Bad Segeberg. Eine kurze Nachricht, ein falscher Empfänger – und plötzlich wird aus einem gewöhnlichen Recruiting-Vorgang ein Datenschutzfall. Genau mit einer solchen Konstellation hatte sich der Bundesgerichtshof zu befassen. In seinem Urteil vom 23. Juni 2026, Az. VI ZR 97/22, ging es um eine Nachricht im Rahmen eines Bewerbungsprozesses, die über Xing nicht nur an den Bewerber, sondern versehentlich an eine dritte Person gelangte.

Der Inhalt war nicht belanglos. Aus der Nachricht ergaben sich unter anderem der laufende Bewerbungsprozess, die Einschätzung des Unternehmens und Informationen zur möglichen Vergütung. Für viele Beschäftigte und Bewerber sind genau solche Informationen besonders sensibel: Wer sich bewirbt, möchte regelmäßig selbst entscheiden, wer davon erfährt.

Der BGH stellte klar, dass in einem solchen Vorgang personenbezogene Daten betroffen sein können. Dazu gehören nicht nur Name und Anrede, sondern auch Informationen darüber, dass jemand sich in einem Bewerbungsprozess befindet, welche Gehaltsvorstellungen im Raum stehen und wie das Unternehmen die Bewerbung bewertet. Gelangen solche Angaben an eine unbeteiligte dritte Person, liegt der Gedanke eines Datenschutzverstoßes nahe.

Besonders wichtig für Unternehmen: Der BGH bejahte dem Grunde nach einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO. Es muss also nicht zwingend ein messbarer finanzieller Schaden entstehen. Schon der Verlust der Kontrolle über personenbezogene Daten oder die Sorge, dass vertrauliche Informationen in einem beruflichen Umfeld bekannt werden, kann rechtlich erheblich sein. Über die konkrete Höhe musste im entschiedenen Fall noch weiter entschieden werden.

Für Arbeitgeber, Personalabteilungen und externe Recruiter ist das Urteil ein praktischer Warnhinweis. Digitale Kommunikation im Bewerbungsprozess ist schnell, aber fehleranfällig. Messenger-Dienste, Karrierenetzwerke, Bewerberportale und E-Mail-Verteiler schaffen viele kleine Risikopunkte: falsche Adressaten, Autovervollständigung, Weiterleitungen, unklare Zuständigkeiten oder zu umfangreiche Informationen in einer Nachricht.

Gerade im Recruiting sollte deshalb der Grundsatz gelten: Nur so viele personenbezogene Daten wie nötig, nur an die richtigen Personen und nur über dafür geeignete Kommunikationswege. Unternehmen sollten prüfen, ob ihre HR-Prozesse klare Regeln enthalten: Wer darf Bewerberdaten sehen? Welche Plattformen werden genutzt? Wie werden Nachrichten vor dem Versand kontrolliert? Was passiert, wenn eine Nachricht versehentlich falsch versendet wurde?

Kommt es zu einer Datenpanne, ist außerdem schnelles und strukturiertes Handeln erforderlich. Je nach Fall können Dokumentationspflichten, Benachrichtigungen, interne Maßnahmen und eine Prüfung möglicher Ansprüche nötig werden. Wer erst reagiert, wenn bereits anwaltliche Schreiben oder Beschwerden vorliegen, verliert wertvolle Zeit.

Das Urteil zeigt damit weniger ein exotisches Sonderproblem als einen ganz alltäglichen Unternehmensrisiko: Datenschutz im Recruiting entscheidet sich nicht nur in Datenschutzerklärungen und Einwilligungsformularen, sondern auch in der einzelnen Nachricht, die eine Mitarbeiterin oder ein Mitarbeiter verschickt.

Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Er wurde redaktionell erstellt und mit Hilfe von KI sprachlich bearbeitet.