Dazu gehören das nationale Bundesdatenschutzgesetz (BDSG) und die europäische Datenschutz-Grundverordnung (DSGVO). Beide Regelwerke schützen personenbezogene Daten in spezieller Weise und betreffen damit auch die Entgeltabrechnung. Hier erfahren Sie, was das für Ihr Unternehmen bedeutet und worauf Sie achten müssen, damit Ihre Lohnabrechnung dem Datenschutz entspricht.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) bildet seit ihrem Inkrafttreten am 25. Mai 2018 das zentrale Datenschutzgesetz der EU. Damit stellt sie zahlreiche Unternehmen vor große Herausforderungen. Betriebe müssen sicherstellen, dass die umfangreichen DSGVO-Regelungen eingehalten werden. Was bedeutet das für Sie und Ihr Unternehmen? Bei der Verarbeitung und Speicherung personenbezogener Daten müssen Sie mehrere hundert Seiten voller rechtlicher Anforderungen beachten.
Damit verfolgen die Gesetzgeber einen bestimmten Zweck. Die DSGVO soll den Datenschutz in den EU-Ländern stärken. Sie bietet Einzelpersonen zahlreiche Rechte und Kontrollmöglichkeiten über deren personenbezogene Daten. Einzelpersonen erhalten beispielweise das Recht auf Information und das Recht auf Datenberichtigung, was die eigenen Daten betrifft.
Für Unternehmen schreibt die DSGVO viele zusätzliche Pflichten vor:
- Rechenschaftspflicht
- Datensicherheit
- Rechtfertigung für die Datenverarbeitung
- Datenschutzbeauftragte ernennen (in bestimmten Fällen verpflichtend)
- Zustimmung von Einzelpersonen für die Verarbeitung der Daten einholen
Die DSGVO ist in allen EU-Ländern verpflichtend. Für Unternehmen in der EU, die personenbezogene Daten verarbeiten, enthält sie zahlreiche Verpflichtungen. Die strengen Vorschriften gelten auch für die HR-Abteilung und betreffen hier vor allem die Lohn- und Gehaltsabrechnung. Wenn Ihr Unternehmen gegen diese Datenschutzbestimmungen verstößt, riskieren Sie sowohl hohe Geldstrafen als auch Schadenersatzforderungen von Einzelpersonen, deren Rechte Ihr Unternehmen verletzt hat.
Welche Daten fallen unter den Datenschutz?
Die DSGVO schützt personenbezogene Daten. Dies sind alle Informationen, die identifizierte oder identifizierbare lebende Personen betreffen. Damit sind fast alle Daten der Lohnabrechnung betroffen:
Neben diesen Daten können auch subjektive Informationen, darunter persönliche Ansichten, Beurteilungen und Einschätzungen wie eine Leistungsbeurteilung durch Vorgesetzte, personenbezogene Daten darstellen. In der Gehaltsabrechnung sind ferner sensible Daten wie Gesundheitsdaten, ethnische Herkunft und Gewerkschaftszugehörigkeit erfasst. Für solche sensiblen Daten gelten noch strengere Anforderungen, was die Verarbeitung und Speicherung betrifft.
Was bedeutet die DSGVO für die Lohnabrechnung?
Arbeitgeber, die Datenschutzvorschriften verletzen, müssen mit hohen Bußgeldern rechnen, die nach der Schwere abgestuft sind. Bei schwereren Datenschutzverstößen sind das bis zu zwanzig Millionen Euro oder 4 Prozent des weltweiten Umsatzes, je nachdem, welche Summe höher ist. Wenn die Verstöße weniger schwerwiegend sind, drohen Strafzahlungen von immer noch bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Für Unternehmen ist es daher ein Muss, die DSGVO einzuhalten. Dies betrifft ganz besonders datenintensive Bereiche wie die Entgeltabrechnung. In der Lohnabrechnung hat Datenschutz die höchste Priorität. Demnach muss Ihr Unternehmen personenbezogene Daten bei der digitalen Übertragung und Speicherung auf Datenträgern so schützen, dass unbefugte Personen diese Informationen weder lesen und kopieren noch bearbeiten und löschen können. Die elektronische Datenübertragung gilt aus Datenschutzsicht als sicherer als der Postversand. Der digitale Versand spart außerdem Kosten (Papier, Druck, Porto) und aufgrund der Automatisierung auch Zeit. Allerdings müssen Sie spezielle Datenschutzmaßnahmen treffen. Nur damit können Sie in der elektronischen Lohnabrechnung den Datenschutz sicher gewährleisten.
Worauf müssen Sie bei der digitalen Entgeltabrechnung achten?
In Ihrer digitalen Lohnabrechnung müssen Sie die Vorschriften zum Datenschutz zwingend beachten, weil Sie besonders sensible Daten wie Gehalt, Religionszugehörigkeit und Sozialversicherungsnummer erfassen. Doch was ist konkret zu berücksichtigen? Sie müssen vor allem auf die Punkte Datensicherheit, Zustimmung der Mitarbeitenden und Datenauswahl achten:
1. Datensicherheit
Die Maßnahmen zur Datensicherheit betreffen die digitale Signatur, den Schutz vor nachträglichen Datenveränderungen und die Verschlüsselung. Die Lohnabrechnung im PDF-Format erfüllt diese Sicherheitsanforderungen. Sie ist auch deshalb empfehlenswert, weil die Entgeltabrechnung laut § 108 Gewerbeordnung druckbar sein muss.
Den Zugang im Intranet sollten Sie durch ein zweistufiges Berechtigungssystem absichern. Protokolldaten sorgen für Transparenz. Mit klar festgelegten Zugriffsrechten stellen Sie sicher, dass nur berechtigte Mitarbeitende relevante Daten abrufen können.
Bei der elektronischen Übermittlung der Lohnabrechnung per E-Mail schützen Sie mit einer end-to-end-Verschlüsselung die übermittelten Inhalte. Für gespeicherte Lohnabrechnungsdaten sind spezielle Löschfristen zu beachten. Im Idealfall halten Sie alle Transaktionen fest, damit die Veränderungen nachvollziehbar und etwaige Fehlerquellen auffindbar sind (Stichwort Transparenz).
2. Zustimmung der Mitarbeitenden
Für den Versand der elektronischen Lohnabrechnung benötigen Sie die schriftliche Zustimmung der Mitarbeitenden. Davor müssen Sie die Betroffenen über Art und Zweck der Datenerhebung informieren. Zudem müssen die Beschäftigten jederzeit auf ihre personenbezogenen Daten zugreifen können.
3. Datenauswahl
Als Arbeitgeber dürfen Sie weder überflüssige Daten noch zu viele Daten erheben und speichern. Sie benötigen daher ein zuverlässiges Löschkonzept. Demnach ist regelmäßig zu überprüfen, ob die gespeicherten Daten nach der DSGVO noch relevant oder bereits überflüssig sind. Überflüssige Daten müssen Sie löschen.
Wie stellen Sie den Datenschutz in Ihrer Lohnabrechnung sicher?
Um in der Lohnabrechnung den Datenschutz zu gewährleisten, erstellen Sie einen genauen Aktionsplan, der mehrere Schritte umfasst:
1. Mit einem internen Audit identifizieren Sie die lohnbezogenen Daten und überprüfen die Zugriffsberechtigung.
2. Zudem stehen die Begründung und Dokumentation aller Datenverarbeitungsaktivitäten an.
3. Sie stimmen die Datenschutzhinweise auf Ihre Mitarbeitenden ab, um Klarheit über verarbeitete Daten und deren Zweck zu schaffen.
4. Außerdem kümmern Sie sich um die Sicherheitsüberprüfung der Daten und setzen bei Bedarf spezielle Maßnahmen zur Erhöhung des Schutzniveaus um (SSL, ISO 27001).
5. Ferner erarbeiten Sie Protokolle und Verfahren für die Datenanfragen Ihrer Mitarbeitenden.
6. Sie überprüfen, ob die Ernennung eines Datenschutzbeauftragten notwendig ist.
7. Mit einer passwortgeschützten Selfservice-Plattform tragen Sie in der Lohnabrechnung zum Datenschutz bei, weil Sie damit die Sicherheit digitaler Lohnzettel steigern.
8. Zudem müssen Sie überprüfen, ob die Dienstleistungsverträge mit externen Payroll-Anbietern und die genutzte Software den Bestimmungen der DGSVO entsprechen.
9. Denken Sie auch an DSGVO-Schulungen für das Lohnabrechnungs-Team und andere Mitarbeitende.
10. Bei länderübergreifender Tätigkeit ist der Hauptstandort für Datenverarbeitungsentscheidungen zu bestimmen.
11. Mit regelmäßigen Audits überprüfen Sie, ob Ihr Unternehmen die DSGVO-Bestimmungen einhält und damit in der Lohnabrechnung den Datenschutz gewährleistet.
Zusätzlich können noch weitere Aktivitäten erforderlich sein. Die oben genannten Maßnahmen gelten für jedes Unternehmen, das Daten in der Lohnabrechnung verarbeitet, egal wie klein oder groß es ist.
Was gilt für die Entgeltabrechnung durch einen Dienstleister?
Mit einem zuverlässigen, spezialisierten Dienstleistungsunternehmen können Sie in der Lohnabrechnung den Datenschutz sicherstellen, ohne selbst viel Zeit investieren zu müssen. Bei der Entgeltabrechnung durch externe Anbieter sollten Sie diese Punkte beachten:
1. Zuverlässiges Dienstleistungsunternehmen wählen
Wählen Sie ein verlässliches Dienstleistungsunternehmen, das sowohl im Personalwesen und in der Entgeltrechnung Experte ist als auch aktuelles Fachwissen in den Bereichen IT-Sicherheit, Datenschutz und Recht mitbringt. Die Prozesse sollten standardisiert und hinsichtlich der DSGVO rechtssicher sein. Dadurch ist gewährleistet, dass kein Detail übersehen oder falsch eingeschätzt wird und dass neue Rechtsvorschriften stets korrekt umgesetzt werden. Ein Dienstleistungsunternehmen mit IT-Fachwissen bietet Ihnen technische Sicherheit und garantiert dafür, dass in der Lohnabrechnung der Datenschutz erfüllt wird. Es sollte dabei nicht nur mit den länderübergreifenden DSGVO-Vorschriften, sondern auch mit den lokalen Gesetzen und Sonderreglungen vertraut sein. Dies ist vor allem bei internationalen Unternehmen wichtig.
2. Vertrag schließen
Gemäß Art. 28 DSGVO müssen Sie einen Vertrag zur Auftragsdatenverarbeitung schließen, in dem die jeweiligen datenschutzrechtlichen Pflichten und Aufgaben festgelegt sind. Außerdem sollten Sie diese Punkte vertraglich regeln, um sich abzusichern:
- Rechtskonformer Umgang mit personenbezogenen Daten
- Datenverarbeitung darf nur auf Basis Ihrer Weisungen erfolgen
- Rahmenbedingungen zur Vertragsbeendigung
- Was geschieht nach der Vertragsbeendigung mit den gespeicherten Daten? Werden die Daten sofort gelöscht? Stellt das HR-Dienstleistungsunternehmen die gesammelten Daten im Vorfeld zur Verfügung?
3. Verantwortung für Datenschutz
Als Arbeitgeber sind Sie in der Lohnabrechnung für den Datenschutz und die sichere Verarbeitung der personenbezogenen Daten Ihrer Mitarbeitenden auch dann verantwortlich, wenn Sie ein externes HR-Dienstleistungsunternehmen beauftragen. Gleichzeitig haftet dieses HR-Dienstleistungsunternehmen für die Datensicherheit. Für den Datentransfer gilt das Prinzip der geteilten Verantwortung. Demnach teilen Sie sich mit dem beauftragten HR-Dienstleistungsunternehmen die Verantwortung. Deshalb ist die Auswahl eines zuverlässigen Unternehmens sehr wichtig.
4. Sicherer Datentransfer
Für die Übermittlung ihrer personenbezogenen Daten an externe Dienstleister bedarf es der schriftlichen Zustimmung Ihrer Mitarbeitenden. Achten Sie zudem bei jedem Datentransfer auf eine verschlüsselte Datenübertragung und einen nachvollziehbaren Transferprozess.
5. Auf Zertifizierung achten
Achten Sie bei der Auswahl des Dienstleistungsunternehmens auf eine ISAE 3402-Zertifizierung. Damit entscheiden Sie sich für einen Anbieter, der umfangreiche Prozesse dokumentiert, nachvollziehbar darstellt und alle rechtlichen Dokumentationsvorgaben erfüllt.
6. Fort- und Weiterbildungen
Die gesetzlichen Rahmenbedingungen der Gehaltsabrechnung sind komplex und verändern sich fortlaufend. Deshalb muss ein möglicher Outsourcing-Partner hinsichtlich der jeweils geltenden Gesetzesvorschriften stets auf aktuellem Stand sein und diese kompetent anwenden. Nur dann ist sichergestellt, dass Ihre Lohnabrechnung dem Datenschutz auch tatsächlich entspricht. Deshalb sollten Sie im Vorfeld klären, ob das HR-Dienstleistungsunternehmen regelmäßig Fort- und Weiterbildungen nutzt, um sich über Gesetzesänderungen zu informieren.
7. Gesicherte Internetkommunikation
Achten Sie bei der Auswahl darauf, dass Ihr Outsourcing-Partner über ein ITSG- oder Dakota-Zertifikat verfügt. Damit stellen Sie sicher, dass dieses Unternehmen die Internet-Kommunikation gesichert durchführt. Ferner sollte eine ISO-Zertifizierung vorliegen. Diese zeigt Ihnen an, dass das externe Dienstleistungsunternehmen die geltenden ISO-Normen erfüllt.
Fazit zu Lohnabrechnung und Datenschutz: Das sollten Sie beachten
Die DSGVO legt für Unternehmen jeder Größenordnung viele Pflichten und Anforderungen in puncto Datenschutz fest. Dies ist sehr herausfordernd. So verarbeitet und speichert die HR-Abteilung zahlreiche personenbezogene Daten, vor allem in der Entgeltabrechnung. Damit ist gerade in der Lohnabrechnung der Datenschutz ein großes Thema und eine heikle, sehr zeitintensive Aufgabe. Mit der digitalen Lohnabrechnung sparen Sie Zeit und Geld. Außerdem ist die elektronische Entgeltabrechnung sicherer als der Postversand. Da Ihre Mitarbeitenden schnell und einfach auf die Abrechnungen zugreifen können, verbessern Sie damit auch die Employee Experience.
Gleichzeitig sind zusätzliche Vorschriften zu beachten. Die administrativen und technischen Prozesse müssen den umfangreichen DSGVO-Regelungen entsprechen. Das bedeutet, dass Sie spezielle Maßnahmen setzen müssen, die wiederum viele Fallstricke mit sich bringen. Dazu gehört auch ein genauer Aktionsplan. Unternehmen, die gegen die DSGVO-Vorschriften verstoßen, riskieren hohe Bußgelder und Schadenersatzzahlungen. Um dies zu verhindern, müssen Sie die sich laufend verändernden Rahmenbedingungen verfolgen. Zusätzlich sollten Sie die länderspezifischen Regelungen kennen. Dies stellt Sie und Ihr Unternehmen vor große Herausforderungen.
Dafür gibt es eine Lösung, die Sie entlastet: Sie können für die Entgeltabrechnung ein externes Dienstleistungsunternehmen beauftragen, das Expertenwissen im HR-Bereich und in der Lohnabrechnung mitbringt und zusätzlich über fundierte Fachkenntnisse in puncto IT-Sicherheit und Datenschutz verfügt. Mit einem verlässlichen Partner stellen Sie sicher, dass die Datenverarbeitungsprozesse stets geprüft und sicher erfolgen und den DSGVO-Vorschriften entsprechen. Sie suchen ein solches zuverlässiges HR-Dienstleistungsunternehmen, das Verantwortung für Ihre Datensicherheit übernimmt? Dann sprechen Sie uns jederzeit direkt an. Wir beraten Sie gerne und sorgen gemeinsam mit Ihnen dafür, dass Ihre Lohnabrechnung dem Datenschutz entspricht.