Datenschutz-Folgenabschätzung für HR-Software.
Wann sie nötig ist und wie Sie sie durchführen.

Wann ist eine DSFA für HR-Software Pflicht?

Eine DSFA ist Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen hat (Art. 35 Abs. 1 DSGVO). Regelbeispiele sind die systematische Bewertung persönlicher Aspekte mit erheblicher Wirkung und die umfangreiche Verarbeitung besonderer Kategorien (Abs. 3). In HR trifft das häufig auf KI-Scoring, Leistungsauswertung, Biometrie und Standortdaten zu. Bei Standardfunktionen ohne Bewertung genügt oft eine dokumentierte Vorprüfung. Ob das hohe Risiko vorliegt, beurteilen Sie je Verarbeitung und halten die Begründung in der Akte fest.

Braucht jede HR-Software eine Datenschutz-Folgenabschätzung?

Nein. Das Gesetz knüpft die Pflicht an das hohe Risiko einer Verarbeitung, nicht an eine Produktgattung. Eine Software für Stammdaten, Abwesenheiten und Dokumente löst für sich meist keinen Regelfall aus. Prüfen Sie dennoch je Verarbeitung, ob Funktionen wie Auswertungen, KI oder Standortdaten hinzukommen, und halten Sie das Ergebnis der Vorprüfung schriftlich fest. Im Zweifel ist eine DSFA der sichere Weg. Die Muss-Liste der Aufsicht hilft bei der Einordnung, ist aber nicht abschließend. Eine Verarbeitung, die dort fehlt, kann trotzdem ein hohes Risiko haben.

Wie läuft eine Datenschutz-Folgenabschätzung ab?

Eine DSFA enthält mindestens vier Teile nach Art. 35 Abs. 7: eine Beschreibung der Verarbeitung, die Bewertung von Notwendigkeit und Verhältnismäßigkeit, die Bewertung der Risiken und die geplanten Abhilfemaßnahmen. Praktisch kommen die Freigabe mit Dokumentation und bei hohem Restrisiko die Konsultation der Aufsichtsbehörde hinzu. Nach Änderungen überprüfen Sie das Ergebnis erneut (Abs. 11). Die sechs Schritte oben zeigen den Ablauf. Planen Sie für den ersten Durchlauf einige Wochen ein, weil Unterlagen des Anbieters, Rat der Datenschutzbeauftragten und Abstimmung mit dem Betriebsrat zusammenkommen.

Wer führt die DSFA durch?

Die DSFA führt der Verantwortliche durch, also Ihr Unternehmen, meist unter Leitung der HR-Leitung oder der IT mit Rat der oder des Datenschutzbeauftragten (Art. 35 Abs. 2). Der Anbieter kann als Auftragsverarbeiter Unterlagen liefern und ist nach Art. 28 Abs. 3 lit. f zur Unterstützung verpflichtet. Die Entscheidung und die Verantwortung bleiben beim Arbeitgeber. Beteiligen Sie den Betriebsrat früh, um spätere Verzögerungen zu vermeiden. Externe Fachleute können unterstützen, ersetzen aber nicht die Freigabe durch die Geschäftsführung.

Braucht Zeiterfassung eine DSFA?

Standardmäßige Zeiterfassung per Terminal, Karte oder App ohne Standortdaten steht nicht auf der Muss-Liste der DSK und löst nicht automatisch eine DSFA aus. Anders ist es bei Biometrie, die in der Liste unter Nr. 1 steht, oder bei Geolokalisierung von Beschäftigten (Nr. 8). Unabhängig davon ist die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten. Dokumentieren Sie die Vorprüfung in jedem Fall. Beachten Sie auch die Arbeitszeiterfassungspflicht, die den Zweck der Daten bestimmt und damit die Erforderlichkeitsprüfung erleichtert.

Braucht ein Bewerbermanagementsystem eine DSFA?

Ein ATS, das Bewerbungen nur entgegennimmt, ablegt und Termine koordiniert, braucht nicht zwingend eine DSFA. Setzen Sie automatisches Ranking, Scoring oder KI-Vorauswahl ein, ist eine DSFA wegen der systematischen Bewertung persönlicher Aspekte meist angezeigt (Art. 35 Abs. 3 lit. a, DSK Nr. 11). Auch ein großer Talentpool mit Datenanreicherung erhöht das Risiko. Fristen und Einwilligung behandelt die Seite zum Bewerbermanagement und DSGVO. Prüfen Sie außerdem, ob die KI-Funktionen später unter die Hochrisiko-Regeln der KI-Verordnung fallen, die für HR ab 02.12.2027 gelten.

Was bedeutet § 26 BDSG für die DSFA?

§ 26 BDSG erlaubt die Verarbeitung von Beschäftigtendaten, soweit sie für Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist (Abs. 1 Satz 1). Nach dem EuGH-Urteil C-34/21 vom 30.03.2023 hält der Hamburgische Datenschutzbeauftragte die Norm für voraussichtlich unanwendbar. Nennen Sie daher in der DSFA die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und begründen Sie die Erforderlichkeit, statt sich allein auf § 26 BDSG zu stützen. Die Einschätzung der Aufsicht ist keine Gerichtsentscheidung zu § 26 BDSG, deshalb ist die doppelte Absicherung sinnvoll.

Muss der Betriebsrat an der DSFA beteiligt werden?

Eine ausdrückliche Pflicht, den Betriebsrat in die DSFA einzubinden, nennt Art. 35 nicht. Art. 35 Abs. 9 sieht aber vor, gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter einzuholen. Außerdem hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen, wenn die Software zur Überwachung von Verhalten oder Leistung geeignet ist. In der Praxis lassen sich DSFA und Betriebsvereinbarung gemeinsam vorbereiten. Die Datenschutzbeauftragte oder der Datenschutzbeauftragte berät den Verantwortlichen, ersetzt den Betriebsrat aber nicht.

Was passiert, wenn die DSFA ein hohes Restrisiko zeigt?

Bleibt trotz geplanter Maßnahmen ein hohes Risiko, müssen Sie vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 Abs. 1 DSGVO). Sie gibt innerhalb von bis zu acht Wochen schriftliche Empfehlungen ab, eine Verlängerung um sechs Wochen ist möglich, und die Fristen können gehemmt werden, bis Auskünfte vorliegen (Art. 36 Abs. 2). Planen Sie diese Zeit vor dem geplanten Produktivstart ein. Besser ist es, das Risiko vorher durch zusätzliche Maßnahmen oder den Verzicht auf einzelne Funktionen zu senken.

Welche Pflichten hat der Anbieter bei der DSFA?

Der Anbieter ist als Auftragsverarbeiter nach Art. 28 Abs. 3 lit. f DSGVO verpflichtet, Sie bei den Pflichten aus Art. 32 bis 36 zu unterstützen, also auch bei DSFA und Konsultation. Er liefert Beschreibung, Sicherheitsmaßnahmen, Unterauftragsverarbeiter und Nachweise (lit. h). Die DSFA selbst führt er nicht durch. Lassen Sie sich diese Unterstützung im Vertrag mit konkreten Unterlagen und Reaktionszeiten zusichern. Die allgemeinen Vertragsinhalte nach Art. 28 erklärt die Seite zur DSGVO-konformen HR-Software.

Gilt die DSFA-Pflicht auch bei Cloud-Anbietern?

Ja, die Pflicht trifft den Verantwortlichen unabhängig davon, ob die Software lokal oder in der Cloud läuft. Beim Cloud-Betrieb kommen weitere Risiken hinzu: Hosting-Standort, Supportzugriffe, Unterauftragsverarbeiter und mögliche Zugriffe aus Drittländern. Diese gehören in die Risikobewertung. Der Anbieter stellt die Unterlagen bereit, Sie bewerten, ob die Maßnahmen für Ihre Datenarten ausreichen und wie sich der Ausstieg regeln lässt. Fragen Sie den Anbieter nach Standort, Supportmodell und Zugriffsprotokollen und prüfen Sie, wie sich ein Ausstieg regeln lässt.

Wie oft muss die DSFA überprüft werden?

Eine feste Frist nennt Art. 35 nicht. Abs. 11 verlangt eine Überprüfung, ob die Verarbeitung der DSFA entspricht, zumindest wenn sich das mit der Verarbeitung verbundene Risiko ändert. Anlässe sind neue Funktionen, KI-Module, Anbieterwechsel, neue Unterauftragsverarbeiter oder eine geänderte Betriebsvereinbarung. Legen Sie zusätzlich einen festen Turnus fest, etwa jährlich, und vermerken Sie das Ergebnis in der Dokumentation. So bleibt die Dokumentation aktuell, wenn sich Funktionen im Rahmen von Updates ändern.

Wo bekomme ich eine Vorlage für die Risikotabelle?

Die Risikotabelle oben mit neun Beispielrisiken lässt sich als CSV-Datei herunterladen. Sie enthält zusätzliche Spalten für Eintritt, Schwere, Risikostufe, Restrisiko, Verantwortliche und Frist. Die Beispiele und die Skala von 1 bis 4 sind Vorschläge von Find-Your-HR und müssen an Ihre Verarbeitung angepasst werden. Eine verbindliche Vorlage der Aufsichtsbehörde ersetzt sie nicht. Ergänzen Sie die Tabelle um eigene Risiken, die sich aus Ihren Datenarten, Standorten und Schnittstellen ergeben, und lassen Sie sie von der Datenschutzbeauftragten oder dem Datenschutzbeauftragten gegenlesen.