Ist ein Tipp-Test im Bewerbungsverfahren überhaupt zulässig?

Ja, sofern die Tipp-Fertigkeit für die Stelle erforderlich ist. Rechtsgrundlage ist § 26 Abs. 1 BDSG: personenbezogene Daten von Beschäftigten dürfen verarbeitet werden, soweit für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich. Ein Tipp-Test bei einer Sekretariats-Stelle fällt darunter, weil das Tipp-Tempo objektiv ein erforderliches Kriterium ist. Bei einer Stelle ohne nennenswerten Tipp-Anteil wäre der Test rechtlich angreifbar, weil die Erforderlichkeit fehlt.

Welche Daten dürfen erhoben werden?

Die für die Auswahl-Entscheidung notwendigen Leistungsdaten: WPM-Wert, Genauigkeit, Dauer der Test-Sitzung. Nicht zulässig sind zusätzliche Datensätze, die über das eigentliche Test-Ergebnis hinausgehen, etwa Anschlag-für-Anschlag-Protokolle, Pausen-Muster, die später Rückschlüsse auf Konzentration oder kognitive Belastung erlauben würden. Solche zusätzlichen Daten verstoßen gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Wie lange dürfen die Daten gespeichert werden?

Für nicht eingestellte Bewerber maximal sechs Monate nach Abschluss des Bewerbungsverfahrens, dann muss gelöscht werden. Sechs Monate decken die Klagefristen für AGG-Klagen (zwei Monate nach Ablehnungsmitteilung) plus die übliche AGG-Klage-Bearbeitungszeit. Wer eine längere Speicherung wünscht (zum Beispiel für künftige Stellen), braucht eine ausdrückliche Einwilligung des Bewerbers nach Art. 7 DSGVO, die jederzeit widerrufen werden kann.

Muss der Bewerber dem Test zustimmen?

Bei Tipp-Tests, die für die Stelle objektiv erforderlich sind, reicht § 26 Abs. 1 BDSG als Rechtsgrundlage, eine separate Einwilligung ist nicht erforderlich. Der Bewerber muss aber informiert werden, dass und wie der Test stattfindet und welche Daten erhoben werden (Art. 13 DSGVO Informationspflicht). Wer im Bewerbungsverfahren mit einem Tipp-Test überrumpelt wird, kann den Test rechtlich verweigern, ohne dass ihm das negativ ausgelegt werden darf.

Was passiert, wenn der Tipp-Test von einer externen Plattform durchgeführt wird?

Wenn der Arbeitgeber den Bewerber auf eine externe Plattform schickt (Typing.com, monkeytype.com, eigene Test-Software-Anbieter), liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor, sofern die Plattform die Daten im Auftrag des Arbeitgebers verarbeitet. Es muss ein Auftragsverarbeitungsvertrag (AVV) bestehen, und die Plattform muss DSGVO-konform betrieben werden (Serverstandort EU oder angemessenes Schutzniveau nach Art. 45-46). Wer Bewerber auf US-Plattformen ohne EU-Subprozessor schickt, riskiert eine Beanstandung durch die Landesdatenschutzbehörde.

Tipp-Tests bei Bewerbung: Datenschutz nach DSGVO und § 26 BDSG

Rechtsgrundlagen im Überblick

Personenbezogene Daten im Bewerbungsverfahren fallen unter zwei sich ergänzende Regelwerke. Die Datenschutz-Grundverordnung (DSGVO) ist seit 25. Mai 2018 unmittelbar geltendes EU-Recht und definiert die allgemeinen Grundsätze (Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität, Rechenschaftspflicht). Das Bundesdatenschutzgesetz (BDSG) konkretisiert die DSGVO für den deutschen Arbeitsbereich, insbesondere durch § 26 BDSG für das Beschäftigtendaten-Schutzrecht.

§ 26 Abs. 1 BDSG sagt: „Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung […] erforderlich ist.” Bewerber sind dabei nach § 26 Abs. 8 als Beschäftigte erfasst.

Das Schlüsselwort ist „erforderlich”. Eine Datenerhebung im Bewerbungsverfahren ist nur zulässig, wenn sie für die Auswahl-Entscheidung notwendig ist und kein milderes Mittel zur Verfügung steht. Eine Tipp-Test-Auswertung mit ausschließlich WPM-Wert ist erforderlich, ein zusätzliches Anschlag-Logging mit Detail-Profilen ist es nicht.

Welche Daten konkret erhoben werden dürfen

Im Tipp-Test fallen typischerweise mehrere Datenpunkte an. Die rechtliche Linie verläuft zwischen denen, die für die Auswahl-Entscheidung notwendig sind, und denen, die darüber hinausgehen.

Zulässig nach § 26 Abs. 1 BDSG:

Gesamt-WPM-Wert (Geschwindigkeit netto und brutto)
Gesamt-Genauigkeit in Prozent
Dauer der Test-Sitzung
Datum und Uhrzeit der Durchführung
Identifikation des Bewerbers (Name oder pseudonymisierte Bewerber-ID)

Bedenklich oder unzulässig:

Vollständiges Tipp-Protokoll mit Zeitstempel pro Anschlag (erlaubt Profile zu kognitiver Verfasstheit, Konzentration, Ermüdung)
Pausen-Analyse mit Zeitfenstern (erlaubt Rückschlüsse auf Aufmerksamkeitsdefizite)
Detaillierte Fehler-Muster (erlaubt unter Umständen Rückschlüsse auf Lese-Rechtschreib-Schwächen, die nach § 7 AGG eine Behinderung darstellen können)
Tippmuster über mehrere Sitzungen verglichen (erlaubt Erkennung von Krankheiten wie Parkinson im Frühstadium)

Wer als Arbeitgeber technisch in der Lage ist, mehr zu erheben, darf das nicht automatisch tun. Der Grundsatz der Datenminimierung verlangt aktive Beschränkung auf das Notwendige. Eine Tipp-Software, die im Standard alle Details protokolliert, muss konfiguriert werden, damit nur die zulässigen Datensätze in die Bewerberakte eingehen.

Aufbewahrungsfristen

Aufbewahrungsfristen fuer Bewerber-Daten nach BDSG und Empfehlung der Landesdatenschutzbeauftragten. Quelle: Orientierungshilfen der Aufsichtsbehoerden 2023.

Die Aufbewahrungsfristen unterscheiden sich nach Bewerber-Status. Für eingestellte Bewerber werden die Bewerbungsunterlagen Teil der Personalakte und unterliegen den dortigen Aufbewahrungsfristen (mindestens Dauer des Beschäftigungsverhältnisses plus 3 Jahre, in besonderen Fällen länger durch andere Rechtsvorschriften wie Sozialversicherungsrecht).

Für abgelehnte Bewerber gelten 6 Monate nach Mitteilung der Absage als Standard. Diese Frist deckt die AGG-Klagefristen ab (zwei Monate Klagefrist nach § 15 Abs. 4 AGG, plus übliche Verfahrenslaufzeit von vier Monaten). Nach diesen 6 Monaten ist die Aufbewahrung nicht mehr durch berechtigtes Interesse oder § 26 BDSG gedeckt und muss aktiv gelöscht werden.

Für einen Talent-Pool, in dem der Arbeitgeber die Bewerbung für zukünftige Stellen speichern möchte, gilt eine andere Rechtsgrundlage: die ausdrückliche Einwilligung des Bewerbers nach Art. 7 DSGVO. Diese Einwilligung muss freiwillig erteilt werden (keine Koppelung an die aktuelle Bewerbung), jederzeit widerruflich sein und die Aufbewahrungsdauer transparent benennen (typisch 12-24 Monate, danach erneute Einwilligung oder Löschung).

Informationspflichten nach Art. 13 DSGVO

Wer als Arbeitgeber einen Tipp-Test einsetzt, muss den Bewerber vorab informieren. Die Information muss enthalten: Identität und Kontaktdaten des Verantwortlichen, Zweck der Datenverarbeitung (Auswahl-Entscheidung), Rechtsgrundlage (§ 26 Abs. 1 BDSG), Empfänger der Daten (HR-Team, ggf. externe Test-Plattform als Auftragsverarbeiter), Speicherdauer und Bewerber-Rechte (Auskunft, Berichtigung, Löschung, Widerspruch).

Die Information kann in der Stellenausschreibung, in der Einladung zum Vorstellungsgespräch oder direkt vor dem Test erfolgen. Wichtig ist die Vor-Information: ein Test, der ohne vorherige Aufklärung stattfindet, ist nicht datenschutz-konform und kann zu Beanstandungen führen.

In der Praxis am sinnvollsten ist eine zweistufige Information: erstens ein kurzer Absatz in der Stellenanzeige („Teil des Auswahlverfahrens ist ein 60-Sekunden-Tipp-Test, Details siehe Datenschutzerklärung”), zweitens die vollständige Datenschutzerklärung verlinkt oder vor Ort vorgelegt.

Auftragsverarbeitung mit externen Test-Plattformen

Wenn der Tipp-Test nicht intern durchgeführt wird, sondern auf einer externen Plattform (kommerzielle Assessment-Software, branchenspezifische Tipp-Test-Anbieter, ggf. öffentliche Test-Sites), liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Voraussetzungen:

Auftragsverarbeitungsvertrag (AVV) zwischen Arbeitgeber und Plattform, mit allen Pflichtangaben nach Art. 28 Abs. 3 (Gegenstand, Dauer, Art und Zweck, Datenarten, Pflichten des Auftragsverarbeiters).
Technische und organisatorische Maßnahmen beim Auftragsverarbeiter (Verschlüsselung, Zugriffsbeschränkung, Backups, Lösch-Routinen).
Serverstandort EU oder ein nach Art. 45 angemessenes Schutzniveau (USA seit Schrems II 2020 nur mit zusätzlichen Garantien wie Standardvertragsklauseln nach Art. 46).
Unterauftragsverarbeiter dürfen nur mit vorheriger Genehmigung des Arbeitgebers eingesetzt werden, alle Subprozessoren müssen ebenfalls AVV unterzeichnen.

In der Praxis scheitern viele Tipp-Test-Aufstellungen an diesen Anforderungen. Eine US-basierte Plattform wie typing.com oder monkeytype.com ohne EU-Datenverarbeitungs-Subprozessor ist für den Bewerbungs-Einsatz nicht ohne weiteres geeignet. Wer als Arbeitgeber externe Software einsetzt, sollte explizit nach DSGVO-Konformität und EU-Hosting fragen.

Rechte der Bewerber

Bewerber haben nach DSGVO mehrere durchsetzbare Rechte gegenüber dem Arbeitgeber. Auskunft nach Art. 15 (welche Daten wurden zu welchem Zweck wie lange gespeichert), Berichtigung nach Art. 16, Löschung nach Art. 17 („Recht auf Vergessenwerden”), Einschränkung nach Art. 18, Widerspruch nach Art. 21.

Praktisch relevant: ein Bewerber kann nach einem Tipp-Test im Bewerbungsverfahren verlangen, dass ihm die erhobenen Daten in einem strukturierten Format ausgehändigt werden (Auskunfts- und Datenportabilitätsrecht nach Art. 15 und 20). Er kann auch die Löschung schon vor Ablauf der 6-Monats-Frist verlangen, sobald das Verfahren abgeschlossen ist und keine AGG-Klage geplant ist.

Ein abgelehnter Bewerber, der den Verdacht einer Diskriminierung hat, kann seine Auskunftsrechte nutzen, um zu prüfen, welche Daten gesammelt und wie sie in die Auswahl-Entscheidung eingeflossen sind. Das ist eine reguläre Vorbereitung einer möglichen AGG-Klage und muss vom Arbeitgeber bedient werden.

Was zwischen Arbeitgeber und Bewerber wirklich rechtens ist

Ein Tipp-Test im Bewerbungsverfahren ist rechtlich machbar, wenn die Erforderlichkeit dokumentiert ist, die Datenerhebung auf das Notwendige beschränkt bleibt, der Bewerber vorher informiert wird und die Aufbewahrungsfristen eingehalten werden. Wer als Arbeitgeber einen Tipp-Test ohne diese Vorkehrungen einsetzt, verstößt gegen § 26 BDSG und Art. 5 DSGVO mit zwei möglichen Konsequenzen: Bußgelder durch die Aufsichtsbehörde (bis zu 4 Prozent des Konzern-Jahresumsatzes nach Art. 83 DSGVO) und Schadensersatzansprüche des Bewerbers nach Art. 82 DSGVO. Beide Risiken lassen sich mit dem hier beschriebenen Setup vermeiden, kosten aber Aufmerksamkeit bei der Aufstellung des Verfahrens.