Datenschutz im Personalwesen: HR-Aufgaben sicher meistern

Damit Personaldaten geschützt sind, müssen Unternehmen verschiedene Vorkehrungen treffen und Regeln einhalten. Ob Zeitdaten, Urlaubskonten oder Informationen über Krankheiten: Der Arbeitsnehmerdatenschutz spielt aufgrund der Persönlichkeitsrechte der Mitarbeitenden eine wichtige Rolle. Ein hohes Sicherheitslevel ist für alle Organisationen daher das A und O.

Was bedeutet Datenschutz im Personalwesen?

Datenschutz im Personalwesen bezieht sich auf den Arbeitnehmerdatenschutz. Dieser betrifft das Beschäftigungsverhältnis und das Bewerbungsverfahren. Welche persönlichen Informationen Unternehmen verarbeiten und nutzen dürfen, bestimmen Arbeitnehmende in diesem Fall selbst. Das Bundesdatenschutzgesetz bildet hierfür die Grundlage. Auch die DSGVO liefert Ergänzungen, die es in diesem Zusammenhang einzuhalten gilt.

Welche personenbezogenen Daten gibt es im HR-Bereich?

Eine gesetzliche Definition zu den personenbezogenen Daten im Personalwesen gibt es nicht. Jedoch werden verschiedene Informationen in der (digitalen) Personalakte gespeichert, die dazuzählen. Das sind unter anderem:

• Name, Anschrift, Kontaktdaten und Geburtsdatum
• Steuerinformationen (Steuerklasse, Steuer-ID)
• Religion
• Sozialversicherungs- und Krankenversicherungsnummer
• Bankinformationen
• Angaben zum Werdegang, zur Ausbildung oder zum Studium
• Qualifikationen (Zeugnisse, Zertifikate)
• Arbeitszeit und Arbeitszeitmodelle
• Urlaubsanträge, Urlaubsanspruch
• Anpassungen des Arbeitsverhältnisses (z. B. Beförderungen, Gehaltserhöhungen)
• Gesundheitsinformationen (Krankmeldungen etc.)
• Leistungsbeurteilungen (z. B. aus Mitarbeitergesprächen)
• Biometrische Informationen (z. B. für den Zutritt zu sensiblen Bereichen im Unternehmen)
• Fotos oder Videos, auf denen die Person erkennbar ist

Aufgabenbereiche für den Datenschutz im Personalwesen

Die HR-Abteilung ist der Bereich, der unweigerlich die persönlichen Informationen der Arbeitnehmenden und Bewerber*innen verarbeiten muss. Deshalb ist es wichtig, dass alle Beteiligten in der Organisation sämtliche Vorgaben kennen und auch einhalten. Ob Zugriff zu den (digitalen) Personalakten oder der Umgang mit personenbezogenen Daten am Arbeitsplatz: HR-Verantwortliche müssen die Richtlinien zum Datenschutz im Personalwesen verinnerlichen und in ihrem Arbeitsalltag umsetzen. Dabei decken sie verschiedene Aufgabenbereiche ab:

• Richtlinienerstellung zur Verarbeitung von personenbezogenen Daten am Arbeitsplatz
• Datenschutz von Mitarbeiterdaten, z. B. mithilfe von Security Software: kein unbefugter Zugriff und Ausschließen von Verlust
• Verschwiegenheit der Beschäftigten in Sachen Arbeitnehmerdatenschutz
• Fernmeldegeheimnis bei Einsicht in Telekommunikationsdateien
• Fähigkeit der Mitarbeitenden im Umgang mit personenbezogenen Daten überprüfen
• Erste Kontaktstelle für den Datenschutzbeauftragen hinsichtlich des Datenschutzes
• Konzepte für Zugriff und Berechtigungen aufsetzen
• Organisation und Begleitung bei ISO-Zertifizierungsaudits durch externe Sachverständige

Nur wenn die jeweiligen Vorkehrungen in den einzelnen Aufgabenbereichen getroffen sind, können HR-Verantwortliche den Datenschutz im Personalwesen in vollem Umfang einhalten.

Grundlage für den Datenschutz im Personalwesen

Wie die Daten zu erheben und zu verarbeiten sind, wird von verschiedenen Gesetzesgrundlagen reguliert. Zum einen gibt es die Datenschutzgrundverordnung (DSGVO), die seit 2018 die Verarbeitungswege in den europäischen Mitgliedsstaaten reguliert. Laut ihr sind personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen“ (Art. 4, Absatz 1). Sie regelt diverse Prozesse, die am Datenschutz im Personalwesen beteiligt sind. Das sind z. B. die folgenden:

• Löschfristen für Daten: Nicht relevante personenbezogene Daten müssen nach einer bestimmten Zeit aus dem System gelöscht werden. Wenn Unternehmen diese nicht einhalten, können Bußgelder anfallen. Für manche Informationen gibt es einen Löschzwang, d. h. diese Informationen sind umgehend zu löschen, wenn sie nicht mehr benötigt werden. Die Fristen sind unterschiedlich. So sind An-, Ab- und Ummeldungen bei der Krankenkasse sechs Jahre und Anträge auf Arbeitnehmersparzulagen zehn Jahre aufzubewahren. Diese und viele weitere Fristen müssen HR-Verantwortliche kennen und einhalten.
• Informationspflichten: Unternehmen sind verpflichtet, die Mitarbeitenden darüber zu informieren, welche Daten gespeichert bzw. verarbeitet werden. Bei Hackerangriffen oder anderen Datenpannen müssen die Fachkräfte zudem innerhalb eines festgelegten Zeitraums darüber in Kenntnis gesetzt werden.
• Datenschutzbeauftragte*r: Verfügt ein Unternehmen über mehr als zehn Mitarbeitende, so muss ein*e Datenschutzbeauftragte*r benannt werden. Sie/Er kann bei dem Betrieb angestellt sein oder als externe Person handeln. Durch diese Person erfolgt die Prüfung der Datenverarbeitung und -speicherung der Personaldaten, um die Datenschutzvorkehrungen im Personalwesen zu gewährleisten.

Des Weiteren reguliert das Bundesdatenschutzgesetz (BDGS) verschiedene Aspekte zum Arbeitnehmerdatenschutz und zum Umgang mit personenbezogenen Informationen. § 26 BDGS setzt dabei Vorkehrungen für Beschäftigungsverhältnisse fest. So z. B. auch, dass die Daten nur zu diesem Zweck verarbeitet werden dürfen und dass geeignete Maßnahmen getroffen werden müssen, um eine sachgemäße Speicherung sicherzustellen. Das BDGS regelt beispielsweise auch, dass Bewerber*innen in Sachen Datenschutz im Personalwesen den Angestellten gleichzustellen sind.

Informationen über Krankheit besonders schützenswert

Krankheitsbedingte Abwesenheiten führen dazu, dass Vertretungen gefunden oder Prozesse umgeplant werden müssen. Jedoch ist dabei äußerste Vorsicht bei der Kommunikation und bei der Verarbeitung geboten – laut DSGVO sind Gesundheitsdaten besonders sensibel und unterliegen daher auch einer besonderen Behandlung. Abwesenheiten gilt es nur wenn notwendig zu kommunizieren. Genauso ist bei der Länge der Abwesenheit zu verfahren. Den Krankheitsgrund dagegen müssen die Arbeitnehmenden nicht kommunizieren; sollte den HR-Verantwortlichen dieser bekannt sein, darf er nicht veröffentlicht werden.

Mit der elektronischen Krankmeldung werden demnächst neue Herausforderungen auf das Personalwesen zukommen, die es bei der Verarbeitung von Arbeitsunfähigkeiten zu beachten gilt. Denn durch das Fehlzeitenmanagement und den Anspruch auf Entgeltfortzahlung müssen Abwesenheiten genau dokumentiert werden. Dabei kommt Schnittstellentechnologie zum Einsatz, die zwischen den krankmeldenden Ärzt*innen, der Krankenversicherung, der Entgeltabrechnung und dem Arbeitgebenden kommuniziert. Binden Unternehmen die elektronische Arbeitsunfähigkeitsmeldung direkt an das Zeitwirtschaftssystem an, muss der Datenschutz im Personalwesen in jedem Fall berücksichtigt werden. Die Lösungsanbieter arbeiten für diese Herausforderung schon an Maßnahmen, um die sensiblen HR-Daten sicher zu verarbeiten.

Sichere HR-Prozesse mit Workforce Management Software

Ob elektronische Krankmeldung oder Speicherung von Zeitdaten: Es handelt sich um personenbezogene Daten, die unter Einhaltung strenger Regularien verarbeitet werden müssen. Überlassen Sie den Datenschutz im Personalwesen nicht dem Zufall – eine zuverlässige Workforce Management Lösung kann hier einen Schritt in Richtung sichere Digitalisierung bedeuten. Zeiterfassung, Personaleinsatzplanung, Fehlzeitenmanagement und mehr lassen sich darüber ohne große Herausforderungen sicher erledigen. Ebenfalls kann die HR-Software an Sicherheitssysteme für Zutrittskontrolle und Besuchermanagement angebunden werden, um z. B. die Zutritts- und Zugriffsrechte zu schützenswerten Bereichen und Daten in Ihrem Unternehmen zu regeln. Unsere IT-Expert*innen beraten Sie gerne. Vereinbaren Sie einen unverbindlichen Rückruf.

+++ Die Inhalte dieses Beitrags und insbesondere die rechtlichen Aspekte wurden mit bestem Wissen und Gewissen recherchiert und stellen keine Rechtsberatung dar. Die GFOS mbH kann daher keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität der bereitgestellten Informationen übernehmen. Für konkrete Rechtsfragen konsultieren Sie bitte in jedem Fall einen Rechtsanwalt / eine Rechtsanwältin. +++