Welche DSGVO-Dokumente braucht ein Arbeitgeber?

Arbeitgeber verarbeiten täglich personenbezogene Daten: Bewerbungsakten, Lohndaten, Abwesenheiten, Beurteilungen, Zugriffsprotokolle, Schulungsunterlagen und vieles mehr.

DSGVO-Konformität bedeutet daher nicht nur, einen Datenschutzhinweis für Beschäftigte zu haben. Arbeitgeber brauchen Dokumentation, die abbildet, wie Personal- und Bewerberdaten tatsächlich verarbeitet werden.

1. Verarbeitungsverzeichnis

Ihr Verarbeitungsverzeichnis ist eines der zentralen DSGVO-Dokumente.

Für den Personalbereich kann es Prozesse abdecken wie:

• Recruiting
• Personalverwaltung
• Lohnabrechnung
• Zeiterfassung
• Abwesenheitsverwaltung
• Leistungsmanagement
• Weiterbildung
• Leistungen
• IT- und Zugriffsverwaltung
• Sicherheit am Arbeitsplatz
• Beendigung und Offboarding

Dokumentieren Sie je Tätigkeit die einschlägigen Angaben: Zwecke, Datenkategorien, betroffene Personen, Empfänger, Übermittlungen, Aufbewahrung und Sicherheitsmaßnahmen, wie gefordert. Der Aufbau eines Verarbeitungsverzeichnisses ist im Personalbereich derselbe wie sonst.

Kleine Organisationen halten sich regelmäßig für befreit. Meist sind sie es nicht. Artikel 30 Absatz 5 hebt die Verzeichnispflicht für Arbeitgeber mit weniger als 250 Beschäftigten nur auf, wenn alle drei Voraussetzungen vorliegen: die Verarbeitung erfolgt gelegentlich, sie birgt voraussichtlich kein Risiko für Personen, und sie umfasst keine besonderen Kategorien oder Strafdaten.

Der Personalbereich scheitert schon an der ersten Voraussetzung. Recruiting, Lohnabrechnung und Personalverwaltung laufen fortlaufend, nicht gelegentlich. Kommen Krankheitsdaten oder anderes mit Gesundheitsbezug hinzu, entfällt auch die dritte. In der Praxis: Wer Menschen beschäftigt, braucht ein Personalverzeichnis, unabhängig von der Größe.

2. Datenschutzhinweis für Bewerber

Bewerber brauchen Informationen darüber, was im Recruiting mit ihren Daten geschieht.

Der Hinweis deckt das Verfahren ab, einschließlich einschlägiger Quellen, Zwecke, Rechtsgrundlagen, Empfänger, Aufbewahrungsfristen, Übermittlungen und Bewerberrechte.

3. Datenschutzhinweis für Beschäftigte

Beschäftigte brauchen angemessene Informationen zur Verarbeitung von Personaldaten.

Diese geht in der Regel weit über das Recruiting hinaus und kann Lohnabrechnung, Leistungen, Abwesenheit, Leistungsbeurteilung, IT-Nutzung, Sicherheit und weitere Prozesse umfassen. Eine vollständige Datenschutzrichtlinie für Mitarbeitende legt sie einzeln dar.

4. Aufbewahrungsrichtlinie oder -plan

Legen Sie fest, wie lange verschiedene Kategorien von Personalinformationen aufbewahrt werden.

Nutzen Sie nicht eine Frist für jedes Dokument.

Lohnunterlagen, abgelehnte Bewerbungen, Leistungsunterlagen und Zugriffsprotokolle können sehr unterschiedlichen Anforderungen unterliegen. Eine Richtlinie zu Aufbewahrungsfristen ist der Ort, an dem diese Unterschiede festgehalten werden.

5. Auftragsverarbeitungsverträge

Arbeitgeber nutzen häufig externe Dienstleister zur Verarbeitung von Personaldaten.

Beispiele:

• Lohnabrechnungsdienstleister
• Personalsoftware
• Recruiting-Plattformen
• Cloud-Dienste
• Anbieter von Leistungen
• Lernplattformen

Handelt ein Anbieter als Ihr Auftragsverarbeiter, verlangt die DSGVO einen passenden Auftragsverarbeitungsvertrag mit den Pflichtinhalten.

Bestimmen Sie zuerst die Rolle jedes Anbieters; nicht jeder Dritte ist zwingend Ihr Auftragsverarbeiter.

6. Verfahren und Verzeichnis für Datenschutzverletzungen

Personaldaten können von Datenschutzverletzungen betroffen sein.

Beispiele:

• Eine Lohnabrechnung geht an die falsche Person
• Ein verlorener Laptop mit Personalakten
• Ein durch Phishing kompromittiertes Personalkonto
• Eine Tabelle mit Personaldaten an die falschen Empfänger

Halten Sie ein Verfahren zur Erkennung, Bewertung und Eskalation von Vorfällen bereit. Dokumentieren Sie Verletzungen wie gefordert, mit den einschlägigen Fakten, Auswirkungen und ergriffenen Maßnahmen.

7. Verfahren für Betroffenenanfragen

Bewerber, Beschäftigte und ehemalige Beschäftigte können ihre DSGVO-Rechte ausüben.

Ihre Organisation sollte wissen, wer Anfragen bearbeitet, wie die Identität bei Bedarf geprüft wird, wo gesucht wird und wie Fristen überwacht werden. Ein definierter Prozess für Betroffenenanfragen macht das umsetzbar.

8. Interessenabwägungen

Stützen Sie sich auf berechtigtes Interesse für eine Verarbeitung, die eine Abwägung erfordert, ist deren Dokumentation gute Rechenschaftspraxis.

Das ist besonders nützlich, wo die Verarbeitung die Datenschutzerwartungen von Beschäftigten oder Bewerbern berühren kann.

9. Datenschutz-Folgenabschätzungen

Eine DSFA ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge hat.

Im Beschäftigungskontext kann das für bestimmte Überwachung, biometrische Systeme, umfangreiche Verarbeitung sensibler Daten oder KI- und Profiling-Anwendungen mit höherem Risiko gelten.

Prüfen Sie das vor der Umsetzung.

10. Dokumentation zu Sicherheit und Zugriff

Personalinformationen sind oft sensibel, auch wo sie rechtlich keine besondere Kategorie sind.

Dokumentieren Sie angemessene Maßnahmen für:

• Zugriffskontrolle
• Authentifizierung
• Vertraulichkeit
• Datensicherungen
• Gerätesicherheit
• Offboarding
• Reaktion auf Vorfälle

Richtlinien sollten dem entsprechen, was in Ihren Systemen tatsächlich geschieht.

11. Dokumentation zu Drittlandübermittlungen

Verarbeiten Personal- oder Recruiting-Dienstleister Daten außerhalb des EWR, bewerten Sie den Übermittlungsmechanismus und führen Sie die erforderliche Dokumentation.

Cloud-Software kann Drittlandübermittlungen erzeugen, auch wenn Ihre Organisation nur in Europa tätig ist.

12. Dokumentation zur KI-Governance

Nutzen Sie KI im Recruiting oder in der Beschäftigung, kann zusätzliche Dokumentation nach der DSGVO wie nach dem europäischen AI Act erforderlich sein.

Beginnen Sie damit, Anwendungsfall, betroffene Daten, Anbieter, Zweck, Rechtsgrundlage, Risiken und menschliche Aufsicht zu dokumentieren.

Systeme mit höherem Risiko verlangen deutlich mehr.

Brauchen Sie alle diese Dokumente?

Nicht jeder Arbeitgeber braucht jedes Dokument in genau derselben Form.

Der richtige Weg ist, von Ihren tatsächlichen Verarbeitungstätigkeiten auszugehen und zu bestimmen, welche Dokumentation daraus folgt.

Ein Betrieb mit fünf Personen, der einen Lohnabrechnungsdienstleister und ein einfaches Recruiting nutzt, hat nicht dieselbe Akte wie ein internationaler Arbeitgeber mit Biometrie, Überwachung und KI-Recruiting.

Aber beide müssen wissen, welche personenbezogenen Daten sie verarbeiten und warum.

Bauen Sie die Dokumente aus der Verarbeitung

DSGVO-Dokumentation sollte das Ergebnis eines Verständnisses Ihrer Organisation sein, kein Stapel unverbundener Vorlagen.

GDPRWise hilft Organisationen, ihre Personal- und sonstigen Verarbeitungstätigkeiten zu erfassen und daraus die Dokumentation aufzubauen und zu pflegen, die ihre Konformität verlangt.