Ein praxisorientierter Leitfaden für Arbeitgeber in der EU: Welche Mitarbeiterdaten Sie erheben dürfen, auf welche Rechtsgrundlagen Sie sich stützen können, welche Rechte Arbeitnehmer gemäß Artikeln 15–20 haben – und welche Compliance-Fehler besonders häufig vorkommen.
Die meisten Arbeitgeber wissen, dass sie mit Mitarbeiterdaten sorgfältig umgehen müssen. Doch nur wenige haben sich wirklich damit auseinandergesetzt, was das konkret bedeutet: Welche Daten darf man erheben, welche erfordern eine ausdrückliche Einwilligung, wie lange darf man sie aufbewahren – und was passiert, wenn ein Mitarbeiter Auskunft über alle gespeicherten Daten verlangt?
Dieser Artikel ist ein Praxisleitfaden, kein juristisches Lehrbuch. Wenn Sie ein kleines oder mittleres Unternehmen in der EU führen, erfahren Sie hier, worauf es wirklich ankommt.
Der Grundsatz ist einfach: Erheben Sie nur, was Sie tatsächlich brauchen. Die DSGVO nennt das Datensparsamkeit – und dieser Grundsatz gilt für Mitarbeiterdaten genauso wie für Kundendaten.
Für die meisten Arbeitsverhältnisse benötigen Sie legitim folgende Daten:
Was Sie in der Regel nicht benötigen: Social-Media-Profile, Familienstand (außer er ist für Sozialleistungen relevant), politische Überzeugungen oder sonstige persönliche Angaben, die über die Anforderungen der Stelle hinausgehen.
Bestimmte Daten unterliegen nach der DSGVO strengeren Regeln. Gesundheitsdaten, Gewerkschaftszugehörigkeit, biometrische Daten sowie Angaben zu strafrechtlichen Verurteilungen zählen zu den „besonderen Kategorien" personenbezogener Daten und erfordern eine ausdrückliche Rechtsgrundlage für die Verarbeitung.
Für Arbeitgeber sind folgende Fälle am häufigsten relevant:
Die DSGVO sieht sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten vor. Für Mitarbeiterdaten sind in der Praxis drei davon relevant.
Die Verarbeitung ist zur Erfüllung des Arbeitsvertrags erforderlich. Das betrifft die Gehaltsabrechnung, Dienstplanung, Erstellung von Gehaltsabrechnungen und die Verwaltung von Urlaubsansprüchen. Eine Einwilligung ist hier nicht erforderlich – der Vertrag selbst ist die Rechtsgrundlage.
Die Verarbeitung ist gesetzlich vorgeschrieben. Dazu gehören Steuermeldungen, Sozialversicherungsbeiträge, Arbeitsschutzaufzeichnungen und – in bestimmten Branchen – gesetzlich vorgeschriebene Überwachungsmaßnahmen am Arbeitsplatz. Auch hier ist keine Einwilligung erforderlich.
Sie haben ein berechtigtes betriebliches Interesse, das die Datenschutzinteressen des Mitarbeiters überwiegt. Diese Rechtsgrundlage erfordert mehr Sorgfalt. Die DSGVO verlangt, dass Sie Ihre Interessen gegen die Rechte des Mitarbeiters abwägen und diese Interessenabwägung dokumentieren.
Ein häufiges Beispiel ist die E-Mail-Überwachung. Möglicherweise haben Sie ein berechtigtes Interesse daran, Datenlecks zu verhindern oder die Professionalität der Kommunikation sicherzustellen. Das bedeutet jedoch nicht, dass Sie beliebig E-Mails lesen dürfen. Die Überwachung muss verhältnismäßig und in ihrem Umfang begrenzt sein – und die Mitarbeiter müssen darüber informiert sein.
Die Einwilligung ist für die meisten Verarbeitungsvorgänge im Beschäftigungskontext die falsche Rechtsgrundlage. Das Machtgefälle zwischen Arbeitgeber und Arbeitnehmer macht es schwer, eine wirklich freiwillig erteilte Einwilligung nachzuweisen. Widerruft ein Mitarbeiter seine Einwilligung, verlieren Sie das Recht zur weiteren Verarbeitung.
Setzen Sie die Einwilligung nur dann ein, wenn keine andere Rechtsgrundlage greift und die Verarbeitung wirklich freiwillig ist – etwa wenn ein Mitarbeiter möchte, dass sein Foto auf der Unternehmenswebsite veröffentlicht wird.
Ihre Mitarbeiter haben echte, durchsetzbare Rechte in Bezug auf ihre personenbezogenen Daten. Sie benötigen einen klaren Prozess für den Umgang mit solchen Anfragen – denn nach der DSGVO haben Sie nur einen Monat Zeit für eine Antwort.
Mitarbeiter können eine Kopie aller über sie gespeicherten personenbezogenen Daten sowie Informationen darüber verlangen, wie diese Daten verwendet werden. Man spricht hier von einem Auskunftsersuchen. Sie müssen die betreffenden Daten, die Verarbeitungszwecke, die Empfänger der Daten und die Speicherfristen mitteilen.
Ein Monat ist wenig Zeit, wenn Ihre Daten über Tabellenkalkulationen, E-Mail-Verläufe und verschiedene Systeme verteilt sind. Das ist eines der stärksten Argumente dafür, Mitarbeiterdaten in einem einzigen, strukturierten System zu führen.
Sind Daten unrichtig oder unvollständig, können Mitarbeiter deren Korrektur verlangen. Adressänderungen, Namensänderungen nach einer Heirat oder die Korrektur von Fehlern in Leistungsbeurteilungen fallen darunter. In der Praxis ist das meist unkompliziert.
Das sogenannte „Recht auf Vergessenwerden". Mitarbeiter können unter bestimmten Umständen die Löschung ihrer Daten verlangen: wenn die Daten nicht mehr benötigt werden, wenn die Einwilligung widerrufen wurde oder wenn die Verarbeitung unrechtmäßig war.
Wichtiger Vorbehalt für Arbeitgeber: Daten, zu deren Aufbewahrung Sie gesetzlich verpflichtet sind, müssen Sie nicht löschen. Steuerrelevante Unterlagen müssen beispielsweise nach nationalem Steuerrecht über Jahre aufbewahrt werden. Für gesetzlich vorgeschriebene Beschäftigungsunterlagen gelten vergleichbare Anforderungen. Ein Löschbegehren kann abgelehnt werden, wenn eine gesetzliche Aufbewahrungspflicht besteht.
Mitarbeiter können verlangen, dass die Verarbeitung ihrer Daten vorübergehend eingeschränkt wird – etwa wenn ein Streit über die Richtigkeit von Leistungsdaten beigelegt werden muss. Die Daten bleiben in Ihren Systemen, dürfen aber bis zur Klärung nicht verarbeitet werden.
Wenn Sie auf Verlangen eines Mitarbeiters Daten korrigieren oder löschen, müssen Sie alle Empfänger informieren, denen Sie diese Daten übermittelt haben. In der Praxis bedeutet das: Führen Sie genaue Aufzeichnungen darüber, an wen Sie Daten weitergegeben haben und zu welchem Zweck.
Mitarbeiter können verlangen, ihre Daten in einem maschinenlesbaren Format zu erhalten, um sie anderweitig verwenden zu können. Das gilt vor allem für Daten, die sie selbst bereitgestellt haben (Kontaktdaten, Bankverbindung), sowie für Daten, die automatisiert verarbeitet werden.
„So lange wie nötig aufbewahren" ist keine Aufbewahrungsrichtlinie. Sie brauchen festgelegte Fristen für jede Datenkategorie – und Sie müssen Daten nach Ablauf dieser Fristen tatsächlich löschen.
Nachfolgend finden Sie eine Orientierung zu typischen EU-Anforderungen (bitte stets für Ihre spezifische Rechtsordnung prüfen):
| Datenkategorie | Typische Aufbewahrungsfrist |
|---|---|
| Lohn- und Gehaltsunterlagen | 6–10 Jahre (je nach nationalem Steuerrecht) |
| Arbeitsverträge | Dauer des Arbeitsverhältnisses + 3–5 Jahre |
| Unterlagen zur betrieblichen Altersversorgung | In einigen Ländern bis zu 75 Jahre |
| Disziplinarakten | 1–3 Jahre nach Abschluss des Verfahrens |
| Bewerberdaten (abgelehnte Bewerber) | 2–6 Monate, sofern keine längere Einwilligung vorliegt |
| Arbeitsunfallaufzeichnungen | 5–40 Jahre, abhängig von Schwere und Land |
Richten Sie einen Prozess zur regelmäßigen Überprüfung und fristgerechten Löschung von Daten ein. Daten „auf Vorrat" zu behalten ist ein Compliance-Risiko – keine Absicherung.
Die Einwilligung klingt nach einer sicheren Lösung, ist aber häufig die falsche Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten. Wie bereits erläutert, lässt sich eine wirklich freiwillig erteilte Einwilligung im Arbeitsverhältnis kaum nachweisen. Stützen Sie die Verarbeitung wo immer möglich auf Vertragserfüllung und rechtliche Verpflichtung.
Daten, die unbegrenzt gespeichert werden, sind ein Haftungsrisiko. Erstellen Sie einen Aufbewahrungsplan, lassen Sie ihn freigeben, und automatisieren Sie die Löschung wo möglich.
Jedes Mal, wenn Sie Mitarbeiterdaten an einen Lohnbuchhalter, einen Sozialleistungsanbieter oder einen Dienstleister für Hintergrundüberprüfungen weitergeben, handelt es sich um eine Übermittlung personenbezogener Daten. Diese Übermittlungen müssen durch einen Auftragsverarbeitungsvertrag (AVV) geregelt sein. Viele kleine Unternehmen überspringen diesen Schritt.
HR-Daten, die über E-Mails, Tabellenkalkulationen und lokale Laufwerke verteilt sind, machen Auskunftsersuchen zum Albtraum und erhöhen das Risiko von Datenpannen. Wer Mitarbeiterdaten in einem zentralen System bündelt, kann Compliance-Anforderungen deutlich einfacher erfüllen.
Wenn ein Mitarbeiter freitagsnachmittags ein Auskunftsersuchen stellt: Wer bearbeitet es? Welche Systeme werden durchsucht? Wie wird die Antwort zusammengestellt? Diesen Prozess im Voraus zu definieren ist weit weniger belastend als innerhalb eines Monats improvisiert reagieren zu müssen.
Einer der Gründe, warum wir PersoHR entwickelt haben, war es, diese Art von Compliance für kleine Teams handhabbar zu machen. Mitarbeiterdaten werden an einem Ort gespeichert, Auskunftsersuchen lassen sich schnell zusammenstellen, und Aufbewahrungsfristen werden automatisch verfolgt. Das beseitigt zwar nicht die rechtliche Komplexität, aber es schafft das operative Chaos aus der Welt, das Compliance in der Praxis so schwierig macht.
DSGVO-Compliance ist kein einmaliges Projekt. Sie ist ein dauerhafter Bestandteil der Art, wie Sie Ihr Unternehmen führen. Die gute Nachricht: Sind die richtigen Prozesse und Systeme erst einmal etabliert, wird Compliance zur Routine – und hört auf, eine Belastung zu sein.
Testen Sie PersoHR 30 Tage kostenlos. Keine Kreditkarte erforderlich.
Kostenlose Testversion starten