DS-GVO für HR: Mitarbeiterdaten-Compliance Checkliste für Regulierte Arbeitgeber: Eine praktische Compliance-Checkliste für Personalteams und regulierte Arbeitgeber. Mitarbeiter-Datenkategorien, rechtmäßige Grundlagen, Aufbewahrung, Überwachung und die DSAR..
HubSecure ist relevant, wenn Teams sichere Client-Aufzeichnungen, Dokumentensammlung, Workflow-Besitz, rollenbasierter Zugriff und audit-ready-Anweisungen in einem geregelten Workspace benötigen.
Verwandter HubSecure-Kaufpfad
Compliance-CRM-Leitfaden Compliance-CRM für wachsende Unternehmen CRM-Modul HubSpot-Vergleich Compliance-CRM-Leitfaden Leitfaden-Bibliothek Buchen Sie eine Workflow-Demo
Zugehörige Ressourcen zu Sicherheit, Datenschutz und Governance
Weiter mit HubSecure Sicherheits- und Trustcenter, Datenverarbeitungsvereinbarung, Unterauftragsverarbeiter, Compliance-Workflows, geregelter KI-Betreiber.
Verwandter Anwendungsfall
Dieser Leitfaden gehört zum Cluster Workspace Alternatives and Tool Consolidation Guides. Fahren Sie mit dem Produkt-Hub für Arbeitsplatzalternativen und Werkzeugkonsolidierung fort.
Warum Mitarbeiterdaten eine Compliance-Priorität sind, nicht nur eine HR-Frage
Personalabteilungen verarbeiten einige der sensibelsten personenbezogenen Daten in jeder Organisation: Gesundheitsakten, Leistungsdaten, Disziplinarunterlagen, Finanzinformationen (Gehälter, Renten, Ausgaben), familiäre Umstände und in regulierten Bereichen — Strafregisterprüfungen, Bewertungen der regulatorischen Eignung und Angemessenheit sowie obligatorische Meldedaten.
Dennoch wird der Einhaltung der DSGVO für Mitarbeiterdaten häufig eine geringere Priorität eingeräumt als der Einhaltung der Kundendaten. Die Aufsichtsbehörden haben es bemerkt. Mehrere der Durchsetzungsmaßnahmen im Jahr 2025–2026 betrafen Verstöße im Zusammenhang mit dem Personalwesen: Mitarbeiterüberwachung ohne Offenlegung, übermäßige Aufbewahrung von Daten ehemaliger Mitarbeiter, DSARs von Mitarbeitern während Streitverfahren, die systematische Versäumnisse bei der Datenverwaltung aufdeckten.
Für Unternehmen aus den Bereichen Finanzdienstleistungen, Recht, Gesundheitswesen und anderen regulierten Sektoren steht noch mehr auf dem Spiel. Regulatorische Eignungs- und Anstandsdaten, disziplinarische Aufzeichnungen, die sich auf Geldwäsche oder Betrug beziehen, und Whistleblower-Daten überschneiden sich alle mit HR-Pflichten und Compliance-Pflichten — Dadurch entsteht eine komplexere Risikolandschaft als bei typischen Arbeitgebern.
DSGVO und Arbeitsrecht interagieren. Die Einhaltung von Mitarbeiterdaten ist nicht nur eine DSGVO-Frage — Darüber liegen nationales Arbeitsrecht, Mitspracherechte des Betriebsrats (in Deutschland, den Niederlanden, Frankreich und anderen Ländern), Tarifverträge und branchenspezifische Regelungen. Die folgende Checkliste konzentriert sich auf die DSGVO-Verpflichtungen. immer Querverweise zum geltenden nationalen Arbeitsrecht.
Welche Mitarbeiterdaten verarbeitet Ihr Unternehmen?
Bevor Sie die Compliance beurteilen können, benötigen Sie eine vollständige Bestandsaufnahme. Die meisten HR-Funktionen unterschätzen, wie viele Daten sie speichern. Eine vollständige Bestandsaufnahme umfasst Daten zu jeder Phase des Beschäftigungslebenszyklus:
Rekrutierung und Voreinstellung
- Lebenslauf, Anschreiben, Bewerbungsformulardaten
- Interviewnotizen und Beurteilungsergebnisse
- Referenzschreiben und Kontaktinformationen des Schiedsrichters
- Dokumente zur Überprüfung der Arbeitsberechtigung
- Strafregisterprüfungen (DBS/Offenlegungsprüfungen), sofern gesetzlich zulässig
- Finanzielle Hintergrundüberprüfungen für regulierte Rollen (FCA-Fit and Proper, FINMA usw.)
- Anfragen und Antworten zu regulatorischen Referenzen (obligatorisch für britische Finanzdienstleistungen)
Aktive Beschäftigung
- Persönliche Daten (Name, Adresse, Geburtsdatum, Sozialversicherungs-/Steuernummer)
- Arbeitsvertrag und Bedingungen
- Lohn-, Gehalts- und Leistungsdaten
- Nominierungen für Renten- und Lebensversicherungen
- Leistungsbeurteilungen und Ziele
- Ausbildungsnachweise und Berufsqualifikationen
- Disziplinar- und Beschwerdeprotokolle
- Abwesenheits- und Krankenakten
- Flexible Arbeits- und Familienurlaubsdokumentation
- IT-Zugriffsprotokolle, E-Mail-Überwachungsdaten (falls zutreffend)
- Reisekostenabrechnungen und Firmenkartendaten
- Regulatorische Registrierungen (SMF, AR-Status im Vereinigten Königreich; MiFID-Registrierung als gebundener Agent)
Nach Beendigung des Arbeitsverhältnisses
- Rücktritts-/Kündigungsdokumentation
- Vergleichsvereinbarungen und NDA-Bedingungen
- Regulatorische Referenzdaten (obligatorisch bei Finanzdienstleistungen)
- Rentenunterlagen und Dokumentation der aufgeschobenen Leistungen
- Einreichungen bei der HMRC/Steuerbehörde
- Litigation-Hold-Daten (bei laufenden Streitigkeiten)
Rechtliche Grundlage für die Verarbeitung von Arbeitnehmerdaten
Die DSGVO verlangt für jede Verarbeitungstätigkeit eine Rechtsgrundlage. Für Mitarbeiterdaten sind die am häufigsten anwendbaren Grundlagen:
| Rechtsgrundlage | Wenn es im HR-Bereich gilt | Wichtige Einschränkungen |
|---|---|---|
| Artikel 6 Absatz 1 Buchstabe b – Vertrag | Zur Erfüllung des Arbeitsvertrags erforderliche Verarbeitung (Gehaltsabrechnung, Urlaubsverwaltung, Verwaltung von Leistungen) | Deckt nur das wirklich Notwendige ab. Kann nicht auf die gesamte Personalverarbeitung ausgeweitet werden. |
| Artikel 6 Absatz 1 Buchstabe c – Gesetzliche Verpflichtung | HMRC-Berichterstattung, automatische Rentenanmeldung, DSGVO-Verpflichtungen selbst, AML-Personalüberprüfung, Berichterstattung von FCA-Führungskräften | Die rechtliche Verpflichtung muss konkret und klar sein. Kann nicht für intern generierte Richtlinien verwendet werden. |
| Artikel 6 Absatz 1 Buchstabe f – Berechtigte Interessen | Betrugsprävention, Sicherheitsüberwachung, Geschäftskontinuitätsplanung, Bereitstellung von Referenzen für potenzielle Arbeitgeber | Erfordert einen Ausgleichstest. Bei unverhältnismäßiger Verarbeitung können die Interessen der Arbeitnehmer überwiegen. |
| Artikel 6 Absatz 1 Buchstabe a — Zustimmung | Nur, wenn wirklich optional und der Mitarbeiter kann sich ohne Beeinträchtigung (z.B. optionale Wellnessprogramme, Opt-In-Leistungen) | Die Zustimmung ist in der Regel unangemessen als die Hauptbasis für die Arbeitsbearbeitung, da das Leistungsungleichgewicht selten frei gegeben ist. |
Die Einwilligungsfalle in HR: Viele HR-Abteilungen verwenden als primärer Mechanismus für die Datenerhebung von Mitarbeitern Einwilligungsformulare. Der DSGVO-Einwilligungsstandard erfordert eine freiwillige Einwilligung — Mitarbeiter sind jedoch selten in der Lage, ohne Konsequenz abzulehnen. Die Artikel 29 Arbeitspartei (jetzt EDPB) hat wiederholt erklärt, dass die Zustimmung "unwahrscheinlich im Rahmen der Beschäftigung frei gegeben werden kann". Verwenden Sie Vertragsleistung, gesetzliche Verpflichtung oder berechtigte Interessen als Ihre primären Grundlagen & #x2014; und verwenden Sie nur eine Einwilligung für eine wirklich optionale, verlustarme Verarbeitung.
Sonderkategorie Daten in HR
Mehrere Kategorien von HR-Daten sind "Sonderkategorie" nach Art. 9 DSGVO, die eine ausdrückliche Zustimmung oder eine bestimmte Art. 9 Bedingung neben dem Art. 6 rechtmäßige Grundlage erfordern. In HR sind die häufigsten Sonderkategorien:
- Gesundheitsdaten — Krankheitsausfälle, Arbeitsgesundheitsberichte, Behindertenunterkünfte, Phasenrückkehrpläne. Häufigste Sonderkategorie in HR. Rechtliche Grundlage ist typischerweise Artikel 9 Absatz 2 Buchstabe b (Arbeitsrechtspflichten) in Verbindung mit Artikel 6 Absatz 1 Buchstabe c.
- Gewerkschaftsmitgliedschaft & #x2014; wo Mitarbeiter Mitgliedschaft offenlegen oder wenn Abzüge für Gewerkschaftsgebühren gemacht werden. Typischerweise gilt Artikel 9 Absatz 2 Buchstabe b.
- Biometrische Daten — Fingerabdruck-Eintaktsysteme, Gesichtserkennung Zugriffskontrolle. Erfordert eine ausdrückliche Zustimmung oder Artikel 9 Absatz 2 Buchstabe b) die Rechtfertigung eines DPIA.
- Kriminelle Überzeugungsdaten — DBS-Checks, Finanzkontrolle, AML-bezogene Screenings. Artikel 10 gilt (nicht Artikel 9) — erfordert eine spezifische innerstaatliche Rechtsvorschrift. Im Vereinigten Königreich wird dies durch die Rehabilitation des Offenders-Gesetzes geregelt; in anderen Zuständigkeiten der EU gelten gleichwertige nationale Bestimmungen.
Mitarbeiter Monitoring: Die DSGVO High-Risk-Zone
Die Umstellung auf Remote- und Hybrid-Arbeit erhöht drastisch den Arbeitgebereinsatz von Monitoring-Software & #x2014; Produktivitätstracker, Keylogger, Screenshot-Tools, E-Mail-Überwachung und GPS-Tracking für Remote-Arbeiter. Dies ist jetzt einer der aktivsten Bereiche der Mitarbeiterdaten DSGVO Compliance.
Die Rechtsstellung der EU-Aufsichtsbehörden ist konsequent:
- Die Mitarbeiterüberwachung ist nicht inhärent rechtswidrig — sie muss jedoch eine gültige Rechtsgrundlage (typischerweise legitime Interessen oder gesetzliche Verpflichtung) haben
- Es muss verhältnismäßig sein — die am wenigsten aufdringlichste Methode, die das legitime Ziel erfüllt
- Mitarbeiter müssen transparent informiert werden & #x2014; in ihrem Vertrag, ein Policy-Dokument oder eine bestimmte Datenschutzerklärung & #x2014; bevor die Überwachung beginnt
- Ein DPIA ist für die systematische oder groß angelegte Mitarbeiterüberwachung erforderlich (DSGVO Artikel 35)
- In vielen EU-Behörden (Deutschland, Niederlande, Frankreich, Österreich) ist vor der Umsetzung von Überwachungssystemen eine Konsultation des Betriebsrates erforderlich
The keylogger fine: Im Jahr 2025 wurde ein niederländisches Buchhaltungsunternehmen verfeinert & #x20AC;2.8M für die Installation von Keylogging-Software auf Mitarbeiter-Laptops ohne Offenlegung, ohne DPIA, und ohne eine rechtmäßige Grundlage über die interne Politik hinaus. Das Unternehmen argumentierte, es sei "Standard-Sicherheitspraxis". Die niederländische DPA ist nicht einverstanden. Die Geldbuße entspricht etwa 8 % des Jahresumsatzes des Unternehmens.
Betroffenenrechte für Mitarbeiter
Mitarbeiter haben dieselben Rechte wie jede Person der DSGVO. In der Praxis sind die am häufigsten ausgeübten:
Zugriffsrecht (DSAR)
Mitarbeiter können alle über sie gespeicherten personenbezogenen Daten anfordern. Dies wird am häufigsten während Disziplinarverfahren, Trauerverfahren oder Arbeitsgerichtsansprüchen & #x2014 ausgeübt; genau wenn Sie am wenigsten wissen wollen, dass Ihr Datenmanagement Lücken hat. Häufige Fragen in der Mitarbeiter-DSARs umfassen:
- E-Mail-Aufzeichnungen und informelle Manager-Kommunikation, die negative Bewertungen enthalten
- Performance Note Dateien außerhalb formaler HR-Systeme gehalten
- IT-Überwachungsdaten, die das Ausmaß der Überwachung erkennen
- Daten über das Payroll-System, die Zahlungsbilanzen offenlegen
- Verweise auf andere Arbeitgeber ohne Kenntnisse des Arbeitnehmers
Recht auf Löschung
Erasure-Anfragen von Mitarbeitern sind komplexer als Client-Änderungsanträge, weil das Beschäftigungsrecht überlappende Rückhalteverpflichtungen schafft. Sie können keine Payroll-Aufzeichnungen löschen, die HMRC erfordert, dass Sie für 6 Jahre, oder Rentenaufzeichnungen für 60 Jahre benötigt, als Reaktion auf eine Löschanfrage. Rückforderungspflichten überwiegen das Recht auf Löschung & #x2014; nur für die Daten, die tatsächlich von der Verpflichtung erfasst werden. Extrane Daten (informale Notizen, übermäßige Überwachungsdaten, alte Performance-E-Mails) können und sollten gelöscht werden, wenn nicht mehr erforderlich.
Recht auf Widerspruch
Mitarbeiter können gegen die Verarbeitung auf Grundlage berechtigter Interessen Widerspruch einlegen. Wenn ein Mitarbeiter einem Überwachungsprogramm widerspricht, müssen Sie prüfen, ob zwingende schutzwürdige Gründe ihre Interessen überwiegen. Dies ist eine echte Balance Übung & #x2014; nicht ein Gummistempel, um die Überwachung unabhängig davon fortzusetzen.
HR-Datenaufbewahrung: Schlüsselzeiträume
Überretention ist eines der häufigsten Fehler von HR-DSGVO & #x2014 und einer der einfachsten zu beheben. Erstelle einen Aufbewahrungsplan und ersetze ihn mit regelmäßigen Löschprüfungen.
Die HR-DSGVO-Compliance-Checkliste
- Datenschutzhinweise des Personals (Mitarbeiter-Ansicht) an Ort und Stelle und aktuell — getrennt von der Datenschutzhinweise des Kunden
- Artikel 30 Aufzeichnungen über Verarbeitungstätigkeiten (RoPA) umfasst alle Tätigkeiten der Personalverarbeitung
- Rechtliche Grundlage für jede HR-Verarbeitungstätigkeit (Vertrag, gesetzliche Verpflichtung, berechtigte Interessen, gegebenenfalls Zustimmung)
- Besondere Kategorie Datenverarbeitung dokumentiert mit Artikel 9
- Arbeitsverträge, aktualisiert auf Referenzdatenverarbeitungstätigkeiten
- Recruitment Datenretention Politik an Ort und Stelle (unerfolgreiche Kandidaten innerhalb von 12 Monaten gelöscht)
- DBS / Offenlegung Check-Richtlinie: Ergebnisse nicht gespeichert, Notierung nur
- Personaldatensysteme Zugriffskontrollen: Mindestprivileg, rollenbasierter Zugriff auf sensible Daten
- Arbeitnehmer-Überwachungspolitik dokumentiert, offengelegt in Verträgen / Kündigungsfrist, verhältnismäßig
- DPIA abgeschlossen für jede systematische Mitarbeiterüberwachung
- Betriebsrat / Arbeitnehmervertretung Beratung zur Überwachung (sofern erforderlich)
- DSAR-Verfahren umfasst Mitarbeiteranfragen, nicht nur Kundenanfragen
- Retentionsplan für alle HR-Datenkategorien
- Jährliche Streichungsüberprüfung für abgelaufene Aufzeichnungen geplant
- Datenverstoßverfahren umfasst HR-Datenverstöße (z.B. E-Mail-Zahlungsdaten an einen falschen Empfänger)
- Drittanbieter HR-Software und Payroll-Anbieter haben DPAs unterschrieben (DSGVO Artikel 28)
- Grenzüberschreitende Überweisungen, die bei der Verarbeitung von Gehalten durch einen US-amerikanischen Anbieter bewertet werden
- HR-Team ausgebildet auf DSGVO-Datensubjektrechte, Verletzungsmeldung und Datenminimierung
Häufig gestellte Fragen
Erhalten Sie DSGVO und Compliance-Einsichten in Ihrem Posteingang
Begleiten Sie 300+ Compliance Officers und juristische Teams, die wöchentliche Updates zu DSGVO, AML und Regulierungstechnik & #x2014 erhalten; kein Rauschen, jederzeit abbestellen.
Siehe HubSecure in Aktion
DSGVO-konformes Plattenmanagement, DSAR-Automatisierung, Datenretentions-Workflows und verschlüsseltes Dokumentenhandling — für regulierte Unternehmen gebaut, in denen die Compliance nicht optional ist.
Buchen Sie eine 20-minütige Demo & #x2192;