Datenschutz bei Mitarbeiterdaten: Was müssen kleine Unternehmen beachten?
Arbeitgeber dürfen Mitarbeiterdaten verarbeiten, soweit das für das Beschäftigungsverhältnis erforderlich ist. Sie müssen ihre Beschäftigten aber informieren, Zugriffe begrenzen, Aufbewahrungs- und Löschfristen beachten und Auskunftsrechte erfüllen. Das gilt für Betriebe mit einem einzigen Mitarbeiter genauso wie für größere. Ein eigenes Beschäftigtendatengesetz ist geplant, bisher aber nicht in Kraft. Bis dahin gelten DSGVO und BDSG.
Welche Daten fallen bei Mitarbeitern an?
Stammdaten, Bankverbindung, Steuer-ID, Lohn, Arbeitszeiten, Urlaub, Krankmeldungen, Fehlzeiten, Qualifikationen, Führerscheine, Fotos und oft auch Daten aus Fahrzeugen, Handys und Zeiterfassungssystemen. Einige davon, etwa Krankmeldungen, sind besonders sensibel.
Typische Fehler im Betriebsalltag
- Personalakten liegen offen oder sind für alle zugänglich.
- Mitarbeiterdaten laufen über WhatsApp oder private Handys.
- Krankmeldungen werden im Betrieb herumgereicht.
- Lohnabrechnungen gehen per einfacher E-Mail raus.
- Mitarbeiterfotos stehen ohne tragfähige Grundlage auf Website und Social Media.
- GPS im Firmenfahrzeug oder Handyortung laufen, ohne dass die Mitarbeitenden informiert sind.
- Daten ausgeschiedener Mitarbeiter bleiben unbegrenzt gespeichert.
- Lohnbüro, Steuerberater oder Software verarbeiten Daten ohne passende Verträge.
- Mitarbeitende wurden nie zum Datenschutz eingewiesen.
Wie lange müssen oder dürfen Personaldaten aufbewahrt werden?
Das hängt von der Art des Dokuments ab. Für Lohnunterlagen, Verträge und andere Unterlagen gelten unterschiedliche Fristen, und danach greift die Löschpflicht. Beides muss zusammenpassen. Wie das in Ihrem Betrieb aussieht, hängt davon ab, welche Daten Sie führen.
Was droht bei Fehlern?
Mitarbeitende können sich bei der Datenschutz-Aufsichtsbehörde beschweren und unter Umständen Schadensersatz verlangen. Besonders häufig kommt das im Streit nach einer Kündigung vor, oft mit einem Auskunftsersuchen als Druckmittel. Die Behörde kann Auflagen erteilen und Bußgelder verhängen. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.
Häufige Fragen
Darf ich Personalakten führen, und wer darf sie einsehen?
Ja, aber nur ein enger Kreis darf Zugriff haben, und die Inhalte müssen erforderlich sein.
Muss ich meine Mitarbeitenden über den Datenschutz informieren?
Ja. Beschäftigte haben Anspruch darauf zu erfahren, welche Daten Sie wofür verarbeiten.
Wie lange muss ich Personalunterlagen aufbewahren?
Je nach Unterlage unterschiedlich lang. Danach müssen Sie löschen.
Darf ich Krankmeldungen speichern?
Für bestimmte Zwecke ja, aber nur im nötigen Umfang und mit eingeschränktem Zugriff.
Darf ich Mitarbeiterfotos auf Website und Social Media zeigen?
Das ist heikel, weil die Freiwilligkeit im Arbeitsverhältnis fraglich ist. Ohne saubere Regelung sollten Sie es lassen.
Darf ich Firmenfahrzeuge per GPS orten oder Mitarbeiterhandys überwachen?
Nur unter engen Voraussetzungen, und die Mitarbeitenden müssen informiert sein.
Darf ich E-Mails oder die Internetnutzung kontrollieren?
Nur eingeschränkt. Entscheidend ist, ob private Nutzung erlaubt ist.
Muss ich einem Mitarbeiter oder ehemaligen Mitarbeiter Auskunft geben?
Ja. Wie das abläuft, steht unter Auskunftsanfrage nach DSGVO.
Gilt das auch für Minijobber, Azubis und Aushilfen?
Ja, für alle Beschäftigten.
Brauche ich einen Datenschutzbeauftragten, wenn ich Mitarbeiter habe?
Nicht automatisch. Mehr dazu unter DSGVO für kleine Unternehmen.
Ihr nächster Schritt
Sie müssen kein Personalprofi werden, aber Sie sollten wissen, was für Ihre Mitarbeiterdaten gilt. Im DSGVO Erste Hilfe Koffer gehen wir gemeinsam durch, wie Personalakte, Lohn, Zeiterfassung und Löschung in Ihrem Betrieb geregelt werden, und dokumentieren das nachweisbar.
Schreiben Sie uns und wir helfen Ihnen bei der Prüfung und Umsetzung
Telefon: +49 (0) 8252 9090288
backoffice@dsgvo-erste-hilfe.de
CORIDAS GmbH
Dreiweiherweg 1A
86529 Schrobenhausen
Zusätzliches Angebot für Sie:
Der kostenlose DSGVO-Selfcheck zeigt Ihnen, wo in Ihrem Unternehmen Schwachstellen in Bezug der Datenschutzanforderungen liegen. 5 Minuten, 14 Fragen und gleich ein Ergebnis.
