Personaldaten im Unternehmen – Definition, Pflichten und Best Practices

Was sind die häufigsten Fehler von Unternehmen im Umgang mit Personaldaten? Laut Nicole Wulfmeier, Legal Counsel und Syndikusrechtsanwältin bei Stepstone, speichern viele Unternehmen Personaldaten zu lange oder nutzen unzureichend geschützte Systeme. Besonders bei kleinen und mittelständischen Unternehmen fehlt oft ein durchdachtes Datenschutzkonzept für HR-Prozesse, und Verantwortlichkeiten sind nicht klar geregelt.

In diesem Artikel zeigen wir Ihnen mit praxisnahen Beispielen und Experteneinblicken von Nicole Wulfmeier, wie Sie Personaldaten effizient und rechtssicher verwalten und typische Datenschutzfehler vermeiden.

Das Wichtigste in Kürze

• Definition: Personaldaten sind personenbezogene Informationen im beruflichen Kontext, etwa Name, Kontaktdaten oder Gehalt. Sensible Daten wie Gesundheitszustand oder Herkunft unterliegen laut DSGVO besonderem Schutz.
• Rechtliche Grundlagen: Arbeitgeber verarbeiten Personaldaten nur bei rechtlicher Erlaubnis, z.B. zur Vertragserfüllung. Dabei gelten Grundsätze wie Datenminimierung, Zweckbindung und Informationspflicht gegenüber Mitarbeitenden.
• Aufbewahrung & Löschung: Arbeitgeber dürfen Personaldaten nur so lange speichern, wie der Zweck besteht; danach sind sie unverzüglich zu löschen, außer gesetzliche Aufbewahrungspflichten greifen, etwa bei Gehaltsabrechnungen.
• Digitale Sicherheit: Digitale HR-Systeme schützen Daten durch rollenbasierten Zugriff, Verschlüsselung und automatische Protokollierung. Starke Passwörter und Mehr-Faktor-Authentifizierung erhöhen die Sicherheit zusätzlich.

Definition: Was sind Personaldaten?

Auch wenn es keine gesetzliche Definition gibt, gelten alle Daten als Personaldaten, die mit einer bestimmten Person im beruflichen Zusammenhang verknüpft sind. Es handelt sich um personenbezogene Informationen, die ein Unternehmen über Beschäftigte oder Bewerbende im Rahmen eines Beschäftigungsverhältnisses oder Bewerbungsprozesses verarbeitet. Das Unternehmen nutzt die Informationen beispielsweise für die Lohnabrechnung, die Organisation von Arbeitszeiten oder die Dokumentation des beruflichen Werdegangs.

Typische Personaldaten:

• Identifikationsdaten: Name, Adresse, Telefonnummer, E-Mail, Geburtsdatum
• Daten zu Steuern und Sozialversicherung: Steuerklasse, Steuer-ID, Religionszugehörigkeit, Sozialversicherungsnummer, Angaben zur Krankenversicherung
• Daten zum Beschäftigungsverhältnis:
  Arbeitszeiten, Urlaubs- und Fehlzeiten, Beförderungen, Vertragsänderungen
• Qualifikations- und Bewerbungsdaten: Ausbildungsnachweise, Zeugnisse, Lebenslauf, berufliche Stationen, Weiterbildungen
• Leistungs- und Verhaltensdaten: Zielvereinbarungen, Beurteilungen, Gesprächsprotokolle, Feedback
• Finanzdaten: Gehaltsangaben, Lohnabrechnungen, Bankverbindung
• Bild- und Videomaterial: Fotos oder Videos, auf denen Mitarbeitende eindeutig zu erkennen sind

Besonders schützenswerte Daten laut DSGVO

Bestimmte personenbezogene Daten gelten laut Datenschutzrecht als besonders sensibel. Dazu zählen unter anderem:

• Gesundheitsdaten, inklusive genetischer oder biometrischer Informationen (z.B. Fingerabdrücke)
• Angaben zur ethnischen Herkunft
• Informationen zur politischen oder weltanschaulichen Überzeugung
• Daten zur sexuellen Orientierung

Wichtiger Hinweis:

Gerade im Umgang mit Gesundheitsdaten tragen Sie als Arbeitgeber eine besondere Verantwortung. Wenn sich ein*e Mitarbeiter*in krankmeldet, dürfen Sie den Grund der Erkrankung nicht an andere Mitarbeitende weitergeben. Die Information, dass jemand krank ist, sollten Sie nur dann mit dem Team teilen, wenn es aus organisatorischen Gründen notwendig ist. Mitarbeitende entscheiden außerdem selbst, ob und welche Informationen sie über ihre Gesundheit oder Abwesenheit mit anderen teilen möchten.

Rechtsrahmen für Personaldaten: Grundsätze für Unternehmen

An welchen gesetzlichen Bestimmungen müssen Sie sich orientieren, um einen datenschutzkonformen Umgang sicherzustellen?

DSGVO & BDSG: Unterschiede und Bedeutung

Für den datenschutzkonformen Umgang mit Beschäftigtendaten gelten die Vorschriften der Europäischen Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG). Die beiden Regelwerke legen fest, wie Unternehmen personenbezogene Daten von Mitarbeitenden und Bewerbenden erfassen, speichern und verarbeiten:

• § 26 BDSG: Regelt die Verarbeitung personenbezogener Daten zur Begründung, Durchführung und Beendigung von Beschäftigungsverhältnissen.
• § 88 DSGVO: Erlaubt den Mitgliedstaaten ergänzende Regelungen für die Datenverarbeitung im Beschäftigungskontext.

Lesetipp

Datenschutz am Arbeitsplatz DSGVO-konform etablieren und einhalten

Weiterlesen

Anforderungen für die Praxis: Diese Regelungen müssen Sie einhalten

Was bedeuten die rechtlichen Anforderungen konkret für Sie als Arbeitgeber? Worauf müssen Sie achten, um Personaldaten korrekt und datenschutzkonform zu verarbeiten?

Datenschutz im Arbeitsalltag: Schutzmaßnahmen für den Umgang mit Personaldaten

Neben rechtlichen Vorgaben zählt auch die konkrete Umsetzung im Arbeitsalltag.

Datenschutz im Arbeitsalltag: Schutzmaßnahmen für den Umgang mit Personaldaten

Neben den gesetzlichen Vorgaben ist auch die praktische Umsetzung im Arbeitsalltag entscheidend. Besonders sensibel ist der Umgang mit Personaldaten – ob im Büro oder im Homeoffice.

Technisch-organisatorische Maßnahmen

Stellen Sie sicher, dass der Datenschutz durch passende technische und organisatorische Maßnahmen gewährleistet ist, etwa durch Zugriffsrechte, Verschlüsselung und klare Zuständigkeiten.

Risiken bei Papierunterlagen

Papierunterlagen verursachen nicht nur Kosten und bremsen Prozesse – sie sind auch ein Sicherheitsrisiko. Offene Personalunterlagen auf dem Schreibtisch, im Drucker oder im Müll sind leicht einsehbar, besonders in Großraumbüros oder bei flexiblen Arbeitsplätzen. Noch kritischer: Im Homeoffice fehlt oft eine kontrollierte Umgebung, sodass Dritte unbeabsichtigt Einsicht erhalten könnten.

Digitale Lösungen bieten Sicherheit

Moderne HR-Software schützt sensible Daten durch Verschlüsselung und Zugriffsbegrenzung – und macht die Verwaltung zugleich effizienter.

Nicole Wulfmeier betont:

Moderne Systeme ermöglichen eine rollenbasierte Vergabe von Zugriffsrechten. Sämtliche Aktivitäten lassen sich automatisch protokollieren. Starke Passwörter und Mehr-Faktor-Authentifizierung erhöhen den Schutz zusätzlich. Nur autorisierte Personen erhalten Zugriff auf sensible Daten – und das ausschließlich im Rahmen ihrer Aufgaben. Auch die Speicherdauer lässt sich systemseitig individuell steuern, inklusive automatisierter Löschung nach Fristablauf.

Datenschutzkonforme Anbieter finden

Worauf sollten Sie bei der Auswahl einer HR-Software im Hinblick auf Datenschutz achten?

1. Vertrag zur Auftragsverarbeitung (AVV): Ein rechtssicherer AV-Vertrag mit dem Anbieter bildet die Basis der Zusammenarbeit und regelt, wie personenbezogene Daten verarbeitet und geschützt werden.
2. Serverstandort und Hosting: Achten Sie darauf, dass die Daten innerhalb der EU oder in Ländern mit angemessenem Datenschutzniveau gespeichert werden, um die Anforderungen der DSGVO zu erfüllen.
3. Nachweise zur Datensicherheit: Prüfen Sie, ob der Anbieter über Zertifizierungen wie ISO 27001 verfügt und regelmäßige Sicherheitsprüfungen und Audits durchführt.
4. Individuelle Datenschutzeinstellungen: Stellen Sie sicher, dass sich zentrale Datenschutzfunktionen flexibel anpassen lassen.
5. Transparente Informationen zur Datenverarbeitung: Gute Anbieter machen nachvollziehbar, welche Unterauftragnehmer eingesetzt werden, wie lange Daten gespeichert bleiben und welche Schutzmaßnahmen greifen.
6. Unterstützung und Dokumentation: Der Anbieter sollte Sie aktiv bei der Einhaltung datenschutzrechtlicher Vorgaben unterstützen und alle nötigen Unterlagen für Prüfungen bereitstellen.
7. Benutzerfreundlichkeit und Integration: Eine intuitiv bedienbare Software, die sich nahtlos in bestehende Systeme einfügt, senkt das Fehlerrisiko im Umgang mit sensiblen Daten. 

Mitarbeiter*innen schulen

Auch die beste Technik nützt wenig, wenn Beschäftigte nicht wissen, wie sie mit sensiblen Informationen korrekt umgehen. Damit der Datenschutz in der täglichen Arbeit verlässlich funktioniert, kommt es auf geschulte und verantwortungsbewusste Mitarbeitende an.

Nicole Wulfmeier bringt es auf den Punkt:

Stellen Sie sicher, dass alle Mitarbeitenden, die mit Personaldaten umgehen, wissen:

• welche Daten sie verarbeiten dürfen,
• in welchem Rahmen diese Nutzung erlaubt ist,
• wie sie Informationen vor unbefugtem Zugriff schützen.

Verpflichten Sie Ihre Mitarbeitenden schriftlich zur Einhaltung der geltenden Datenschutzregeln. Ergänzend dazu empfiehlt sich eine regelmäßige Schulung, beispielsweise durch kurze E-Learnings, Workshops oder Informationskampagnen.

Häufige Fehler im Umgang mit Personaldaten – und wie Sie sie vermeiden

Datenschutzbeauftragter: Wann wird er Pflicht?

Ob ein*e Datenschutzbeauftragte*r erforderlich ist, hängt von der Größe Ihres Unternehmens ab.

Interner vs. externer Datenschutzbeauftragter

Sobald in Ihrem Unternehmen regelmäßig mindestens 20 Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind, schreibt das Gesetz vor, eine*n Datenschutzbeauftragte*n zu benennen (gemäß Art. 37 DSGVO und § 38 BDSG). Bestimmen Sie eine geeignete Person aus Ihrem Team oder beauftragen Sie eine externe Fachkraft, um diese Funktion zu übernehmen.“

Aufgaben und Verantwortung

Entscheidend ist, dass der*die Datenschutzbeauftragte unabhängig arbeitet – also frei von Weisungen der Geschäftsleitung. Ziel ist es, Ihre Abläufe zur Verarbeitung und Speicherung personenbezogener Daten genau zu prüfen und dafür zu sorgen, dass Ihre Datenschutzmaßnahmen den gesetzlichen Anforderungen entsprechen. So stellen Sie sicher, dass die Rechte Ihrer Beschäftigten zuverlässig gewahrt bleiben.