Wie nutzt man Mitarbeiterdaten DSGVO-konform im DACH-Raum?

Tobias Mengis · 20 Aug 2026

Unternehmen im DACH-Raum dürfen Mitarbeiterdaten nur dann erheben und verarbeiten, wenn eine gültige Rechtsgrundlage nach der DSGVO vorliegt, zum Beispiel die Vertragserfüllung, eine gesetzliche Verpflichtung oder die ausdrückliche Einwilligung der betroffenen Person. Das gilt für alle personenbezogenen Daten, die im Beschäftigungskontext entstehen, von der Gehaltsabrechnung bis zur Mitarbeiterbefragung. Dieser Artikel beantwortet die wichtigsten Fragen rund um DSGVO-konformes HR-Datenmanagement im DACH-Raum.

Welche Mitarbeiterdaten dürfen Unternehmen im DACH-Raum überhaupt erheben?

Unternehmen dürfen im Beschäftigungsverhältnis grundsätzlich alle Daten erheben, die zur Vertragserfüllung oder zur Erfüllung gesetzlicher Pflichten notwendig sind. Dazu gehören Name, Adresse, Bankverbindung, Sozialversicherungsnummer, Arbeitszeiten und Krankmeldungen. Daten, die über diesen Zweck hinausgehen, bedürfen einer eigenen Rechtsgrundlage oder einer freiwilligen, informierten Einwilligung.

Die DSGVO unterscheidet zwischen gewöhnlichen personenbezogenen Daten und besonderen Kategorien sensibler Daten. Letztere umfassen Gesundheitsdaten, politische Überzeugungen, religiöse Zugehörigkeit oder Gewerkschaftsmitgliedschaft. Diese dürfen nur unter sehr engen Voraussetzungen verarbeitet werden, etwa wenn es eine ausdrückliche Einwilligung gibt oder wenn eine spezifische gesetzliche Grundlage besteht.

Im DACH-Raum gelten neben der DSGVO auch nationale Regelungen: In Deutschland das Bundesdatenschutzgesetz (BDSG), in Österreich das Datenschutzgesetz (DSG) und in der Schweiz das revidierte Datenschutzgesetz (nDSG). Diese nationalen Gesetze konkretisieren die DSGVO-Vorgaben für den Beschäftigungskontext und können in einzelnen Punkten strenger sein. HR-Verantwortliche sollten daher immer den länderspezifischen Rechtsrahmen im Blick behalten.

Was ist der Unterschied zwischen DSGVO-Pflicht und betrieblichem Ermessen?

DSGVO-Pflicht bedeutet, dass die Datenverarbeitung gesetzlich vorgeschrieben oder zur Vertragserfüllung zwingend erforderlich ist. Betriebliches Ermessen hingegen bezeichnet den Spielraum, den Unternehmen haben, um über die gesetzlichen Mindestanforderungen hinaus Daten zu erheben, sofern eine legitime Rechtsgrundlage vorhanden ist und der Grundsatz der Datensparsamkeit eingehalten wird.

Ein typisches Beispiel für DSGVO-Pflicht ist die Verarbeitung von Lohndaten für die Gehaltsabrechnung oder die Speicherung von Krankmeldungen zur Lohnfortzahlung. Hier ist die Verarbeitung nicht optional, sondern gesetzlich vorgeschrieben. Betriebliches Ermessen kommt zum Tragen, wenn ein Unternehmen etwa freiwillige Mitarbeiterbefragungen zu Themen wie Arbeitszufriedenheit oder Unternehmenskultur durchführen möchte.

Entscheidend ist das Prinzip der Zweckbindung: Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht ohne Weiteres für andere Zwecke genutzt werden. Wer Mitarbeiterdaten für Analysen zur Personalentwicklung nutzen möchte, muss sicherstellen, dass dieser Zweck bei der Erhebung klar kommuniziert und rechtlich abgesichert wurde.

Wie werden Mitarbeiterdaten aus HR-Umfragen DSGVO-konform verarbeitet?

HR-Umfragen sind DSGVO-konform, wenn die Teilnahme freiwillig ist, der Zweck der Erhebung klar kommuniziert wird, die Daten anonymisiert oder pseudonymisiert werden, wo immer möglich, und eine Datenschutzfolgenabschätzung durchgeführt wurde, falls die Verarbeitung ein hohes Risiko für Betroffene darstellt.

Besonders wichtig ist die Frage der Anonymität. Viele Mitarbeiterbefragungen werden mit dem Versprechen der Anonymität durchgeführt, um ehrliche Antworten zu fördern. Dieses Versprechen muss technisch und organisatorisch abgesichert sein. Wenn Antworten mit Metadaten wie Abteilung, Standort oder Jobstufe verknüpft werden, kann die Anonymität bei kleinen Gruppen schnell aufgehoben werden. Unternehmen sollten daher Mindestgruppengrössen definieren, unterhalb derer keine Auswertungen ausgespielt werden.

Für die Durchführung von HR-Umfragen gilt ausserdem: Betroffene müssen vorab über die Art der erhobenen Daten, die Verarbeitungszwecke, die Speicherdauer und ihre Rechte informiert werden. Diese Information sollte in verständlicher Sprache und leicht zugänglich erfolgen, nicht in versteckten Datenschutzhinweisen.

Welche Rechte haben Mitarbeitende gegenüber ihren eigenen HR-Daten?

Mitarbeitende haben nach der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Diese Rechte gelten auch im Beschäftigungsverhältnis und müssen von Arbeitgebern aktiv ermöglicht werden.

Das Auskunftsrecht ist in der Praxis besonders relevant: Jede Mitarbeiterin und jeder Mitarbeiter kann jederzeit anfragen, welche personenbezogenen Daten das Unternehmen über sie oder ihn gespeichert hat. Unternehmen müssen auf solche Anfragen in der Regel innerhalb von 30 Tagen antworten. Wer keine strukturierten Prozesse dafür hat, gerät schnell in Verzug.

Das Recht auf Löschung, auch bekannt als “Recht auf Vergessenwerden”, gilt nicht uneingeschränkt. Wenn Daten zur Erfüllung gesetzlicher Aufbewahrungspflichten benötigt werden, zum Beispiel Lohnabrechnungen über mehrere Jahre, muss das Unternehmen diese nicht löschen. Hier besteht eine Abwägung zwischen dem individuellen Recht und der gesetzlichen Pflicht.

Wichtig ist auch das Widerspruchsrecht: Mitarbeitende können der Verarbeitung ihrer Daten widersprechen, wenn diese auf einem berechtigten Interesse des Unternehmens basiert. In solchen Fällen muss das Unternehmen nachweisen, dass seine Interessen die Interessen der betroffenen Person überwiegen.

Wie sichert man HR-Daten technisch und organisatorisch ab?

HR-Daten müssen durch geeignete technische und organisatorische Massnahmen (TOMs) geschützt werden. Dazu gehören Verschlüsselung, Zugriffskontrollen, Protokollierung von Datenzugriffen, regelmässige Sicherheitsaudits und klare interne Richtlinien zum Umgang mit personenbezogenen Daten.

Technische Massnahmen

Auf technischer Ebene sind Verschlüsselung bei der Übertragung und Speicherung von Daten, rollenbasierte Zugriffsrechte und regelmässige Sicherheitsupdates der eingesetzten Systeme besonders wichtig. HR-Plattformen sollten ausserdem Funktionen zur Datensparsamkeit bieten, also nur die Daten erheben und speichern, die tatsächlich benötigt werden.

Organisatorische Massnahmen

Auf organisatorischer Ebene braucht es klare Verantwortlichkeiten: Wer hat Zugriff auf welche Daten? Wie werden Zugriffsrechte vergeben und entzogen, wenn Mitarbeitende das Unternehmen verlassen? Unternehmen ab einer bestimmten Grösse sind zudem verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen. Regelmässige Schulungen für HR-Teams und Führungskräfte sind kein Nice-to-have, sondern ein zentraler Bestandteil eines funktionierenden Datenschutzkonzepts.

Was droht Unternehmen bei DSGVO-Verstössen im Umgang mit Mitarbeiterdaten?

Bei DSGVO-Verstössen im Personalmanagement drohen Bussgelder von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Hinzu kommen Reputationsschäden, Klagen von betroffenen Mitarbeitenden und ein erheblicher Vertrauensverlust innerhalb der Belegschaft.

Die Aufsichtsbehörden im DACH-Raum, darunter der Bundesbeauftragte für den Datenschutz in Deutschland, die Datenschutzbehörde in Österreich und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) in der Schweiz, haben in den vergangenen Jahren ihre Durchsetzungsaktivitäten spürbar intensiviert. Verstösse werden nicht mehr nur bei offensichtlichem Missbrauch geahndet, sondern auch bei strukturellen Mängeln wie fehlenden Verarbeitungsverzeichnissen oder unzureichenden Datenschutzhinweisen.

Besonders kritisch ist der Umgang mit Datenpannen. Wenn personenbezogene Daten von Mitarbeitenden unbefugt offengelegt, verloren oder gestohlen werden, muss das Unternehmen dies in der Regel innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Wer diesen Prozess nicht vorbereitet hat, verliert wertvolle Zeit und riskiert zusätzliche Sanktionen.

Neben den regulatorischen Risiken sollten Unternehmen auch den internen Schaden nicht unterschätzen. Mitarbeitende, die das Gefühl haben, dass ihre Daten nicht sicher sind oder missbraucht werden, verlieren das Vertrauen in die Organisation. Das wirkt sich direkt auf Engagement, Bindung und letztlich auf die Unternehmensleistung aus.

So unterstützt atwork den DSGVO-konformen Umgang mit HR-Daten

atwork wurde von Grund auf mit dem Anspruch entwickelt, Datenschutz und datengetriebene HR-Entscheidungen miteinander zu verbinden. Die Plattform bietet konkrete Funktionen, die Unternehmen im DACH-Raum dabei unterstützen, Mitarbeiterdaten DSGVO-konform zu erheben, zu verarbeiten und zu nutzen:

Anonymisierte Auswertungen: atwork stellt sicher, dass Ergebnisse aus Mitarbeiterbefragungen erst ab definierten Mindestgruppengrössen angezeigt werden, um die Anonymität der Teilnehmenden zu schützen.
Wissenschaftlich validierte Umfragen: Alle standardisierten Befragungsformate sind so konzipiert, dass sie den Anforderungen an Zweckbindung und Datensparsamkeit entsprechen.
Datenschutzkonforme Verarbeitung: Die Plattform verarbeitet Daten auf Servern in Europa und erfüllt die technischen und organisatorischen Anforderungen der DSGVO.
Verknüpfung von Feedback und objektiven Daten: Mit der Impact-Analyse lassen sich HR-Daten und Geschäftskennzahlen verknüpfen, ohne dabei die Datenschutzprinzipien zu verletzen.
Automatisierte Handlungsempfehlungen: Die KI-gestützten Aktionspläne helfen HR-Teams, aus Daten konkrete Massnahmen abzuleiten, ohne unnötige Datenmengen zu speichern oder zu verarbeiten.

Wenn Sie wissen möchten, wie atwork Ihr Unternehmen beim datenschutzkonformen Einsatz von People Analytics unterstützen kann, sprechen Sie jetzt mit unserem Team.