.
4. Bewerberdaten minimieren
Nicht jede Information gehört in jede Nachricht. Je sensibler der Inhalt, desto genauer sollte geprüft werden, ob die Information erforderlich ist und über welchen Kanal sie versendet werden kann.
5. HR und Führungskräfte schulen
Datenschutz im Recruiting betrifft nicht nur die Personalabteilung. Auch Führungskräfte, die in Auswahlprozesse eingebunden sind, müssen wissen, wie Bewerberdaten verarbeitet, weitergegeben und geschützt werden müssen.
6. Externe Dienstleister einbinden
Wer externe Recruiter, Personalberater oder technische Plattformen nutzt, sollte Rollen, Verantwortlichkeiten, Vertraulichkeit, Auftragsverarbeitung und Löschkonzepte entsprechend regeln.
7. Datenschutzvorfälle vorbereiten
Unternehmen sollten klare Prozesse für Datenschutzvorfälle haben. Dazu gehören Meldewege, Zuständigkeiten, Bewertungsmaßstab, Dokumentation und Einbindung des Datenschutzbeauftragten.
8. Recruiting-Prozesse regelmäßig überprüfen
Neue Tools, neue Kanäle und neue Zuständigkeiten verändern Risiken. Bewerbungsprozesse sollten deshalb regelmäßig überprüft und an die tatsächliche Unternehmenspraxis angepasst werden.
Fazit
Die Entscheidung des BGH zeigt: Bewerberdaten verdienen im Unternehmen besondere Aufmerksamkeit. Eine fehlgeleitete Nachricht kann mehr sein als ein Versehen. Sie kann zu einem Datenschutzverstoß, Schadensersatzforderungen und Vertrauensverlust führen.
Für Arbeitgeber liegt der wichtigste Hebel in klaren und gelebten Prozessen: saubere Kommunikationswege, klare Zuständigkeiten, geschulte Beteiligte und ein funktionierender Prozess für Datenschutzvorfälle.
AdOrga Solutions unterstützt Unternehmen bei der datenschutzkonformen Ausgestaltung von Recruiting- und HR-Prozessen, der Prüfung von Bewerberkommunikation, der Erstellung interner Richtlinien sowie beim Umgang mit Datenschutzvorfällen. Sprechen Sie uns gerne an, wenn Sie Ihre Recruiting-Prozesse datenschutzrechtlich und organisatorisch belastbar aufstellen oder überprüfen lassen möchten.
Quellenhinweise
*Der BGH hatte den Sachverhalt bereits im Vorlagebeschluss vom 26.09.2023 beschrieben: Eine über Xing versandte Nachricht im Bewerbungsverfahren enthielt u. a. Angaben zur Bewerbung, zur Profilbewertung und zu einer Vergütung von 80.000 Euro plus variabler Vergütung und wurde versehentlich auch an einen Dritten gesendet. https://www.bundesgerichtshof.de/SharedDocs/Termine/DE/Termine/ZMuster-Muster-Muster_kopie.html?nn=373478
Der EuGH hat in der Vorabentscheidung vom 04.09.2025 ausgeführt, dass negative Gefühle wie Sorge oder Ärger infolge unbefugter Übermittlung personenbezogener Daten einen immateriellen Schaden darstellen können, wenn die betroffene Person diese Folgen nachweist. Der BGH hat am 23.06.2026 im Verfahren VI ZR 97/22 entschieden; die genaue Höhe der Entschädigung war danach gesondert zu klären. https://dejure.org/dienste/vernetzung/rechtsprechung?Aktenzeichen=VI+ZR+97%2F22&Datum=23.06.2026&Gericht=BGH&utm_source=chatgpt.com
