Zugriffsrechte auf Beschäftigtendaten: Rollen, Protokolle und Kontrollen

Zugriffsrechte auf Beschäftigtendaten müssen sich an Aufgabe, Zweck und Risiko orientieren. Eine Personalabteilung braucht andere Informationen als die Lohnverrechnung, die IT-Administration oder eine externe Abrechnungsstelle. Wenn alle Rollen auf dieselbe Personalakte zugreifen können, fehlt nicht nur eine technische Schranke, sondern meist auch ein nachvollziehbares Datenschutzkonzept.

Dieser Beitrag zeigt, wie Unternehmen Berechtigungen für Beschäftigtendaten strukturieren, Protokolle sinnvoll einsetzen und Kontrollen dokumentieren. Im Mittelpunkt stehen die Rollen im Unternehmen, die Auswahl der tatsächlich erforderlichen Daten, der Umgang mit privilegierten Konten und die Frage, wie sich Datenschutz, Informationssicherheit und Mitbestimmung miteinander verbinden lassen.

Der erste Schritt ist eine Rollenmatrix. Sie beschreibt nicht nur, welche Person einen Account besitzt, sondern welche Funktion welche Daten für welchen Zweck benötigt. Die Personalabteilung kann etwa Stammdaten und Vertragsunterlagen verwalten, während eine Führungskraft für die Einsatzplanung nur jene Informationen braucht, die für ihre konkrete Aufgabe erforderlich sind. Die Lohnverrechnung benötigt wiederum abrechnungsrelevante Daten, aber nicht automatisch jede Gesprächsnotiz aus der Personalakte.

Art 5 Abs 1 lit b und c DSGVO verlangen eine Zweckbindung und Datenminimierung. Art 24 und Art 25 DSGVO machen daraus eine Organisations- und Gestaltungspflicht. Für die Praxis bedeutet das: Definieren Sie Datenfelder und Funktionen getrennt. „Zugriff auf Personalverwaltung“ ist zu ungenau, wenn das System auch Gesundheitsangaben, Disziplinarunterlagen oder private Kontaktdaten enthält.

Die Schwerpunktseite zum Beschäftigtendatenschutz ordnet den Lebenszyklus von Beschäftigtendaten ein. Bei der konkreten Rollenverteilung sollten Sie zusätzlich prüfen, ob eine externe Lohnverrechnung als Auftragsverarbeiter eingebunden ist und ob die Vereinbarung, die Unterauftragnehmer und die Kontrollrechte zur tatsächlichen Verarbeitung passen.

Berechtigungen entstehen bei Eintritt, verändern sich bei einer neuen Aufgabe und müssen beim Austritt enden. Dazwischen liegen Vertretungen, Karenz, Abteilungswechsel, Projektrollen und vorübergehende Notfallzugriffe. Ein System, das nur den Eintritt dokumentiert, lässt die kritischsten Übergänge oft offen. Deshalb sollte jede Berechtigung eine verantwortliche Stelle, einen Zweck und, soweit möglich, eine zeitliche Begrenzung haben.

Besonders sorgfältig sind privilegierte Konten zu behandeln. Administratoren können Konfigurationen ändern, Daten exportieren oder Zugriffsrechte selbst erweitern. Für diese Konten braucht es getrennte persönliche Identitäten, eine begründete Vergabe, eine sichere Notfallregel und eine nachträgliche Kontrolle. Ein gemeinsames Konto verhindert die eindeutige Zuordnung und erschwert die Aufklärung eines Sicherheitsvorfalls.

Bei Austritten muss der fachliche Prozess mit der technischen Deaktivierung verbunden sein. Die Personalstelle meldet den Zeitpunkt, die IT sperrt Zugänge und die zuständige Führungskraft bestätigt, ob Übergaben oder gesetzlich erforderliche Aufbewahrung getrennt behandelt werden. Der bestehende Beitrag Daten ehemaliger Mitarbeiter löschen behandelt die davon getrennte Frage, welche Unterlagen gelöscht, eingeschränkt aufbewahrt oder übergeben werden müssen.

Protokolle können zeigen, wann ein Konto auf eine Personalakte zugegriffen, Daten exportiert oder eine Berechtigung verändert hat. Das hilft bei der Sicherheitskontrolle und bei der Untersuchung konkreter Auffälligkeiten. Ein Protokoll ist aber kein Freibrief, jede Aktivität dauerhaft auszuwerten. Vor der Einführung muss feststehen, welches Risiko die Protokollierung reduziert und welche Auswertung dafür tatsächlich erforderlich ist.

Art 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Dazu können Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und regelmäßigen Überprüfung gehören. Legen Sie deshalb Ereignistypen, Zugriff auf die Logs, Auslösefälle, Aufbewahrung und Löschung fest. Eine kleine Zahl klar definierter Sicherheitsereignisse ist meist belastbarer als ein unüberschaubarer Datenbestand, den niemand sinnvoll kontrolliert.

Wenn ein System zugleich Arbeitsleistung, Anwesenheit oder Verhalten detailliert sichtbar macht, kann eine zusätzliche arbeitsverfassungsrechtliche Prüfung erforderlich sein. § 96 Abs 1 Z 3 ArbVG betrifft Kontrollmaßnahmen, die die Menschenwürde berühren können. Ob eine Maßnahme darunter fällt, hängt von Gestaltung, Zweck, Intensität und Einsatz im konkreten Betrieb ab. Bei bestehendem Betriebsrat sollten Datenschutz- und Mitbestimmungsprüfung daher gemeinsam geplant werden.

In der Personalverwaltung gibt es Situationen, in denen eine Standardrolle nicht ausreicht. Ein Sicherheitsvorfall, eine längere Abwesenheit oder eine gerichtliche Anforderung kann einen erweiterten Zugriff erforderlich machen. Solche Fälle sollten nicht über eine dauerhaft offene Sammelberechtigung gelöst werden. Besser ist ein dokumentierter Ausnahmeprozess mit Anlass, Umfang, Freigabe, Dauer und anschließender Kontrolle.

Der Notfallzugriff muss technisch und organisatorisch so gestaltet sein, dass er nicht zum normalen Arbeitsweg wird. Möglich sind eine zeitlich beschränkte Freischaltung, eine Vier-Augen-Freigabe oder eine nachträgliche Prüfung durch eine unabhängige Stelle. Wer die Ausnahme genehmigt, sollte nicht ohne Kontrolle auch die Auswertung der eigenen Zugriffe bestimmen.

Sensible Daten verdienen eine zusätzliche Stufe. Gesundheitsinformationen, Daten über Gewerkschaftszugehörigkeit oder andere besondere Kategorien nach Art 9 DSGVO dürfen nicht einfach mit einem allgemeinen Personalrollenprofil erreichbar sein. Prüfen Sie Rechtsgrundlage, Zweck, Zugriffskreis und Schutzmaßnahmen getrennt. Das gilt auch dann, wenn das führende System die Daten technisch in einer gemeinsamen Maske anzeigt.

Ein belastbares Berechtigungsmodell besteht aus mehreren zusammenpassenden Dokumenten: Verzeichnis des Verarbeitungsvorgangs, Rollenmatrix, Datenfeldbeschreibung, technische Konfiguration, Protokollregel, Review-Nachweis und Prozess für Austritt oder Rollenwechsel. Die Dokumente müssen nicht in einer einzigen Datei stehen. Sie sollten aber eine eindeutige Zuordnung zwischen Verarbeitung, System, Rolle und verantwortlicher Stelle erlauben.

Art 24 DSGVO verlangt geeignete Maßnahmen und deren Überprüfung. Die österreichische Datenschutzbehörde stellt im Rahmen der Rechenschaftspflicht ebenfalls darauf ab, dass Verantwortliche ihre Maßnahmen nachvollziehbar darlegen können. Ein Screenshot einer Systemmaske genügt daher selten. Entscheidend ist, ob sich erklären lässt, warum eine Rolle bestimmte Daten sehen darf, wann sie überprüft wurde und was bei einer Abweichung geschieht.

Legen Sie für jedes System eine fachliche und eine technische Verantwortung fest. Die Fachstelle kennt Zweck und Datenbedarf, die IT kennt Konfiguration und Protokollierung. Beide Seiten brauchen einen klaren Eskalationsweg, wenn eine Rolle zu weit reicht oder ein Zugriff nicht erklärbar ist. So wird aus der Berechtigungsprüfung ein laufender Kontrollprozess statt einer einmaligen Aufräumaktion.

Gruppen statt Aufgaben: Alle Führungskräfte erhalten denselben Vollzugriff, obwohl ihre Aufgaben und die betroffenen Beschäftigten unterschiedlich sind.

Altberechtigungen bleiben bestehen: Nach einem Wechsel sammelt ein Account zusätzliche Rechte, ohne dass die früheren Berechtigungen entfernt werden.

Protokolle ohne Zweck: Das System zeichnet alles auf, aber niemand legt fest, wann und von wem die Daten ausgewertet werden dürfen.

Notfallkonten ohne Nachkontrolle: Ein privilegiertes Konto ist bekannt, wird aber weder persönlich zugeordnet noch nach jedem Einsatz geprüft.

Datenschutz und Mitbestimmung werden getrennt: Ein Kontrollsystem wird technisch eingeführt, bevor mögliche Auswirkungen auf die Menschenwürde und die Rechte des Betriebsrats geklärt sind.

Wählen Sie zunächst einen konkreten Prozess, etwa die digitale Personalakte, die Lohnverrechnung oder ein Bewerbermanagementsystem. Erheben Sie Datenfelder, Rollen, Exporte, Schnittstellen und externe Empfänger. Prüfen Sie anschließend, welche Rolle welchen Teil wirklich benötigt und ob besondere Kategorien personenbezogener Daten gesondert geschützt werden.

Testen Sie das Modell mit realistischen Veränderungen: Eintritt, Abteilungswechsel, Vertretung, Karenz, Austritt und Notfall. Lassen Sie sich für jedes Szenario zeigen, wann die Berechtigung entsteht, wer sie freigibt, wie sie endet und welcher Nachweis bleibt. Bei Logs prüfen Sie zusätzlich, ob Zweckbindung, Zugriff auf die Protokolle und Löschung geregelt sind.

Der Check für Auftragsverarbeiter hilft bei externen HR- oder Lohnverrechnungsdiensten. Für allgemeine Verantwortlichkeiten und Nachweise können Sie außerdem die Seite Compliance und Datenschutz-Governance heranziehen. Beide Bausteine ersetzen nicht die konkrete Systemprüfung, geben ihr aber eine klare Struktur.

Wir prüfen mit Ihnen Rollenmatrix, Datenfelder, privilegierte Konten, Protokollierung und Review-Prozess. Dabei verbinden wir Datenschutz, Informationssicherheit und, soweit erforderlich, arbeitsverfassungsrechtliche Mitbestimmung. Kontaktieren Sie uns mit der Systemübersicht, einer bestehenden Berechtigungsmatrix oder konkreten offenen Zugriffen, damit die nächsten Schritte gezielt festgelegt werden können.