Lohnabrechnung und Datenschutz: Infos und Tipps
Datenschutz bei der Gehaltsabrechnung
Nach aktueller Rechtslage gilt: Wer personenbezogene Daten verarbeitet, trägt auch die Verantwortung dafür. Beauftragt ein Unternehmen also ein externes Lohnbüro mit der Abrechnung, bleibt der Arbeitgeber die „verantwortliche Stelle“ – und muss sicherstellen, dass die Daten seiner Mitarbeitenden geschützt werden. Die datenschutzrechtlichen Pflichten enden also nicht an der Tür des Dienstleisters, sondern gelten dort ebenso. In der Praxis heißt das: Für die Lohnbuchhaltung und -abrechnung müssen jederzeit wirksame Sicherheitsmaßnahmen nach dem Stand der Technik vorhanden sein – sowohl im Unternehmen selbst als auch beim beauftragten Anbieter. Besonders wichtig ist das bei digitalen Lohnabrechnungen.
Was sind personenbezogene Daten?
Das Bundesdatenschutzgesetz (BDSG), wie auch die EU-DSGVO, schützen personenbezogene Daten – und damit fast alle Informationen, um die es in der Lohnabrechnung geht: vom Namen, dem Wohnort und der Kontonummer des Beschäftigten über seine Arbeitszeiten, die berufliche Tätigkeit, Arbeits-, Urlaubs- und Krankenzeiten bis hin zur Konfessionszugehörigkeit, Kinderzahl und selbstverständlich der Höhe seiner Einkünfte, wie etwa einem vereinbarten Festgehalt.
Nachlässigkeit ist bereits Verstoß
Wenn ein Arbeitgeber die Gehaltsabrechnung einem dafür nicht geeigneten Betrieb überträgt und/oder die Übertragung vertraglich nicht sorgfältig ausgestaltet wird, verstößt er bereits gegen geltendes Datenschutzrecht, selbst wenn ansonsten kein Missbrauch der Daten stattfindet. Kommt es zum Missbrauch, ist die Lage noch prekärer. Als Missbrauch gelten folgende Szenarien:
Auftragsdatenverarbeiter löscht alte Datensätze nicht, obwohl er sie zum Zweck der Auftragserfüllung nicht mehr benötigt
Auftragsdatenverarbeiter verkauft Datensätze an Dritte
Hacker entwenden aufgrund mangelhafter IT-Security Arbeitnehmerdaten
Unterbrechung der Datenverarbeitung
Stellen die Aufsichtsbehörden Datenschutzverstöße fest, können sie jederzeit anordnen, dass die Verarbeitung von Daten gestoppt wird. Für Unternehmen kann das gravierende Folgen haben – denn auch wenn die Lohnabrechnung blockiert ist, bleibt der Anspruch der Mitarbeitenden auf eine pünktliche und korrekte Gehaltszahlung bestehen.
Grundregeln des Datenschutzes bei der Lohnabrechnung
Die Grundsätze des Datenschutzes sind nicht neu – schon das BDSG wurde von ihnen geprägt. Mit der EU-DSGVO haben sie jedoch noch stärker an Bedeutung gewonnen. Für die Lohnabrechnung spielen vor allem folgende Prinzipien eine zentrale Rolle:
Erlaubnisvorbehalt: Im Art. 6 der EU-DSGVO wird bestimmt, dass die Verarbeitung personenbezogener Daten nur erlaubt ist, wenn der Betreffende explizit zugestimmt hat (Einwilligung), ein Vertrag anders nicht erfüllt werden kann (Vertragserfüllung) oder eine Rechtspflicht bzw. Lebenswichtige oder Berechtigte Interessen es erfordern. Ein Arbeitgeber kann weder die Entlohnung als arbeitsvertragliche Hauptpflicht noch seine gesetzlich vorgeschriebenen Pflichten in Bezug auf Steuern und Sozialversicherungsbeiträge erfüllen, ohne personenbezogene Daten seiner Arbeitnehmer zu verarbeiten. Somit ist diese Verarbeitung erlaubt.
Zweckbindung und Datensparsamkeit: Die Pflicht, Daten nur für einen bestimmten Zweck zu verarbeiten und sich dabei auf das notwendige Maß zu beschränken, ist ebenfalls gesetzlich verankert (Art. 5 Abs. 1 DSGVO). Außerdem muss die Datensicherheit – der technische und organisatorische Schutz vor Verlust, Zerstörung oder Schädigung der Daten – gewährleistet sein. Hier wird der Arbeitgeber gefordert, eine sichere Lohnabrechnung zu erstellen.
Bestellung eines Datenschutzbeauftragten: Die DSGVO regelt klar, wann ein Datenschutzbeauftragter erforderlich ist: immer dann, wenn mindestens 20 Personen regelmäßig Daten verarbeiten, personenbezogene bzw. sensible Daten betroffen sind oder eine systematische Überwachung erfolgt; öffentliche Stellen müssen stets einen benennen (außer Gerichte bei justiziellen Tätigkeiten).
Wer ist für den Datenschutz bei der Lohnabrechnung verantwortlich?
Jeder Datenschutzverstoß zieht nicht nur das Risiko von Bußgeldern, sondern auch von Schadenersatzforderungen nach sich. Deshalb ist in der Praxis die Frage von zentraler Bedeutung, wer als verantwortliche Stelle für die Einhaltung der Datenschutzbestimmungen zu sehen ist. Das gilt auch in der Lohnabrechnung. Die EU-DSGVO bringt in dieser Frage eine Klarstellung:
Der Auftraggeber, also das Unternehmen, das externe Dienstleister mit der Lohnabrechnung beauftragt, bleibt grundsätzlich verantwortlich für die rechtmäßige Verarbeitung der personenbezogenen Daten.
Der Dienstleister darf die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers verarbeiten. Verstößt der Dienstleister gegen diese Weisung – etwa durch Verarbeitung zu eigenen Zwecken oder ohne Erlaubnis – wird er selbst zum datenschutzrechtlichen Verantwortlichen im Sinne der Verordnung und haftet entsprechend.
Die klare vertragliche Regelung der Auftragsverarbeitung – inklusive technischer und organisatorischer Maßnahmen – ist daher unerlässlich für den rechtssicheren Umgang mit personenbezogenen Daten in der Lohnabrechnung.
Vertrag für Auftragsdatenverarbeitung nötig
Die Verarbeitung der Gehaltsabrechnung durch einen Dienstleister muss wie jede sogenannte Auftragsdatenverarbeitung auf Grundlage eines Vertrags erfolgen, der die datenschutzrechtlichen Pflichten und Aufgaben regelt. Das sehen sowohl das BDSG als auch die EU-Verordnung vor (Art. 28 Abs. 3 DSGVO). Die Auslagerung der Lohn- und Gehaltsabrechnung auf einen externen Abrechnungsdienstleister, der beispielsweise die Lohnabrechnung per Mail bereitstellt, ist ein klassisches Beispiel für Auftragsdatenverarbeitung.
Datenschutz besonders bei digitaler Gehaltsabrechnung wichtig
Datenschutz ist ein in seiner Brisanz unterschätztes Thema. In Zeiten steigender Cyber-Angriffe und stetig wachsender Bedeutung von Compliance sollte man jedoch vorsorgen, vor allem in Bezug auf den Datenschutz bei elektronischen Gehaltsabrechnungen. Dort geht es um sensible, personenbezogene Daten. Gleichzeitig weitet die Rechtsprechung die persönliche Haftung von Geschäftsführern und Vorständen bei Verstößen gegen die Sorgfaltspflicht zunehmend aus. Kommt es zu Mängeln, haftet auch das Unternehmen, wenn der Verarbeitungsauftrag nicht rechtssicher gestaltet ist. Mit der EU-DSGVO sind die möglichen Bußgelder zudem erheblich gestiegen. Umso wichtiger ist es, einen zuverlässigen Partner für die Lohn- und Gehaltsabrechnung zu wählen. Genau hier setzt Paychex Europe Payroll an: Die moderne Payroll-Software ist stets auf dem aktuellen Stand und erfüllt höchste Sicherheitsstandards.
Verwandte Beiträge
Erhöhung der Zusatzbeitragssätze bei den Krankenkassen: Was Arbeitnehmer und Arbeitgeber im Jahr 2025 wissen müssen
Im Jahr 2025 steigen die Beiträge der gesetzlichen Krankenkassen deutlich an. Besonders relevant ist dabei die Erhöhung des durchschnittlichen Zusatzbeitrags von 1,7 auf 2,5 Prozent – das entspricht einem Anstieg von knapp 50 Prozent.
Rechengrößen und Beitragssätze für die Lohnabrechnung: das gilt 2024
Alle Jahre wieder gibt es zum Jahreswechsel neue Rechenwerte in der Sozialversicherung. Unser Überblick nennt die Beträge und Zahlen, die ab Jahresbeginn 2024 gelten.
Hinweisgeberschutzgesetz: was die neuen Whistleblower-Regeln für Arbeitgeber bedeuten
Ein neues Gesetz schützt Arbeitnehmer, die als Whistleblower Hinweise auf bestimmte Verstöße im Betrieb aufdecken. Ab einer bestimmten Betriebsgröße müssen Arbeitgeber sogar Meldestellen dafür einrichten. Staatliche Anlaufstellen gibt es ebenfalls. Zu den Verstößen gehören viele Pflichtverletzungen im Bereich der Lohn- und Gehaltsabrechnung, etwa Lohndiskriminierung, Mindestlohnverstöße oder nicht abgeführte Lohnsteuer. Arbeitgeber sollten sich auf das Hinweisgeberschutzgesetz und seine Folgen einstellen.