Wo werden Ihre Personaldaten verarbeitet? Fragen, die Sie Ihrem Anbieter stellen sollten

Die Auswahl einer HR-Plattform setzt voraus, dass Sie wissen, wo Mitarbeiterdaten gespeichert werden, wer darauf zugreifen kann und welche Sicherheitsvorkehrungen gelten. Eine klare Antwort sollte die Datenbank, Dokumente, Sicherungskopien, den Supportzugang und verbundene Dienste umfassen.

Faktenprüfung am 21. September 2026.

EU-Hosting und die Einhaltung der DSGVO sind zwei unterschiedliche Themen

Ein Hosting innerhalb der EU kann eine sinnvolle Beschaffungsanforderung sein. Dies allein gewährleistet jedoch noch keine Einhaltung der Vorschriften, und die DSGVO schreibt kein generelles Verbot der Speicherung oder Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums vor. Internationale Datenübermittlungen erfordern neben den sonstigen für die Verarbeitung geltenden Anforderungen eine gültige Rechtsgrundlage gemäß Kapitel V. EDPB: Internationale Datenübermittlungen

Bitten Sie den Anbieter, zwischen seinem eingetragenen Firmensitz und seinen Verarbeitungsstandorten zu unterscheiden. Ein EU-Unternehmen kann Infrastruktur oder Support-Teams an anderen Standorten nutzen. Eine Serveradresse allein sagt zudem wenig darüber aus, wer die Verschlüsselungsschlüssel besitzt oder per Fernzugriff auf die Datensätze zugreifen kann.

Was hat sich nach „Schrems II“ geändert?

Das „Schrems II“-Urteil aus dem Jahr 2020 hat das „Privacy Shield“ für ungültig erklärt, jedoch die Standardvertragsklauseln (SCCs) als Instrument für die Datenübermittlung bestätigt – vorbehaltlich der erforderlichen Prüfung und Schutzmaßnahmen. Die Standardvertragsklauseln stellen keine pauschale Genehmigung für jede Datenübermittlung dar: Die Parteien müssen prüfen, ob sie unter den gegebenen Umständen geeignet sind, und bei Bedarf ergänzende Maßnahmen ergreifen. EDPB: ergänzende Maßnahmen

Die Kommission hat im Jahr 2023 den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen verabschiedet. Dieser gilt für Datenübermittlungen an teilnehmende US-Organisationen im Rahmen ihrer Zertifizierung. Überprüfen Sie, ob der Empfänger aktuell in der Liste aufgeführt ist und ob diese die relevanten Daten abdeckt, gegebenenfalls einschließlich Personaldaten. Europäische Kommission: Datenübermittlungen zwischen der EU und den USA

Im September 2025 wies das Gericht die Klage in der Rechtssache Latombe gegen Kommission ab und bewertete die Entscheidung zum Zeitpunkt ihres Erlasses. Dieses Urteil sollte nicht als Garantie für künftige Rechtsstreitigkeiten oder die Politik der Regierung angesehen werden. Prüfen Sie bei einer Beschaffungsentscheidung den aktuellen Stand der Angemessenheitsbewertung. Gericht: Urteil in der Rechtssache Latombe

Was bedeutet der CLOUD Act für einen Käufer?

Der CLOUD Act hat klargestellt, dass Anbieter, die den einschlägigen US-amerikanischen Rechtsverfahren unterliegen, möglicherweise Daten offenlegen müssen, die sich in ihrem Besitz, ihrer Obhut oder unter ihrer Kontrolle befinden, selbst wenn diese im Ausland gespeichert sind. Dies bedeutet keinen uneingeschränkten Zugriff auf jede Datenbank im Ausland, und die bloße Gründung eines Unternehmens beantwortet nicht alle Fragen hinsichtlich der Rechtshoheit oder der Kontrolle. US-Justizministerium: Erläuterung zum CLOUD Act

Nützliche Folgefragen lauten: Welche Stelle hat Zugriff auf die Daten, wer verwaltet die Zugangsdaten, wie werden behördliche Anfragen geprüft und welche Kündigungsfrist kann der Anbieter einhalten? Diese Antworten sind aussagekräftiger als das Versprechen, dass ein Unternehmen oder ein Serverstandort jegliches rechtliche Risiko ausschließt.

Bitten Sie um eine vollständige Verarbeitungsübersicht

Fordern Sie vor der Auswahl einer Plattform Folgendes an:

• Der Standort der Hauptdatenbank, der Dokumente und der Sicherungskopien.
• Die juristischen Personen, die Hosting, E-Mail, KI, Support und Abrechnung bereitstellen.
• Jede Fernzugriffsmöglichkeit oder Weiterverarbeitung außerhalb des EWR.
• Der für jeden relevanten Empfänger verwendete Übermittlungsmechanismus.
• Die Vertragsbedingungen für den Wechsel des Unterauftragsverarbeiters, den Export und die Löschung.
• Nachweise zur Untermauerung von Angaben zu Verschlüsselung, Zugriffskontrollen und Datenwiederherstellung.

Trennen Sie Anwendungsdaten von Abrechnungsdaten, gehen Sie jedoch nicht davon aus, dass Abrechnungsinformationen anonym sind. Die Kontaktdaten eines namentlich genannten Kontoinhabers können dennoch personenbezogene Daten darstellen. Optionale Integrationen sollten sowohl hinsichtlich der von ihnen gesendeten als auch der von ihnen empfangenen Informationen geprüft werden.

So nutzen Sie die Antworten

Bewahren Sie die Datenschutzvereinbarung (DPA) sowie die Informationen zur Datenverarbeitung des Anbieters zusammen mit Ihrer Bewertung auf. Halten Sie alle für Ihr Unternehmen relevanten Anforderungen fest, wie beispielsweise eine bestimmte Hosting-Region oder Einschränkungen beim Zugang zum Support. Bitten Sie schriftlich um Klärung offener Punkte, bevor Sie sich auf die allgemeine Angabe „in der EU gehostet“ verlassen.

Bei PersoHR beginnen Sie bitte mit unseren Sicherheitsmaßnahmen, unserer Datenverarbeitungsvereinbarung und unserer Liste der Unterauftragsverarbeiter. Diese Dokumente beschreiben verschiedene Teile des Dienstes und sollten im Zusammenhang gelesen werden. Eine vollständige Darstellung des Datenflusses ist aussagekräftiger als die Behauptung, dass allein der geografische Standort ein Produkt konform macht.