Personalabteilungen sind Datensammelstellen: Bewerbungsunterlagen, Arbeitsverträge, Lohnabrechnungen, Krankmeldungen. Eine HR-Software kann all diese Prozesse effizient bündeln. Doch mit sensiblen Daten steigt das Risiko von Datenschutzverstößen. HR-Software DSGVO-konform einzusetzen bedeutet, klar geregelte Zugriffsrechte, sichere Verschlüsselung, ein Löschkonzept und ggf. einen Auftragsverarbeitungsvertrag mit dem Softwareanbieter. In diesem Artikel erfährst du, worauf du bei Auswahl und Konfiguration achten solltest und warum nicht nur die IT, sondern auch die Personalverantwortlichen bestens geschult sein müssen, um Personaldaten DSGVO-sicher zu verwalten.
Bulletpoints – HR-Software DSGVO-konform
- Zugriffsrechte: nur so viel wie nötig
- Auftragsverarbeitungsvertrag bei Cloud-Anbietern
- Verschlüsselung (Transport + Datenbank)
- Löschkonzept für ehemalige Bewerber, Ex-Mitarbeiter
1. Welche Daten stecken in einer HR-Software?
- Stammdaten: Name, Geburtsdatum, Adresse, Bankverbindung.
- Vertragsdaten: Gehalt, Arbeitszeiten, Urlaubsansprüche.
- Bewerberdaten: Lebensläufe, Zeugnisse.
- Leistungsbeurteilungen: Zielvereinbarungen, Feedback, Entwicklungspläne.
- Gesundheitsdaten (ggf.): Arbeitsunfähigkeitsbescheinigungen, BEM-Akten.
Viele Daten sind hochsensibel, was strenge Schutzmaßnahmen erfordert.
2. Auftragsverarbeitung vs. Inhouse-Lösung
- Cloud-Software (SaaS): Der Anbieter hostet die HR-Software, du greifst per Browser zu. -> Auftragsverarbeitungsvertrag (Art. 28 DSGVO) erforderlich, Serverstandort prüfen.
- Inhouse-Lösung: Du betreibst eigene Server. -> Du bist selbst für Sicherheit, Updates und Backups zuständig.
In beiden Fällen gelten die DSGVO-Grundsätze (Zugriffsrechte, Löschfristen etc.).
3. Kernanforderungen
- Rollen- und Rechtesystem: Nicht jeder Mitarbeiter braucht vollen Zugriff. Personalabteilung sieht mehr Infos als ein Fachvorgesetzter, der nur begrenzte Einsicht in Stammdaten haben sollte.
- Verschlüsselung (at rest und in transit): Datenbankverschlüsselung, HTTPS oder VPN.
- Löschkonzept: Personalakten sollten nach Ende des Arbeitsverhältnisses oder nach bestimmten Fristen gelöscht bzw. archiviert werden.
- Transparenz: Mitarbeiter müssen wissen, welche Daten die HR-Software speichert. Im Zweifel: Einwilligung oder Betriebsvereinbarung.
4. Bewerbermanagement – HR-Software DSGVO-konform
Bewerberdaten sind besonders kritisch, da du intime Infos (Lebensläufe, Zeugnisse, ggf. Gesundheitsinfos) haben könntest. Achte darauf:
- Datensparsamkeit: Nur abfragen, was für die Stelle relevant ist.
- Aufbewahrung: Werden Bewerber abgelehnt, lösche die Daten nach einem angemessenen Zeitraum (meist 3–6 Monate, falls es zu Klagen kommt).
- Talentpool: Nur mit Einwilligung darfst du Bewerberdaten länger aufbewahren.
5. Praxis-Tipps
- Auftragsverarbeitungsvertrag: Wenn der Anbieter ein Cloud-System bereitstellt, schreibe rein, welche Sicherheitsmaßnahmen gelten, wie Backups gehandhabt werden und wie Subunternehmer-Einsatz geregelt ist.
- Zwei-Faktor-Authentifizierung: Adminzugriff nur per 2FA, um externe Angriffe zu erschweren.
- Logging: Welche User haben wann welche Datensätze eingesehen oder geändert?
- Mitarbeiterschulung: Gerade in HR-Abteilungen passieren Fehler durch unverschlüsselte Mails (z. B. Bewerbungsunterlagen an falsche Empfänger).
FAQ -HR-Software DSGVO-konform
Nur, wenn es unbedingt nötig ist (z. B. Wartungsarbeiten). Auch dabei greift das Need-to-know-Prinzip.
Das BDSG (Spezialregel in DE) konkretisiert viel, z. B. für Mitbestimmung durch Betriebsrat. Grundsätzlich bleibt die DSGVO der Dachrahmen.
Nicht immer. Viele Daten verarbeitest du zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Aber für besondere Daten (Gesundheit, biometrisch) oder weitergehende Nutzungen kann Einwilligung erforderlich sein.
