Ein praktischer Leitfaden zur rechtmäßigen Datenverarbeitung, zum Umgang mit sensiblen Mitarbeiterdaten, zu Datenanfragen, zur Aufbewahrungsfrist und zur Auswahl von HR-Dienstleistern.
Für Mitarbeiterdaten gelten klare Regeln: Was Sie erfassen, wer darauf zugreifen darf und wann die Daten gelöscht werden müssen. Beginnen Sie mit dem Zweck jeder Datensatzes, anstatt mit einer Liste von Informationen, die vielleicht eines Tages nützlich sein könnten.
Faktenprüfung am 21. September 2026. Nationale arbeitsrechtliche Vorschriften und die Umstände der Datenverarbeitung spielen ebenfalls eine Rolle.
Kontaktdaten, Gehaltsdaten, Arbeitszeiten und Leistungsaufzeichnungen dienen unterschiedlichen Zwecken. Halten Sie für jede Kategorie den Zweck, die Personen, die Zugriff benötigen, sowie die geltende Aufbewahrungsfrist fest. Ein Personalverwaltungssystem sollte Ihnen dabei helfen, diese Unterscheidungen klar zu halten.
Die DSGVO schreibt die Datenminimierung vor. Die Stellung als Arbeitgeber stellt keine pauschale Erlaubnis dar, private Informationen eines Mitarbeiters zu erheben. Daten zu strafrechtlichen Verurteilungen und Straftaten unterliegen Artikel 10 und werden getrennt von den besonderen Kategorien in Artikel 9 geregelt. DSGVO, Artikel 5, 9 und 10
Gesundheitsdaten, Informationen zur Gewerkschaftszugehörigkeit und biometrische Daten, die zur eindeutigen Identifizierung verwendet werden, erfordern besondere Sorgfalt. Bei der Verarbeitung besonderer Datenkategorien müssen sowohl eine Rechtsgrundlage gemäß Artikel 6 als auch eine anwendbare Voraussetzung gemäß Artikel 9 festgestellt werden. Die arbeitsrechtliche Notwendigkeit gemäß Artikel 9 Absatz 2 Buchstabe b hängt von einer Ermächtigung im EU-Recht oder im nationalen Recht oder von einem qualifizierten Tarifvertrag mit entsprechenden Schutzvorkehrungen ab. EDPB: Rechtmäßige Verarbeitung und sensible Daten
Vertragliche Notwendigkeit, gesetzliche Verpflichtung und berechtigte Interessen sind im Arbeitsrecht weit verbreitet, doch hängt die geeignete Rechtsgrundlage von der jeweiligen Tätigkeit ab. Eine Klausel in einem Vertrag macht nicht jede damit verbundene Datennutzung zwingend erforderlich. Berechtigte Interessen erfordern eine Prüfung der Notwendigkeit und eine Interessenabwägung; für die Überwachung können zusätzliche nationale Vorschriften gelten.
Eine Einwilligung ist oft ungeeignet, wenn das Arbeitsverhältnis eine freie Entscheidung verhindert. Wird sie dennoch herangezogen, müssen Ablehnung und Widerruf ohne Nachteile möglich sein. Dokumentieren Sie die Rechtsgrundlage, bevor die Verarbeitung beginnt. EDPB: Rechtsgrundlagen
Für Informationen, die direkt vom Mitarbeiter erhoben werden, schreibt Artikel 13 in der Regel vor, dass die Datenschutzhinweise zum Zeitpunkt der Datenerhebung bereitgestellt werden müssen. Daten, die aus anderen Quellen stammen, fallen unter Artikel 14, der eigene Fristen und Ausnahmen vorsieht. Behandeln Sie Verwendungszwecke, Rechtsgrundlagen, Empfänger, Aufbewahrungsfristen, gegebenenfalls Datenübermittlungen sowie die geltenden Rechte. Die Bestätigung des Erhalts einer Datenschutzerklärung gilt nicht als Einwilligung in alle darin beschriebenen Aktivitäten. DSGVO, Artikel 13 und 14
Sorgen Sie dafür, dass die Datenschutzerklärung nach der Einarbeitung leicht zu finden ist. Sollte der Mitarbeiter Fragen zu einer bestimmten Verwendung seiner Daten stellen, sollte jemand in der Lage sein, den tatsächlichen Vorgang hinter dem Wortlaut zu erläutern.
Mitarbeiter können Auskunft und Berichtigung verlangen und haben je nach den Umständen möglicherweise ein Recht auf Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch. Die Löschung erfolgt nicht bedingungslos: Rechtmäßige Aufbewahrungspflichten und Rechtsansprüche können die Aufbewahrung bestimmter Unterlagen rechtfertigen. Die Einschränkung der Verarbeitung stellt zudem kein absolutes Verbot jeglicher Nutzung der aufbewahrten Informationen dar.
Die Datenübertragbarkeit betrifft Daten, die von der betroffenen Person bereitgestellt und auf der Grundlage einer Einwilligung oder eines Vertrags automatisiert verarbeitet werden. Sie umfasst nicht alle Personalunterlagen. Anfragen müssen in der Regel innerhalb eines Monats beantwortet werden; eine zulässige Fristverlängerung muss innerhalb dieses ersten Monats begründet werden. Berichtigungen, Löschungen und Einschränkungen müssen unter Umständen den Empfängern mitgeteilt werden, vorbehaltlich der Ausnahmen gemäß Artikel 19. EDPB: Rechte betroffener Personen
Ein nützlicher interner Arbeitsablauf sieht wie folgt aus:
Es gibt keine einheitliche EU-Aufbewahrungsfristentabelle für alle Mitarbeiterdaten. Für Lohn- und Gehaltsunterlagen, Bewerberakten und arbeitsmedizinische Unterlagen können unterschiedliche Anforderungen gelten. Halten Sie für jeden Zeitraum den Grund fest, wann die Frist beginnt, ob eine Phase mit eingeschränkter Archivierung besteht und was nach Ablauf der Frist geschieht.
Die französische Datenschutzbehörde CNIL veröffentlicht Leitlinien zur Aufbewahrung von Personaldaten, doch sollten deren länderspezifische Fristen nicht als EU-weite Vorschriften dargestellt werden. Aufbewahrungspflichten und gesetzliche Aufbewahrungsfristen können sich ändern, wenn eine Löschung angemessen ist. CNIL: Aufbewahrungsfristen
Eine Software-Standardeinstellung dient der Überprüfung und ist kein Beweis dafür, dass der gewählte Zeitraum rechtmäßig ist. Beziehen Sie Datenexporte, verbundene Dienste und die Handhabung von Sicherungskopien in Ihren Prozess mit ein.
Ein Verzeichnis der Verarbeitungsvorgänge beschreibt Vorgänge wie die Lohnabrechnung oder die Personalbeschaffung. Es handelt sich nicht um einen separaten Eintrag für jeden neuen Mitarbeiter. Gehen Sie nicht davon aus, dass bei weniger als 250 Mitarbeitern die Verpflichtung entfällt: Die Ausnahmeregelung ist begrenzt, und die laufende Personalverwaltung ist kein gelegentlicher Vorgang. EDPB: Aufzeichnungen und Rechenschaftspflicht
Wenn ein Auftragnehmer Daten in Ihrem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag gemäß Artikel 28 erforderlich. Andere Empfänger können als eigenständige oder gemeinsam verantwortliche Verantwortliche auftreten und erfordern eine gesonderte Prüfung; nicht jede Weitergabe stellt ein Auftragsverarbeitungsverhältnis dar. DSGVO, Artikel 26 und 28
Bei Datenübermittlungen außerhalb des EWR sind die geltende Angemessenheitsentscheidung oder die Schutzmaßnahmen sowie der Dienstleistungsvertrag zu prüfen. Die Gründung einer Gesellschaft in der EU und der Standort des Servers allein bestimmen nicht den gesamten Datenfluss. EDPB: internationale Datenübermittlungen
PersoHR bietet Datenexporte, Löschworkflows und Prüfprotokolle zur Unterstützung dieser Prozesse. Ihr Unternehmen muss dennoch entscheiden, welche Vorschriften gelten, den Dienst entsprechend konfigurieren und Anfragen prüfen, bevor Sie darauf reagieren.
Testen Sie PersoHR 30 Tage kostenlos. Keine Kreditkarte erforderlich.
30 Tage kostenlos testen