Beschäftigtendatenschutz

Die Verarbeitung von Beschäftigtendaten braucht einen bestimmten Zweck und eine passende Rechtsgrundlage. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO nennt die möglichen Grundlagen für personenbezogene Daten. Für besondere Kategorien, etwa Gesundheitsdaten, gelten zusätzlich die strengeren Voraussetzungen des Art. 9 DSGVO.

In der Praxis sollte das Unternehmen für jeden wesentlichen Personalprozess festhalten, welche Daten tatsächlich benötigt werden, wer sie liefert, wer sie verwendet und wann der Zweck endet. Ein Datenfeld, das aus Bequemlichkeit dauerhaft mitgeführt wird, ist nicht schon deshalb erforderlich, weil es technisch vorhanden ist. Besonders bei Bewerbungen, Krankenständen, Leistungsbewertungen und internen Meldungen lohnt sich eine getrennte Betrachtung.

Die Information der Beschäftigten nach Art. 13 oder 14 DSGVO sollte den tatsächlichen Prozess abbilden. Allgemeine Hinweise reichen nicht immer aus, wenn ein Unternehmen zusätzlich neue Analysewerkzeuge, Kontrollsysteme oder externe Plattformen einführt.

Beschäftigtendaten liegen oft in mehreren Systemen: Personalverrechnung, Zeiterfassung, Bewerbungsverwaltung, Krankmeldungen, Dokumentenablage und Kommunikationsplattformen. Ein Zugriff darf nicht allein aus der Abteilungszugehörigkeit folgen. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Dazu gehören auch organisatorische Regeln, mit denen das Unternehmen Berechtigungen begrenzt und überprüft.

Ein belastbares Berechtigungskonzept beschreibt Rollen, Datenkategorien, Freigabe, Entzug und Vertretung. Die Personalverrechnung benötigt andere Informationen als eine Führungskraft. IT-Administratoren können technisch weitreichende Rechte haben, ohne dadurch automatisch zur fachlich berechtigten Stelle für jede Personalinformation zu werden. Protokolle können Kontrollen unterstützen, dürfen aber nicht ohne eigenen Zweck und klare Auswertung dauerhaft gesammelt werden.

Bei einem Austritt muss der Prozess schnell und abgestimmt reagieren. Konten, Schlüssel, mobile Geräte, gemeinsame Ordner und externe Zugänge sind zu prüfen. Davon zu unterscheiden ist die Frage, welche Unterlagen für gesetzliche Pflichten oder konkrete Ansprüche weiter aufbewahrt werden müssen.

Zeiterfassung, GPS, Video, Login-Protokolle, Kommunikationsdaten und Software zur Leistungsanalyse können unterschiedliche Zwecke verfolgen. Aus der technischen Verfügbarkeit folgt nicht, dass jede Auswertung zulässig ist. Das Unternehmen sollte vorab den konkreten Zweck, die erforderliche Datenmenge, die betroffenen Personen, die Auswertungsberechtigten und die Löschlogik beschreiben. Dauerhafte Verhaltens- oder Leistungskontrolle ist besonders eingriffsintensiv.

Neben der DSGVO kann das Arbeitsverfassungsrecht die Einführung eines Systems berühren. § 96 Abs 1 Z 3 ArbVG betrifft Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer, wenn sie die Menschenwürde berühren. § 96a ArbVG enthält eigene Regeln für bestimmte Systeme zur automatisierten Verarbeitung von Arbeitnehmerdaten. Ob eine Zustimmung des Betriebsrats erforderlich ist, lässt sich deshalb nur anhand des konkreten Systems und seiner Auswirkungen beurteilen.

Die vertiefende Analyse Mitarbeiter überwachen mit Software behandelt diese Konstellation. Für KI-Systeme am Arbeitsplatz gelten zusätzlich Fragen zu Zweck, Trainingsdaten, Auswertung und Betriebsvereinbarung, die im Beitrag KI am Arbeitsplatz vertieft werden.

Die DSGVO verlangt keine einheitliche Aufbewahrungsfrist für sämtliche Beschäftigtendaten. Art. 5 Abs 1 lit e DSGVO begrenzt die Speicherung auf das erforderliche Maß. Gleichzeitig können arbeits-, steuer-, sozialversicherungs- oder unternehmensrechtliche Pflichten sowie konkrete Ansprüche eine weitere Aufbewahrung tragen. Diese Gründe sollten je Datenkategorie nachvollziehbar festgehalten werden.

Beim Austritt darf deshalb weder die gesamte Personalakte sofort gelöscht noch das gesamte Konto ohne zeitliche Begrenzung archiviert werden. Ein sinnvoller Prozess trennt aktive Zugriffe, Übergabedaten, gesperrte Nachweise und Unterlagen mit einer konkreten gesetzlichen oder rechtlichen Grundlage. Art. 17 DSGVO sieht außerdem Ausnahmen vom Löschungsanspruch vor, etwa wenn eine rechtliche Verpflichtung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen die Speicherung erfordert.

Ein Löschkonzept sollte nicht nur Fristen nennen. Es sollte auch die auslösenden Ereignisse, die zuständige Stelle, technische Löschläufe, Sperren und die Kontrolle von Backups oder Archiven beschreiben. Der bestehende Beitrag Daten ehemaliger Mitarbeiter löschen grenzt diesen Austrittsfall näher ab.

Beschäftigte können als betroffene Personen ihre Rechte nach der DSGVO ausüben. Dazu gehört insbesondere das Auskunftsrecht nach Art. 15 DSGVO. Ein Unternehmen sollte daher einen Prozess haben, der Identität, betroffene Systeme, Frist, beteiligte Stellen und mögliche Einschränkungen dokumentiert. Die Anfrage darf nicht zwischen Personalabteilung, IT und Datenschutzfunktion verloren gehen.

Bei einer Auskunft ist zu prüfen, welche personenbezogenen Daten verarbeitet werden und welche Informationen nach Art. 15 DSGVO mitzuteilen sind. Dabei können Rechte und Freiheiten anderer Personen, Geschäftsgeheimnisse oder gesetzliche Einschränkungen eine Rolle spielen. Die konkrete Antwort muss deshalb den Bestand und die Umstände des Einzelfalls berücksichtigen.

Für einen allgemeinen Ablauf ist der Schwerpunkt Betroffenenrechte und Auskunft die passende Ergänzung. Beschäftigtendaten sollten außerdem in der Governance des Unternehmens mit Verzeichnis, Richtlinien und Kontrollen verbunden bleiben.

Ein guter Beschäftigtendatenschutz ist kein einzelnes Dokument. Er verbindet Personal, IT, Führungskräfte, Datenschutzfunktion, Informationssicherheit und bei Bedarf den Betriebsrat. Für jede neue Verarbeitung sollte klar sein, wer den Zweck beschreibt, welche Daten benötigt werden, welche Risiken bestehen und wie die Entscheidung dokumentiert wird.

Für eine rechtliche und organisatorische Prüfung sind meist das Verzeichnis der Verarbeitungstätigkeiten, Informationsblätter, Berechtigungskonzept, Lösch- und Aufbewahrungsregeln, Dienstleisterübersicht, Richtlinien, technische Systembeschreibung und relevante Betriebsvereinbarungen hilfreich. Daraus lässt sich erkennen, ob der Schwerpunkt bei Zweck, Zugriff, Kontrolle, Aufbewahrung oder Mitbestimmung liegt.

Wir prüfen mit Ihnen die konkrete Verarbeitung und ordnen die rechtlichen und organisatorischen Schritte so, dass Personalprozesse, IT und Führungskräfte damit arbeiten können. Bei neuen Systemen ist eine Prüfung vor der Einführung regelmäßig einfacher als eine nachträgliche Korrektur laufender Auswertungen.