Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Wie Sie personenbezogene Mitarbeiterdaten rechtmäßig unter der GDPR verarbeiten — lawful bases, retention, rights, security und international transfers.
HR-Daten sind Hochrisikodaten
HR-Funktionen verarbeiten einige der sensibelsten personenbezogenen Daten in jeder Organisation: Kontaktdaten, Gehalt, Bankinformationen, Leistungsunterlagen, Gesundheitsinformationen und manchmal Strafregisterprüfungen. Nach der General Data Protection Regulation (GDPR) und ihren nationalen Umsetzungen — dem irischen Data Protection Act 2018 und der UK GDPR / dem Data Protection Act 2018 — müssen diese Daten rechtmäßig, fair und transparent verarbeitet werden.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Eine Rechtsgrundlage wählen
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Daten besonderer Kategorien — einschließlich Gesundheitsinformationen, die für Krankheitsurlaub oder arbeitsmedizinische Zwecke verwendet werden — benötigen unter Article 9 eine zusätzliche Voraussetzung, häufig im Zusammenhang mit Arbeits-, Sozialversicherungs- und Sozialschutzrecht. Ordnen Sie jede Art der HR-Verarbeitung ihrer Rechtsgrundlage und Voraussetzung zu und dokumentieren Sie die Begründung.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Aufbewahrung, Datenminimierung und Sicherheit
Bewahren Sie Daten nicht länger als nötig auf. Erstellen Sie einen Aufbewahrungsplan, der sowohl gesetzliche Anforderungen (Gehaltsabrechnungs- und Steuerunterlagen, Arbeitszeitaufzeichnungen, Gesundheits- und Sicherheitsdokumentation) als auch einen echten geschäftlichen Bedarf widerspiegelt, und löschen oder anonymisieren Sie Daten über diese Fristen hinaus. Erheben Sie nur, was Sie tatsächlich verwenden — Datenminimierung ist ein Grundsatz, keine Nebensache.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Internationale Übermittlungen und Dienstleister
Wenn Ihre HR-Software oder Ihr Gehaltsabrechnungsanbieter Daten außerhalb des Europäischen Wirtschaftsraums speichert, müssen Sie einen angemessenen Übermittlungsmechanismus sicherstellen — einen Angemessenheitsbeschluss, Standardvertragsklauseln oder gleichwertige Schutzmaßnahmen. Seit dem Brexit sind Übermittlungen zwischen der EU und dem Vereinigten Königreich durch den Angemessenheitsstatus des Vereinigten Königreichs abgedeckt, dies sollte jedoch beobachtet werden, da er überprüfungspflichtig ist.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
