DSGVO in der HR-Software: Was Sie vom Anbieter verlangen sollten

Welche Rechtsgrundlage gilt für die Speicherung von Mitarbeiterdaten in einer HR-Software?

Meist Art. 6 Abs. 1 Buchst. b DSGVO, also die Durchführung des Arbeitsvertrags, ergänzt durch Buchst. c für gesetzliche Pflichten wie Lohnsteuer und Sozialversicherung. Auswertungen und Protokolle stützen Sie nur dann auf Buchst. f, wenn eine dokumentierte Interessenabwägung die Erforderlichkeit trägt. Eine Einwilligung kommt nur für freiwillige Zusatzangebote in Betracht, weil § 26 Abs. 2 BDSG die Abhängigkeit der Beschäftigten berücksichtigt. Besondere Kategorien wie Gesundheitsdaten brauchen zusätzlich eine Grundlage nach Art. 9 DSGVO, bei Beschäftigten häufig über § 26 Abs. 3 BDSG.

Reicht § 26 BDSG als Rechtsgrundlage nach dem EuGH-Urteil C-34/21 noch aus?

Das hat der EuGH nicht entschieden, deshalb sollten Sie sich nicht allein darauf verlassen. Das Urteil vom 30. März 2023 betraf § 23 HDSIG und stellte klar, dass nationale Vorschriften nur dann spezifischere Regeln nach Art. 88 DSGVO sind, wenn sie die Vorgaben des Abs. 2 erfüllen und nicht bloß die DSGVO wiederholen. Ob § 26 Abs. 1 Satz 1 BDSG diesen Maßstab erfüllt, ist eine offene Rechtsfrage. Praktisch stützen Sie jede Verarbeitung zusätzlich auf Art. 6 Abs. 1 DSGVO und dokumentieren die Erforderlichkeit. Dies ist allgemeine Information und keine Rechtsberatung.

Brauchen wir für eine HR-Software zwingend einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?

Ja, sobald der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa in einer Cloud-Lösung. Der Vertrag muss nach Art. 28 Abs. 3 DSGVO unter anderem Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Vertragsende und Prüfrechte regeln. Schließen Sie ihn vor dem ersten Zugriff auf Echt- oder Testdaten ab. Ein Zertifikat des Anbieters ersetzt den Vertrag nicht.

Muss HR-Software zwingend auf Servern in Deutschland oder der EU laufen?

Nein, die DSGVO schreibt keinen Serverstandort in Deutschland vor, verlangt aber für Übermittlungen in Drittländer einen Mechanismus nach Kapitel V, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Das EU-US Data Privacy Framework beruht auf dem Beschluss (EU) 2023/1795 vom 10. Juli 2023, und das Gericht der EU wies die Klage dagegen am 3. September 2025 ab (T-553/23, Latombe). Dagegen ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P, eingelegt am 31. Oktober 2025; ABl. C/2025/6610 vom 22. Dezember 2025). Ein EU-Rechenzentrum sagt nichts über Fernzugriffe aus Drittländern aus. Fragen Sie deshalb nach Standort, Betreiber, Support-Zugriff und Unterauftragsverarbeitern.

Wie lange dürfen Bewerberdaten nach einer Absage in der HR-Software gespeichert werden?

Eine feste gesetzliche Frist gibt es nicht, die Dauer muss erforderlich und begründet sein. Als Orientierung dienen die Fristen im Allgemeinen Gleichbehandlungsgesetz: Ansprüche sind binnen zwei Monaten nach Zugang der Absage schriftlich geltend zu machen (§ 15 Abs. 4 AGG), die Klage ist binnen drei Monaten danach zu erheben (§ 61b Abs. 1 ArbGG). Eine längere Speicherung etwa im Talentpool braucht eine Einwilligung. Die Software sollte die Frist je Bewerbung automatisch verfolgen und die Löschung protokollieren.

Welche Aufbewahrungsfristen gelten für Lohnunterlagen und Personalakten?

Lohnkonten sind bis zum Ablauf des sechsten Kalenderjahres aufzubewahren, das auf die letzte Lohnzahlung folgt (§ 41 Abs. 1 Satz 9 EStG). Buchungsbelege sind nach § 147 Abs. 3 AO und § 257 Abs. 4 HGB acht Jahre aufzubewahren, Bücher und Jahresabschlüsse zehn Jahre. Aufzeichnungen über Arbeitszeit über die werktägliche Höchstarbeitszeit hinaus sind mindestens zwei Jahre zu behalten (§ 16 Abs. 2 ArbZG). Für die Personalakte als Ganzes gibt es keine einheitliche Frist, deshalb gilt je Dokumenttyp die jeweilige Norm.

Wie schnell müssen Auskunftsanfragen von Beschäftigten beantwortet werden?

Spätestens innerhalb eines Monats nach Eingang des Antrags, wobei die Frist um bis zu zwei Monate verlängert werden kann, wenn die Komplexität oder die Zahl der Anträge das erfordert (Art. 12 Abs. 3 DSGVO). Die Verlängerung ist der betroffenen Person innerhalb eines Monats mitzuteilen. Technisch brauchen Sie eine Suche über alle Module und Anhänge sowie einen Export in lesbarer Form. Üben Sie den Ablauf in der Demo mit einer Testperson, bevor Sie sich entscheiden.

Welche Rolle spielt der Betriebsrat bei der Einführung einer neuen HR-Software?

Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen, wenn technische Einrichtungen dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Bei Zeiterfassung, Auswertungen oder KI-Funktionen ist das in der Praxis meist zu klären. Eine Betriebsvereinbarung kann nach § 26 Abs. 4 BDSG eine Grundlage sein, muss aber die DSGVO einhalten. Binden Sie den Betriebsrat daher schon in der Anbieterauswahl ein.

Warum muss eine Betriebsvereinbarung zur HR-Software den Maßstab der DSGVO vollständig erfüllen?

Der EuGH entschied am 19. Dezember 2024 in der Rechtssache C-65/23, dass Betriebsvereinbarungen die Art. 5, 6 Abs. 1 und 9 DSGVO einhalten müssen und der Spielraum der Betriebsparteien die gerichtliche Kontrolle der Erforderlichkeit nicht verringert. Das Bundesarbeitsgericht sprach am 8. Mai 2025 (8 AZR 209/21) in einem Fall zum Testbetrieb von Workday 200 Euro Schadensersatz zu, weil Daten übermittelt wurden, die die Vereinbarung nicht deckte. Beschreiben Sie Zweck, Datenkategorien und Testdaten daher konkret.

Wie beeinflussen KI-Funktionen die DSGVO-Pflichten bei HR-Software?

KI-Funktionen lösen oft zusätzliche Pflichten aus. Art. 22 DSGVO schützt vor ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung, und Art. 35 Abs. 3 Buchst. a DSGVO nennt die systematische Bewertung persönlicher Aspekte als Regelfall der Folgenabschätzung. Hinzu kommt die KI-Verordnung (EU) 2024/1689, die Beschäftigungs-KI in Anhang III als Hochrisiko einstuft; durch den Digital Omnibus gelten die Pflichten ab dem 2. Dezember 2027 (Stand: Oktober 2026). Klären Sie außerdem, ob Ihre Daten zum Modelltraining genutzt werden.

Ersetzt ein ISO-27001-Zertifikat oder ein BSI-C5-Testat den AV-Vertrag und die Prüfung der Maßnahmen?

Nein, ein Zertifikat belegt ein geprüftes Managementsystem in einem definierten Geltungsbereich, nicht Ihre Rechtsgrundlagen und nicht den Vertrag nach Art. 28 DSGVO. Prüfen Sie Geltungsbereich, Zeitraum und bei C5 den Typ des Berichts. Von den acht Anbietern in der Tabelle oben nennen mehrere ISO 27001, einen C5-Typ-2-Bericht nennt SAP, andere führen C5 oder TISAX nicht auf. Fordern Sie den Nachweis an, statt Zusagen zu glauben.

Wann ist für eine HR-Software eine Datenschutz-Folgenabschätzung nötig?

Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten der Beschäftigten hat (Art. 35 Abs. 1 DSGVO). Regelbeispiele sind die systematische und umfassende Bewertung persönlicher Aspekte mit erheblicher Wirkung und die umfangreiche Verarbeitung besonderer Kategorien. Das trifft bei Bewerber-Ranking, Leistungsbewertung durch KI oder großen Mengen von Gesundheitsdaten häufig zu. Prüfen Sie zusätzlich die Positivliste Ihrer Aufsichtsbehörde und binden Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten ein.

Wann muss ich einen Datenschutzbeauftragten benennen und welche Rolle hat er bei der HR-Software?

Nach § 38 Abs. 1 BDSG benennen Sie eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und unabhängig von dieser Zahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen. Die Person berät zu AV-Vertrag, Folgenabschätzung und Löschkonzept. Sie prüft aber nicht für Sie die Software, die Entscheidung bleibt beim Verantwortlichen.

Was ist bei Datenschutzverletzungen im Zusammenhang mit der HR-Software zu tun?

Der Anbieter meldet als Auftragsverarbeiter eine Verletzung unverzüglich an Sie (Art. 33 Abs. 2 DSGVO). Sie melden sie an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1). Bei voraussichtlich hohem Risiko benachrichtigen Sie auch die Betroffenen (Art. 34). Vereinbaren Sie deshalb im AV-Vertrag eine konkrete Meldefrist des Anbieters und einen Ansprechpartner.