Guide • Compliance • 16 Min. Lesezeit
DSGVO für HR: Mitarbeiterdaten korrekt verarbeiten
Wie Sie personenbezogene Daten von Mitarbeitenden rechtmäßig gemäß der DSGVO verarbeiten — Rechtsgrundlagen, Aufbewahrung, Rechte, Sicherheit und internationale Übermittlungen.
HR-Daten sind Hochrisikodaten
HR-Funktionen verarbeiten einige der sensibelsten personenbezogenen Daten in jeder Organisation: Kontaktdaten, Gehalt, Bankinformationen, Leistungsunterlagen, Gesundheitsinformationen und manchmal Strafregisterprüfungen. Nach der Datenschutz-Grundverordnung (DSGVO) und ihren nationalen Umsetzungen — dem Irish Data Protection Act 2018 und der UK GDPR / Data Protection Act 2018 — müssen diese Daten rechtmäßig, fair und transparent verarbeitet werden.
Dies richtig zu machen, ist sowohl eine rechtliche Pflicht als auch eine Vertrauensfrage. Beschäftigte sind Betroffene mit durchsetzbaren Rechten, und die Data Protection Commission in Irland (oder das ICO im Vereinigten Königreich) kann Beschwerden untersuchen und erhebliche Geldbußen verhängen. Behandeln Sie Mitarbeiterdaten mit derselben Sorgfalt wie Kundendaten.
Eine Rechtsgrundlage wählen
Jede Verarbeitungstätigkeit braucht eine rechtmäßige Grundlage. Ein häufiger Fehler ist es, sich für das Beschäftigungsverhältnis auf Einwilligung zu stützen. Aufgrund des Machtungleichgewichts zwischen Arbeitgeber und Arbeitnehmer wird Einwilligung selten freiwillig erteilt und ist daher für zentrale HR-Verarbeitungen in der Regel die falsche Grundlage. Geeignetere Grundlagen sind typischerweise die Erfüllung des Arbeitsvertrags, die Erfüllung einer rechtlichen Verpflichtung (zum Beispiel Steuer- und Meldepflichten gegenüber Behörden) und berechtigte Interessen.
Besondere Kategorien personenbezogener Daten — einschließlich Gesundheitsinformationen, die für Krankheitsurlaub oder arbeitsmedizinische Zwecke verwendet werden — benötigen unter Article 9 eine zusätzliche Bedingung, die sich oft auf Arbeits-, Sozialversicherungs- und Sozialschutzrecht bezieht. Ordnen Sie jede Art der HR-Verarbeitung ihrer Rechtsgrundlage und Bedingung zu und dokumentieren Sie die Begründung.
Transparenz und Rechte der betroffenen Personen
Beschäftigte müssen in klarer Sprache erfahren, welche Daten Sie speichern, warum, wie lange Sie sie aufbewahren und mit wem Sie sie teilen. Dies geschieht in der Regel über einen Mitarbeiter-Datenschutzhinweis, der sich von Ihrer kundenseitigen Datenschutzerklärung unterscheidet. Stellen Sie ihn zum Zeitpunkt der Einstellung bereit und halten Sie ihn aktuell.
Betroffene können Rechte wie Auskunft (den Auskunftsantrag), Berichtigung, Löschung in manchen Fällen, Einschränkung und Widerspruch geltend machen. Halten Sie einen dokumentierten Prozess bereit, um innerhalb der gesetzlichen Frist zu reagieren (in der Regel ein Monat). HR ist ein häufiger Empfänger von Auskunftsanträgen; planen Sie daher, wie Sie Informationen finden und schwärzen, die über verschiedene Systeme verteilt sind.
Aufbewahrung, Datenminimierung und Sicherheit
Bewahren Sie Daten nicht länger auf als nötig. Erstellen Sie einen Aufbewahrungsplan, der sowohl die gesetzlichen Anforderungen (Gehaltsabrechnungs- und Steuerunterlagen, Arbeitszeitunterlagen, Gesundheits- und Sicherheitsdokumentation) als auch den tatsächlichen Geschäftsbedarf widerspiegelt, und löschen oder anonymisieren Sie die Daten nach Ablauf dieser Fristen. Erheben Sie nur, was Sie tatsächlich verwenden — Datenminimierung ist ein Grundsatz, kein Luxus.
Sicherheit ist eine rechtliche Anforderung, nicht nur gute Praxis. Setzen Sie rollenbasierten Zugriff ein, damit Führungskräfte nur das sehen, was sie benötigen, verschlüsseln Sie Daten bei der Übertragung und im rest, und führen Sie einen Prüfpfad darüber, wer worauf zugegriffen hat. Ein seriöses HRIS bietet Ihnen granulare Berechtigungen und Zugriffsprotokollierung von Haus aus, was weitaus sicherer ist, als Mitarbeiterdaten über Tabellenkalkulationen und gemeinsame Laufwerke zu verteilen.
Internationale Übermittlungen und Anbieter
Wenn Ihre HR-Software oder Ihr Gehaltsabrechnungsanbieter Daten außerhalb des Europäischen Wirtschaftsraums speichert, müssen Sie sicherstellen, dass ein angemessener Übermittlungsmechanismus vorhanden ist — ein Angemessenheitsbeschluss, Standardvertragsklauseln oder gleichwertige Schutzmaßnahmen. Seit dem Brexit werden Übermittlungen zwischen der EU und dem Vereinigten Königreich durch den Angemessenheitsstatus des Vereinigten Königreichs abgedeckt, dies sollte jedoch überwacht werden, da es einer Überprüfung unterliegt.
Immer wenn Sie einen Dritten mit der Verarbeitung von Mitarbeiterdaten beauftragen, benötigen Sie eine schriftliche Vereinbarung zur Auftragsverarbeitung, in der dessen Pflichten festgelegt sind, und Sie sollten die Sicherheitslage im Rahmen einer Due-Diligence-Prüfung bewerten. Führen Sie ein Verzeichnis Ihrer Auftragsverarbeiter und des Speicherorts der Daten, damit Sie Fragen beantworten und auf Vorfälle schnell reagieren können.
