Die Datenschutz-Grundverordnung (DSGVO) gilt seit 2018 unmittelbar in allen EU-Mitgliedstaaten und ist das Fundament des modernen Datenschutzrechts. Sie regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Pflichten Verantwortliche treffen. Für den Personalbereich ist entscheidend, dass jede Verarbeitung von Beschäftigtendaten eine Rechtsgrundlage braucht, an den Grundsätzen der Verordnung ausgerichtet sein muss und dokumentiert gehört. Ohne eine tragfähige Erlaubnis ist die Verarbeitung von Personaldaten schlicht unzulässig – und das gilt für den handgeschriebenen Notizzettel ebenso wie für das cloudbasierte HR-System.
Die DSGVO öffnet in Artikel 88 ausdrücklich einen Spielraum für nationale Regelungen zum Beschäftigtendatenschutz. Diesen Spielraum nutzt Deutschland mit dem Bundesdatenschutzgesetz (BDSG). In Österreich ergänzt das Datenschutzgesetz (DSG) die europäischen Vorgaben, in der Schweiz gilt mit dem revidierten Datenschutzgesetz (revDSG) ein eigenständiges, aber an der DSGVO orientiertes Regime. Wer im DACH-Raum grenzüberschreitend beschäftigt, sollte deshalb die jeweils einschlägige nationale Ebene mitbedenken; dieser Artikel legt den Schwerpunkt auf die deutsche Rechtslage und die allgemeinen, europaweit geltenden Prinzipien.
Die zentrale Norm für den Beschäftigtendatenschutz in Deutschland ist § 26 BDSG. Sie erlaubt die Verarbeitung von Beschäftigtendaten, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Das umfasst den gesamten Bogen von der Bewerbung über die laufende Beschäftigung bis zum Austritt. Der Begriff der Erforderlichkeit ist dabei der Dreh- und Angelpunkt: Verarbeitet werden dürfen nur die Daten, die für den jeweiligen Zweck tatsächlich benötigt werden – nicht mehr. Wer Daten „auf Vorrat“ oder „für alle Fälle“ erhebt, bewegt sich außerhalb dieser Erlaubnis.
Ein wichtiger Hinweis zur Rechtsentwicklung: Der Europäische Gerichtshof hat entschieden, dass eine frühere Fassung des § 26 BDSG als eigenständige Rechtsgrundlage über die Vorgaben der DSGVO hinaus nicht tragfähig war, weil sie keine über die Verordnung hinausgehenden spezifischen Schutzregeln enthielt. In der Praxis bedeutet das, dass sich die Zulässigkeit der Verarbeitung von Beschäftigtendaten unmittelbar an den Erlaubnistatbeständen der DSGVO messen lassen muss und der Gesetzgeber an einer Neufassung des Beschäftigtendatenschutzes arbeitet. Für Unternehmen ändert das wenig am praktischen Ergebnis – der Grundsatz der Erforderlichkeit und das Erfordernis einer sauberen Rechtsgrundlage bleiben maßgeblich –, unterstreicht aber, dass die Rechtslage in Bewegung ist und laufend beobachtet werden sollte.
Über die konkrete Rechtsgrundlage hinaus verlangt die DSGVO, dass jede Verarbeitung an einigen Grundprinzipien ausgerichtet wird. Für den Personalbereich sind besonders bedeutsam:
Ein verbreitetes Missverständnis lautet, für alles im Personalbereich brauche man die Einwilligung der Beschäftigten. Das Gegenteil ist häufig richtig: Für die meisten alltäglichen Verarbeitungen – vom Arbeitsvertrag über die Gehaltsabrechnung bis zur Zeugniserstellung – ist gerade nicht die Einwilligung, sondern die Erforderlichkeit für das Beschäftigungsverhältnis die passende und tragfähigere Grundlage. Die folgende Übersicht ordnet die vier zentralen Rechtsgrundlagen ein.
Die Einwilligung wirkt auf den ersten Blick als bequeme Allzwecklösung – tatsächlich ist sie im Beschäftigungskontext die anspruchsvollste Grundlage. Damit eine Einwilligung wirksam ist, muss sie freiwillig erteilt werden. Im Arbeitsverhältnis besteht jedoch ein strukturelles Ungleichgewicht: Die beschäftigte Person ist wirtschaftlich abhängig, und es liegt nahe, dass sie eine Zustimmung eher aus Sorge um Nachteile als aus echter Freiwilligkeit erteilt. § 26 Abs. 2 BDSG verlangt deshalb, dass die Freiwilligkeit besonders sorgfältig geprüft und die Einwilligung grundsätzlich schriftlich oder in nachweisbarer Form eingeholt wird. Hinzu kommt: Eine Einwilligung ist jederzeit widerrufbar. Baut ein Prozess allein auf ihr auf, kann der Widerruf die Verarbeitung von einem Tag auf den anderen unzulässig machen. Für dauerhaft benötigte Kernverarbeitungen ist die Einwilligung daher meist die schlechtere Wahl; sie eignet sich vor allem dort, wo eine Verarbeitung echt freiwillig ist – etwa das Foto im Intranet, die Teilnahme an einer freiwilligen Mitarbeiterbefragung oder die private Nutzung bestimmter Angebote.
Das berechtigte Interesse ist eine flexible, aber begründungsbedürftige Grundlage. Sie erlaubt eine Verarbeitung, wenn das Unternehmen ein berechtigtes Interesse verfolgt und die schutzwürdigen Interessen der Beschäftigten nicht überwiegen. Typische Anwendungsfelder sind die Gewährleistung der IT-Sicherheit, der Schutz von Betriebsvermögen oder bestimmte organisatorische Auswertungen. Entscheidend ist, dass die Abwägung nicht bloß behauptet, sondern nachvollziehbar dokumentiert wird: Welches Interesse verfolgt das Unternehmen, ist die Verarbeitung dafür erforderlich, und wie werden die Interessen der Beschäftigten gewahrt? Gerade eingriffsintensive Maßnahmen wie die Überwachung von Kommunikation oder eine umfassende Leistungskontrolle lassen sich auf das berechtigte Interesse in der Regel nicht stützen – hier setzen der Beschäftigtendatenschutz und die Mitbestimmung enge Grenzen.
Ein hilfreiches Bild ist der Datenlebenszyklus als Kreislauf: Daten entstehen, werden genutzt, verändert und müssen am Ende wieder gelöscht werden. Jede Phase hat ihre eigenen Anforderungen. Wer diesen Zyklus einmal sauber durchdacht und dokumentiert hat, kann für jeden Datensatz die Fragen beantworten, die im Datenschutz zählen: Warum haben wir diese Daten, wie lange dürfen wir sie behalten, und wann müssen sie weg?
Schon die Bewerbung ist Datenverarbeitung. Bewerbungsunterlagen enthalten häufig weit mehr Informationen als für die reine Auswahl nötig – Fotos, Angaben zu Familienstand oder Herkunft, die für die Eignung ohne Bedeutung sind. Der Grundsatz der Datenminimierung gilt hier besonders: Erhoben und bewertet werden sollte, was für die Stelle relevant ist. Nach Abschluss des Auswahlverfahrens entfällt für abgelehnte Bewerbungen der Zweck. Als praktischer Anhaltspunkt hat sich eine überschaubare Aufbewahrungsdauer nach der Absage etabliert, die vor allem der Absicherung gegen etwaige Ansprüche wegen Benachteiligung dient; danach sind die Unterlagen zu löschen. Wer Bewerbungsdaten für eine spätere Kontaktaufnahme in einem Talentpool behalten möchte, braucht dafür eine eigene, in der Regel auf Einwilligung gestützte Grundlage. Die konkreten Fristen sind rechtlich zu bewerten und im Löschkonzept festzuhalten.
Der wohl anspruchsvollste Teil des Lebenszyklus ist das Zusammenspiel aus Löschpflicht und Aufbewahrungspflicht. Auf der einen Seite verlangt die DSGVO, Daten nach Wegfall des Zwecks zu löschen. Auf der anderen Seite verpflichten steuer-, handels- und sozialversicherungsrechtliche Vorschriften dazu, bestimmte Unterlagen über mehrere Jahre aufzubewahren – Lohn- und Gehaltsunterlagen, steuerrelevante Dokumente und weitere Belege unterliegen gesetzlichen Fristen. Diese beiden Anforderungen widersprechen sich nicht, sie greifen ineinander: Solange eine Aufbewahrungspflicht besteht, dürfen und müssen die betroffenen Daten behalten werden; entfällt sie und ist auch sonst kein Zweck mehr gegeben, sind die Daten zu löschen. Wichtig ist, nicht die gesamte Personalakte pauschal für die längste denkbare Frist aufzubewahren, sondern nach Datenart zu differenzieren. Ein Löschkonzept, das jeder Kategorie ihre Frist zuordnet, ist der praktische Schlüssel – die konkreten Fristen sollten rechtlich geprüft werden.
Zu den besonderen Kategorien zählen Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gewerkschaftszugehörigkeit, genetische und biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Für den Personalbereich am wichtigsten sind Gesundheitsdaten und Angaben mit Bezug zu Religion oder Gewerkschaft. Ihre Verarbeitung ist nur zulässig, wenn ein besonderer Erlaubnistatbestand greift – im Beschäftigungskontext etwa, soweit dies zur Ausübung von Rechten und Pflichten aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit erforderlich ist und angemessene Schutzmaßnahmen bestehen.
Gesundheitsdaten sind im Personalbereich die praktisch bedeutsamste sensible Kategorie. Sie entstehen bei Krankmeldungen, im betrieblichen Eingliederungsmanagement, bei arbeitsmedizinischen Untersuchungen und im Zusammenhang mit Schwerbehinderung. Der zentrale Grundsatz lautet: Der Arbeitgeber darf regelmäßig die Tatsache und die Dauer einer Arbeitsunfähigkeit erfahren, nicht aber die Diagnose. Die konkrete Erkrankung geht das Unternehmen im Normalfall nichts an. Wo Gesundheitsdaten dennoch erforderlich verarbeitet werden – etwa im betrieblichen Eingliederungsmanagement –, sind sie besonders zu schützen: getrennte Aufbewahrung, streng begrenzter Zugriff und eine klare Zweckbindung. Gesundheitsdaten gehören nicht in die allgemein zugängliche Personalakte und schon gar nicht in offene Verteiler oder Kalender.
Ein besonderes Spannungsfeld ist der Umgang mit Daten, die die kollektive Interessenvertretung betreffen. Die Zugehörigkeit zu einer Gewerkschaft ist eine besondere Kategorie und darf nicht ohne Weiteres erfasst oder ausgewertet werden. Zugleich hat der Betriebsrat selbst eine datenschutzrechtliche Stellung: Er verarbeitet im Rahmen seiner Aufgaben Beschäftigtendaten und ist dabei an den Datenschutz gebunden, wobei der Arbeitgeber als Verantwortlicher die nötigen Rahmenbedingungen schafft. Für HR bedeutet das zweierlei: Erstens dürfen Merkmale wie Gewerkschaftszugehörigkeit nicht zur Grundlage von Entscheidungen gemacht oder unzulässig gespeichert werden. Zweitens ist die Zusammenarbeit mit dem Betriebsrat datenschutzkonform zu gestalten – etwa bei der Frage, welche Beschäftigtendaten dem Gremium für seine Aufgaben zur Verfügung gestellt werden. Die Mitbestimmung ist zudem ein eigenständiges Themenfeld, das mit dem Datenschutz eng verzahnt ist und in einem verwandten Beitrag vertieft wird.
Leistungs- und Verhaltensdaten zählen zwar nicht zu den besonderen Kategorien im engeren Sinne, sind aber im Beschäftigungskontext hochsensibel, weil sie eine Kontrolle und Bewertung der Person ermöglichen. Daten aus der Zeiterfassung, aus Zielvereinbarungen, aus der Nutzung von IT-Systemen oder aus Kundenkontakten können zur Leistungs- und Verhaltenskontrolle geeignet sein. Genau hier greifen zwei Schutzmechanismen ineinander: der Grundsatz der Zweckbindung, der eine heimliche Umwidmung etwa von Abrechnungsdaten in Kontrolldaten verbietet, und die Mitbestimmung des Betriebsrats bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung geeignet sind. Eine umfassende oder heimliche Leistungskontrolle ist datenschutzrechtlich und arbeitsrechtlich in aller Regel unzulässig. Wo Leistungsdaten verarbeitet werden, sind Transparenz, Erforderlichkeit und – wo einschlägig – eine Betriebsvereinbarung die Leitplanken.
Wenn ein Unternehmen einen externen HR-Software-Anbieter, einen Payroll-Dienstleister oder ein Cloud-Bewerbersystem einsetzt, verarbeitet dieser Anbieter personenbezogene Daten im Auftrag und nach Weisung des Unternehmens. Das Unternehmen bleibt der datenschutzrechtlich Verantwortliche; der Anbieter ist Auftragsverarbeiter. Für diese Konstellation verlangt die DSGVO einen Auftragsverarbeitungsvertrag (AVV) mit einem gesetzlich vorgegebenen Mindestinhalt. Der AVV ist kein Formalismus, sondern das zentrale Instrument, mit dem das Unternehmen seine Verantwortung gegenüber einem Dienstleister absichert.
Ein AVV muss einen gesetzlich definierten Mindestinhalt abbilden. Dazu gehören der Gegenstand und die Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen und Daten, die Weisungsbindung des Auftragnehmers, dessen Pflicht zur Vertraulichkeit und zu angemessenen technischen und organisatorischen Maßnahmen, Regelungen zu Unterauftragnehmern, die Unterstützung des Unternehmens bei Betroffenenrechten und Meldepflichten, der Umgang mit den Daten nach Vertragsende sowie Kontroll- und Nachweisrechte des Unternehmens. Seriöse HR-Software-Anbieter stellen einen fertigen AVV bereit; die Aufgabe des Unternehmens ist es, diesen zu prüfen, statt ihn ungelesen zu übernehmen. Besonders lohnt der Blick auf die Liste der Unterauftragnehmer, auf den Verarbeitungsort und auf die zugesagten Sicherheitsmaßnahmen.
Für die Datenhoheit ist entscheidend, wo Personaldaten physisch verarbeitet werden und welchem Rechtsrahmen der Anbieter unterliegt. Wird ausschließlich innerhalb der EU beziehungsweise des EWR verarbeitet, gilt durchgängig das europäische Datenschutzniveau – der klarste und in der Prüfung einfachste Fall. Anders liegt es bei Anbietern aus Drittländern, insbesondere bei US-Anbietern: Hier stellt sich die Frage eines Drittlandtransfers, weil Daten potenziell außerhalb der EU verarbeitet werden und der Anbieter Rechtsordnungen unterliegen kann, die weitreichende behördliche Zugriffe erlauben. Viele internationale Anbieter reagieren darauf, indem sie eine EU-Datenregion anbieten, in der die Verarbeitung im europäischen Raum stattfindet. Das ist die datenschutzfreundlichere Option und sollte, wo verfügbar, ausdrücklich gewählt und vertraglich festgehalten werden. Ergänzend sind bei einem Transfer in Drittländer geeignete Garantien nötig – etwa ein Angemessenheitsbeschluss der EU-Kommission, sofern einschlägig, oder Standardvertragsklauseln, gegebenenfalls flankiert von zusätzlichen Schutzmaßnahmen. Aus Beratungssicht gilt: Der Serverstandort und die Frage der Datenhoheit gehören bei der Auswahl jeder HR-Software an den Anfang, nicht ans Ende.
People Analytics bezeichnet die systematische Auswertung von Personaldaten, um Muster zu erkennen und Entscheidungen zu unterstützen. KI-gestützte Werkzeuge treiben diese Entwicklung voran, weil sie große Datenmengen verarbeiten und Vorhersagen treffen können. Aus Datenschutzsicht sind dabei zwei Begriffe zentral: das Profiling, also die automatisierte Bewertung persönlicher Aspekte, und die automatisierte Entscheidung im Einzelfall, die ohne menschliches Zutun rechtliche Wirkung entfaltet oder eine Person erheblich beeinträchtigt.
Die DSGVO enthält in Artikel 22 eine grundlegende Schranke: Eine Person hat grundsätzlich das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Für den Personalbereich ist das hochrelevant: Würde eine Bewerbung allein durch einen Algorithmus abgelehnt oder eine Beförderungsentscheidung ausschließlich maschinell getroffen, fiele dies in den Anwendungsbereich dieser Schranke. Der übliche und sichere Weg ist deshalb, dass KI-Werkzeuge Entscheidungen vorbereiten und unterstützen, die abschließende Entscheidung aber von einem Menschen mit echtem Bewertungsspielraum getroffen wird. Ein bloßes Abnicken maschineller Vorschläge genügt dabei nicht – das menschliche Eingreifen muss substanziell sein.
KI im HR wirft über die reine Automatisierung hinaus weitere Fragen auf. Erstens die Transparenz: Beschäftigte und Bewerbende müssen darüber informiert werden, dass und in welcher Logik ihre Daten automatisiert bewertet werden; bei automatisierten Entscheidungen bestehen erweiterte Informationspflichten über die involvierte Logik und die Tragweite. Zweitens die Diskriminierungsfreiheit: KI-Systeme lernen aus historischen Daten und können bestehende Verzerrungen fortschreiben – etwa wenn ein Auswahlmodell Muster übernimmt, die bestimmte Gruppen benachteiligen. Hier berührt der Datenschutz das Antidiskriminierungsrecht, das in einem verwandten Beitrag zum Allgemeinen Gleichbehandlungsgesetz vertieft wird. Drittens die Nachvollziehbarkeit: Ergebnisse müssen sich erklären lassen, damit Betroffene ihre Rechte wahrnehmen und das Unternehmen seine Rechenschaftspflicht erfüllen kann. Undurchschaubare Modelle, deren Entscheidungen niemand erklären kann, sind im Personalbereich ein erhebliches Risiko.
Der Einsatz von KI im Personalbereich bewegt sich in einem doppelten, sich entwickelnden Rechtsrahmen: dem Datenschutzrecht und der europäischen KI-Regulierung, die für bestimmte Anwendungen im Beschäftigungskontext besondere Anforderungen vorsieht. Weil KI-gestützte Auswertungen von Beschäftigtendaten häufig ein hohes Risiko für die Rechte der Betroffenen mit sich bringen, ist regelmäßig eine Datenschutz-Folgenabschätzung durchzuführen, bevor das System eingesetzt wird. Sie zwingt dazu, Zweck, Notwendigkeit, Risiken und Schutzmaßnahmen vorab strukturiert zu bewerten. Hinzu kommt bei überwachungs- oder bewertungsgeeigneten Systemen die Mitbestimmung des Betriebsrats. Aus Beratungssicht empfiehlt sich ein zurückhaltender, gut dokumentierter Einsatz: klare Zwecke, menschliche Letztentscheidung, Transparenz gegenüber den Beschäftigten und eine vorherige Risikobewertung. Vertiefend widmet sich ein eigener Beitrag dem Thema People Analytics.
Betroffenenrechte sind kein abstraktes Konstrukt, sondern gelebte Praxis: Ein Beschäftigter möchte wissen, welche Daten über ihn gespeichert sind; eine ausgeschiedene Mitarbeiterin verlangt die Löschung ihrer Daten; ein Bewerber fragt, warum er abgelehnt wurde. HR muss diese Rechte kennen, die Fristen einhalten und über einen klaren internen Prozess verfügen, um Anfragen zuverlässig zu bearbeiten. Die zentralen Rechte im Überblick:
Das Auskunftsrecht ist im Beschäftigungskontext das mit Abstand relevanteste. Ein Beschäftigter kann verlangen, umfassend darüber informiert zu werden, welche personenbezogenen Daten das Unternehmen über ihn verarbeitet – und eine Kopie dieser Daten erhalten. In der Praxis kann das aufwendig sein, weil Personaldaten über viele Systeme und Dokumente verstreut sind: Personalakte, HR-Software, Lohnsystem, E-Mails, Zeiterfassung. Die Anfrage ist grundsätzlich innerhalb eines Monats zu beantworten, wobei diese Frist bei komplexen oder zahlreichen Anfragen unter Voraussetzungen verlängert werden kann. Wichtig ist, dass das Auskunftsrecht nicht zur Ausforschung Dritter missbraucht wird – die Rechte anderer Personen, deren Daten in denselben Dokumenten vorkommen, sind zu wahren, etwa durch Schwärzung. Ein durchdachter Auskunftsprozess, der weiß, wo welche Daten liegen, ist die beste Vorbereitung auf solche Anfragen.
Neben der Auskunft sind Berichtigung und Löschung die häufigsten Anliegen. Bei der Berichtigung ist zu beachten, dass nicht jede subjektive Bewertung – etwa in einer Beurteilung – eine „unrichtige Tatsache“ ist; korrigiert werden objektiv falsche Angaben. Bei der Löschung ist stets die Aufbewahrungspflicht mitzudenken: Solange gesetzliche Fristen laufen, ist eine vollständige Löschung ausgeschlossen, wohl aber kommt eine Einschränkung der Verarbeitung in Betracht. Für alle Anfragen gilt: Sie sind ernst zu nehmen, fristgerecht zu bearbeiten und nachvollziehbar zu dokumentieren. Bewährt hat sich ein interner Standardprozess mit klarer Zuständigkeit, einer Identitätsprüfung der anfragenden Person und einer Einbindung des Datenschutzbeauftragten bei schwierigen Fällen. So werden aus potenziell konfliktträchtigen Anfragen berechenbare Vorgänge.
Technische und organisatorische Maßnahmen sind alle Vorkehrungen, mit denen ein Unternehmen die Sicherheit der Verarbeitung gewährleistet. „Technisch“ meint Maßnahmen an Systemen und Infrastruktur – Verschlüsselung, Zugangssicherung, Backups; „organisatorisch“ meint Regeln, Rollen und Abläufe – Berechtigungskonzepte, Schulungen, Vertretungsregeln. Der geforderte Umfang richtet sich nach dem Risiko: Personaldaten und erst recht sensible Kategorien verlangen ein höheres Schutzniveau als weniger kritische Daten. Ein pauschales Rezept gibt es nicht, wohl aber bewährte Bausteine.
Im Personalbereich ist die Frage, wer welche Daten sehen darf, von zentraler Bedeutung. Gehälter, Krankmeldungen, Beurteilungen und Abmahnungen gehen die allermeisten Menschen im Unternehmen nichts an. Ein tragfähiges Zugriffskonzept ordnet Berechtigungen nach Rollen und Aufgaben zu und folgt dem Prinzip der minimalen Rechte: Jede Person erhält nur den Zugriff, den sie für ihre Tätigkeit tatsächlich benötigt. Führungskräfte sehen die Daten ihrer Teams, aber nicht die des gesamten Unternehmens; die Lohnbuchhaltung sieht Entgeltdaten, aber nicht die vertraulichen Vermerke aus dem Eingliederungsmanagement. Besonders sensible Daten wie Gesundheitsdaten gehören in getrennte, streng geschützte Bereiche. Zugriffsrechte sind zudem kein einmaliges Projekt: Sie müssen bei Rollenwechseln angepasst und regelmäßig überprüft werden, damit nicht über die Jahre unbemerkt weitreichende Berechtigungen entstehen.
Die Protokollierung von Zugriffen auf sensible Personaldaten dient der Sicherheit: Sie ermöglicht es, unbefugte oder missbräuchliche Zugriffe zu erkennen und im Ernstfall aufzuklären. Zugleich ist sie mit Augenmaß zu gestalten, denn Protokolldaten sind selbst personenbezogen und dürfen nicht zur heimlichen Leistungs- und Verhaltenskontrolle umgewidmet werden – hier greifen erneut Zweckbindung und Mitbestimmung. Ein eigenes, praktisch bedeutsames Thema ist der Umgang mit Datenpannen: Kommt es zu einer Verletzung des Schutzes personenbezogener Daten – etwa durch einen fehlgeleiteten Versand von Gehaltsdaten oder einen unbefugten Zugriff –, bestehen kurze Melde- und gegebenenfalls Benachrichtigungspflichten. Eine Meldung an die Aufsichtsbehörde ist grundsätzlich ohne unangemessene Verzögerung und möglichst innerhalb von 72 Stunden vorgesehen, sofern ein Risiko für die Betroffenen besteht. Ein vorbereiteter Ablauf für den Ernstfall – Erkennen, Bewerten, Melden, Dokumentieren – gehört deshalb zu jedem soliden Datenschutzkonzept im Personalbereich.
Beschäftigtendatenschutz im Mittelstand gelingt nicht durch ein einmaliges Projekt, sondern durch wenige, konsequent gepflegte Strukturen. Die gute Nachricht: Die meisten Anforderungen lassen sich mit überschaubarem Aufwand erfüllen, wenn sie systematisch angegangen und in die bestehenden HR-Abläufe eingebettet werden. Die folgenden Bausteine bilden das Rückgrat einer soliden Umsetzung.
Für Unternehmen mit Betriebsrat ist die Betriebsvereinbarung eines der wirkungsvollsten Instrumente des Beschäftigtendatenschutzes. Sie kann eine eigenständige Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten bilden, sofern sie die Anforderungen an den Schutz der Betroffenen wahrt, und schafft damit für wiederkehrende Verarbeitungen – etwa den Einsatz einer HR-Software, einer Zeiterfassung oder bestimmter Auswertungen – eine tragfähige und transparente Basis. Zugleich ist der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, mitbestimmungspflichtig einzubinden. Datenschutz und Mitbestimmung greifen hier unmittelbar ineinander: Eine gut gestaltete Betriebsvereinbarung regelt beides zugleich und verwandelt potenzielle Konflikte in klare, akzeptierte Regeln. Dieses Zusammenspiel wird in einem eigenen Beitrag zur Mitbestimmung im HR vertieft.
Verstöße gegen den Datenschutz können empfindliche Folgen haben. Die DSGVO sieht einen abgestuften Bußgeldrahmen vor, der sich in den höchsten Kategorien an einem erheblichen Anteil des weltweiten Jahresumsatzes orientieren kann; die konkrete Höhe im Einzelfall bemisst sich nach Schwere, Dauer, Art des Verstoßes und weiteren Faktoren und wird von den Aufsichtsbehörden bestimmt. Neben Bußgeldern drohen Ansprüche betroffener Personen, etwa auf Schadenersatz, sowie mittelbare Folgen wie Reputationsschäden und der Vertrauensverlust bei Beschäftigten. Aus Beratungssicht ist jedoch weniger die Angst vor dem einzelnen Bußgeld der richtige Antrieb als das Verständnis, dass sorgfältiger Umgang mit Personaldaten zur Fürsorgepflicht und zur Unternehmenskultur gehört. Wer Datenschutz als Selbstverständlichkeit begreift und die genannten Strukturen pflegt, minimiert nicht nur das Sanktionsrisiko, sondern stärkt das Vertrauen der eigenen Belegschaft.
