Datenschutz bei Persönlichkeitstests zur Personalentwicklung

Persönlichkeitstests sind eines von vielen Instrumenten der Personalentwicklung, um Führungspotenziale sichtbar zu machen. Doch gerade ihr Einsatz bei internen Entwicklungsprogrammen und Auswahlverfahren ist datenschutzrechtlich besonders sensibel. Dieser Beitrag beleuchtet häufige Ausgestaltungsmöglichkeiten, deren Risiken und worauf Unternehmen achten müssen, um Datenschutz und Personalentwicklung in Einklang zu bringen.

Warum sind Persönlichkeitstests in der Personalentwicklung besonders sensibel?

Persönlichkeitstests gehören zu den am weitesten verbreiteten psychometrischen Instrumenten im Führungskräftebereich. Die Verfahren erfassen nicht nur fachliche Eignung, sondern analysieren tiefgreifende Persönlichkeitsmerkmale: Stressreaktionen, Risikoneigungen, Werte, potenzielle Verhaltensauffälligkeiten unter Druck und Motivstrukturen.
Die daraus generierten Reports enthalten Aussagen, die im Einzelfall stigmatisierend wirken können. Hogan Assessments mit Sitz in den USA ist einer der Marktführer in diesem Segment.

Das bestehende Arbeitsverhältnis zwischen Unternehmen und Beschäftigten erzeugt dabei eine besondere Ausgangslage: Die Machtasymmetrie ist ausgeprägter als etwa bei nach Außen gerichteten Bewerbungsverfahren. Die Ergebnisse können unmittelbare Auswirkungen auf bestehende Karrierewege haben, das Verhältnis zu Vorgesetzten beeinflussen und die berufliche Reputation innerhalb des Unternehmens prägen. Die Frage, ob eine Teilnahme wirklich freiwillig erfolgt, stellt sich daher in besonderer Schärfe.

Datenschutzrechtlich handelt es sich bei dieser Verarbeitung um Profiling im Sinne des Art. 4 Nr. 4 DSGVO. Persönliche Aspekte werden automatisiert bewertet und in strukturierte Profile überführt. Auch wenn die Ergebnisse typischerweise nicht unter die besonderen Kategorien des Art. 9 DSGVO fallen, verlangen Tiefe und Reichweite der Aussagen besondere Sorgfalt bei Rechtsgrundlage, Zweckbindung und Zugangskontrolle.

Ausgestaltungen und Risiken in der Praxis

Die konkrete Ausgestaltung des Einsatzes von Persönlichkeitstests bestimmt maßgeblich das datenschutzrechtliche Risikoprofil. In der Beratungspraxis begegnen uns insbesondere zwei Modelle häufig, die hier näher beleuchtet werden sollen.

Der freiwillige Einsatz als Entwicklungsinstrument

In dieser Ausgestaltung bietet das Unternehmen Persönlichkeitstests als grundsätzliche Möglichkeit zur beruflichen Weiterentwicklung an. Die Teilnahme erfolgt auf eigene Initiative der Beschäftigten, losgelöst von einem konkreten Auswahlverfahren. Unternehmen können dieses Angebot auf bestimmte Zielgruppen beschränken, etwa Führungskräfte oder identifizierte „High Potentials“. Die Ergebnisse dienen primär der individuellen Stärken- und Entwicklungsanalyse und -planung, etwa als Grundlage für Coaching oder Trainingsmaßnahmen. Rechtsgrundlage ist hier die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die aufgrund der fehlenden Wettbewerbssituation am ehesten als tatsächlich freiwillig gewertet werden kann.

Eine in der Praxis häufig anzutreffende Untervariante besteht darin, dass die Teilnahme am Persönlichkeitstest zwar als freiwillig deklariert wird, aber im Rahmen eines formalisierten internen Auswahlverfahrens angeboten wird. Das praktische Risiko liegt hier auf der Hand: Auch wenn zugesichert wird, dass eine Nichtteilnahme keine Nachteile hat, kann der Mitarbeitende letztlich nicht nachvollziehen, ob das fehlende Testergebnis in der Entscheidungsfindung tatsächlich unberücksichtigt bleibt. Selbst bei abweichender Information entsteht so ein faktischer Druck, der die Freiwilligkeit der Einwilligung in Frage stellt und die Einwilligung als Rechtsgrundlage angreifbar macht.

Der verpflichtende Einsatz im internen Auswahlverfahren

Hier wird der Persönlichkeitstest als fester Baustein eines strukturierten Auswahlverfahrens für Führungspositionen definiert. Eine Einwilligung scheidet als Rechtsgrundlage aus, da es an der Freiwilligkeit mangelt. Stattdessen kommt Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) in Betracht. Dies setzt voraus, dass:

• das Assessment stellenbezogen und methodisch validiert ist,
• ein dokumentiertes Anforderungsprofil mit Competency-Mapping vorliegt,
• die Ergebnisse nicht als alleinige Entscheidungsgrundlage dienen,
• der Einsatz auf Positionen mit erheblicher Führungsverantwortung beschränkt bleibt.

Das unternehmerische Risiko besteht darin, dass die zuständige Datenschutzaufsichtsbehörden oder Gerichte den Erforderlichkeitsbegriff restriktiv auslegen. Wird ein Persönlichkeitstest eher als ergänzendes Hilfsmittel, als als notwendiges Auswahlinstrument wahrgenommen, kann die Rechtsgrundlage ins Wanken geraten. Beim verpflichtenden Einsatz lassen sich datenschutzrechtliche Restrisiken daher kaum vollständig ausschließen.

Empfehlung: Aus datenschutzrechtlicher Sicht ist eine Ausgestaltung vorzugswürdig, die den Persönlichkeitstest als freiwilliges Entwicklungsinstrument auf Eigeninitiative der Beschäftigten positioniert und von konkreten Besetzungsentscheidungen entkoppelt. Je stärker die Ergebnisse faktisch in Auswahlentscheidungen einfließen, desto höher das Risiko einer unwirksamen Einwilligung oder einer angezweifelten Erforderlichkeit.

Wann droht ein Verstoß gegen Art. 22 DSGVO?

Art. 22 Abs. 1 DSGVO gibt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber eine rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Auf den ersten Blick scheint dies bei Persönlichkeitstests unproblematisch, denn von der Personalabteilung wird man hören: „Die finale Personalentscheidung trifft doch ein Mensch!“.

Doch spätestens seit dem EuGH-Urteil in der Rechtssache SCHUFA (C-634/21) ist hier Vorsicht geboten. Der EuGH hat klargestellt, dass bereits die automatisierte Erstellung eines Score-Wertes unter Art. 22 DSGVO fallen kann, wenn dieser Score maßgeblich in eine spätere Entscheidung einfließt. Übertragen auf Persönlichkeitstests bedeutet dies: Wenn die generierten Profilwerte und Risikoeinstufungen faktisch entscheidungsleitend werden, etwa durch interne Cut-Off-Werte oder eine unkritische Übernahme der Ergebnisse, kann die Schwelle zu einer unzulässigen automatisierten Entscheidung überschritten sein.

Unternehmen sollten daher sicherstellen, dass keine starren Schwellenwerte existieren, bei deren Unterschreitung Kandidaten automatisch ausscheiden. Die menschlichen Entscheidungsträger müssen die Testergebnisse kritisch reflektieren und in den Gesamtkontext einordnen. Schulungen für Hiring Manager und HR zur Interpretation der Reports sind dabei essenziell.

Wie lassen sich Datenschutz und Personalentwicklung vereinbaren?

Neben der Wahl der richtigen Ausgestaltung und Rechtsgrundlage bestehen weitere datenschutzrechtliche Anforderungen:

• Drittlandtransfer: Da Marktführer wie Hogan Assessments ihren Sitz in den USA haben, liegt regelmäßig ein Drittlandtransfer nach Kapitel V DSGVO vor. Dieser erfordert eine Absicherung über das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln, ergänzt um ein Transfer Impact Assessment (TIA). In der Praxis werden solche Tests häufig über zwischengeschaltete Dienstleister mit Sitz in der EU organisiert, die bei der Koordination und auch bei der Pseudonymisierung der Daten unterstützen. Dies reduziert das Risiko, beseitigt es aber nicht vollständig, da die psychometrische Auswertung auf Systemen des US-Anbieters stattfinden kann.
• Datenschutz-Folgenabschätzung (DSFA): Die Kombination aus Profiling, erheblichen Auswirkungen auf die berufliche Entwicklung und Drittlandtransfers begründet regelmäßig die Pflicht zur Durchführung einer DSFA nach Art. 35 DSGVO. Vor Abschluss dieser DSFA und Umsetzung der sich daraus ergebenden Maßnahmen sollte von einem produktiven Einsatz abgesehen werden.
• Speicherdauer und Zweckbindung: Die angemessene Speicherdauer richtet sich nach der gewählten Ausgestaltung. Beim freiwilligen Einsatz als Entwicklungsinstrument orientiert sich die Speicherung am individuellen Entwicklungszweck. Da Persönlichkeitsprofile mit zunehmendem Zeitabstand an Aussagekraft verlieren, erscheint eine Speicherdauer von maximal ein bis zwei Jahren angemessen, natürlich unter Berücksichtigung der jederzeitigen Widerrufsmöglichkeit.

Beim verpflichtenden Einsatz im Auswahlverfahren ist eine Speicherung bis zum Abschluss des Prozesses zuzüglich einer Nachlaufzeit von etwa sechs Monaten (AGG-Fristen) üblich. Sollen die Ergebnisse anschließend für weitergehende Zwecke wie Nachfolgeplanung verwendet werden, handelt es sich um eine Zweckänderung, die einer separaten, freiwilligen Einwilligung bedarf und von der ursprünglichen Verarbeitung klar zu trennen ist.

Persönlichkeitstest im Spannungsfeld

Persönlichkeitstests in der Personalentwicklung bewegen sich in einem datenschutzrechtlichen Spannungsfeld zwischen dem berechtigten Interesse an fundierter Eignungsdiagnostik und dem Schutz hochsensibler Persönlichkeitsprofile.

Datenschutzbeauftragten sei empfohlen, proaktiv bei der Personalabteilung nachzufragen, ob derartige Verfahren bereits im Einsatz sind oder geplant werden. In der Praxis zeigt sich, dass solche Tools häufig von HR-Abteilungen eigenständig beschafft werden, ohne dass der Datenschutz frühzeitig eingebunden wird. Eine nachträgliche Korrektur ist nicht nur deutlich aufwendiger, sondern in vielen Fällen schlicht unmöglich, wenn Daten bereits an Drittanbieter übermittelt oder Ergebnisse in Personalentscheidungen eingeflossen sind.

Wer datenschutzrechtliche Risiken vollständig vermeiden möchte, wird gegebenenfalls davon absehen, Persönlichkeitstests überhaupt einzusetzen. Wer sie nutzen möchte, sollte bei der Ausgestaltung auf die tatsächliche Entscheidungsfreiheit der Beschäftigten achten, eine DSFA und gegebenenfalls ein TIA durchführen sowie die gewählte Rechtsgrundlage sauber dokumentieren. Insbesondere beim verpflichtenden Einsatz im Auswahlverfahren wird es kaum eine Möglichkeit geben, datenschutzrechtliche Restrisiken vollständig auszuschließen.