Kaum ein Prozess im Unternehmen bündelt so viele vertrauliche Angaben wie die Entgeltabrechnung. Neben Gehalt und Bankverbindung stehen dort Steuer-Identifikationsnummer, Sozialversicherungsnummer, Konfession und Krankheitszeiten. Diese Daten bleiben nicht an einem Ort. Sie kommen aus Personalfragebogen und Zeiterfassung, wandern zu Finanzamt, Krankenkassen und Bank und landen schließlich in einem Archiv, aus dem sie irgendwann wieder verschwinden müssen. An jeder dieser Stationen greifen andere Personen, Programme und Behörden auf die Angaben zu. Datenschutz in der Lohnabrechnung bedeutet deshalb, jede Station dieser Kette zu kennen und abzusichern, vom ersten Eintrag bis zur Löschung.
In der Abrechnung stecken Daten der höchsten Schutzstufe
Art. 9 der Datenschutz-Grundverordnung stellt religiöse Überzeugungen und Gesundheitsdaten unter besonderen Schutz. Beides findet sich in fast jeder Entgeltabrechnung. Typische Fundstellen dieser und weiterer heikler Angaben sind:
- das Kirchensteuermerkmal aus den elektronischen Lohnsteuerabzugsmerkmalen, das die Religionszugehörigkeit offenlegt
- Krankheitszeiten, die seit 2023 als elektronische AU-Daten von der Krankenkasse kommen
- Angaben zu einer Schwerbehinderung, etwa für Zusatzurlaub oder die Ausgleichsabgabe
- Pfändungs- und Abtretungsvermerke, die Rückschlüsse auf die finanzielle Lage erlauben
Verarbeiten darf der Arbeitgeber diese Daten, soweit Steuer-, Sozialversicherungs- und Arbeitsrecht es verlangen. Rechtsgrundlage ist dann die gesetzliche Pflicht nach Art. 6 Abs. 1 lit. c DSGVO, und für die besonderen Kategorien kommt Art. 9 Abs. 2 lit. b hinzu. Auf eine Einwilligung sollte sich die Abrechnung nicht stützen, weil deren Freiwilligkeit im Arbeitsverhältnis schwer zu belegen ist.
Schon bei der Erfassung entstehen Kopien
Personaldaten entstehen selten im Abrechnungsprogramm selbst. Stammdaten stammen aus dem Personalfragebogen oder einem HR-System, Arbeitszeiten aus der Zeiterfassung und Abwesenheiten aus dem Urlaubsplan. Jede Angabe, die jemand von Hand überträgt, hinterlässt eine weitere Kopie in einem Postfach oder auf einem Laufwerk. Art. 5 DSGVO verlangt mit dem Grundsatz der Datenminimierung zudem, nur die Felder weiterzugeben, die für die Abrechnung nötig sind. Aus der Zeiterfassung gehören also Stunden und Zuschlagszeiten in die Abrechnung, während Kommentare zu einzelnen Fehltagen im Quellsystem bleiben.
Jede Schnittstelle ist ein eigener Übermittlungsweg
Wer Personalverwaltung, Zeiterfassung und Buchhaltung direkt mit einer Lohnsoftware verbindet, ersetzt Tabellen im E-Mail-Anhang durch automatisierte Übergaben. Eine Public-API und mehr als 100 Standard-Konnektoren verbinden nach Herstellerangaben die Paychex-Plattform mit HR-, Zeit- und Finanzsystemen. Datenschutzrechtlich ist jede dieser Verbindungen ein eigener Datenfluss, der im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO mit Empfänger, Datenkategorien und Zweck auftauchen sollte. Technisch empfiehlt sich für jede Integration ein eigenes Dienstkonto mit eigenem Schlüssel. So lässt sich ein einzelner Zugang sperren, ohne alle anderen Anbindungen zu unterbrechen, und im Protokoll bleibt erkennbar, welches System welche Daten abgerufen hat.
Zugriff erhält nur, wer die Daten für seine Aufgabe braucht
Innerhalb des Unternehmens gilt das Prinzip der geringsten Rechte. Eine Teamleitung muss wissen, wer fehlt. Die Konfession der Mitarbeitenden geht sie dagegen nichts an. Für die Geschäftsführung genügen Personalkosten je Abteilung ohne einzelne Pfändungsvermerke.
Über die allgemeinen Sicherheitspflichten aus Art. 32 DSGVO hinaus verlangt § 22 Abs. 2 BDSG für die besonderen Kategorien angemessene und spezifische Schutzmaßnahmen. Für Beschäftigtendaten verweist § 26 Abs. 3 BDSG ausdrücklich auf diese Regel. Genannt werden unter anderem die Beschränkung des Zugangs innerhalb der verantwortlichen Stelle, Verschlüsselung und Verfahren, mit denen sich nachträglich feststellen lässt, wer Daten eingegeben, verändert oder entfernt hat. In der Praxis heißt das Rollen statt Einzelfreigaben, eine regelmäßige Überprüfung aller Berechtigungen und deren sofortiger Entzug, wenn jemand die Personalabteilung verlässt. Vertretungen während des Urlaubs erhalten befristete Rechte, die von selbst auslaufen.
Eine neue Bankverbindung verdient eine zweite Prüfung
Eine bekannte Betrugsmasche zielt direkt auf die Abrechnung. Eine täuschend echte E-Mail bittet im Namen eines Beschäftigten darum, das Gehalt ab sofort auf ein neues Konto zu überweisen. Wird die IBAN ohne Rückfrage geändert, geht das Nettogehalt an Unbekannte. Änderungen an Bankdaten sollten deshalb nur über einen authentifizierten Zugang oder nach einem Rückruf unter einer bereits bekannten Nummer übernommen werden, am besten mit Freigabe durch eine zweite Person.
Weil Phishing-Mails dieser Art auch präparierte Anhänge enthalten können, gehören die Rechner der Personalabteilung in jedes Konzept zur Erkennung von Schadsoftware.
Meldungen an Behörden laufen über vorgegebene Kanäle
Ein großer Teil der Daten verlässt das Unternehmen auf gesetzlich festgelegten Wegen. Meldungen zur Sozialversicherung gehen nach § 28a SGB IV gesichert und verschlüsselt aus systemgeprüften Programmen oder Ausfüllhilfen an die Krankenkassen. Lohnsteuer-Anmeldungen und den Abruf der Lohnsteuerabzugsmerkmale wickeln Arbeitgeber über ELSTER mit einem Zertifikat ab. Arbeitsunfähigkeitsdaten rufen sie bei der Krankenkasse ab, und zwar erst, nachdem der Beschäftigte die Arbeitsunfähigkeit angezeigt hat. Lücken entstehen eher bei den Kopien, die daneben anfallen, etwa ausgedruckten Bescheinigungen oder Kontrollexporten, die auf dem Desktop liegen bleiben.
Steuerkanzlei und Softwareanbieter haben verschiedene Rollen
Bei externen Partnern entscheidet die Rolle über den passenden Vertrag. Steuerberater verarbeiten die Daten ihrer Mandanten nach § 11 Abs. 2 Steuerberatungsgesetz weisungsfrei und gelten dabei als eigene Verantwortliche. Eine Vereinbarung zur Auftragsverarbeitung ist mit der Kanzlei deshalb nicht erforderlich. Den Schutz der Daten sichert dort das Berufsrecht mit seiner Verschwiegenheitspflicht. Ein Rechenzentrum oder Softwaredienstleister, der Daten nur nach Weisung speichert und verarbeitet, ist dagegen Auftragsverarbeiter im Sinne von Art. 28 DSGVO und braucht eine entsprechende Vereinbarung.
Am Ende der Kette steht die Löschung
Aufbewahrungspflichten aus Steuer- und Sozialrecht legen fest, wie lange Lohnunterlagen mindestens vorliegen müssen. Eine Erlaubnis, alles unbegrenzt zu behalten, sind sie nicht. Ein Löschkonzept ordnet jeder Datenart eine Frist und ein auslösendes Ereignis zu, etwa das Ende des Arbeitsverhältnisses.
Ausgemusterte Notebooks, Festplatten und Papierakten aus der Personalabteilung gehören in eine sichere Datenträgerentsorgung mit Vernichtungsnachweis, bevor sie das Haus verlassen.
Betriebsrat und Datenpannen haben eigene Regeln
Führt ein Unternehmen mit Betriebsrat eine neue Abrechnungs- oder Personalsoftware ein, greift in der Regel das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Es betrifft technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind, wobei die Rechtsprechung schon die objektive Eignung einer Software genügen lässt. Kommt es trotz aller Vorkehrungen zu einer Datenpanne, muss der Verantwortliche sie nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Hat die Panne voraussichtlich ein hohes Risiko zur Folge, etwa bei abgeflossenen Gesundheits- oder Bankdaten, müssen nach Art. 34 auch die betroffenen Beschäftigten unverzüglich davon erfahren. Eine wirksame Verschlüsselung der betroffenen Daten kann diese Pflicht entfallen lassen.
Fazit
Sichere Lohnabrechnung beginnt mit einer Landkarte der Datenflüsse. Ist klar, woher jede Angabe kommt, wer sie sieht, wohin sie übermittelt und wann sie gelöscht wird, lassen sich Zugriffe gezielt beschränken und Schnittstellen sauber dokumentieren. Besondere Sorgfalt verdienen Kirchensteuermerkmal und Gesundheitsangaben, die Bankverbindung als Ziel von Betrugsversuchen und jede neue Integration, die einen weiteren Übertragungsweg öffnet.