Datenschutz bei Personaldaten : Rechtliche Anforderungen und Best Practices

Die Verwaltung von Mitarbeiterdaten ist für Unternehmen heute nicht nur eine organisatorische Aufgabe, sondern vor allem eine rechtliche Verpflichtung. Unternehmen müssen dabei sicherstellen, dass der Datenschutz der Personaldaten jederzeit den Anforderungen der DSGVO und des BDSG entspricht. Verstöße können zu erheblichen Bußgeldern und Reputationsschäden führen. Moderne Systeme zur strukturierten Verwaltung von HR-Daten helfen heutzutage dem Personalwesen, gesetzliche Vorschriften immer einzuhalten.

Dieser Artikel zeigt, welche gesetzlichen Anforderungen gelten und wie Unternehmen die Verwaltung von Mitarbeiterdaten rechtskonform umsetzen können.

Was sind Personaldaten und welcher rechtliche Rahmen gilt?

Personaldaten beziehungsweise Personalakten umfassen sämtliche Angaben, die sich auf Beschäftigte beziehen. Dazu zählen insbesondere:

• Stammdaten (Name, Adresse, Geburtsdatum)

• Vertragsdaten (Gehalt, Arbeitszeit, Position)

• Bankverbindungen

• Leistungs- und Beurteilungsdaten

• Gesundheitsdaten und Fehlzeiten

Gesetzliche Grundlagen 

Grundsätzlich basiert der Datenschutz von Personaldaten auf einer europäischen und nationalen Ebenen:

• Datenschutz-Grundverordnung (DSGVO) – EU-weit verbindlich

• Bundesdatenschutzgesetz (BDSG) – nationale Konkretisierung
  

Wie mit Personendaten von Beschäftigten oder Bewerbern und Bewerberinnen umgegangen werden soll, wird aber im Wesentlichen nur in zwei Paragraphen des BDSG erwähnt:

• § 26 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses

• § 88 BDSG – Datenverarbeitung im Beschäftigungskontext

Unterschied zwischen regulären und sensiblen Daten

Besonders wichtig ist die Unterscheidung zwischen:

1. allgemeinen personenbezogenen Daten (Art. 4 DSGVO): alle Angaben, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

2. besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Dazu gehören sensible Angaben wie:

• rassische und ethnische Herkunft

• politische Meinungen

• religiöse oder weltanschauliche Überzeugungen 

• Gewerkschaftszugehörigkeit

• genetische Daten

• biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person

• Gesundheitsdaten 

• Daten zum Sexualleben oder der sexuellen Orientierung

Die Verarbeitung dieser sensiblen Daten ist untersagt, sei denn die Person hat eindeutig eingewilligt oder es gilt eine der Ausnahmeregelungen, die unter dem Paraphen des Artikels 9 DSGVO aufgelistet ist. 

6 Grundprinzipien der Datenschutzverordnung für HR

Die DSGVO definiert zentrale Prinzipien, die im HR-Bereich unbedingt einzuhalten sind.

Welche rechtlichen Anforderungen gelten bei der Verarbeitung von Personaldaten?

Die Verarbeitung von Mitarbeiterdaten ist nur erlaubt, wenn mindestens eine der folgenden Bedingungen erfüllt ist:

1. Einwilligung der betroffenen Person

2. Erforderlichkeit zur Vertragserfüllung

3. Gesetzliche Verpflichtung

Für sensible Daten gelten strengere Anforderungen, insbesondere bei:

• Gesundheitsdaten

• biometrischen Daten

• religiösen oder politischen Informationen

Zusätzlich muss immer eine Verhältnismäßigkeitsprüfung erfolgen:

• Ist der Zweck legitim?

• Ist die Verarbeitung erforderlich?

• Gibt es mildere Mittel?

Tipp: Tiefere Orientierung zur DSGVO bietet auch das Bundesministerium des Innern (BMI).
 

Zugriff und Datenschutz : Wer darf Personaldaten einsehen?

Beim Datenschutz von Personaldaten gilt ein klares Prinzip: der Zugriff auf die Daten darf nur erfolgen, wenn er wirklich notwendig ist. In der Praxis bedeutet das, dass die Verwaltung von Mitarbeiterdaten streng organisiert sein muss.

Typische Zugriffsberechtigte sind:

• HR-Abteilung: Zugriff auf umfassende Personaldaten

• Vorgesetzte: nur auf leistungs- oder positionsrelevante Informationen

• Betriebsrat: im Rahmen gesetzlicher Mitbestimmungsrechte

Entscheidend ist das Need-to-know-Prinzip: Mitarbeitende dürfen nur auf die Daten zugreifen, die sie für ihre Aufgabe benötigen.

Zur Absicherung sollten Unternehmen:

• rollenbasierte Zugriffskonzepte umsetzen

• Zugriffe dokumentieren (Audit-Logs)

• Berechtigungen regelmäßig überprüfen

Welche Informations- und Auskunftspflichten haben Arbeitgeber?

Laut Datenschutz müssen Arbeitgeber und Arbeitgeberinnen transparent darlegen:

• Welche Daten verarbeitet werden

• Zu welchem Zweck

• Wie lange die Speicherung erfolgt

• Welche Rechte Mitarbeitende haben

Wichtige Paragraphen in der Datenschutzgrundverordnung sind:

• Auskunftsrecht (Art. 15 DSGVO)

• Informationsrecht (Art. 13 DSGVO)

• Recht auf Berichtigung (Art.16 DSGVO)

• Recht auf Löschung (Art. 17 DSGVO)

Zusammengefasst: Mitarbeitende haben stets das Recht auf Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“) und den Widerruf einer Einwilligung. 

Was ist beim Speichern, Aufbewahren und Löschen von Personaldaten zu beachten?

Aufbewahrungspflichten

Bei der Verwaltung von Mitarbeiterdaten gelten gesetzliche Aufbewahrungsfristen:

• Allgemeine Personalunterlagen: in der Regel 3 Jahre (§ 195 BGB)
  Beispiel: Arbeitsverträge, Zeugnisse, Vereinbarungen

• Arbeitsentgelt- und Lohnnachweise: 5 Jahre (§ 165 SGB VII)
  Beispiel: Arbeitsentgelte, Arbeitsstunden, Lohnnachweise

• Bewerberdaten: 3–6 Monate nach Absage  (§ 26 BDSG, § 15 Abs. 4 AGG)
  Wichtig: Längere Speicherung nur mit Einwilligung (z. B. Talentpool)

• Arbeitsunfähigkeitsbescheinigungen (AU): mit Entgeltfortzahlung: ca. 5 Jahre, ohne Entgelt: ca. 1 Jahr (empfohlen) (§ 6 Abs. 1 AAG)

• Betriebliche Altersvorsorge: 30 Jahre (§ 18a BetrAVG)

• Steuer- und lohnsteuerrelevante Unterlagen: 6 Jahre (Standard) und 10 Jahre bei Buchungsbezug (§ 41 EStG, § 147 AO, § 257 HGB)
  Beispiel: Lohnabrechnungen, Lohnsteuerunterlagen

• Sozialversicherungsunterlagen: 10 Jahre (§ 165 SGB VII)

• Lohnkonten: 6 Jahre (§ 41 Abs. 1 EStG)

Löschpflichten 

Es gibt einen Grundsatz der Löschung und dieser besagt, dass Daten gelöscht werden sollen, sobald sie nicht mehr notwendig sind. Geregelt ist dies im Artikel 17 DSGVO („Recht auf Vergessenwerden“). 

Nach Ablauf der Aufbewahrungsfrist müssen die Daten also gelöscht werden. Besondere Aufmerksamkeit gilt dabei außerdem:

• E-Mail-Archiven

• Cloud-Backups

• historischen HR-Systemen

Wie kann man datenschutzkonforme HR-Prozesse sicherstellen?

Unternehmen müssen gesetzliche Anforderungen erfüllen und auch interne Abläufe so gestalten, dass die Verwaltung von Mitarbeiterdaten sicher, transparent und nachvollziehbar bleibt. Wie das am besten geht erklären wir dir in diesen Schritten:

1. Klare Prozesse und Verantwortlichkeiten definieren

Ein erster Schritt ist die strukturierte Organisation aller HR-Prozesse. Dazu gehört:

• Festlegung von Verantwortlichen (z. B. HR, Datenschutzbeauftragte)

• Dokumentation von Datenflüssen

• Definition klarer Zuständigkeiten für Zugriff und Verarbeitung

Ein sogenanntes Verzeichnis von Verarbeitungstätigkeiten ist nach Art. 30 DSGVO verpflichtend und bildet die Grundlage für Transparenz und Kontrolle.

2. Datensparsamkeit und Zweckbindung umsetzen

Im Sinne des Personaldaten Datenschutzes sollten Unternehmen nur die Daten erheben, die tatsächlich benötigt werden.

Wichtige Prinzipien:

• Keine unnötigen Daten erfassen

• Daten nur für den definierten Zweck nutzen

• Regelmäßige Überprüfung bestehender Datensätze

Diese Grundsätze ergeben sich direkt aus der DSGVO und sind essenziell für eine rechtssichere Verwaltung von Mitarbeiterdaten.

3. Technische und organisatorische Maßnahmen (TOMs) implementieren

Datenschutz erfordert konkrete Sicherheitsmaßnahmen nach Art. 32 DSGVO (Sicherheit der Verarbeitung) darunter:

• Zugriffsbeschränkungen (rollenbasiert)

• Verschlüsselung sensibler Daten

• sichere Passwortrichtlinien

• regelmäßige Backups

• Protokollierung von Zugriffen

4. Mitarbeiterschulungen und Sensibilisierung

Datenschutz funktioniert nur, wenn alle Beteiligten informiert sind. Unternehmen sollten:

• regelmäßige Schulungen durchführen

• Richtlinien verständlich kommunizieren

• Vertraulichkeitserklärungen einholen

Das reduziert Risiken wie Datenlecks oder unbefugte Zugriffe erheblich.

5. Lösch- und Aufbewahrungsfristen systematisch einhalten

Ein zentraler Bestandteil datenschutzkonformer HR-Prozesse ist das gezielte Löschen von Daten.

Maßnahmen für die Praxis:

• automatisierte Löschregeln definieren

• Fristen regelmäßig prüfen

• Daten nach Zweckwegfall entfernen

6. Digitale HR-Systeme gezielt einsetzen

Moderne HR-Software unterstützt das Einhalten des Datenschutzes bei Personaldaten und Personalakten durch:

• automatisierte Workflows

• integrierte Zugriffskontrollen

• Audit-Logs zur Nachverfolgung

• sichere Datenarchivierung

Die Verwaltung von Mitarbeiterdaten mit modernen HR-Tools bieten deutlich mehr Sicherheit und Effizienz.

7. Regelmäßige Audits und Kontrollen durchführen

Um langfristig compliant zu bleiben, sollten Unternehmen ihre Prozesse regelmäßig überprüfen:

• interne Datenschutz-Audits

• Überprüfung von Zugriffsrechten

• Aktualisierung von Richtlinien

Auch bei der Analyse von HR-Kennzahlen ist Datenschutz zwingend einzuhalten.

Digitale Systeme versus manuelle Verwaltung: Was ist besser?

Können alle Personaldaten digitalisiert werden?

Unterlagen müssen grundsätzlich im Original archiviert werden – also Papierunterlagen als Papier und elektronische Unterlagen in elektronischer Form. Allerdings kannst du Papierunterlagen auch durch ein ersetzendes Scannen digitalisieren, sofern keine gesetzliche Dokumentations-, Aktenführungs- oder Aufbewahrungspflicht besteht. In diesem Fall kannst du die Papierunterlagen scannen und die Originale anschließend vernichten.

Lediglich folgende Dokumente brauchen auch eine Schriftform und sollten auch im Original aufbewahrt werden.

• Arbeitsverträge (§ 2 NachwG)

• Befristete Arbeitsverträge (§ 14 IV TzBfG)

• Arbeitsverträge mit nachvertraglichen Wettbewerbsverboten (§ 74 I HGB)

• Aufhebungsverträge und Kündigungsschreiben (§ 623 BGB)

• Dokumente zur Arbeitnehmerüberlassung zwischen Verleiher und Entleiher (§ 12 I 1 AÜG)

Was bringt eine digitale Verwaltung von Mitarbeiterdaten? 

Papierbasierte Verwaltung:

• anfällig für Verlust

• schwer kontrollierbar

• geringe Transparenz

Digitale Systeme:

• automatisierte Prozesse

• Zugriffskontrollen

• Audit-Logs

• Löschkonzepte

Eine moderne HR-Software hilft dir stets, eine rechtskonforme Verwaltung von Mitarbeiterdaten sicherzustellen und umzusetzen.

Welche Personaldaten dürfen veröffentlicht werden?

Ohne Einwilligung dürfen nur Daten weitergegeben werden, die zur Erfüllung des Arbeitsvertrags oder für geschäftliche Zwecke absolut notwendig sind.

1. Veröffentlichung OHNE ausdrückliche Einwilligung 

Diese Daten dürfen im Intranet, auf der Website oder in Firmenbroschüren stehen, da sie zur Ausübung der beruflichen Funktion notwendig sind: 

• Name (Vor- und Nachname)

• Dienstliche Position/Funktion

• Dienstliche Kontaktdaten (E-Mail-Adresse, Telefonnummer)

• Tätigkeitsbereich

2. Veröffentlichung NUR MIT Einwilligung

Es ist eine freiwillige, informierte Einwilligung des Mitarbeitenden nötig: 

• Fotos und Videos von Mitarbeitern

• Lebenslauf oder detaillierte persönliche Vorstellung

• Geburtstagslisten (besonders, wenn das Geburtsjahr oder das Alter veröffentlicht wird)

• Private Kontaktdaten