Am ersten Arbeitstag müssen neue Beschäftigte in Deutschland viele persönliche Informationen preisgeben: Steuer-ID, Sozialversicherungsnummer, Bankverbindung, bei Menschen aus Drittstaaten auch eine Kopie des Aufenthaltstitels. Das deutsche und europäische Datenschutzrecht regelt, welche Informationen erhoben werden dürfen, wer Zugang zu ihnen hat und wann sie gelöscht werden müssen. Für Neulinge ist aber oft kaum zu durchschauen, wie das alles funktioniert.
Inhaltsverzeichnis
Welche Daten beim Onboarding erhoben werden
Für die Lohnabrechnung braucht der Arbeitgeber einige Angaben zwingend. Mit der Steuer-ID ruft er die elektronischen Lohnsteuerabzugsmerkmale (ELStAM) beim Finanzamt ab. Dazu gehören Steuerklasse und Kirchensteuermerkmal. Für die Anmeldung zur Sozialversicherung benötigt er Rentenversicherungsnummer und Krankenkasse. Beschäftigte aus Nicht-EU-Staaten betrifft eine weitere Pflicht. Nach § 4a Abs. 5 Aufenthaltsgesetz muss der Arbeitgeber eine Kopie des Aufenthaltstitels für die Dauer der Beschäftigung aufbewahren.
Rechtsgrundlage ist Art. 6 DSGVO in Verbindung mit § 26 BDSG. Seit einem Urteil des Europäischen Gerichtshofs vom 30. März 2023 (C-34/21) ist umstritten, ob die deutsche Generalklausel in § 26 Abs. 1 BDSG noch anwendbar ist. Arbeitgeber stützen sich deshalb zunehmend direkt auf die DSGVO. Am Grundsatz ändert das nichts: Erlaubt ist nur, was für das Arbeitsverhältnis erforderlich ist. Fragen nach Schwangerschaft, Parteizugehörigkeit oder Gewerkschaftsmitgliedschaft sind in aller Regel unzulässig.
Wer im Unternehmen Zugriff hat
Personaldaten gelten als besonders schutzwürdig. Gesundheitsangaben aus Krankmeldungen gehören nach Art. 9 DSGVO sogar zu den besonderen Kategorien. Für den Zugriff gilt das Need-to-know-Prinzip. Die Lohnbuchhaltung sieht die Bankverbindung, eine Teamleitung im Regelfall nicht. Unternehmen müssen das nach Art. 32 DSGVO durch technische und organisatorische Maßnahmen absichern, etwa durch Rollen- und Rechtekonzepte, Protokollierung und verschlüsselte Ablage. Wie Firmen Zugriffsrechte, Löschroutinen und Auskunftsprozesse in der Software abbilden, zeigt ein Fachbeitrag zum Datenschutz im HR-Management.
Unternehmen, in denen mindestens 20 Personen ständig mit personenbezogenen Daten arbeiten, müssen nach § 38 BDSG einen Datenschutzbeauftragten benennen. Seine Kontaktdaten stehen in den Datenschutzhinweisen, die der Arbeitgeber nach Art. 13 DSGVO bei der Datenerhebung aushändigen muss.
Auskunft, Einsicht und Berichtigung
Beschäftigte können nach Art. 15 DSGVO jederzeit Auskunft verlangen. Der Arbeitgeber muss mitteilen, welche Daten er gespeichert hat, zu welchem Zweck und an wen er sie weitergibt. Auch eine Kopie steht den Beschäftigten zu. Die Antwort ist grundsätzlich innerhalb eines Monats fällig. In komplexen Fällen ist eine Verlängerung um zwei Monate möglich.
Daneben gibt es ein arbeitsrechtliches Einsichtsrecht in die Personalakte nach § 83 BetrVG. Ein Betriebsratsmitglied kann dabei hinzugezogen werden. Falsche Angaben lassen sich nach Art. 16 DSGVO berichtigen. Zu einer Abmahnung können Beschäftigte eine Gegendarstellung zur Akte geben.
Wie lange Daten gespeichert bleiben
Daten sind zu löschen, sobald ihr Zweck entfällt. Gesetzliche Aufbewahrungspflichten gehen dem Löschanspruch aus Art. 17 DSGVO allerdings vor. Das Lohnkonto muss nach § 41 EStG bis zum Ende des sechsten Kalenderjahres nach der letzten Eintragung aufbewahrt werden. Für Buchungsbelege gilt nach § 147 AO seit 2025 eine Frist von acht Jahren. Ein Beispiel für Daten, die nach dem Ausscheiden nicht mehr gebraucht werden: Fotos für das Intranet.
Was bei Problemen weiterhilft
Bleibt eine Auskunft aus oder ist der Umgang mit Daten unklar, gibt es mehrere Anlaufstellen.
- Datenschutzbeauftragter des Unternehmens: Er ist meist die schnellste Anlaufstelle.
- Betriebsrat: Er kann unterstützen, sofern einer existiert.
- Aufsichtsbehörde: Hilft beides nicht, besteht nach Art. 77 DSGVO das Recht auf Beschwerde bei der Datenschutzaufsicht des jeweiligen Bundeslandes. Eine Übersicht der zuständigen Stellen bietet die Bundesbeauftragte für den Datenschutz.
Für den Start im neuen Job hilft ein einfacher Schritt: die Datenschutzhinweise beim Onboarding aktiv anfordern und aufbewahren. Darin steht, welche Daten wofür verarbeitet werden und an wen man sich bei Fragen wenden kann.
