Ist ein Tipp-Test im Bewerbungsverfahren überhaupt zulässig?

Ja, sofern die Tipp-Fertigkeit für die Stelle erforderlich ist. Als Rechtsgrundlage kommt Art. 6 Abs. 1 lit. b DSGVO in Betracht (Verarbeitung für vorvertragliche Maßnahmen auf Anfrage des Bewerbers). § 26 Abs. 1 BDSG wurde lange als Grundlage genannt, nach dem Urteil des EuGH vom 30. März 2023 (C-34/21) ist aber zweifelhaft, ob die Vorschrift noch angewendet werden kann. Ein Tipp-Test bei einer Sekretariats-Stelle fällt darunter, weil das Tipp-Tempo objektiv ein erforderliches Kriterium ist. Bei einer Stelle ohne nennenswerten Tipp-Anteil wäre der Test rechtlich angreifbar, weil die Erforderlichkeit fehlt.

Welche Daten dürfen erhoben werden?

Die für die Auswahl-Entscheidung notwendigen Leistungsdaten: WPM-Wert, Genauigkeit, Dauer der Test-Sitzung. Nicht zulässig sind zusätzliche Datensätze, die über das eigentliche Test-Ergebnis hinausgehen, etwa Anschlag-für-Anschlag-Protokolle, Pausen-Muster, die später Rückschlüsse auf Konzentration oder kognitive Belastung erlauben würden. Solche zusätzlichen Daten verstoßen gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Wie lange dürfen die Daten gespeichert werden?

Für nicht eingestellte Bewerber maximal sechs Monate nach Abschluss des Bewerbungsverfahrens, dann muss gelöscht werden. Die Frist orientiert sich an den Fristen im AGG: Ansprüche müssen innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend gemacht werden (§ 15 Abs. 4 AGG), eine Klage auf Entschädigung ist danach innerhalb von drei Monaten zu erheben (§ 61b Abs. 1 ArbGG). Sechs Monate decken diese Zeiträume einschließlich Zustellung ab; eine gesetzlich festgelegte Löschfrist ist das nicht. Wer eine längere Speicherung wünscht (zum Beispiel für künftige Stellen), braucht eine ausdrückliche Einwilligung des Bewerbers nach Art. 7 DSGVO, die jederzeit widerrufen werden kann.

Muss der Bewerber dem Test zustimmen?

Bei Tipp-Tests, die für die Stelle erforderlich sind, braucht es in der Regel keine separate Einwilligung, die Verarbeitung lässt sich auf Art. 6 Abs. 1 lit. b DSGVO stützen. Eine Einwilligung wäre im Bewerbungsverfahren ohnehin nur eingeschränkt freiwillig. Der Bewerber muss aber vorher informiert werden, dass und wie der Test stattfindet und welche Daten erhoben werden (Informationspflicht nach Art. 13 DSGVO).

Was passiert, wenn der Tipp-Test von einer externen Plattform durchgeführt wird?

Wenn der Arbeitgeber den Bewerber auf eine externe Plattform schickt (Typing.com, monkeytype.com, eigene Test-Software-Anbieter), liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor, sofern die Plattform die Daten im Auftrag des Arbeitgebers verarbeitet. Es muss ein Auftragsverarbeitungsvertrag (AVV) bestehen, und die Plattform muss DSGVO-konform betrieben werden (Verarbeitung in der EU oder geeignete Grundlage für die Übermittlung in ein Drittland, etwa ein Angemessenheitsbeschluss nach Art. 45 oder Standardvertragsklauseln nach Art. 46 DSGVO). Für US-Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind, gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss der EU-Kommission. Ohne AVV und ohne geprüfte Übermittlungsgrundlage riskiert der Arbeitgeber eine Beanstandung durch die Aufsichtsbehörde.

Tipp-Tests bei Bewerbung: DSGVO und § 26 BDSG

Rechtsgrundlagen im Überblick

Personenbezogene Daten im Bewerbungsverfahren fallen unter zwei sich ergänzende Regelwerke. Die Datenschutz-Grundverordnung (DSGVO) ist seit 25. Mai 2018 unmittelbar geltendes EU-Recht und definiert die allgemeinen Grundsätze (Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität, Rechenschaftspflicht). Das Bundesdatenschutzgesetz (BDSG) enthält mit § 26 eine eigene Vorschrift für den Beschäftigtendatenschutz.

§ 26 Abs. 1 BDSG sagt: „Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung […] erforderlich ist.” Bewerber gelten dabei nach § 26 Abs. 8 Satz 2 BDSG als Beschäftigte.

Am 30. März 2023 hat der Europäische Gerichtshof entschieden (C-34/21), dass eine gleichlautende Vorschrift im hessischen Datenschutzgesetz nur dann neben der DSGVO gilt, wenn sie die Anforderungen von Art. 88 Abs. 2 DSGVO erfüllt. Seitdem ist zweifelhaft, ob § 26 Abs. 1 Satz 1 BDSG noch angewendet werden kann. Der Hamburgische Beauftragte für Datenschutz hat Unternehmen aufgefordert, ihre Rechtsgrundlagen zu prüfen, und verweist für Bewerberdaten auf Art. 6 Abs. 1 lit. b DSGVO, der unmittelbar gilt. In der Praxis ändert sich am Maßstab wenig: Beide Vorschriften verlangen, dass die Verarbeitung erforderlich ist.

Das Schlüsselwort ist „erforderlich”. Eine Datenerhebung im Bewerbungsverfahren ist nur zulässig, wenn sie für die Auswahl-Entscheidung notwendig ist und kein milderes Mittel zur Verfügung steht. Eine Tipp-Test-Auswertung mit ausschließlich WPM-Wert ist erforderlich, ein zusätzliches Anschlag-Logging mit Detail-Profilen ist es nicht.

Welche Daten konkret erhoben werden dürfen

Im Tipp-Test fallen typischerweise mehrere Datenpunkte an. Die rechtliche Linie verläuft zwischen denen, die für die Auswahl-Entscheidung notwendig sind, und denen, die darüber hinausgehen.

In der Regel erforderlich und damit zulässig:

Gesamt-WPM-Wert bzw. Anschläge pro Minute
Gesamt-Genauigkeit in Prozent
Dauer der Test-Sitzung
Datum und Uhrzeit der Durchführung
Identifikation des Bewerbers (Name oder pseudonymisierte Bewerber-ID)

Bedenklich oder unzulässig:

Vollständiges Tipp-Protokoll mit Zeitstempel pro Anschlag (erlaubt Profile zu kognitiver Verfasstheit, Konzentration, Ermüdung)
Pausen-Analyse mit Zeitfenstern (erlaubt Rückschlüsse auf Aufmerksamkeitsdefizite)
Detaillierte Fehler-Muster (erlaubt unter Umständen Rückschlüsse auf Lese-Rechtschreib-Schwächen, die im Einzelfall eine Behinderung im Sinne des AGG sein können; das AGG definiert den Begriff nicht selbst, ausgelegt wird er nach § 2 Abs. 1 SGB IX und dem Unionsrecht)
Tippmuster über mehrere Sitzungen verglichen (erlaubt Erkennung von Krankheiten wie Parkinson im Frühstadium)

Wer als Arbeitgeber technisch in der Lage ist, mehr zu erheben, darf das nicht automatisch tun. Der Grundsatz der Datenminimierung verlangt aktive Beschränkung auf das Notwendige. Eine Tipp-Software, die im Standard alle Details protokolliert, muss konfiguriert werden, damit nur die zulässigen Datensätze in die Bewerberakte eingehen.

Aufbewahrungsfristen

Übliche Aufbewahrungsdauer für Bewerberdaten. Gesetzlich festgelegt sind diese Zeiträume nicht, sie leiten sich aus den Fristen des AGG und den Verjährungsfristen ab. Eigene Darstellung.

Die Aufbewahrungsfristen unterscheiden sich nach Bewerber-Status. Für eingestellte Bewerber werden die Bewerbungsunterlagen Teil der Personalakte und werden nach den Regeln für Personalakten aufbewahrt (häufig für die Dauer des Beschäftigungsverhältnisses plus drei Jahre entsprechend der regelmäßigen Verjährungsfrist, für einzelne Unterlagen gelten längere gesetzliche Fristen, etwa im Steuer- oder Sozialversicherungsrecht).

Für abgelehnte Bewerber haben sich 6 Monate nach Mitteilung der Absage als Praxis durchgesetzt. Hintergrund sind die Fristen im AGG: Der Bewerber muss Ansprüche innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend machen (§ 15 Abs. 4 AGG). Eine Klage auf Entschädigung muss danach innerhalb von drei Monaten erhoben werden (§ 61b Abs. 1 ArbGG). Solange eine solche Auseinandersetzung möglich ist, darf der Arbeitgeber die Unterlagen zur Verteidigung aufbewahren. Danach entfällt dieser Zweck, und die Daten sind zu löschen.

Für einen Talent-Pool, in dem der Arbeitgeber die Bewerbung für zukünftige Stellen speichern möchte, gilt eine andere Rechtsgrundlage: die ausdrückliche Einwilligung des Bewerbers nach Art. 7 DSGVO. Diese Einwilligung muss freiwillig erteilt werden (keine Koppelung an die aktuelle Bewerbung), jederzeit widerruflich sein und die Aufbewahrungsdauer transparent benennen (typisch 12-24 Monate, danach erneute Einwilligung oder Löschung).

Informationspflichten nach Art. 13 DSGVO

Wer als Arbeitgeber einen Tipp-Test einsetzt, muss den Bewerber vorab informieren. Die Information muss enthalten: Identität und Kontaktdaten des Verantwortlichen, Zweck der Datenverarbeitung (Auswahl-Entscheidung), Rechtsgrundlage (in der Regel Art. 6 Abs. 1 lit. b DSGVO), Empfänger der Daten (HR-Team, ggf. externe Test-Plattform als Auftragsverarbeiter), Speicherdauer und Bewerber-Rechte (Auskunft, Berichtigung, Löschung, Widerspruch).

Die Information kann in der Stellenausschreibung, in der Einladung zum Vorstellungsgespräch oder direkt vor dem Test erfolgen. Wichtig ist die Vor-Information: ein Test, der ohne vorherige Aufklärung stattfindet, ist nicht datenschutz-konform und kann zu Beanstandungen führen.

In der Praxis am sinnvollsten ist eine zweistufige Information: erstens ein kurzer Absatz in der Stellenanzeige („Teil des Auswahlverfahrens ist ein 60-Sekunden-Tipp-Test, Details siehe Datenschutzerklärung”), zweitens die vollständige Datenschutzerklärung verlinkt oder vor Ort vorgelegt.

Auftragsverarbeitung mit externen Test-Plattformen

Wenn der Tipp-Test nicht intern durchgeführt wird, sondern auf einer externen Plattform (kommerzielle Assessment-Software, branchenspezifische Tipp-Test-Anbieter, ggf. öffentliche Test-Sites), liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Voraussetzungen:

Auftragsverarbeitungsvertrag (AVV) zwischen Arbeitgeber und Plattform, mit allen Pflichtangaben nach Art. 28 Abs. 3 (Gegenstand, Dauer, Art und Zweck, Datenarten, Pflichten des Auftragsverarbeiters).
Technische und organisatorische Maßnahmen beim Auftragsverarbeiter (Verschlüsselung, Zugriffsbeschränkung, Backups, Lösch-Routinen).
Verarbeitung in der EU oder eine geeignete Grundlage für die Übermittlung in ein Drittland. Für die USA gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), allerdings nur für Unternehmen, die nach diesem Rahmen zertifiziert sind. Für andere Empfänger braucht es zum Beispiel Standardvertragsklauseln nach Art. 46 DSGVO.
Unterauftragsverarbeiter dürfen nur mit vorheriger Genehmigung des Arbeitgebers eingesetzt werden, alle Subprozessoren müssen ebenfalls AVV unterzeichnen.

In der Praxis scheitern viele Tipp-Test-Aufstellungen an diesen Anforderungen. Öffentliche Tipp-Test-Seiten sind für den Bewerbungs-Einsatz meist nicht gedacht und bieten keinen AVV an. Wer als Arbeitgeber externe Software einsetzt, sollte nach AVV, Verarbeitungsort und Übermittlungsgrundlage fragen.

Rechte der Bewerber

Bewerber haben nach DSGVO mehrere durchsetzbare Rechte gegenüber dem Arbeitgeber. Auskunft nach Art. 15 (welche Daten wurden zu welchem Zweck wie lange gespeichert), Berichtigung nach Art. 16, Löschung nach Art. 17 („Recht auf Vergessenwerden”) und Einschränkung der Verarbeitung nach Art. 18. Ein Widerspruchsrecht nach Art. 21 besteht nur bei Verarbeitungen auf Grundlage berechtigter Interessen oder öffentlicher Aufgaben, nicht bei Art. 6 Abs. 1 lit. b DSGVO.

Praktisch relevant: Ein Bewerber kann nach einem Tipp-Test eine Kopie der erhobenen Daten verlangen (Art. 15 Abs. 3 DSGVO). Er kann auch die Löschung verlangen. Ob der Arbeitgeber die Daten trotzdem bis zum Ablauf der AGG-Fristen behalten darf, um sich gegen mögliche Ansprüche zu verteidigen, ist im Einzelfall zu prüfen (Art. 17 Abs. 3 lit. e DSGVO).

Ein abgelehnter Bewerber, der den Verdacht einer Diskriminierung hat, kann seine Auskunftsrechte nutzen, um zu prüfen, welche Daten gesammelt und wie sie in die Auswahl-Entscheidung eingeflossen sind. Das ist eine reguläre Vorbereitung einer möglichen AGG-Klage und muss vom Arbeitgeber bedient werden.

Was zwischen Arbeitgeber und Bewerber wirklich rechtens ist

Ein Tipp-Test im Bewerbungsverfahren ist rechtlich machbar, wenn die Erforderlichkeit dokumentiert ist, die Datenerhebung auf das Notwendige beschränkt bleibt, der Bewerber vorher informiert wird und die Aufbewahrungsfristen eingehalten werden. Wer als Arbeitgeber einen Tipp-Test ohne diese Vorkehrungen einsetzt, verstößt gegen die Grundsätze aus Art. 5 DSGVO, mit zwei möglichen Konsequenzen: Bußgelder durch die Aufsichtsbehörde (nach Art. 83 Abs. 5 DSGVO bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist) und Schadensersatzansprüche des Bewerbers nach Art. 82 DSGVO. Beide Risiken lassen sich mit dem hier beschriebenen Setup vermeiden, kosten aber Aufmerksamkeit bei der Aufstellung des Verfahrens.