Personaldaten digital führen: Rechte, Löschung und Auftragsverarbeitung

Warum Beschäftigtendaten besonders sind

In einer Personalakte stehen Anschrift und Bankverbindung neben Gehalt, Abmahnungen und Krankheitszeiten. Zwischen Arbeitgeber und Beschäftigten besteht ein Machtgefälle, weshalb die Einwilligung als Rechtsgrundlage nur eingeschränkt trägt. Die Verarbeitung für Zwecke des Beschäftigungsverhältnisses regelt § 26 BDSG und knüpft sie an die Erforderlichkeit.

Für die Praxis genügt eine einfache Haltung: Erheben Sie nur, was Sie für das Arbeitsverhältnis brauchen, legen Sie fest, wer es sehen darf, und löschen Sie, sobald der Zweck entfällt.

Das Rollen und Rechtekonzept

Vor der ersten Akte entscheiden Sie, wer was sehen und ändern darf. Das folgt aus dem Grundsatz der Datenminimierung und lässt sich im Programm nur umsetzen, wenn der Tarif Rechte fein genug zulässt. Bei vielen Anbietern gehört die Rechteverwaltung zu höheren Stufen.

Auftragsverarbeitung: was der Vertrag klären muss

Ein Anbieter, der die Daten Ihrer Beschäftigten in Ihrem Auftrag speichert, ist Auftragsverarbeiter. Dafür verlangt Artikel 28 DSGVO einen Vertrag. Er legt unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und den Kreis der Betroffenen fest und bindet den Anbieter an Ihre Weisungen.

1. Serverstandort: Wo liegen die Daten, und wohin fließen sie bei Wartung und Support?
2. Unterauftragnehmer: Wer verarbeitet weiter, und wie werden Sie über Änderungen informiert?
3. Technische und organisatorische Maßnahmen: Wie sind Zugriff, Verschlüsselung und Sicherung geregelt?
4. Unterstützung bei Betroffenenrechten: Wie kommen Sie schnell an alle Daten einer Person?
5. Meldung von Pannen: In welcher Frist informiert Sie der Anbieter?
6. Löschung bei Vertragsende: Gibt es Rückgabe in einem lesbaren Format und eine bestätigte Löschung?

Ein Löschkonzept vor dem Start

Mitbestimmung und Einführung

Gibt es einen Betriebsrat, hat er mitzubestimmen, wenn Sie technische Einrichtungen einführen, die zur Überwachung von Verhalten oder Leistung bestimmt sind (§ 87 Absatz 1 Nummer 6 BetrVG). Personalsoftware fällt häufig darunter. Wo das Betriebsverfassungsgesetz gilt, haben Beschäftigte außerdem ein Recht auf Einsicht in ihre Personalakte (§ 83 BetrVG).

1. Rechtematrix schreiben und mit den Möglichkeiten des Tarifs abgleichen.
2. Vertrag zur Auftragsverarbeitung prüfen und unterschreiben.
3. Löschkonzept festlegen, bevor Daten importiert werden.
4. Mit wenigen Akten beginnen, Zugriffe testen, dann den Rest einspielen.
5. Beschäftigte informieren, was gespeichert wird und warum.