Bussgelder bis CHF 250’000: Validato erklärt die rechtlichen Leitplanken für Background Checks in der Schweiz

Konkret dürfen Arbeitgeber Personendaten von Arbeitnehmenden laut Art. 328b OR nur bearbeiten, wenn diese Daten die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind. Nicht alles, was technisch beschaffbar oder „interessant" ist, ist deshalb auch zulässig: Ein Check muss laut Validato stets einen konkreten Rollenbezug haben, den ein Unternehmen gegenüber der betroffenen Person und im Streitfall auch gegenüber einer Behörde plausibel begründen kann. Background Checks bewegen sich damit nicht in einem rechtsfreien Raum, sondern seit den 1990er-Jahren in einem zunehmend klareren Korsett aus Arbeits- und Datenschutzrecht.

Mit dem 1993 in Kraft getretenen Datenschutzgesetz von 1992 wurde erstmals ein allgemeiner Ordnungsrahmen für den Umgang mit Personendaten geschaffen, parallel dazu wurden die arbeitsrechtlichen Leitplanken im Obligationenrecht geschärft. Das revidierte Datenschutzgesetz vom 25. September 2020, in Kraft seit dem 1. September 2023, hat diese Leitplanken laut Validato weiter akzentuiert. „Die Konsequenz sind keine neuen Checklisten, sondern eine spürbar höhere Erwartung an Zweckbindung, Transparenz, Datensparsamkeit und Datensicherheit in der Umsetzung. Was früher gelegentlich im Graubereich lag, etwa eine breit angelegte Recherche ohne sauberen Rollenbezug, ist heute schlicht nicht mehr zulässig", meint André Naef, CEO von Validato.

Der rote Faden durch alle diese Regeln ist laut Validato die Verhältnismässigkeit: Je höher das Rollenrisiko, desto eher lässt sich ein vertieftes Screening sachlich begründen; je geringer das Rollenrisiko, desto schneller wird ein umfassender Check unverhältnismässig. Art. 328b OR macht genau diesen Rollenbezug zur zentralen Zulässigkeitsvoraussetzung, während das nDSG dazu zwingt, diese Logik in der Praxis konsequent umzusetzen – inklusive Transparenz und sauberer Prozessführung, die im Streitfall auch tatsächlich vorgelegt werden kann.

In der Praxis wird der Prüfumfang deshalb entweder extern vorgegeben, etwa durch Regulierung, interne Konzernrichtlinien oder Branchenstandards, oder anhand eines Human-Risk-Management-Frameworks abgeleitet: Das Unternehmen bewertet Risiken positionsbezogen – etwa Zugriff auf Vermögenswerte, Systemrechte, Kundengelder oder Leitungsfunktionen – und wählt daraus ein modulares, verhältnismässiges Set an Checks, beispielsweise in Form von drei Prüfpaketen für niedriges, mittleres und hohes Risiko. Validato bietet Schweizer Unternehmen eine entsprechend abgestufte Screening-Plattform an, die diese Risikoklassifizierung von Beginn an in den Prüfprozess integriert, statt sie nachträglich zu dokumentieren.