Datenschutz Personalabteilung

Warum ist Datenschutz in der Personalabteilung besonders wichtig?

Im HR-Bereich und der Personalabteilung werden hauptsächlich Beschäftigtendaten verarbeitet. Dazu zählen neben den Daten von Angestellten auch solche personenbezogenen Daten, die in Bewerbungsverfahren (Bewerberdaten) anfallen. Aber auch Mitarbeiterdaten von Arbeitnehmerüberlassungen fallen unter den Begriff der Beschäftigtendaten (§ 26 Abs. 8 Nr. 1 BDSG). Um diese Daten zu schützen, gelten neben der DSGVO auch die Anforderungen des allgemeinen Datenschutzes und der Datensicherheit. Im Folgenden erklären wir Ihnen, worauf Sie im speziellen achten müssen.

Was muss beim Datenschutz in HR beachtet werden?

Alle personenbezogenen Daten, die in einer Personalabteilung anfallen, unterliegen dem Schutz der DSGVO. Das heißt, dass Sie bei der Verarbeitung dieser Daten darauf achten müssen, dass:

• Die Zweckbindung nach Art. 5 DSGVO gegeben ist: Der eindeutige und legitime Zweck der Verarbeitung besteht bei Beschäftigtendaten beispielsweise im Mitarbeiter- oder Bewerberverhältnis. Die übersendeten (und damit indirekt erhobenen Daten) werden, konkret gesprochen, zur Besetzung einer Stelle oder der Durchführung des Beschäftigungsverhältnisses verwendet.
• Die Datenminimierung nach Art. 5 DSGVO gegeben ist. Achten Sie darauf, welche personenbezogenen Beschäftigungsdaten für das Arbeitsverhältnis wirklich relevant sind. Es dürfen also immer nur die absolut notwendigen Daten für die Durchführung des Beschäftigungsverhältnisses verarbeitet werden. Für alles weitere (z.B. Mitarbeiterfotos auf Webseite, Notfallkontaktdaten, etc.) brauchen Sie eine gesonderte Rechtsgrundlage (die Einwilligung der betroffenen Person).
• Die Richtigkeit nach Art. 5 DSGVO gegeben ist. Die erhobenen Beschäftigtendaten müssen richtig sein und bei Bedarf aktualisiert werden.
• Die Speicherbegrenzung nach Art. 5 DSGVO eingehalten wird. Personenbezogene Daten und damit Beschäftigtendaten dürfen nicht unbegrenzt gespeichert werden. Endet das Beschäftigungsverhältnis, müssen sie nach einer von Gesetzeswegen vorgeschriebene Aufbewahrungsfrist gelöscht werden.
• Die Integrität und Vertraulichkeit nach Art. 5 DSGVO gegeben ist. Neben der Sicherheit der erhobenen Daten ist der Schutz vor unbefugter Verarbeitung oder dem unbefugten Zugriff Dritter wichtig. Hiermit Hand in Hand gehen die erforderlichen technischen und organisatorischen Maßnahmen (wie z.B. abschließbare Personalschränke), um die Daten beispielsweise vor einem unerlaubten physischen Zugriff zu schützen.

Zudem sollten Sie sicherstellen, dass vor allem die Mitarbeiter im HR-Bereich stets im Umgang mit personenbezogenen Daten geschult werden. Dies ist durch eine entsprechende Datenschutz-Mitarbeiterschulung möglich.

In diesen Bereich spielen darüber hinaus auch, wie im vorherigen Kapitel bereits angesprochen, der allgemeine Datenschutz und die Datensicherheit mit hinein.

Allgemeiner Datenschutz & Datensicherheit im HR-Bereich

Der Datenschutz in der Personalabteilung beschränkt sich natürlich nicht nur auf die DSGVO. Unter Datenschutz wird der Schutz aller Daten verstanden, nicht nur der personenbezogenen Daten. Weitere Bestandteile sind z.B. noch:

• Verschwiegenheitserklärung: Eine Verschwiegenheitserklärung bzw. Geheimhaltungsverpflichtung ist beispielsweise dann sinnvoll, wenn Sie mit sensiblen Daten oder innovativen Arbeitsabläufen arbeiten. Sie kann entweder als Zusatz oder Bestandteil des Arbeitsvertrags verwendet werden und darf nicht mit einer Vertraulichkeitsverpflichtung verwechselt werden.
• Datensicherheitskonzept: Datensicherheit und der übergeordnete Datenschutz sind eng mit der Unternehmens-IT verknüpft – deshalb spricht man hier auch von Informationssicherheit. Ein Datensicherheitskonzept ist dabei für jedes Unternehmen unerlässlich und muss je nach Unternehmen individuell etabliert werden.

Aktuelle Herausforderungen beim Datenschutz im Personalwesen

Gerade in großen und alten Unternehmen sollte der Datenschutz der Personalabteilung noch einmal unter die Lupe genommen werden. Die DSGVO verbietet nämlich beispielsweise gewisse Informationen in der Personalakte, die teilweise noch erhoben oder aus digitalen Bewerbungsprozessen gewonnen werden. Dazu gehören beispielsweise meist religiöse und politische Überzeugungen und sexuelle Vorlieben, Social-Media-Profile und ärztliche Unterlagen (wie Atteste). Nach Art. 5 DSGVO Abs. d müssen die Informationen in der Personalakte stets richtig sein bzw. bei Unrichtigkeit aktualisiert werden – dies gilt natürlich für Personalakten in Papierform ebenso wie für digitale Personalakten.

Ein weiterer Punkt, der gerade aktueller denn je erscheint, ist der Datenschutz im Home-Office. Hierzu bieten wir Ihnen eine datenschutzrechtliche Zusatzvereinbarung zum Arbeitsvertrag an.

All diese Anforderungen an den Datenschutz in der Personalabteilung und den Arbeitnehmerdatenschutz können Sie am einfachsten in Zusammenarbeit mit Ihrem Datenschutzbeauftragten umsetzen.

Wir beantworten Ihre Fragen zum Thema Datenschutz Personalabteilung

Fällt die digitale Personalakte unter die DSGVO?

Die DSGVO wird in Deutschland durch das BDSG konkretisiert. Werden personenbezogene Daten beispielsweise in einem elektronischen Dateisystem (wie einer digitalen Personalakte) gespeichert, so gelten auch hier die Vorschriften der DSGVO und des BDSG. Werden personenbezogene Daten also mit Hilfe eines Computerprogramms, wie beispielsweise einer Personalverwaltungssoftware, verarbeitet (auch, wenn dies nicht automatisiert der Fall ist), müssen die Bestimmungen der DSGVO beachtet werden.

Gilt die DSGVO für Mitarbeiterdaten?

Ja, die DSGVO gilt für Mitarbeiterdaten: Bei Mitarbeiterdaten handelt es sich um personenbezogene Daten, die dem Schutz der DSGVO unterliegen. Deshalb ist es wichtig, für einen ausreichenden Datenschutz im HR zu sorgen.

Aufbewahrungsfristen für eine Personalakte

Aufbewahrungsfristen für Personalakten nach der DSGVO gibt es nicht. Stattdessen richtet sich die Aufbewahrungsfrist einer Personalakte danach, was alles in dieser Akte enthalten ist. Die regelmäßige Verjährungsfrist (geregelt in § 195 BGB) endet nach drei Jahren. Enthält die Personalakte zum Beispiel Unterlagen im Sinne des Steuerrechts, muss sie Minimum sechs Jahre aufgehoben werden. Aber egal, wie lange die Akte aufgehoben wird – die Vertraulichkeit muss zu jeder Zeit gewährleistet sein.

Müssen die Mitarbeiter der Personalabteilung im Datenschutz geschult werden?

Auf jeden Fall! Die Mitarbeiter der Personalabteilung verarbeiten oftmals enorme Mengen an personenbezogenen Daten (Beschäftigtendaten). Um für den korrekten Umgang damit sensibilisiert zu werden, müssen die Mitarbeiter durch Mitarbeiterschulungen entsprechend im Datenschutz sensibilisiert werden. So kann einer Datenschutzverletzung durch menschliches Versagen vorgebeugt bzw. das Risiko einer solchen teilweise deutlich reduziert werden.

Unser Team

Wir stehen Ihnen zur Seite

Mit meiner fundierten Erfahrung in der operativen Unternehmensberatung helfe ich Ihnen dabei, die Vorgaben der DSGVO pragmatisch umzusetzen.

Dominik Fünkner

(zertifizierter Datenschutzbeauftragter & Geschäftsführer)