DSGVO im Betrieb: Datenschutz-Grundverordnung & HR

Die DSGVO (Datenschutz-Grundverordnung, EU-Verordnung 2016/679) regelt, wie personenbezogene Daten verarbeitet werden dürfen. Sie gilt seit dem 25. Mai 2018 in der EU und verpflichtet Verantwortliche und Auftragsverarbeiter zu Transparenz, Zweckbindung, Datenminimierung und dokumentierten Maßnahmen. Im HR betrifft das Bewerber-, Beschäftigten- und Stammdaten ebenso wie Zeiten aus der Zeiterfassung.

Beauftragst du einen Auftragsverarbeiter – z. B. Cloud-Hosting oder HR-Software – verlangt Art. 28 DSGVO einen AV-Vertrag mit Weisungen, Unterauftragsverarbeiter, TOMs und Regeln zu Hilfsmitteln. Er schafft Klarheit, wer für welche Verarbeitungshaftung einsteht, und ist die Basis für Prüfungen und Incident-Management. Ohne AV bleibt die rechtliche Zuordnung oft unklar.

TOMs sind Maßnahmen zum Schutz personenbezogener Daten – etwa Zugriffsrechte, Verschlüsselung, Protokollierung, Backups, Schulungen und physische Zutrittskontrolle. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Für HR bedeutet das: Rollen in der Personalakte und in der Zeiterfassung müssen zur Sensibilität der Daten passen – nicht nur „alle Admin“.

Die DSGVO ist EU-Recht und setzt einheitliche Grundregeln. In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) und weitere Gesetze die Umsetzung – etwa zu Beschäftigtenkontexten. Praktisch liest du die DSGVO für Prinzipien und allgemeine Pflichten; im BDSG finden sich oft spezifischere Vorgaben. Beides gilt nebeneinander; im Zweifel sind Fachstelle oder Rechtsberatung sinnvoll.

Die DSGVO klärt, ob und wie personenbezogene Daten rechtmäßig verarbeitet werden (Zwecke, Rechte, TOMs). GoBD und Revisionssicherheit betreffen vor allem Nachweisbarkeit und Integrität von Aufzeichnungen in steuerlich/prüfungsnahen Kontexten. Dieselben Systeme können beides auslösen – die Fragestellungen sind aber verschieden; deshalb lohnt die saubere Trennung in Organisation und Dokumentation.

Zuerst intern klassifizieren: Welche Daten, welche Betroffenen, welches Risiko? Art. 33–34 DSGVO sehen bei bestimmten Vorfällen Fristen für Meldungen an Aufsichtsbehörden und ggf. Information der Betroffenen vor. HR sollte Ansprechpartner (IT-Security, Legal) und ein Incident-Playbook kennen – etwa bei verlorenem Gerät mit Bewerberlisten. Dokumentation der Maßnahmen ist Teil der Rechenschaftspflicht.

Stempelzeiten sind personenbezogene Daten: Transparenz (was wird erfasst, wie lange, wer sieht es?), Zweckbindung und Minimierung sind zentral. Technisch helfen rollenbasierte Zugriffe und nachvollziehbare Korrekturen – inhaltlich müssen Hinweise und ggf. Betriebsvereinbarungen zu eurem Setup passen. So verknüpfst du Arbeitszeiterfassung und Datenschutz ohne widersprüchliche Schattenprozesse.

Eine DSFA kann bei hohem Risiko erforderlich sein – etwa bei umfangreicher Verarbeitung besonderer Kategorien, großflächiger Überwachung oder bestimmten automatisierten Entscheidungen. Für HR-Projekte (neue KI-Tools, umfassende Auswertungen) lohnt die frühe Prüfung mit Datenschutz und ggf. Fachrecht. Sie ersetzt keine Einzelfallbewertung, strukturiert aber Risiken und Gegenmaßnahmen.

Personenbezogene Daten sind alle Informationen zu einer identifizierten oder identifizierbaren Person – z. B. Name, Personalnummer, Stempelzeiten, Bewerbungsunterlagen, Bankdaten oder IP-Adressen, wenn sie zuordenbar sind. Im HR fallen darunter typischerweise Stammdaten, Vertrags- und Abwesenheitsdaten sowie Exporte in die Lohnabrechnung. Besondere Kategorien (z. B. Gesundheitsdaten) unterliegen engeren Regeln.

Betroffene haben u. a. Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und unter Bedingungen Datenportabilität. Für HR brauchst du Zuständigkeiten, interne Fristen und oft ein kleines Anfrageverfahren, damit Antworten vollständig und nachvollziehbar sind. Gesetzliche Aufbewahrung kann Löschungen in Einzelfällen aussetzen – dann mit dokumentierter Rechtfertigung.

Nein. Die DSGVO kennt mehrere Rechtsgrundlagen nach Art. 6 Abs. 1 – etwa Vertrag, rechtliche Pflicht oder berechtigtes Interesse nach Abwägung. Einwilligungen sind im Arbeitsverhältnis oft kritisch, weil Abhängigkeiten die Freiwilligkeit erschweren. Viele Betriebe stützen sich deshalb auf andere Grundlagen, wo zulässig, und dokumentieren die jeweilige Rechtfertigung – statt pauschaler „Checkbox-Einwilligungen“.

Ja, der Anwendungsbereich richtet sich nach der Verarbeitung personenbezogener Daten, nicht nach Mitarbeiterzahl. Kleinbetriebe haben oft weniger formale Strukturen, müssen aber trotzdem Zwecke, Hinweise und Sicherheit adressieren – etwa wenn Zeiten, Bewerbungen oder Krankmeldungen digital anfallen. Ein fehlender Datenschutzbeauftragter entbindet nicht von der Einhaltung der Vorschriften.