Datenschutz bei Lohnsoftware: DSGVO-Pflichten für Arbeitgeber

Beim Einsatz von Lohnabrechnungssoftware verarbeiten Sie besonders sensible Beschäftigtendaten: Gehalt, Steuermerkmale, Bankverbindung, Krankheitszeiten und Sozialversicherungsdaten. Als Arbeitgeber sind Sie datenschutzrechtlich verantwortlich. Bei Cloud-Lösungen benötigen Sie in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter, außerdem sollten Sie Berechtigungen, Löschfristen und technische Schutzmaßnahmen klar regeln. Dieser Guide zeigt die zentralen Pflichten und gibt Prüffragen für den Anbieter an die Hand. Er ersetzt keine Rechtsberatung.

Rechtsgrundlagen im Überblick

Für die Verarbeitung von Beschäftigtendaten gelten die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz, insbesondere § 26 BDSG zum Beschäftigtendatenschutz. Die Verarbeitung von Gehaltsdaten ist zur Durchführung des Beschäftigungsverhältnisses und zur Erfüllung gesetzlicher Pflichten, etwa gegenüber Finanzamt und Sozialversicherung, zulässig. Dennoch müssen Zweckbindung, Datenminimierung und Sicherheit gewahrt werden. Gesundheitsdaten, zum Beispiel Krankheitszeiten, unterliegen strengeren Regeln.

Die wichtigsten Pflichten

Pflicht	Inhalt	Praxisfrage
Auftragsverarbeitung	Vertrag nach Art. 28 DSGVO mit Cloud-Anbietern	Liegt der Vertrag vor, und passt er zur Leistung?
Verzeichnis der Verarbeitungstätigkeiten	Dokumentation nach Art. 30 DSGVO	Ist die Lohnabrechnung aufgeführt?
Technische und organisatorische Maßnahmen	Schutz nach Art. 32 DSGVO	Verschlüsselung, Zugriffsrechte, Sicherung
Informationspflichten	Beschäftigte über Verarbeitung informieren	Gibt es eine Beschäftigteninformation?
Löschkonzept	Daten nach Ablauf der Fristen löschen	Wie lange werden Daten aufbewahrt?
Meldung von Datenpannen	Meldung an Aufsichtsbehörde bei Verletzung	Gibt es einen Prozess?

Auftragsverarbeitung mit dem Softwareanbieter

Wenn ein Anbieter Daten in Ihrem Auftrag auf seinen Servern verarbeitet, ist er in der Regel Auftragsverarbeiter. Der Vertrag muss unter anderem Gegenstand, Dauer, Art der Daten, Pflichten und Weisungsrechte regeln sowie den Einsatz von Unterauftragnehmern. Prüfen Sie, wo die Daten verarbeitet werden. Findet die Verarbeitung außerhalb der Europäischen Union statt, gelten zusätzliche Anforderungen. Seriöse Anbieter stellen einen Vertrag bereit und informieren über Rechenzentren und Unterauftragnehmer.

Es gibt Konstellationen, in denen Steuerkanzleien oder Lohnbüros eigenständig verantwortlich sind. Das hängt von ihrer Rolle ab. Klären Sie das im Vertrag mit Ihrer Kanzlei.

Berechtigungen und Zugriffskonzept

Nicht jeder Mitarbeitende im Büro darf Gehälter sehen. Legen Sie fest, wer Lese- und Schreibrechte hat, und setzen Sie das in der Software um. Wichtig sind:

getrennte Benutzerkonten statt gemeinsamer Zugänge
starke Passwörter und möglichst Zwei-Faktor-Anmeldung
Rollen, etwa Erfassung, Prüfung, Freigabe
Protokollierung von Änderungen
sofortiger Entzug von Zugriffen bei Ausscheiden

Aufbewahrung und Löschung

Lohnunterlagen müssen aufbewahrt werden: Das Lohnkonto nach dem Einkommensteuergesetz sechs Jahre, Buchungsbelege nach der Abgabenordnung acht Jahre. Für sozialversicherungsrechtliche Unterlagen gelten Aufbewahrungspflichten bis zur nächsten Prüfung. Nach Ablauf der Fristen sind Daten zu löschen, sofern keine anderen Gründe bestehen. Ein Löschkonzept legt fest, wann und wie das geschieht. Fragen Sie Ihren Anbieter, ob Lösch- und Sperrfunktionen vorhanden sind.

Beispiel: Prüffragen an den Anbieter

Diese Fragen können Sie vor Vertragsabschluss stellen:

Wird ein Auftragsverarbeitungsvertrag angeboten?
Wo stehen die Server, und welche Unterauftragnehmer werden eingesetzt?
Wie werden Daten verschlüsselt, bei Übertragung und Speicherung?
Wie sind Zugriffe, Protokolle und Rollen geregelt?
Wie läuft das Backup, und wie schnell ist eine Wiederherstellung möglich?
Wie werden Daten bei Vertragsende zurückgegeben oder gelöscht?
Gibt es Zertifizierungen oder Prüfberichte zur Informationssicherheit?

Antworten sollten Sie schriftlich dokumentieren. Die Fragen sind auch Teil der Auswahl-Checkliste.

Betriebsrat und Mitbestimmung

Gibt es einen Betriebsrat, kann die Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, mitbestimmungspflichtig sein. Das kann auch Lohn- und Personalsoftware betreffen, abhängig von den Funktionen. Beziehen Sie den Betriebsrat frühzeitig ein, und lassen Sie die Frage rechtlich prüfen.

Datenschutz im Alltag

Versenden Sie Gehaltsabrechnungen nicht unverschlüsselt per E-Mail. Nutzen Sie Mitarbeiterportale oder verschlüsselte Übertragung.
Lassen Sie Exportdateien nicht auf frei zugänglichen Laufwerken liegen.
Schulen Sie Beschäftigte im Umgang mit sensiblen Daten und Phishing.
Prüfen Sie regelmäßig Benutzer und Rechte.
Dokumentieren Sie Vorfälle und melden Sie Datenschutzverletzungen im Zweifel an die zuständige Aufsichtsbehörde innerhalb der gesetzlichen Frist.

Ob ein Datenschutzbeauftragter benannt werden muss, hängt von Größe und Art der Verarbeitung ab, nach dem BDSG in der Regel bei ständiger Beschäftigung einer bestimmten Zahl von Personen mit automatisierter Verarbeitung. Prüfen Sie die aktuelle Grenze im Gesetz.

Zusammenhang mit der Wahl der Software

Datenschutz ist ein Auswahlkriterium wie Preis und Funktionen. Der Vergleich von Cloud und lokalen Lösungen im Guide Cloud oder Desktop zeigt die Unterschiede. Auch ein Excel-Einsatz hat Risiken, siehe Lohnabrechnung mit Excel.

Wann Sie fachlichen Rat einholen sollten

Bei Verträgen mit Anbietern außerhalb der EU, bei Datenpannen oder bei Fragen zur Benennung eines Datenschutzbeauftragten ist Rechtsberatung oder die Beratung durch Datenschutzfachleute sinnvoll. Auch die Aufsichtsbehörden der Länder geben Orientierung.

Umgang mit Auskunftsersuchen von Beschäftigten

Beschäftigte haben nach der DSGVO das Recht auf Auskunft über die zu ihrer Person gespeicherten Daten. Ein Auskunftsersuchen kann auch die Lohnabrechnung betreffen. Stellen Sie sicher, dass Sie Daten aus der Software exportieren können, etwa Stammdaten, Abrechnungen und Meldungen, und dass Sie die gesetzliche Antwortfrist kennen. Legen Sie fest, wer solche Anfragen bearbeitet und wie die Identität des Anfragenden geprüft wird. Auch Berichtigungswünsche, zum Beispiel bei falschen Stammdaten, sollten Sie schnell umsetzen können. Ein kurzer interner Ablaufplan genügt in kleinen Betrieben meist.

Häufige Fragen

Brauche ich für Lohnsoftware immer einen AV-Vertrag?

Bei Cloud-Lösungen, in denen der Anbieter Daten in Ihrem Auftrag verarbeitet, in der Regel ja. Bei rein lokaler Installation ohne Zugriff des Anbieters auf Daten ist das meist anders. Klären Sie die Rolle im Einzelfall.

Dürfen Gehaltsdaten ins Ausland?

Innerhalb der EU grundsätzlich unter den allgemeinen Voraussetzungen. Bei Drittländern gelten zusätzliche Anforderungen an Schutzgarantien. Prüfen Sie den Einzelfall.

Wer ist zuständige Aufsichtsbehörde?

Das ist in der Regel die Datenschutzbehörde des Bundeslandes, in dem Ihr Betrieb seinen Sitz hat. Informationen bietet die Datenschutzkonferenz.

Quellen und weiterführende Informationen

Datenschutzkonferenz — Orientierungshilfen der Aufsichtsbehörden
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit — DSGVO und Beschäftigtendatenschutz
Bundesamt für Sicherheit in der Informationstechnik — Informationssicherheit und Cloud-Nutzung