Eine HR-Software ist DSGVO-konform, wenn Sie Zugriffsrechte eng fassen, Daten verschlüsseln, ein Löschkonzept anwenden und bei Cloud-Lösungen einen Auftragsverarbeitungsvertrag abschließen. Hinzu kommt die Pflicht, Beschäftigte transparent zu informieren. Wer eine HR-Software DSGVO-konform einführen will, sollte diese Punkte vor der Auswahl klären und nicht erst im Betrieb.
Das Wichtigste in Kürze
- Personaldaten sind besonders sensibel, teils handelt es sich um Gesundheitsdaten.
- Bei Cloud-Software brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und müssen den Serverstandort prüfen.
- Ein Rollen- und Rechtesystem sorgt dafür, dass jeder nur sieht, was er braucht.
- Verschlüsselung, Zwei-Faktor-Anmeldung und Protokollierung gehören zur Grundausstattung.
- Bewerber- und Personalakten brauchen feste Löschfristen.
Welche Daten stecken in einer HR-Software?
Personalabteilungen sind Datensammelstellen. Je nach Funktionsumfang verarbeitet die Software:
- Stammdaten: Name, Geburtsdatum, Adresse, Bankverbindung.
- Vertragsdaten: Gehalt, Arbeitszeiten, Urlaubsansprüche.
- Bewerberdaten: Lebensläufe und Zeugnisse.
- Leistungsbeurteilungen: Zielvereinbarungen, Feedback, Entwicklungspläne.
- Gesundheitsdaten: Arbeitsunfähigkeitsbescheinigungen und Unterlagen zum betrieblichen Eingliederungsmanagement, soweit anfallend.
Viele dieser Daten sind hochsensibel. Das erfordert strenge Schutzmaßnahmen und eine saubere Begründung, warum Sie die Daten überhaupt speichern.
Cloud oder eigener Server: Was gilt für den Datenschutz?
Hier gibt es zwei Grundmodelle.
- Cloud-Software (SaaS): Der Anbieter hostet die Software, Sie greifen per Browser zu. Sie brauchen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und sollten den Serverstandort prüfen.
- Eigener Betrieb: Sie betreiben die Server selbst. Dann sind Sie auch für Sicherheit, Updates und Backups zuständig.
In beiden Fällen gelten dieselben Grundsätze: Zugriffsrechte, Löschfristen und Nachvollziehbarkeit. Der Vertrag mit dem Anbieter ersetzt Ihre eigene Verantwortung nicht. Sie bleiben Verantwortlicher im Sinne der DSGVO.
Was muss eine DSGVO-konforme HR-Software technisch können?
Prüfen Sie vor dem Kauf diese Kernanforderungen. Fragen Sie den Anbieter konkret danach, und lassen Sie sich die Antworten schriftlich geben.
- Rollen und Rechte: Nicht jeder braucht vollen Zugriff. Die Personalabteilung sieht mehr als ein Fachvorgesetzter, der nur begrenzte Einsicht in Stammdaten haben sollte.
- Verschlüsselung: Daten müssen bei der Übertragung und bei der Speicherung geschützt sein, also etwa per HTTPS oder VPN und mit verschlüsselter Datenbank.
- Zwei-Faktor-Authentifizierung: Mindestens für Administratoren, um externe Angriffe zu erschweren.
- Protokollierung: Es sollte nachvollziehbar sein, wer wann welche Datensätze eingesehen oder geändert hat.
- Löschfunktionen: Die Software muss Fristen abbilden und Datensätze gezielt löschen oder sperren können.
Die Anforderungen an die Sicherheit der Verarbeitung ergeben sich aus Art. 32 DSGVO.
Wie führen Sie Bewerbermanagement DSGVO-konform?
Bewerberdaten sind besonders kritisch, weil Lebensläufe, Zeugnisse und manchmal Gesundheitsangaben darin stehen. Beachten Sie:
- Datensparsamkeit: Fragen Sie nur ab, was für die Stelle relevant ist.
- Aufbewahrung: Bei abgelehnten Bewerbern löschen Sie die Daten nach einem angemessenen Zeitraum. Üblich sind drei bis sechs Monate, falls es zu Klagen kommt.
- Talentpool: Nur mit Einwilligung dürfen Sie Bewerberdaten länger aufbewahren.
Planen Sie die Löschung im System als Automatik ein. Händische Listen werden im Alltag vergessen. Wie ein solches Konzept aufgebaut ist, beschreibt unser Leitfaden zum DSGVO Löschkonzept.
Wie sieht ein Rechtekonzept in der Praxis aus?
Ein Rechtekonzept beschreibt, welche Rolle welche Daten sehen und ändern darf. Für ein Unternehmen mit überschaubarer Größe genügen meist vier Rollen:
- Personalsachbearbeitung: Zugriff auf Stamm- und Vertragsdaten der betreuten Beschäftigten.
- Personalleitung: zusätzlich Zugriff auf Beurteilungen und sensible Vorgänge.
- Fachvorgesetzte: nur Urlaubs- und Abwesenheitsdaten des eigenen Teams, keine Gehälter.
- Beschäftigte selbst: Einsicht in die eigenen Daten, etwa über ein Selbstbedienungsportal.
Gesundheitsdaten sollten Sie noch enger fassen und getrennt ablegen. Dokumentieren Sie die Rollen und prüfen Sie sie mindestens einmal im Jahr. Passen Sie sie sofort an, wenn jemand die Abteilung wechselt. Das gilt auch für Vertretungen im Urlaub oder bei Krankheit, die nur befristet Zugriff erhalten sollten.
Brauchen Sie eine Einwilligung der Mitarbeiter für die HR-Software?
Nicht immer. Viele Daten verarbeiten Sie zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für besondere Kategorien wie Gesundheitsdaten oder biometrische Daten und für weitergehende Nutzungen kann eine Einwilligung erforderlich sein. Im Beschäftigungsverhältnis ist Freiwilligkeit allerdings heikel, weil Beschäftigte vom Arbeitgeber abhängig sind. Prüfen Sie deshalb zuerst andere Rechtsgrundlagen.
Unabhängig davon gilt die Transparenzpflicht. Beschäftigte müssen wissen, welche Daten die Software speichert. Gibt es einen Betriebsrat, kommt häufig eine Betriebsvereinbarung in Betracht. Das BDSG enthält ergänzende Regeln zum Beschäftigtendatenschutz, die DSGVO bleibt der Rahmen.
Welche Praxis-Tipps helfen bei Vertrag und Betrieb?
- Auftragsverarbeitungsvertrag konkret fassen: Halten Sie fest, welche Sicherheitsmaßnahmen gelten, wie Backups gehandhabt werden und wie der Einsatz von Subunternehmern geregelt ist.
- Externe Administratoren begrenzen: Ein externer IT-Admin darf nur auf HR-Daten zugreifen, wenn es unbedingt nötig ist, etwa bei Wartung. Auch hier gilt das Need-to-know-Prinzip.
- Mitarbeitende schulen: Gerade in HR-Abteilungen passieren Fehler, etwa durch unverschlüsselte Mails oder Bewerbungsunterlagen an falsche Empfänger.
- Zugriffe regelmäßig prüfen: Wer das Unternehmen verlässt oder die Abteilung wechselt, verliert die Rechte.
Ähnliche technische Grundlagen beschreibt unsere DSGVO Website Checkliste. Dieser Beitrag ersetzt keine Rechtsberatung.
Welche Fragen stellen Sie einem HR-Software-Anbieter vor dem Kauf?
Eine schriftliche Fragenliste spart später Ärger. Sie hilft auch, wenn Sie mehrere Lösungen vergleichen und gegenüber der Geschäftsleitung begründen müssen, warum Sie sich für eine entschieden haben.
- Wo stehen die Server, und wer hat darüber hinaus Zugriff, etwa Support oder Subunternehmer?
- Gibt es einen Auftragsverarbeitungsvertrag, und welche Sicherheitsmaßnahmen sind darin beschrieben?
- Wie sind Rollen und Rechte aufgebaut, und lassen sie sich an Ihre Struktur anpassen?
- Können Löschfristen je Datenart hinterlegt werden, und wie läuft die Löschung ab?
- Was passiert mit den Daten, wenn Sie den Vertrag beenden? Können Sie sie vollständig exportieren und löschen lassen?
- Wie werden Betroffenenanfragen unterstützt, etwa Auskunft und Löschung?
Was gehört neben der Software noch zur Dokumentation?
Die Software allein macht Sie nicht konform. Tragen Sie die Verarbeitung in Ihr Verzeichnis von Verarbeitungstätigkeiten ein. Informieren Sie Beschäftigte und Bewerber in verständlicher Form über Zweck, Dauer und Empfänger. Halten Sie Rechte, Rollen und Löschfristen schriftlich fest. Bei umfangreicher Verarbeitung sensibler Daten sollten Sie zudem prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Lassen Sie diese Frage im Zweifel von einer fachkundigen Stelle klären.
Unsere Einschätzung aus der Praxis
In kleinen und mittleren Unternehmen wird die HR-Software oft aus Bequemlichkeit eingeführt und der Datenschutz später nachgezogen. Typisch sind zu weit gefasste Rechte, ein fehlender Auftragsverarbeitungsvertrag und Bewerberdaten, die nie gelöscht werden. Auch Excel-Listen und Mailpostfächer laufen oft parallel zur Software weiter und umgehen jede Vorgabe. Beginnen Sie mit einer einfachen Übersicht, welche Daten die Software enthält und wer wann Zugriff braucht. Klären Sie danach Vertrag, Löschfristen und Schulung. Erst dann lohnt der Vergleich von Anbietern, weil Sie dann wissen, was Sie fragen müssen.
Häufige Fragen
Darf ein externer IT-Admin auf HR-Daten zugreifen?
Nur wenn es unbedingt nötig ist, zum Beispiel bei Wartungsarbeiten. Auch dabei gilt das Need-to-know-Prinzip.
Welche Spezialregeln gelten für den Beschäftigtendatenschutz?
Das BDSG konkretisiert vieles, etwa bei der Mitbestimmung durch den Betriebsrat. Grundsätzlich bleibt die DSGVO der Dachrahmen.
Ist für jede Verarbeitung in der HR-Software eine Einwilligung nötig?
Nein. Viele Daten verarbeiten Sie zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Für besondere Daten wie Gesundheit oder biometrische Merkmale und für weitergehende Nutzungen kann eine Einwilligung erforderlich sein.
Brauche ich für eine Cloud-HR-Software einen Auftragsverarbeitungsvertrag?
Ja. Hostet der Anbieter die Software und kann er auf personenbezogene Daten zugreifen, ist ein Vertrag nach Art. 28 DSGVO erforderlich. Prüfen Sie zusätzlich den Serverstandort.
Wie lange darf ich Bewerberdaten speichern?
Bei abgelehnten Bewerbern üblicherweise drei bis sechs Monate, falls es zu Klagen kommt. Für einen Talentpool brauchen Sie eine Einwilligung.
Erstellen Sie als nächsten Schritt eine Liste aller Personaldaten und der Systeme, in denen sie liegen, und prüfen Sie Vertrag, Rechte und Löschfristen. Unterstützung bei der Datenschutz-Umsetzung bieten wir ebenfalls an. Fragen zur Umsetzung in Ihrem Unternehmen beantworten wir gern: Nehmen Sie Kontakt auf.
