​

DSGVO und Sozialrecht: Welche Pflichten hat der Arbeitgeber?

Personalbeschaffung, Gehaltsabrechnung, Arbeitszeiterfassung, Leistungsbeurteilung, Videoüberwachung, Telearbeit, Abwesenheitsmanagement oder Disziplinarverfahren: Der Arbeitgeber verarbeitet täglich eine beträchtliche Menge an personenbezogenen Daten seiner Mitarbeiter.

Diese Verarbeitungsvorgänge sind für den Betrieb des Unternehmens notwendig. Sie unterliegen dennoch der Datenschutz-Grundverordnung (DSGVO), dem französischen Datenschutzgesetz und den spezifischen Bestimmungen des Arbeitsrechts.

Die Schnittstelle zwischen DSGVO und Arbeitsrecht hat sich zu einem zentralen Thema für Unternehmen entwickelt. Übermäßige Datenerhebung, ungerechtfertigte Aufbewahrungsfristen oder unverhältnismäßige Überwachungssysteme können zu Sanktionen der CNIL (französische Datenschutzbehörde) führen, aber auch Disziplinarverfahren oder arbeitsrechtliche Streitigkeiten gefährden.

Welche Daten darf der Arbeitgeber erheben? Wie sollten die Beschäftigten informiert werden? Inwieweit können sie ihre Aktivitäten überwachen? Welche Maßnahmen sollten ergriffen werden, um die HR-Praktiken abzusichern?

Warum spielt die DSGVO eine zentrale Rolle im Personalmanagement?

Das Personalmanagement beinhaltet zwangsläufig die Verarbeitung personenbezogener Daten.

Bereits im Rekrutierungsprozess sammelt das Unternehmen Informationen über die Identität, Ausbildung und Berufserfahrung der Bewerber. Nach der Einstellung werden insbesondere folgende Daten verarbeitet:

• Kontaktdaten und Informationen zum Familienstand des Mitarbeiters;
• seine Sozialversicherungsnummer und seine Gehaltsabrechnungsdaten;
• seine Bankdaten;
• seinen Terminkalender und seine Abwesenheiten;
• seine beruflichen Beurteilungen;
• seine Trainingswünsche;
• mögliche Disziplinarmaßnahmen;
• bestimmte Daten, die seinen Gesundheitszustand betreffen;
• die Informationen, die zur Überwachung seiner Karriere notwendig sind;
• die Spuren, die durch den Einsatz professioneller Computerprogramme hinterlassen werden.

Einige dieser Informationen sind besonders sensibel. Dazu gehören beispielsweise Gesundheitsdaten, Informationen über Gewerkschaften, biometrische Daten oder Informationen über eine Behinderung.

In den meisten Fällen fungiert der Arbeitgeber als Datenverantwortlicher. Daher obliegt es ihm, festzulegen, warum die Daten erhoben werden, wie sie verwendet werden, wer darauf zugreifen kann und wie lange sie aufbewahrt werden.

Die Einhaltung der Vorschriften liegt daher nicht allein in der Verantwortung der IT-Abteilung oder des Datenschutzbeauftragten. Sie betrifft unmittelbar die Personalabteilung, die Rechtsabteilung, die operativen Führungskräfte und alle, die mit Personalmanagement befasst sind.

Welche Regeln muss der Arbeitgeber befolgen?

Einen konkreten Zweck festlegen

Jede Behandlung muss einem spezifischen, eindeutigen und legitimen Ziel dienen.

Die Erfassung von Bankdaten kann beispielsweise durch Gehaltszahlungen gerechtfertigt sein. Die Aufbewahrung von Belegen kann erforderlich sein, um die sozialen und buchhalterischen Verpflichtungen des Unternehmens zu erfüllen. Die Zugangskontrolle zu bestimmten Räumlichkeiten kann aus Sicherheitsgründen notwendig sein.

Andererseits sollten Daten nicht ohne einen klar definierten Zweck für eine mögliche zukünftige Verwendung erhoben werden.

Informationen, die ursprünglich zur Organisation der Arbeit erhoben wurden, dürfen nicht frei für disziplinarische Zwecke wiederverwendet werden, wenn diese neue Verwendung mit dem angegebenen Zweck unvereinbar ist.

Eine Rechtsgrundlage identifizieren

Jegliche Verarbeitung personenbezogener Daten muss auf einer Rechtsgrundlage gemäß der DSGVO beruhen.

Im Bereich der Personalentwicklung sind die gebräuchlichsten Grundlagen:

• die Ausführung des Arbeitsvertrags;
• Einhaltung einer dem Arbeitgeber auferlegten rechtlichen Verpflichtung;
• das berechtigte Interesse des Unternehmens, sofern dadurch die Rechte der Arbeitnehmer nicht unverhältnismäßig beeinträchtigt werden;
• In Ausnahmefällen ist die Einwilligung der betroffenen Person erforderlich.

Im Arbeitsverhältnis ist die Einwilligung mit Vorsicht zu genießen. Aufgrund der hierarchischen Struktur des Verhältnisses können Arbeitnehmer die vorgeschlagene Behandlung nicht immer frei ablehnen. Daher ist die Einwilligung grundsätzlich nicht die geeignetste Grundlage für routinemäßige Personalpraktiken.

Erfassen Sie nur die notwendigen Daten

Der Grundsatz der Datenminimierung verpflichtet den Arbeitgeber, die Erhebung von Informationen auf das zu beschränken, was für das verfolgte Ziel unbedingt erforderlich ist.

Diese Anforderung muss bereits in der Entwurfsphase eines Formulars, einer HR-Software, eines Rekrutierungsprozesses oder eines Steuergeräts berücksichtigt werden.

Im Rahmen des Bewerbungsprozesses müssen die gestellten Fragen einen direkten und notwendigen Bezug zur angebotenen Stelle oder zur Beurteilung der beruflichen Qualifikationen des Bewerbers haben. Informationen über das Familienleben, Meinungen, die Gesundheit oder persönliche Pläne dürfen nur mit rechtmäßiger Begründung erhoben werden.

Die gleiche Wachsamkeit ist erforderlich, wenn ein digitales Werkzeug technisch die Erfassung von weit mehr Informationen ermöglicht, als das Unternehmen tatsächlich benötigt.

Informieren Sie Kandidaten und Mitarbeiter klar und deutlich

Die betroffenen Personen müssen Informationen erhalten, die unter folgender Adresse abrufbar sind:

• die Identität des Datenverantwortlichen;
• die verfolgten Ziele;
• die zugrunde liegende Rechtsgrundlage;
• die Kategorien der gesammelten Daten;
• die Empfänger dieser Daten;
• ihre Haltbarkeit;
• die Möglichkeit von Geldtransfers außerhalb der Europäischen Union;
• ihre Rechte und die Verfahren zu deren Ausübung;
• die Möglichkeit, die CNIL zu kontaktieren.

Diese Informationen können in einer Mitarbeiterinformation, in Bewerbungsformularen, im Intranet oder in einer IT-Richtlinie enthalten sein. Sie müssen jedoch ausreichend präzise und auf die jeweilige Verarbeitungstätigkeit zugeschnitten sein.

Im Arbeitsrecht legt ArtikelL. 1222-4 des Arbeitsgesetzbuches fest, dass keine Informationen über einen Arbeitnehmer persönlich durch ein Gerät erfasst werden dürfen, das ihm nicht zuvor zur Kenntnis gebracht wurde.

Zugriff auf HR-Daten beschränken

Personalakten sollten nicht für alle Manager oder Mitarbeiter des Unternehmens zugänglich sein.

Jede Person sollte nur Zugriff auf die Informationen haben, die zur Erfüllung ihrer Aufgaben erforderlich sind. Daten im Zusammenhang mit Gehaltsabrechnungen, Gesundheitsdaten, Disziplinarmaßnahmen oder internen Berichten erfordern erhöhte Sorgfalt.

Der Arbeitgeber muss daher Folgendes einplanen:

• individuelle Genehmigungen;
• ausreichend robuste Authentifizierung;
• eine regelmäßige Überprüfung der Zugriffsrechte;
• die rasche Entfernung von Zugangspunkten, die nicht mehr benötigt werden;
• Nachvollziehbarkeit der sensibelsten Beratungen;
• Spezifische Maßnahmen für Papierakten und E-Mail-Verkehr.

Wie lange sollten Mitarbeiterdaten aufbewahrt werden?

Persönliche Daten können nicht unbegrenzt gespeichert werden.

Die maßgebliche Dauer hängt vom Zweck der Verarbeitung, den geltenden rechtlichen Verpflichtungen und den Zeiträumen ab, in denen das Unternehmen gegebenenfalls verpflichtet ist, seine Rechtsansprüche geltend zu machen oder zu verteidigen.

Generell ist es notwendig, zwischen Folgendem zu unterscheiden:

• die aktive Datenbank, in der Informationen für die tägliche Verwaltung zugänglich sind;
• Zwischenarchivierung , reserviert für Daten, die aufgrund einer rechtlichen Verpflichtung oder der Gefahr eines Rechtsstreits weiterhin aufbewahrt werden müssen;
• die Löschung oder dauerhafte Anonymisierung nach Ablauf der Nutzungsdauer.

Im Jahr 2026 veröffentlichte die CNIL eine neue Leitlinie zu den Aufbewahrungsfristen für Daten des Personalmanagements. Sie stellt nun ein besonders nützliches Instrument für die Entwicklung einer kohärenten Datenaufbewahrungspolitik dar.

Ein Unternehmen sollte jedoch nicht pauschal eine einheitliche Aufbewahrungsfrist für die gesamte Personalakte eines Mitarbeiters anwenden. Gehaltsabrechnungen, erfolglose Bewerbungen, Disziplinarmaßnahmen, Zugangsdaten und Informationen zur Arbeitszeit unterliegen nicht denselben Regeln.

Mitarbeiterüberwachung: Wie weit darf der Arbeitgeber gehen?

Der Arbeitgeber kann die Aktivitäten seiner Angestellten kontrollieren, aber diese Macht ist nicht unbegrenzt.

Alle Steuergeräte müssen folgende Eigenschaften aufweisen:

• gerechtfertigt durch die Art der auszuführenden Aufgabe;
• in einem angemessenen Verhältnis zum verfolgten Ziel;
• den Mitarbeitern im Voraus mitgeteilt;
• gegebenenfalls im Verzeichnis der Verarbeitungstätigkeiten erfasst;
• vorbehaltlich vorheriger Information und Konsultation des Sozial- und Wirtschaftsausschusses.

Diese Regeln beziehen sich insbesondere auf Videoüberwachung, Geolokalisierung, Zeiterfassung, Internet-Browsing-Analyse, Zugriff auf berufliche E-Mails und Aktivitätsverfolgungssoftware.

Ständige Überwachung ist prinzipiell unverhältnismäßig

Ein Mitarbeiter sollte nicht unter ständige Überwachung gestellt werden, außer in Ausnahmefällen, die klar nachgewiesen werden können.

Die französische Datenschutzbehörde CNIL verhängte insbesondere Sanktionen gegen ein Unternehmen, das Software zur Überwachung vermeintlicher Inaktivitätszeiten einsetzte, regelmäßig Screenshots anfertigte und bestimmte Mitarbeiter permanent videoüberwachte. Diese Überwachung stellte einen unverhältnismäßigen Eingriff in deren Privatsphäre dar.

Arbeitgeber müssen bei Instrumenten, die Folgendes ermöglichen, besonders vorsichtig sein:

• die systematische Aufzeichnung der Tastenanschläge;
• das wiederholte Anfertigen von Screenshots;
• die permanente Aktivierung einer Kamera;
• kontinuierliche Aufzeichnung von Gesprächen;
• automatische Messung der Inaktivitätszeit;
• die Ermittlung eines individuellen Produktivitätswertes.

Die technische Möglichkeit, eine Funktion zu aktivieren, bedeutet nicht, dass deren Nutzung rechtlich zulässig ist.

Professionelle E-Mails und persönliche Dateien

Mit dem professionellen Tool erstellte Nachrichten und Dateien gelten grundsätzlich als beruflich, es sei denn, sie sind ausdrücklich als privat gekennzeichnet.

Der Arbeitgeber muss die Vertraulichkeit der so identifizierten Nachrichten oder Dateien wahren. Deren Öffnung oder Verwendung kann die Vertraulichkeit der Korrespondenz und die Privatsphäre des Arbeitnehmers verletzen.

Die IT-Charta muss die Nutzungsbedingungen für professionelle Tools, die möglichen Kontrollmechanismen und die Möglichkeiten für den Mitarbeiter, seine persönlichen Inhalte zu identifizieren, klar erläutern.

Personalbeschaffung, Algorithmen und künstliche Intelligenz: neue Risiken

Der Einsatz von Werkzeugen der künstlichen Intelligenz bei der Personalbeschaffung und im Karrieremanagement verschärft die Probleme im Zusammenhang mit personenbezogenen Daten zusätzlich.

Automatisierte Bewerbungssortierung, Videoanalyse eines Vorstellungsgesprächs, Verhaltensbeurteilung, Mitarbeiterranking oder Empfehlung einer Versetzung: Diese Systeme können zu intransparenten Entscheidungen führen, Vorurteile reproduzieren oder die Sammlung übermäßiger Informationen zur Folge haben.

Vor dem Einsatz eines solchen Instruments muss der Arbeitgeber insbesondere Folgendes überprüfen:

• die tatsächlich vom System verwendeten Daten;
• ihre Herkunft und ihre Zuverlässigkeit;
• die vom Algorithmus berücksichtigten Kriterien;
• das Vorliegen eines Diskriminierungsrisikos;
• die Bedingungen für die Datenweiterverwendung durch den Dienstanbieter;
• den Speicherort der Daten und etwaige internationale Datenübermittlungen;
• die Möglichkeit eines tatsächlichen menschlichen Eingriffs;
• die Notwendigkeit, eine Datenschutz-Folgenabschätzung durchzuführen.

Darüber hinaus muss die Einhaltung der DSGVO mit den Anforderungen der europäischen Verordnung über künstliche Intelligenz abgestimmt werden, insbesondere wenn das Tool für die Personalbeschaffung, die Kandidatenauswahl oder bestimmte Entscheidungen, die das Beschäftigungsverhältnis betreffen, verwendet wird.

Welche Rechte haben Arbeitnehmer?

Der Arbeitnehmer behält alle in der DSGVO anerkannten Rechte. Insbesondere kann er Folgendes beantragen:

• Zugang zu seinen Daten;
• die Richtigstellung ungenauer Informationen;
• die Löschung bestimmter Daten;
• die Begrenzung einer Behandlung;
• Ablehnung bestimmter Behandlungsmethoden;
• die Übermittlung von Informationen über eine automatisierte Entscheidung.

Das Zugangsrecht kann sich auf Daten in beruflichen E-Mails beziehen, sofern diese den anfragenden Mitarbeiter betreffen.

Diese Option wird mittlerweile häufig vor oder während arbeitsrechtlicher Auseinandersetzungen genutzt. Die Antwort des Arbeitgebers muss den Fristen der DSGVO entsprechen und gleichzeitig die Rechte Dritter, Geschäftsgeheimnisse und die Vertraulichkeit von Korrespondenz, die den Bewerber nicht betrifft, wahren.

Zugriffsanfragen sollten daher nicht als einfache IT-Anfragen behandelt werden. Sie erfordern häufig eine gemeinsame Analyse des Datenschutzrechts und der Strategie für Rechtsstreitigkeiten im sozialen Bereich.

Welchen Risiken ist das Unternehmen ausgesetzt?

Die Nichteinhaltung der DSGVO kann vielfältige Konsequenzen haben.

Die CNIL kann eine förmliche Mitteilung ausstellen, die Einschränkung oder Einstellung der Verarbeitung anordnen und eine Geldbuße verhängen. Für die schwerwiegendsten Verstöße sieht die DSGVO eine Geldbuße von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Zusätzlich zu diesem administrativen Risiko bestehen weitere Risiken:

• eine Schadensersatzklage eines Arbeitnehmers;
• eine Streitigkeit im Zusammenhang mit der Verletzung der Privatsphäre;
• In bestimmten Situationen drohen strafrechtliche Konsequenzen;
• ein Eingreifen der Arbeitsinspektion;
• eine Aktion des Sozial- und Wirtschaftsausschusses oder einer Gewerkschaftsorganisation;
• eine Verschlechterung des sozialen Klimas und des Rufs des Unternehmens.

Die Nichteinhaltung kann sich auch auf individuelle Rechtsstreitigkeiten auswirken. Ein mangelhaftes Überwachungssystem kann die vom Arbeitgeber gesammelten Beweise schwächen. Die Zulässigkeit der Beweise wird jedoch nicht mehr systematisch binär beurteilt: Der Richter wägt insbesondere das Recht auf Beweismittel gegen die Grundrechte des Arbeitnehmers ab und prüft, ob die Vorlage der Beweise notwendig und verhältnismäßig war.

Diese Entwicklung entbindet den Arbeitgeber keinesfalls von der Pflicht, rechtmäßige Maßnahmen zu ergreifen. Im Gegenteil, sie unterstreicht die Wichtigkeit, deren Rechtfertigung und Regulierung vorauszusehen.

Wie kann das Unternehmen die DSGVO in sozialen Angelegenheiten einhalten?

Ein effektiver Ansatz lässt sich um zehn prioritäre Maßnahmen herum organisieren.

1. HR-Prozesse abbilden

Das Unternehmen muss die vom Zeitpunkt der Einstellung bis zum Ausscheiden des Mitarbeiters erhobenen Daten auflisten: Herkunft, Zweck, Empfänger, verwendete Software, Aufbewahrungsfristen und etwaige Übermittlungen außerhalb der Europäischen Union.

2. Aktualisierung des Behandlungsregisters

Prozesse im Zusammenhang mit Bewerbern, Gehaltsabrechnung, Schulungen, Beurteilungen, Arbeitszeit, Zugangskontrollen oder Disziplinarmaßnahmen müssen ordnungsgemäß dokumentiert werden.

3. Überprüfen Sie die Rechtsgrundlage

Jede Verarbeitungstätigkeit muss mit einer geeigneten Rechtsgrundlage verknüpft sein. Ein systematischer Verweis auf die Einwilligung der Mitarbeiter sollte vermieden werden, wenn eine andere Rechtsgrundlage relevanter ist.

4. Lesen Sie die Informationshinweise sorgfältig durch

Bewerber und Mitarbeiter müssen klare, vollständige und leicht zugängliche Informationen erhalten. Diese Dokumentation muss die tatsächlich angewandten Praktiken widerspiegeln.

5. Eine Naturschutzpolitik festlegen

Ein Aufbewahrungsplan muss für jede Dokumentenkategorie die Verweildauer in der aktiven Datenbank, die Dauer der Zwischenarchivierung und die Löschmethoden festlegen.

6. Rahmen für Steuerungsinstrumente

Jedes Videoüberwachungs-, Geolokalisierungs- oder digitale Ortungssystem muss einer Notwendigkeits- und Verhältnismäßigkeitsprüfung unterzogen werden. Beschäftigte und der Betriebsrat müssen, sofern gesetzlich vorgeschrieben, informiert oder konsultiert werden.

7. Sensible Daten schützen

Berechtigungen müssen beschränkt, der Zugriff regelmäßig überwacht und der Austausch sensibler Daten geschützt werden. Es muss außerdem ein Verfahren für den Umgang mit Datenschutzverletzungen vorhanden sein.

8. Überprüfung der HR-Dienstleister

Verträge mit Softwareherstellern, Personalvermittlungsfirmen, Lohnabrechnungsdienstleistern, Schulungsplattformen oder Anbietern von Lösungen für künstliche Intelligenz müssen deren Verpflichtungen hinsichtlich Vertraulichkeit, Sicherheit, Untervergabe, Datenspeicherung und -rückgabe genau festlegen.

9. Die Ausübung von Rechten organisieren

Das Unternehmen muss über ein Verfahren verfügen, um Anfragen von Mitarbeitern schnell zu erkennen, zu untersuchen und zu bearbeiten, insbesondere wenn es sich dabei um große Mengen an E-Mails oder Dokumenten handelt.

10. Bildet die Teams

Personalabteilungen, Manager und IT-Manager müssen die richtigen Verhaltensweisen erkennen: die Menge der gesammelten Daten begrenzen, subjektive Kommentare vermeiden, die Übertragung sichern und jeden Vorfall umgehend melden.

DSGVO und Sozialrecht: Compliance muss übergreifend sein

Die Einhaltung von HR-Prozessen kann nicht auf Standarddokumenten basieren, die keinen Bezug zur Unternehmenspraxis haben.

Dies erfordert eine übergreifende Analyse des Datenschutzrechts, des Arbeitsrechts, der eingesetzten digitalen Tools und der betrieblichen Rahmenbedingungen. Dieser Ansatz ist besonders wichtig bei der Implementierung eines Kontrollsystems, der Anschaffung eines neuen HR-Tools, Umstrukturierungen, internen Untersuchungen oder der Bearbeitung von Mitarbeiterstreitigkeiten.

Ein gezieltes Audit hilft dabei, die risikoreichsten Prozesse zu identifizieren, die notwendigen Korrekturen zu priorisieren und einen auf die Größe und die Aktivitäten des Unternehmens abgestimmten Compliance-Plan zu erstellen.

Teams für Sozialrecht und DSGVO & Neue Technologien bei ARST Avocats unterstützen Arbeitgeber bei der Überprüfung ihrer Praktiken, der Erstellung ihrer Dokumentation, der Beratung durch die CSE, der Überwachung von Kontrollmechanismen und der Verwaltung von Rechtsstreitigkeiten im Zusammenhang mit personenbezogenen Daten von Mitarbeitern.

Autoren: Chaouki Gaddada und Morgan Jamet