Mitarbeiterdaten gehören zu den sensibelsten Daten im Unternehmen. Sie entstehen bei Bewerbungen, Arbeitsverträgen, Lohnverrechnung, Krankmeldungen, Abwesenheiten, Leistungsbeurteilungen, HR-Tools und im täglichen Umgang zwischen Führungskräften, HR und Geschäftsführung.
Das Wichtigste auf den ersten Blick
Mitarbeiterdaten dürfen nur verarbeitet werden, wenn dafür eine passende Rechtsgrundlage besteht.
Im HR-Bereich gelten besonders hohe Anforderungen an Vertraulichkeit, Zugriffsbeschränkung und Zweckbindung.
Krankheitsdaten und Gesundheitsinformationen sind besonders sensibel und sollten nur sehr eingeschränkt verarbeitet werden.
Bewerberdaten, Personalakten, Lohnverrechnungsdaten und Leistungsdaten brauchen klare Lösch- und Aufbewahrungsregeln.
- HR-Tools, Cloud-Software und externe Lohnverrechnung müssen datenschutzrechtlich sauber geprüft und vertraglich geregelt sein.
Warum Mitarbeiterdaten im Datenschutz besonders heikel sind
Im Personalbereich werden täglich personenbezogene Daten verarbeitet. Viele davon sind für das Arbeitsverhältnis notwendig. Gleichzeitig sind sie besonders vertraulich, weil sie viel über einzelne Personen aussagen: Einkommen, Fehlzeiten, Krankheiten, Leistungsbeurteilungen, Konflikte oder private Kontaktdaten.
Genau deshalb reicht es nicht, Mitarbeiterdaten einfach irgendwo abzulegen oder in HR-Tools zu speichern. Unternehmen brauchen klare Rechtsgrundlagen, Zuständigkeiten, Zugriffsbeschränkungen, Löschfristen und Prozesse für Auskunftsanfragen oder Datenschutzvorfälle.
Kurz gesagt
Beschäftigtendatenschutz ist kein reines HR-Thema. Er betrifft Geschäftsführung, Office Management, IT, Führungskräfte, Lohnverrechnung und alle Personen, die Zugriff auf Mitarbeiterdaten haben.
Wo entstehen Mitarbeiterdaten im Unternehmen?
Mitarbeiterdaten entstehen nicht nur in der Personalakte. Sie begleiten den gesamten Beschäftigungszyklus: von der Bewerbung über den Arbeitsvertrag bis zu Lohnverrechnung, Urlaubsverwaltung, Krankenstand, Weiterbildung, Leistungsbeurteilung und Austritt.
Mitarbeiterdaten laufen oft durch mehr Bereiche, als Unternehmen zuerst denken.
Genau deshalb braucht es klare Regeln: Wer darf welche Daten sehen? Wofür werden sie genutzt? Wie lange werden sie gespeichert? Und welche Tools greifen darauf zu?
Bewerbung
Lebenslauf, Zeugnisse, Kontaktdaten, Gesprächsnotizen
Personalakte
Vertrag, Stammdaten, Änderungen, Vereinbarungen
Lohn
Bankdaten, Gehalt, Abgaben, Sozialversicherung
Abwesenheit
Urlaub, Krankenstand, Pflegefreistellung, Zeiterfassung
Leistung
Feedback, Zielvereinbarungen, Beurteilungen
Welche Mitarbeiterdaten sind besonders relevant?
Nicht alle Mitarbeiterdaten sind gleich sensibel. Trotzdem sollten Unternehmen für jede Datenkategorie wissen, warum sie verarbeitet wird, wer Zugriff hat und wann sie wieder gelöscht werden muss.
Stammdaten
Name, Adresse, Kontaktdaten, Geburtsdatum, Staatsangehörigkeit oder Notfallkontakt.
Vertragsdaten
Arbeitsvertrag, Arbeitszeit, Position, Beginn, Befristung, Änderungen oder Zusatzvereinbarungen.
Lohn- und Abrechnungsdaten
Gehalt, Bankverbindung, Steuerdaten, Sozialversicherung, Zulagen oder Abwesenheiten mit Entgeltbezug.
Bewerberdaten
Lebenslauf, Zeugnisse, Bewerbungsschreiben, Gesprächsnotizen oder Auswahlentscheidungen.
Gesundheitsdaten
Krankmeldungen, Arbeitsunfähigkeitsinformationen oder andere Angaben mit Gesundheitsbezug.
Leistungs- und Verhaltensdaten
Zielerreichung, Feedback, Abmahnungen, Zeiterfassung, Systemnutzung oder Kontrollinformationen.
Was gilt beim Umgang mit Bewerberdaten?
Bewerberdaten werden häufig unterschätzt. Schon im Recruiting verarbeitet das Unternehmen personenbezogene Daten: Lebenslauf, Kontaktdaten, Zeugnisse, Gesprächsnotizen und manchmal auch sensible Informationen.
Wichtig ist, dass Bewerberinnen und Bewerber transparent informiert werden, wer ihre Daten verarbeitet, zu welchem Zweck, wie lange die Unterlagen gespeichert werden und ob sie an andere Stellen weitergegeben werden.
Recruiting-Praxis
Bewerberdaten sollten nicht einfach dauerhaft im Postfach oder in alten Ordnern liegen bleiben.
Zugriff begrenzen
Nur Personen, die am Bewerbungsprozess beteiligt sind, sollten Bewerberdaten einsehen können.
Speicherung klären
Nach Abschluss des Verfahrens sollten Bewerberdaten nicht unbegrenzt gespeichert werden.
Talentpool bewusst regeln
Eine längere Speicherung für künftige Stellen sollte transparent und sauber geregelt sein.
Welche Datenschutzpflichten gelten bei Lohnverrechnung und Personalverwaltung?
In der Lohnverrechnung beziehungsweise Lohnabrechnung werden besonders vertrauliche Mitarbeiterdaten verarbeitet: Gehalt, Bankdaten, Sozialversicherungsdaten, Steuerinformationen, Abwesenheiten, Zulagen und teilweise auch Sonderzahlungen.
Viele dieser Daten werden verarbeitet, weil gesetzliche oder arbeitsvertragliche Pflichten erfüllt werden müssen. Trotzdem gilt: Zugriff, Übermittlung, Speicherung und externe Verarbeitung müssen sauber geregelt sein.
Wichtig bei externer Lohnverrechnung
Wird die Lohnverrechnung ausgelagert, sollte klar geregelt sein, welche Daten der externe Dienstleister verarbeitet, wie die Übermittlung erfolgt und welche Sicherheitsmaßnahmen gelten.
Warum sind Krankmeldungen und Gesundheitsdaten besonders sensibel?
Krankmeldungen, Arbeitsunfähigkeitsinformationen und andere Gesundheitsdaten sind besonders sensibel. Unternehmen sollten daher genau prüfen, welche Informationen sie wirklich benötigen und wer darauf zugreifen darf.
In der Praxis reicht häufig die Information, dass eine Person arbeitsunfähig ist und für welchen Zeitraum. Details zur Diagnose oder zum Gesundheitszustand sollten nur verarbeitet werden, wenn dafür eine klare rechtliche Grundlage besteht.
Krankmeldung
Nur notwendige Informationen
Es sollte klar sein, welche Angaben benötigt werden und welche nicht.
Zugriff
Streng begrenzen
Gesundheitsbezogene Daten gehören nicht in offene Team-Listen oder allgemein zugängliche Ordner.
Kommunikation
Diskret bleiben
Abwesenheiten dürfen nicht unnötig mit sensiblen Details intern verbreitet werden.
Aufbewahrung
Fristen beachten
Unterlagen sollten nicht länger gespeichert werden, als es erforderlich ist.
Typischer Fehler
Krankheitsgründe, Diagnosen oder private Details werden manchmal informell weitergegeben. Genau hier entstehen schnell Datenschutzrisiken im Arbeitsalltag.
Was ist bei Leistungsdaten und Mitarbeiterkontrolle zu beachten?
Leistungsbeurteilungen, Zielvereinbarungen, Zeiterfassung, Systemnutzung oder Produktivitätsdaten können für Unternehmen wichtig sein. Gleichzeitig können solche Daten tief in die Privatsphäre von Beschäftigten eingreifen.
Besonders kritisch wird es, wenn Tools eine dauerhafte Überwachung ermöglichen oder Mitarbeitende nicht transparent wissen, welche Daten erhoben und ausgewertet werden.
Grundsatz für die Praxis
Kontrolle darf nicht heimlich, unbegrenzt oder ohne klaren Zweck erfolgen. Unternehmen sollten vorab prüfen, ob eine Maßnahme erforderlich, verhältnismäßig und transparent ist.
Welche Rolle spielen HR-Tools und externe Dienstleister?
Viele Unternehmen nutzen HR-Software, Bewerbermanagementsysteme, Zeiterfassung, digitale Personalakten oder externe Lohnverrechnungsdienstleister. Dadurch verlassen Mitarbeiterdaten oft das unmittelbare Unternehmen oder werden in Cloud-Systemen verarbeitet.
Vor der Tool-Einführung sollte Datenschutz mitgedacht werden.
HR-Tool-Check- Welche Mitarbeiterdaten werden verarbeitet?
- Wo werden die Daten gespeichert?
- Wer hat Zugriff im Unternehmen?
- Gibt es einen Auftragsverarbeitungsvertrag?
- Welche Löschfristen sind möglich?
- Wie werden Zugriffe protokolliert?
Nicht erst nach Einführung prüfen
Datenschutz sollte vor der Auswahl eines HR-Tools geprüft werden. Nachträglich wird es oft schwieriger, Löschung, Rollenrechte, Speicherorte oder Vertragsfragen sauber zu lösen.
Wo entstehen im HR-Alltag häufig Datenschutz-Lücken?
Viele Probleme entstehen nicht durch böse Absicht, sondern durch gewachsene Abläufe: Bewerbungen im E-Mail-Postfach, Krankmeldungen in Chatverläufen, alte Personalunterlagen in Ordnern oder unklare Zugriffsrechte in HR-Tools.
Zu viele Personen haben Zugriff
Mitarbeiterdaten liegen in Ordnern, Tabellen oder Tools, auf die mehr Personen zugreifen können als nötig.
Bewerberdaten bleiben zu lange gespeichert
Nach abgeschlossenen Bewerbungsverfahren werden Unterlagen nicht gelöscht oder ohne klare Regelung weiter aufbewahrt.
Krankmeldungen werden zu offen kommuniziert
Gesundheitsbezogene Informationen werden in Teams, Chats oder Kalendern sichtbarer, als sie sein sollten.
HR-Tools werden ohne Datenschutzprüfung eingeführt
Erst nach der Einführung fällt auf, dass Auftragsverarbeitung, Löschung oder Rechtekonzepte nicht sauber geregelt sind.
Wie lange dürfen Mitarbeiterdaten gespeichert werden?
Mitarbeiterdaten dürfen nicht unbegrenzt gespeichert werden. Gleichzeitig gibt es für bestimmte Unterlagen gesetzliche Aufbewahrungspflichten, etwa im Zusammenhang mit Lohnverrechnung, Steuer, Sozialversicherung oder arbeitsrechtlichen Ansprüchen.
Deshalb brauchen Unternehmen ein Löschkonzept, das zwischen unterschiedlichen Datenarten unterscheidet: Bewerberdaten, Personalakten, Lohnunterlagen, Krankmeldungen, Abmahnungen, Zeiterfassungsdaten oder Austrittsunterlagen.
Datenart bestimmen
Nicht jede Information in der Personalverwaltung hat dieselbe Aufbewahrungsdauer.
Zweck und Rechtsgrundlage prüfen
Solange ein Zweck oder eine Pflicht besteht, kann Speicherung erforderlich sein. Danach sollte gelöscht oder anonymisiert werden.
Löschung organisatorisch umsetzen
Löschfristen helfen nur, wenn auch klar ist, wer sie überprüft und in welchen Systemen Daten tatsächlich gelöscht werden müssen.
Was tun bei Auskunftsanfragen von Mitarbeitenden?
Beschäftigte können Auskunft darüber verlangen, welche personenbezogenen Daten über sie verarbeitet werden. Für Unternehmen bedeutet das: Sie müssen wissen, wo Mitarbeiterdaten gespeichert sind und wie sie diese strukturiert zusammenstellen können.
Besonders aufwendig wird es, wenn Daten über viele Systeme verteilt sind: Personalakte, E-Mail-Postfach, HR-Tool, Zeiterfassung, Lohnverrechnung, Bewerbermanagement, Chat-Tools oder Führungskräfteunterlagen.
Praxisnah gedacht
Wer Mitarbeiterdaten sauber strukturiert, Zugriffe begrenzt und Speicherorte kennt, kann auf Auskunftsanfragen deutlich ruhiger reagieren.
Gibt es Unterschiede zwischen Deutschland und Österreich?
Die DSGVO gilt in Deutschland und Österreich gleichermaßen. Im Beschäftigungskontext können aber zusätzliche nationale Vorschriften, arbeitsrechtliche Vorgaben, Kollektivverträge, Betriebsvereinbarungen oder Mitbestimmungsrechte relevant werden.
Deutschland
BDSG und Beschäftigtendatenschutz beachten
In Deutschland spielt neben der DSGVO insbesondere der Beschäftigtendatenschutz nach dem Bundesdatenschutzgesetz eine Rolle. Gerade bei Mitarbeiterkontrolle, Leistungsdaten und HR-Systemen sollte der Einzelfall geprüft werden.
Österreich
Arbeitsrecht und Kollektivverträge mitdenken
In Österreich sind neben der DSGVO unter anderem arbeits- und sozialrechtliche Vorgaben, Kollektivverträge und betriebliche Regelungen für den Umgang mit Mitarbeiterdaten relevant.
Wann wird externe Unterstützung bei Mitarbeiterdaten sinnvoll?
Viele Unternehmen merken erst bei konkreten Situationen, dass die internen Datenschutzprozesse im HR-Bereich nicht sauber genug definiert sind: neue HR-Software, Auskunftsanfrage, Bewerbungsschub, Datenpanne, externer Lohnverrechner oder eine heikle Krankmeldung.
Neue HR-Software
Vor Einführung prüfen
Welche Daten werden verarbeitet, wo gespeichert und wer erhält Zugriff?
Auskunftsanfrage
Schnell reagieren
Sind Datenquellen, Zuständigkeiten und Fristen intern bekannt?
Lohnverrechnung
Dienstleister regeln
Sind Übermittlung, Zugriff, Sicherheit und Vertrag sauber dokumentiert?
Krankmeldungen
Vertraulich behandeln
Ist klar, wer welche Informationen sehen darf?
Fazit
Fazit: Mitarbeiterdaten brauchen mehr als ein gutes Bauchgefühl
Mitarbeiterdaten sind im Unternehmen besonders sensibel, weil sie tief in persönliche, berufliche und teilweise gesundheitliche Bereiche hineinreichen. Gerade HR, Lohnverrechnung, Führungskräfte und Geschäftsführung sollten deshalb klare Datenschutzprozesse haben.
Wichtig sind vor allem passende Rechtsgrundlagen, transparente Informationen, klare Zugriffsrechte, sichere Tools, geregelte Löschfristen und ein bewusster Umgang mit Gesundheits- und Leistungsdaten.
Wer HR-Datenschutz strukturiert organisiert, reduziert Risiken, schützt Mitarbeitende und schafft intern mehr Sicherheit im täglichen Umgang mit sensiblen Informationen.
Häufige Fragen
Welche Mitarbeiterdaten dürfen Unternehmen verarbeiten?
Unternehmen dürfen Mitarbeiterdaten verarbeiten, wenn dafür eine passende Rechtsgrundlage besteht, etwa zur Durchführung des Arbeitsverhältnisses, zur Erfüllung gesetzlicher Pflichten oder in bestimmten Fällen auf Basis berechtigter Interessen. Entscheidend ist, dass Zweck, Umfang und Zugriff klar geregelt sind.
Sind Krankmeldungen besonders sensibel?
Ja. Krankmeldungen und Gesundheitsinformationen sind besonders vertraulich. Unternehmen sollten nur jene Informationen verarbeiten, die wirklich erforderlich sind, und den Zugriff streng begrenzen.
Wie lange dürfen Bewerberdaten gespeichert werden?
Bewerberdaten dürfen nicht unbegrenzt gespeichert werden. Nach Abschluss des Bewerbungsverfahrens sollte geprüft werden, ob eine weitere Aufbewahrung noch erforderlich ist. Eine längere Speicherung, etwa für einen Talentpool, sollte transparent geregelt sein.
Was muss bei externer Lohnverrechnung beachtet werden?
Bei externer Lohnverrechnung sollte klar geregelt sein, welche Daten verarbeitet werden, wie die Daten übermittelt werden, welche Sicherheitsmaßnahmen gelten und ob ein passender Auftragsverarbeitungsvertrag erforderlich ist.
Dürfen Unternehmen Leistungsdaten von Mitarbeitenden auswerten?
Leistungsdaten dürfen nicht beliebig verarbeitet werden. Unternehmen brauchen einen klaren Zweck, eine passende Rechtsgrundlage und müssen Transparenz, Verhältnismäßigkeit und Zugriffsbeschränkung beachten. Besonders kritisch sind dauerhafte oder heimliche Kontrollen.
Wann ist externe Datenschutzberatung im HR-Bereich sinnvoll?
Externe Unterstützung ist besonders sinnvoll, wenn neue HR-Tools eingeführt werden, Auskunftsanfragen auftreten, sensible Mitarbeiterdaten verarbeitet werden, Löschfristen unklar sind oder intern niemand die Datenschutzprozesse verlässlich steuert.
Harald Orendi ist Jurist mit Schwerpunkt Datenschutzrecht und bei ComplyDeal für die fachliche Bewertung der Compliance-Themen verantwortlich. Er begleitet Unternehmen in Deutschland und Österreich bei der Frage, welche Datenschutz-Pflichten sie konkret treffen.