Mitarbeiterdaten und DSGVO: Was Arbeitgeber wissen müssen
Kurz gesagt
Die Verarbeitung von Beschäftigtendaten richtet sich primär nach § 26 BDSG in Verbindung mit der DSGVO. Zulässig ist sie, wenn sie für Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist — eine Einwilligung spielt dabei nur eine untergeordnete Rolle.
Was Arbeitgeber verbindlich regeln müssen
- Datenschutzinformation bei Einstellung übergeben — was wird verarbeitet, warum, wie lange.
- Speicherfristen für alle Datenkategorien festlegen und technisch durchsetzen — Bewerberdaten üblicherweise einige Monate, Personalakten nach Ausscheiden mehrere Jahre, steuerrelevante Unterlagen bis zu zehn Jahre.
- Zugriffskontrolle: Personalakten dürfen nur von HR und der direkten Führungskraft eingesehen werden, nicht von jeder Kollegin oder jedem Kollegen.
- Besondere Kategorien wie Gesundheitsdaten oder Gewerkschaftszugehörigkeit nur mit expliziter Rechtsgrundlage verarbeiten.
- Verarbeitungsverzeichnis um alle HR-Prozesse ergänzen.
- Auftragsverarbeitungsvertrag mit Anbietern von Zeiterfassungs-, Monitoring- oder HR-Software abschließen.
- Betriebsrat einbinden, wenn vorhanden — Mitbestimmungsrechte bei technischen Überwachungsmaßnahmen beachten.
Gesundheitsdaten besonders schützen
Gesundheitsdaten sind eine besondere Kategorie nach Art. 9 DSGVO und dürfen nur in engen Ausnahmen verarbeitet werden. Krankheitsdiagnosen gehören nicht in die Personalakte — für den Arbeitgeber relevant sind ausschließlich die Tatsache der Arbeitsunfähigkeit und deren voraussichtliche Dauer, nicht deren Ursache.
Umsetzung in fünf Schritten
- Datenschutzinformation erstellen und übergeben, bereits im Einstellungsprozess.
- Zugriffsrechte auf Personalakten definieren, technisch und organisatorisch durchsetzen.
- Speicherfristen technisch hinterlegen, damit Löschung nicht von manueller Erinnerung abhängt.
- HR-Software-Anbieter auf Auftragsverarbeitungsvertrag prüfen.
- Besonderheiten bei Kündigung und Ausscheiden regeln, insbesondere Zugriffsentzug und Löschfristen.
Monitoring hat enge Grenzen
Die technische Überwachung von Mitarbeitenden — Bildschirmaufnahmen, Tastaturprotokolle, detaillierte Zeiterfassung — ist nur unter engen Voraussetzungen zulässig: Erforderlichkeit, Verhältnismäßigkeit und in der Regel die Mitbestimmung des Betriebsrats. Eine pauschale Vollüberwachung ist nicht datenschutzkonform, unabhängig vom verfolgten Zweck.