„Das sind doch nur Gehaltsdaten.“ Diesen Satz hören wir häufig, wenn es um die Frage geht, wie sorgfältig ein Lohnablauf gebaut sein muss. Er stimmt nicht. Eine Lohnabrechnung enthält regelmäßig Angaben, für die die DSGVO eigene, strengere Regeln vorsieht.
1. Was in einer Lohnabrechnung tatsächlich steckt
Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung bestimmter Datenarten grundsätzlich. Dazu gehören unter anderem Angaben zu religiösen Überzeugungen, zur Gewerkschaftszugehörigkeit und Gesundheitsdaten. Drei davon begegnen einem in der Lohnabrechnung fast zwangsläufig.
| Feld | Wovon es Auskunft gibt | Einstufung |
|---|---|---|
| Kirchensteuermerkmal | Religionszugehörigkeit, und bei Konfessionslosigkeit auch deren Fehlen | Art. 9 |
| Gewerkschaftsbeitrag | Mitgliedschaft in einer Gewerkschaft, sofern über die Abrechnung geführt | Art. 9 |
| Entgeltfortzahlung, AU-Zeiten | Gesundheitszustand, mindestens die Tatsache der Arbeitsunfähigkeit | Art. 9 |
| Schwerbehinderung | Gesundheitsdaten, relevant für Zusatzurlaub und Kündigungsschutz | Art. 9 |
| Mutterschutz, Elternzeit | je nach Zusammenhang Gesundheitsdaten | Art. 9 möglich |
| Pfändungen, Unterhalt | keine besondere Kategorie, aber hoch sensibel | Art. 6 |
2. Auf welcher Grundlage das erlaubt ist
Das Verbot in Art. 9 Abs. 1 DSGVO gilt nicht ohne Ausnahmen. Für die Lohnabrechnung ist Art. 9 Abs. 2 lit. b DSGVO einschlägig: Die Verarbeitung ist zulässig, soweit sie zur Ausübung von Rechten oder zur Erfüllung von Pflichten aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit erforderlich ist. Im deutschen Recht konkretisiert § 26 Abs. 3 BDSG diese Ausnahme.
Praktisch heißt das: Sie dürfen das Kirchensteuermerkmal verarbeiten, weil Sie zur Abführung der Kirchensteuer verpflichtet sind. Sie dürfen Arbeitsunfähigkeitszeiten verarbeiten, weil die Entgeltfortzahlung davon abhängt. Die Erlaubnis reicht aber genau so weit wie die Pflicht und keinen Schritt weiter.
Hinzu kommt: Nach Art. 9 Abs. 2 lit. b DSGVO müssen angemessene Garantien für die Rechte der Betroffenen vorgesehen sein. Das ist kein Formelsatz, sondern der Grund, warum Zugriffsrechte und Löschfristen bei Lohndaten enger gefasst sein müssen als bei anderen Beschäftigtendaten.
3. Was daraus praktisch folgt
Zugriff muss eng sein
Nicht jeder in der Personalabteilung braucht Einsicht in Kirchensteuermerkmal oder Schwerbehinderung. Die Rollen sollten so geschnitten sein, dass jemand seine Aufgabe erledigen kann, ohne alles zu sehen. Bei der Lohnvorbereitung ist das gut machbar: Wer Stunden prüft, braucht keine Konfession.
Übermittlungen brauchen einen Grund
Jede Weitergabe an Dritte, an den Steuerberater, an ein Rechenzentrum, an einen Dienstleister, braucht eine Grundlage und in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei besonderen Kategorien schaut eine Aufsichtsbehörde genauer hin, ob die Weitergabe wirklich erforderlich war.
Löschfristen kollidieren mit Aufbewahrungspflichten
Lohnunterlagen unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen. Das ist kein Widerspruch zur DSGVO, sondern deren Auflösung: Solange eine gesetzliche Pflicht besteht, wird aufbewahrt, danach gelöscht. Wichtig ist, dass es überhaupt ein Verfahren gibt, das nach Ablauf löscht. In der Praxis fehlt genau das am häufigsten.
4. Was das für Automatisierung bedeutet
Hier wird es für Automatisierungsprojekte konkret. Die gute Nachricht: Der weitaus größte Teil der Lohnvorbereitung kommt ohne besondere Kategorien aus.
| Schritt | Art. 9 betroffen? | Konsequenz |
|---|---|---|
| Stundenzettel einlesen, Zeiten summieren | nein | unkritisch, hier liegt der größte Zeitgewinn |
| Zuschläge berechnen, Schichten zuordnen | nein | unkritisch |
| Abwesenheiten abgleichen | ja, sobald Krankheit dabei ist | Kennzeichen statt Diagnose, enger Zugriff |
| Plausibilität prüfen, Abweichungen markieren | in der Regel nein | unkritisch, solange nur Zeiten geprüft werden |
| Übergabedatei erzeugen | ja, die Datei enthält alles | Verschlüsselung, definierter Empfänger, Protokoll |
Die praktische Schlussfolgerung
Ein Ablauf lässt sich meist so schneiden, dass die besonderen Kategorien gar nicht durch die automatisierten Schritte laufen. Die Zeitwirtschaft arbeitet mit Stunden und Kennzeichen, nicht mit Diagnosen. Erst die fertige Übergabedatei führt alles zusammen, und die geht verschlüsselt an genau einen Empfänger.
Das ist keine juristische Spitzfindigkeit, sondern eine Bauentscheidung: Wer den Ablauf so entwirft, hat später weniger zu erklären, gegenüber der Aufsichtsbehörde ebenso wie gegenüber dem Betriebsrat.
5. Prüfliste vor dem ersten Ablauf
- Ist aufgeschrieben, welche Felder der Ablauf tatsächlich liest? Nicht welche er lesen könnte, sondern welche er liest.
- Laufen besondere Kategorien durch automatisierte Schritte, oder erst durch die Übergabedatei?
- Wer hat Zugriff auf Zwischenstände, und wie lange liegen die?
- Besteht ein Auftragsverarbeitungsvertrag mit jedem beteiligten Dienstleister?
- Findet die Verarbeitung in der EU statt, und ist das nachweisbar?
- Gibt es ein Verfahren, das nach Ablauf der Aufbewahrungsfrist tatsächlich löscht?
- Steht der Ablauf im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO?
- Wurde geprüft, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist?
Warum wir darauf herumreiten
Weil es der Punkt ist, an dem Automatisierungsprojekte im Personalbereich scheitern, und zwar selten an der Technik. Wer beim ersten Gespräch mit dem Datenschutzbeauftragten nicht sagen kann, welche Felder wohin fließen, verliert Wochen.
Deshalb schreiben wir das vor der Umsetzung auf: eine Seite je Ablauf, welche Felder gelesen werden, wo sie hingehen, wer sie sieht, wann sie verschwinden. Das ist keine Bürokratie, sondern die Unterlage, mit der man in dieses Gespräch geht.
