HR-Einblicke • 10 MIN LESEN
GDPR für HR-Abteilungen verstehen
APR 2, 2026
HR-Abteilungen verarbeiten jeden Tag sensible personenbezogene Daten. Hier ist ein Leitfaden in verständlicher Sprache zu den GDPR-Pflichten und dazu, wie Sie konform bleiben.
GDPR-Grundlagen für HR
Die britische Datenschutz-Grundverordnung (UK GDPR) und ihr EU-Pendant regeln, wie personenbezogene Daten erhoben, gespeichert, verwendet und gelöscht werden. Für HR-Abteilungen gehören personenbezogene Daten zu allem von einer Stellenbewerbung über eine Gehaltsabrechnung bis hin zu einem Krankheitsvermerk. Die sechs Datenschutzgrundsätze sind Rechtmäßigkeit, Fairness und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; sowie Integrität und Vertraulichkeit. HR muss nachweisen können, dass alle sechs eingehalten werden.
Rechtsgrundlagen für die Verarbeitung von Mitarbeitendendaten
Jede HR-Datenverarbeitung muss eine Rechtsgrundlage haben. Die häufigsten für Mitarbeitende sind: Erfüllung eines Vertrags (Verarbeitung von Daten zur Gehaltsabrechnung, um eine Mitarbeiterin oder einen Mitarbeiter zu bezahlen), rechtliche Verpflichtung (Führung von Unterlagen zum Recht auf Arbeit) und berechtigte Interessen (Überwachung der E-Mail-Nutzung auf Unternehmensgeräten zu Sicherheitszwecken). Besondere Kategorien personenbezogener Daten, darunter Gesundheitsinformationen, rassische oder ethnische Herkunft und biometrische Daten, erfordern eine zusätzliche Voraussetzung: meist ausdrücklich Einwilligung oder Erforderlichkeit für arbeitsrechtliche Zwecke.
Mitarbeiterrechte, die Sie beachten müssen
Mitarbeitende haben das Recht, auf ihre personenbezogenen Daten zuzugreifen (Auskunftsersuchen müssen innerhalb eines Monats beantwortet werden), das Recht, unrichtige Daten berichtigen zu lassen, in bestimmten Fällen das Recht auf Löschung und das Recht, die Verarbeitung einzuschränken. Richten Sie einen klaren Prozess für den Umgang mit diesen Anfragen ein, schulen Sie Ihr HR-Team darin, sie zu erkennen, und stellen Sie sicher, dass Sie die relevanten Daten schnell aus Ihrem HRIS abrufen können. Verspätete oder unvollständige Antworten können zu aufsichtsrechtlichen Maßnahmen führen.
Hochrisikobereiche für HR
Bestimmte HR-Aktivitäten bergen ein höheres Datenschutzrisiko: automatisierte Entscheidungsfindung bei der Rekrutierung (Nutzung von KI zur Sichtung von Lebensläufen), die Übermittlung von Mitarbeitendendaten an externe Gehaltsabrechnungsanbieter, die Erhebung biometrischer Daten für Zeit- und Anwesenheitssysteme sowie der Einsatz von Mitarbeitendenüberwachungstools. Führen Sie vor der Implementierung neuer Technologien, die besondere Kategorien personenbezogener Daten verarbeiten oder automatisierte Entscheidungen betreffen, die Einzelpersonen betreffen, eine Datenschutz-Folgenabschätzung (DPIA) durch.
