DSGVO-Anforderungen an HR-Software: Was der DACH-Mittelstand 2026 wirklich prüfen muss
Personalakte, Bewerbermanagement, Zeiterfassung und Payroll verarbeiten hochsensible Beschäftigtendaten – und genau hier entstehen laut Bitkom die größten Datenschutzrisiken deutscher Unternehmen. Diese Seite zeigt, welche Rechtsgrundlagen, Löschfristen, AV-Verträge und Data-Residency-Anforderungen eine HR-Software 2026 erfüllen muss, und vergleicht die wichtigsten Anbieter für den Mittelstand.
Warum HR-Software zum Datenschutz-Risiko wird
Personalabteilungen im deutschen Mittelstand verarbeiten hochsensible Beschäftigtendaten – von Gesundheitsdaten bis Gehaltsdaten. Der Datenschutz-Aufwand steigt seit Jahren, und viele HR-Systeme bilden Löschfristen und Rechtsgrundlagen nur unzureichend automatisiert ab.
Das Problem
Personalabteilungen im deutschen Mittelstand verarbeiten in ihrer HR-Software (der digitalen Plattform für Personalakte, Recruiting, Zeiterfassung und Gehaltsabrechnung) besonders sensible Daten: Gesundheitsdaten aus Krankmeldungen, Gehaltsdaten, Bewerberdaten und teils sogar Daten zu Gewerkschaftszugehörigkeit oder Religion. Laut Bitkom berichten mittlerweile 97 % der Unternehmen ab 20 Beschäftigten von hohem oder sehr hohem Datenschutz-Aufwand, Tendenz weiter steigend (Bitkom, 2026).
Für den Mittelstand (20–499 Mitarbeitende) ist die Belastung überdurchschnittlich hoch: 45 % der kleineren Unternehmen (20–99 Beschäftigte) melden „sehr hohen" Aufwand, verglichen mit 38 % bei Unternehmen ab 500 Mitarbeitenden (Bitkom, 2026 – nicht zu verwechseln mit dem Vorjahreswert 38 % aus der Hero-Kennzahl: Hier geht es um den Größenklassen-Vergleich innerhalb desselben Jahres 2026, nicht um einen Jahr-über-Jahr-Vergleich). Große Konzerne verfügen eher über dedizierte Datenschutz-Teams, während der Mittelstand die Last oft in der HR-Abteilung mitträgt.
Viele HR-Software-Systeme wurden ursprünglich als reine Effizienztools konzipiert und bilden Löschfristen, Auftragsverarbeitungsverträge (AV-Verträge) oder Betroffenenrechte nur unzureichend automatisiert ab. Das Ergebnis: Bewerberdaten bleiben Jahre über die zulässige Frist gespeichert, Zugriffsrechte sind nicht rollenbasiert eingeschränkt, oder Cloud-Server liegen außerhalb der EU. Genau ein solcher Fall kostete ein Unternehmen 2023 laut LfDI-Niedersachsen-Pressemeldung ein Bußgeld von 50.000 Euro, weil Absagen von Bewerbern 18 Monate statt der zulässigen sechs Monate gespeichert wurden (LfDI Niedersachsen, 2023).
Wichtig ist zudem: Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – etwa Diagnosehinweise in Krankmeldungen, Religions- oder Gewerkschaftsangaben – reicht die allgemeine Rechtsgrundlage nach Art. 6 DSGVO allein nicht aus. Hier ist zusätzlich eine eigene Rechtsgrundlage nach § 26 Abs. 3 BDSG bzw. Art. 9 Abs. 2 DSGVO erforderlich, was viele HR-Software-Konfigurationen in der Praxis nicht sauber abbilden.
Die Lösung
Eine DSGVO-konforme HR-Software im Sinne der Core-HR-Software und digitalen Personalakte bildet Löschfristen automatisiert ab, dokumentiert für jede Verarbeitung die Rechtsgrundlage nach Art. 6 DSGVO, stellt einen rechtssicheren AV-Vertrag bereit und ermöglicht Betroffenenrechte (Auskunft, Berichtigung, Löschung) per Self-Service.
Seit dem EuGH-Urteil C-34/21 (März 2023) reicht ein bloßer Verweis auf § 26 BDSG zudem nicht mehr unbesehen aus: Der EuGH entschied konkret zu einer vergleichbaren Öffnungsklausel im hessischen Landesrecht (§ 23 HDSIG), doch deutsche Aufsichtsbehörden und die herrschende Meinung in der Fachliteratur übertragen diese Anforderung analog auf § 26 BDSG – jede Verarbeitung im Beschäftigungskontext sollte deshalb zusätzlich eigenständig DSGVO-konform begründet werden, was höhere Anforderungen an die Konfigurierbarkeit von HR-Systemen stellt.
Wichtig für Unternehmen mit Betriebsrat: Nach § 87 Abs. 1 BetrVG ist praktisch jede Einführung eines HR-IT-Systems mitbestimmungspflichtig – wie eine solche Betriebsvereinbarung rechtzeitig und rechtssicher verhandelt wird, entscheidet oft über den gesamten Projektzeitplan (Details dazu in der Mitbestimmung bei HR-Software).
DSGVO-relevante Merkmale von HR-Software im DACH-Mittelstand
Sortierung: alphabetisch nach Anbieternamen, keine Wertung oder Rangfolge.
| Kriterium | HRworks (Freiburg) |
Personio (seit 2015, München) |
rexx systems (seit 2000, Hamburg) |
Sage HR (Neu-Isenburg) |
SAP SuccessFactors (Walldorf) |
|---|---|---|---|---|---|
| Serverstandort | Rechenzentren in Deutschland | EU-Rechenzentren (Deutschland/Irland, je nach Vertrag) | Eigene Rechenzentren in Deutschland (Hamburg) | EU-Rechenzentren | Wählbar, u. a. Rechenzentren in Deutschland gemäß SAP Data Center Directory (z. B. Frankfurt) |
| AV-Vertrag digital abschließbar | ✓ Ja | ✓ Ja, über Vertragsportal | ✓ Ja | ✓ Ja | ✓ Ja, im Rahmen der SAP-Cloud-Verträge |
| Automatisierte Löschfristen | Konfigurierbar für Bewerber- und Personaldaten | Teilweise konfigurierbar je Datenkategorie | Konfigurierbar, Fokus auf Personalakte | Grundfunktionen vorhanden | Umfangreich konfigurierbar (Enterprise-Fokus) |
| Rollenbasierte Zugriffsrechte | ✓ Ja | ✓ Ja | ✓ Ja | Ja, Basisfunktionen | Ja, granular (Enterprise-Standard) |
| ISO-27001-Zertifizierung | Ja (Herstellerangabe, ungeprüft) | Ja (Herstellerangabe, ungeprüft) | Ja, seit 2021 (Herstellerangabe, ungeprüft) | Ja (Herstellerangabe, ungeprüft) | Ja (Herstellerangabe, ungeprüft) |
| Datenexport/Portabilität bei Vertragsende | Standard-Exportformate laut Herstellerangabe | Exportfunktion vorhanden, Format vertragsabhängig | Vollständiger Datenexport Teil des AV-Vertrags (Herstellerangabe) | Standard-Exportfunktionen | Vertraglich geregelt, Umfang projektabhängig |
| Zielgruppe/Unternehmensgröße | 10–500 Mitarbeitende | 10–2.000 Mitarbeitende | 50–5.000 Mitarbeitende | 10–200 Mitarbeitende | Ab ca. 500 Mitarbeitende, Konzerne |
| Preistransparenz | Ab ca. 5–8 €/MA/Monat (Herstellerangabe, 2026) | Keine öffentlichen Preise, Angebot auf Anfrage (2026) | Angebot auf Anfrage, modulabhängig | Ab ca. 5 €/MA/Monat (Herstellerangabe, 2026) | Keine öffentlichen Preise, projektabhängig |
Preisangaben basieren auf öffentlich zugänglichen Herstellerangaben und Marktbeobachtungen 2026 und können je nach Modulumfang, Mitarbeiterzahl und Vertragslaufzeit abweichen. Für ein verbindliches Angebot empfiehlt sich eine individuelle Anfrage beim jeweiligen Anbieter. Die Angabe „Datenexport/Portabilität" bezieht sich auf öffentlich kommunizierte Standardfunktionen; die konkrete vertragliche Ausgestaltung sollte im AV-Vertrag geprüft werden.
Weitere relevante Anbieter für Data Residency: Neben rexx systems positionieren sich weitere deutsche Anbieter explizit über „Made in Germany"-Datenhoheit, etwa Aconso (digitale Personalakte), Haufe X360 sowie P&I LOGA und DATEV-Personalprodukte. Sie sind hier nicht mit vollständigem Kriterienprofil gelistet, gehören aber in eine individuelle Shortlist, wenn Data Residency das entscheidende Auswahlkriterium ist.
Fünf Anbieterprofile im Datenschutz-Fokus
Die folgenden Kurzprofile sind beispielhaft für unterschiedliche Anbieterprofile ausgewählt – Cloud-Standard für den breiten Mittelstand, Enterprise-Suite, deutscher Nischenanbieter mit eigenen Rechenzentren sowie zwei kleinere Cloud-Lösungen – und folgen keiner Rangfolge.
HRworks
HRworks (Cloud-HR-Software, Freiburg) deckt Zeiterfassung, Personalakte, Urlaubsverwaltung und Recruiting ab und betreibt seine Server ausschließlich in deutschen Rechenzentren. Löschfristen lassen sich je nach Dokumententyp für Bewerber- und Personaldaten konfigurieren, und der Anbieter nennt öffentliche Einstiegspreise, was den Vergleich gegenüber Anbietern ohne Preistransparenz erleichtert (Herstellerangabe, 2026).
Personio
Personio (Cloud-HR-Software, gegründet 2015 in München) deckt Recruiting, Personalakte, Zeiterfassung und Lohnvorbereitung ab. Laut eigenen Angaben bietet Personio ISO-27001-Zertifizierung, EU-Serverstandorte und ein digital abschließbares AV-Vertragsportal. Seit der jüngsten Preisumstellung nennt Personio keine öffentlichen Tarife mehr – Interessenten müssen ein individuelles Angebot anfordern, was den Anbietervergleich erschwert (trusted.de, 2026).
rexx systems
rexx systems (HR-Software, gegründet 2000 in Hamburg) betreibt eigene Rechenzentren in Deutschland und positioniert sich explizit über „Made in Germany"-Datenschutz. Seit 2021 ist der Anbieter nach eigener Angabe ISO-27001-zertifiziert. Für Unternehmen, die Wert auf vollständige Datenhoheit ohne internationale Cloud-Konzernstrukturen legen – etwa aus Sorge vor dem US-amerikanischen CLOUD Act – ist rexx systems häufig eine bevorzugte Wahl im gehobenen Mittelstand (50–5.000 Mitarbeitende).
Sage HR
Sage HR (Cloud-HR-Modul von Sage, Neu-Isenburg) richtet sich primär an kleinere Unternehmen bis rund 200 Mitarbeitende und deckt HR-Grundfunktionen wie Personalakte, Urlaubsverwaltung und einfache Zeiterfassung ab. Datenschutzseitig profitiert das Modul vom Konzernstandard von Sage (Herstellerangabe, ungeprüft) und von EU-Rechenzentren; die Zugriffssteuerung ist auf Basisfunktionen beschränkt, was für kleinere Teamstrukturen in der Regel ausreicht.
SAP SuccessFactors
SAP SuccessFactors (Cloud-HCM-Suite von SAP, Walldorf) richtet sich primär an größere Mittelständler und Konzerne ab etwa 500 Mitarbeitenden. Unternehmen können den Rechenzentrumsstandort aus dem SAP Data Center Directory wählen, u. a. mit Optionen in Deutschland, und erhalten granulare, rollenbasierte Zugriffssteuerung für komplexe Freigabeprozesse. Implementierungsaufwand und fehlende öffentliche Preistransparenz machen SAP SuccessFactors für kleinere Mittelständler oft unwirtschaftlich.
Was eine DSGVO-konforme HR-Software leisten muss
Sieben Kernfunktionen, die im Auswahlprozess als Pflichtkriterien gelten sollten.
Automatisierte Löschfristen-Engine
Digitale Personalakte (siehe auch Core-HR-Software und digitale Personalakte) mit hinterlegten Fristen je Dokumententyp (z. B. 3 Jahre für Arbeitsverträge nach § 195 BGB, 6–10 Jahre für Lohnunterlagen nach § 41 EStG/§ 147 AO), die Löschungen automatisch anstößt oder Prüfhinweise erzeugt.
AV-Vertrags-Management
Digitale Bereitstellung und Verwaltung des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO inklusive Unterauftragsverarbeiter-Liste, zentral abrufbar für Datenschutzbeauftragte.
Rollenbasierte Zugriffskontrolle (RBAC)
Granulare Rechtevergabe, sodass z. B. Führungskräfte nur Daten des eigenen Teams sehen und Gehaltsdaten auf die Payroll-Abteilung beschränkt bleiben.
Betroffenenrechte-Self-Service
Portal, über das Mitarbeitende Auskunfts-, Berichtigungs- und Löschanträge nach Art. 15–17 DSGVO direkt stellen und der Bearbeitungsstatus nachvollzogen werden kann.
Audit-Trail und Protokollierung
Lückenlose Dokumentation, wer wann auf welche Personaldaten zugegriffen oder sie verändert hat – wichtig für Nachweispflichten gegenüber Aufsichtsbehörden und für die GoBD-Revisionssicherheit in der HR-Software.
Bewerberdaten-Verwaltung mit AGG-konformer Fristensteuerung
Automatische Löschung abgelehnter Bewerbungen nach der empfohlenen Sechs-Monats-Frist (AGG-Bezug) sowie separate, einwilligungsbasierte Talent-Pool-Verwaltung mit typischerweise 24 Monaten Speicherdauer – relevant auch für die Anbieterauswahl im Bereich Recruiting- und ATS-Software.
Datenexport und Portabilität bei Anbieterwechsel
Strukturierte Exportformate für alle Personaldaten, damit ein Wechsel des HR-Software-Anbieters nicht am Vendor-Lock-in scheitert; sollte als Pflichtkriterium bereits in der Ausschreibung und im AV-Vertrag verankert werden, nicht erst beim tatsächlichen Wechsel geprüft werden.
Schnittstellen, die Datenschutz mitdenken müssen
Payroll- und DATEV-Schnittstellen
Datenschutzkonforme Übergabe von Gehaltsdaten an Lohnbuchhaltung oder Steuerberater, idealerweise über verschlüsselte Schnittstellen statt manueller Excel-Exporte.
Zeiterfassungssysteme
Anbindung an Zutritts- und Zeiterfassungssysteme unter Beachtung der Mitbestimmungspflicht nach § 87 Abs. 1 Nr. 6 BetrVG – wie diese Systeme konkret betriebsvereinbarungskonform ausgestaltet werden, zeigt die Seite zur Mitbestimmung bei HR-Software.
Recruiting- und ATS-Anbindung
Nahtlose, aber fristengesteuerte Datenübergabe zwischen Bewerbermanagement und Personalakte, relevant für die Recruiting- und ATS-Software im Auswahlprozess.
Single Sign-on und Identity-Provider
Zentrale Authentifizierung (z. B. über Azure AD/Entra ID), die Zugriffsprotokollierung und Betroffenenrechte-Nachvollziehbarkeit erleichtert, statt separater, schwer kontrollierbarer Logins je System.
Compliance-Checkliste: DSGVO im Detail
Neun Punkte, die bei der Auswahl und Konfiguration von HR-Software rechtlich abgesichert sein müssen.
Art. 6 DSGVO
Für laufende Beschäftigung greift meist Art. 6 Abs. 1 lit. b (Vertragserfüllung, z. B. Gehaltsabrechnung), für gesetzliche Meldepflichten lit. c (z. B. Sozialversicherung) und für Mitarbeiterüberwachung nur eingeschränkt lit. f (berechtigtes Interesse). Einwilligungen (lit. a) gelten im Arbeitsverhältnis laut EDPB-Leitlinie 05/2020 wegen des strukturellen Machtungleichgewichts meist als unwirksam.
§ 26 BDSG nach dem EuGH-Urteil
Der EuGH entschied im März 2023 zu einer vergleichbaren Öffnungsklausel im hessischen Landesrecht (§ 23 HDSIG), dass nationale Normen eigene, konkrete Schutzbestimmungen enthalten müssen. Deutsche Aufsichtsbehörden und die herrschende Meinung übertragen diese Anforderung analog auf § 26 BDSG. HR-Software-Auswahlprozesse sollten dokumentieren, welche zusätzliche DSGVO-Rechtsgrundlage jede Verarbeitung stützt.
Besondere Datenkategorien
Gesundheitsdaten aus Krankmeldungen (inkl. Diagnosehinweisen), Angaben zu Gewerkschaftszugehörigkeit oder Religion benötigen zusätzlich zu Art. 6 eine eigenständige Rechtsgrundlage nach § 26 Abs. 3 BDSG bzw. Art. 9 Abs. 2 DSGVO. Eine HR-Software sollte solche Datenkategorien technisch getrennt verarbeiten und mit gesonderten Zugriffsbeschränkungen versehen können.
Löschfristen der Personalakte
Arbeitsverträge: 3 Jahre nach Beendigung (§ 195 BGB); Lohnunterlagen: 6 Jahre (§ 41 EStG) bzw. 10 Jahre bei Buchungsbelegen (§ 147 AO, § 257 HGB); Arbeitszeitnachweise: mindestens 2 Jahre (§ 16 ArbZG); sozialversicherungsrelevante Unterlagen teils bis zu 30 Jahre bei Rentenbezug.
AV-Vertrag
Jeder HR-Software-Anbieter muss als Auftragsverarbeiter einen Vertrag mit klaren Regelungen zu Unterauftragsverarbeitern, technisch-organisatorischen Maßnahmen (TOMs) und Löschung bzw. Herausgabe der Daten nach Vertragsende bereitstellen; ohne unterschriebenen AV-Vertrag ist der produktive Einsatz der Software abmahnfähig.
Meldepflicht bei Datenpannen
Kommt es beim HR-Software-Anbieter zu einem Sicherheitsvorfall, muss dieser als Auftragsverarbeiter den Arbeitgeber unverzüglich informieren, damit die 72-Stunden-Meldefrist gegenüber der Aufsichtsbehörde eingehalten werden kann. Die vertraglich zugesicherte Reaktionszeit des Anbieters sollte explizit im AV-Vertrag geprüft werden.
Internationale Datentransfers
Seit dem Wegfall des EU-US Privacy Shields (Schrems-II-Urteil) und anhaltender Diskussion um den US CLOUD Act bevorzugen viele Mittelständler HR-Software mit expliziten EU-Rechenzentren oder deutschen Anbietern, um Transferrisiken bei Drittstaaten-Zugriff zu vermeiden.
KI-Recruiting und Folgenabschätzung
Ab August 2026 gelten CV-Screening- und Performance-Bewertungs-KI-Systeme nach dem EU AI Act als Hochrisiko-Anwendungen; finale Ablehnungsentscheidungen ohne menschliche Prüfung sind unzulässig (Art. 22 DSGVO-Bezug). Solche Systeme lösen in der Regel zusätzlich die Pflicht zu einer Datenschutz-Folgenabschätzung (DPIA, Art. 35 DSGVO) aus. Details dazu liefert die Seite zum EU AI Act in der HR-Compliance.
Kommendes Beschäftigtendatengesetz
Das geplante Beschäftigtendatengesetz (BeschDG) soll § 26 BDSG langfristig ablösen und die Rechtsgrundlagen für Beschäftigtendaten eigenständig regeln. Stand des Referentenentwurfs: Mai 2026, noch nicht verabschiedet. Unternehmen sollten die Konfigurierbarkeit ihrer HR-Software so wählen, dass eine spätere Anpassung ohne Systemwechsel möglich ist.
Wenn zusätzliche Sonderregime greifen
Die bisherigen Anforderungen gelten branchenübergreifend für den klassischen Mittelstand. In einzelnen Branchen kommen jedoch zusätzliche Pflichten hinzu, die bei der HR-Software-Auswahl mitgedacht werden sollten.
Gesundheitswesen / Kliniken
Zusätzlich zur DSGVO greifen ärztliche Schweigepflichten (§ 203 StGB) bei Betriebsärzten und arbeitsmedizinischen Daten, die eine noch striktere Trennung von Gesundheitsdaten und allgemeiner Personalakte erfordern als in anderen Branchen.
Finanzdienstleister
Hier wirken BaFin-Anforderungen an die Überwachung und Dokumentation von Mitarbeiterverhalten (z. B. Compliance-Monitoring) zusätzlich auf die Ausgestaltung von Zeiterfassung und Zugriffsprotokollen ein.
Konzerne mit mehreren Standorten
Bei mehreren Betriebsräten kann die Zuständigkeit beim Gesamtbetriebsrat statt beim einzelnen Betriebsrat liegen, was das Mitbestimmungsverfahren bei der HR-Software-Einführung zusätzlich verkompliziert.
Diese Seite bezieht sich in ihrer Kernaussage auf klassische Mittelstandsbranchen ohne die genannten Sonderregime; Unternehmen aus den oben genannten Branchen sollten zusätzlich fachkundigen Rat einholen.
Was DSGVO-konforme HR-Software kostet
Die Kostenspannen basieren, wo nicht anders vermerkt, auf einer eigenen Einordnung anhand öffentlich verfügbarer Marktbeobachtungen 2026 und sind keine belastbare Marktstudie – sie dienen der groben Orientierung, nicht der Budgetplanung.
| Größenklasse | Kleinunternehmen (20–49 MA) |
Mittelstand (50–250 MA) |
Gehobener Mittelstand (250–1.000 MA) |
|---|---|---|---|
| Typische HR-Software-Kosten | ca. 4–7 €/MA/Monat (2026) | ca. 6–10 €/MA/Monat (2026) | oft 8–15 €/MA/Monat plus Implementierung (2026) |
| Zusatzkosten Datenschutz-Setup | Meist im Standardtarif enthalten, ggf. externer DSB ab ca. 150–300 €/Monat (eigene Einordnung) | AV-Vertrags-Review durch Fachanwalt/DSB, ca. 1.500–4.000 € einmalig (eigene Einordnung) | Dediziertes Datenschutz-Audit und Betriebsvereinbarung, oft 5.000 €+ (eigene Einordnung) |
| Risiko bei DSGVO-Verstoß | Bußgelder ab wenigen Tausend Euro bis zu Beispielen wie 50.000 € (LfDI Niedersachsen, 2023, Sekundärquelle) | Reputationsschaden plus Bußgeld, potenziell im mittleren fünfstelligen Bereich | Bußgelder können laut Art. 83 DSGVO bis zu 4 % des weltweiten Konzernjahresumsatzes erreichen (z. B. H&M, 35,3 Mio. €, HmbBfDI, 2020) |
Die genannten Kostenspannen sind eine eigene Einordnung auf Basis öffentlich verfügbarer Herstellerangaben und Marktbeobachtungen 2026, keine verbindlichen Preise. Tatsächliche Kosten hängen stark von Modulumfang, Vertragslaufzeit und Verhandlung ab.
In sechs Schritten zur DSGVO-konformen Einführung
Ist-Analyse der Datenverarbeitung
Erfassen, welche Personaldaten aktuell wo gespeichert werden (Bewerberdaten, Personalakte, Zeiterfassung, Payroll) und welche Rechtsgrundlage nach Art. 6 DSGVO jeweils greift. Das Ergebnis sollte direkt in das Verzeichnis von Verarbeitungstätigkeiten (VVT, Art. 30 DSGVO) überführt werden.
Löschkonzept definieren
Für jede Datenkategorie die gesetzliche Aufbewahrungsfrist festlegen (z. B. 3 Jahre für Arbeitsverträge, 6–10 Jahre für Lohnunterlagen) und dokumentieren, ab wann gelöscht werden muss.
Anbieter-Shortlist mit Datenschutz-Kriterien
Serverstandort, AV-Vertragsqualität, ISO-27001-Zertifizierung, automatisierte Löschfunktionen sowie Datenexport-/Portabilitätsoptionen als Pflichtkriterien in die Ausschreibung aufnehmen.
Betriebsrat frühzeitig einbinden
Da HR-IT-Systeme nach § 87 Abs. 1 BetrVG mitbestimmungspflichtig sind, sollte eine Betriebsvereinbarung parallel zur Softwareauswahl verhandelt werden. Wird der Betriebsrat erst nach Vertragsunterschrift informiert, kann er die Einführung blockieren – in der Praxis ein Projektverzug von mehreren Monaten. Details dazu zeigt die Seite zur Mitbestimmung bei HR-Software.
AV-Vertrag prüfen und abschließen
Vor Produktivstart den Auftragsverarbeitungsvertrag durch die Datenschutzbeauftragte oder externen DSB prüfen lassen, insbesondere Unterauftragsverarbeiter, TOMs und Meldefristen bei Datenschutzverletzungen.
Rollout mit Schulung und Audit-Trail-Kontrolle
Mitarbeitende zu ihren Betroffenenrechten informieren, Zugriffsrechte rollenbasiert konfigurieren und nach 3–6 Monaten ein erstes internes Datenschutz-Audit der neuen HR-Software durchführen.
Häufige Fragen zu DSGVO und HR-Software
Welche Rechtsgrundlage nach Art. 6 DSGVO gilt für die Speicherung von Mitarbeiterdaten in HR-Software?
Für die laufende Beschäftigung ist meist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) einschlägig, etwa für Gehaltsabrechnung und Zeiterfassung. Gesetzliche Meldepflichten wie Sozialversicherungsbeiträge stützen sich auf Art. 6 Abs. 1 lit. c (rechtliche Verpflichtung). Für Mitarbeiterüberwachung, etwa Zugriffsprotokolle, kommt nur eingeschränkt Art. 6 Abs. 1 lit. f (berechtigtes Interesse) infrage, das streng an Verhältnismäßigkeit gebunden ist. Einwilligungen nach lit. a gelten im Arbeitsverhältnis laut EDPB-Leitlinie 05/2020 aufgrund des Machtungleichgewichts zwischen Arbeitgeber und Beschäftigten meist als unwirksam und sollten nur für eindeutig freiwillige Zusatzangebote genutzt werden.
Reicht § 26 BDSG als Rechtsgrundlage für HR-Software noch aus?
Nicht mehr allein. Der Europäische Gerichtshof stellte in seinem Urteil C-34/21 vom März 2023 zu einer vergleichbaren Öffnungsklausel im hessischen Landesrecht (§ 23 HDSIG) klar, dass solche nationalen Normen eigene, konkrete Schutzbestimmungen enthalten müssen und eine bloße Wiederholung der DSGVO-Grundsätze nicht genügt. Deutsche Aufsichtsbehörden und die herrschende Meinung in der Fachliteratur übertragen diese Anforderung analog auf § 26 BDSG. Für den Mittelstand bedeutet das: Jede Datenverarbeitung im Personalwesen sollte zusätzlich eigenständig über Art. 6 DSGVO oder eine Betriebsvereinbarung begründet werden. Unternehmen sollten diesen Nachweis bei der HR-Software-Konfiguration dokumentieren, nicht nur pauschal auf § 26 BDSG verweisen.
Wie lange dürfen Bewerberdaten in der HR-Software gespeichert werden?
Nach einer Absage sollten Bewerberdaten in der Regel spätestens nach sechs Monaten gelöscht werden, da dieser Zeitraum sich an der Klagefrist des Allgemeinen Gleichbehandlungsgesetzes (AGG) orientiert. Eine längere Speicherung, etwa in einem Talent-Pool, ist nur mit ausdrücklicher Einwilligung der Bewerberin oder des Bewerbers zulässig und wird in der Praxis meist auf 24 Monate befristet. Dass diese Frist ernst genommen wird, zeigt ein Bußgeld des LfDI Niedersachsen aus dem Jahr 2023: Laut Pressemeldung musste ein Unternehmen 50.000 Euro zahlen, weil es abgelehnte Bewerbungen 18 Monate lang ohne Rechtsgrundlage aufbewahrt hatte (ein öffentlich einsehbares Aktenzeichen liegt zu diesem Fall nicht vor; die Angabe stammt aus Sekundärquellen).
Welche Aufbewahrungsfristen gelten für die digitale Personalakte?
Arbeitsverträge und arbeitsrechtliche Dokumente wie Abmahnungen müssen in der Regel drei Jahre nach Beendigung des Arbeitsverhältnisses aufbewahrt werden (§ 195 BGB, regelmäßige Verjährungsfrist). Lohnabrechnungen unterliegen einer sechsjährigen Frist nach § 41 EStG, bei zugrunde liegenden Buchungsbelegen sogar zehn Jahren nach § 147 AO und § 257 HGB. Arbeitszeitnachweise müssen mindestens zwei Jahre aufbewahrt werden (§ 16 ArbZG), und sozialversicherungsrelevante Unterlagen können je nach Rentenbezug bis zu 30 Jahre relevant bleiben. Maßgeblich ist stets die jeweils längste einschlägige Frist – mehr dazu in der Core-HR-Software und digitalen Personalakte.
Was muss ein AV-Vertrag mit einem HR-Software-Anbieter enthalten?
Der Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO muss unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Datenverarbeitung, die Kategorien betroffener Personen, die technischen und organisatorischen Maßnahmen (TOMs) sowie eine vollständige Liste eingesetzter Unterauftragsverarbeiter enthalten. Wichtig ist außerdem eine klare Regelung zur Löschung oder Rückgabe der Daten nach Vertragsende sowie zu den Reaktionszeiten des Anbieters bei einer Datenschutzverletzung, damit der Arbeitgeber seine 72-Stunden-Meldefrist nach Art. 33 DSGVO einhalten kann. Ohne einen ordnungsgemäß abgeschlossenen AV-Vertrag ist der produktive Einsatz einer HR-Software aus Datenschutzsicht unzulässig und abmahnfähig, unabhängig davon, wie gut die Softwarefunktionen sonst sind.
Muss HR-Software zwingend auf Servern in Deutschland oder der EU laufen?
Rechtlich verlangt die DSGVO keinen Serverstandort ausschließlich in Deutschland, solange ein Drittstaatentransfer über zulässige Mechanismen wie Standardvertragsklauseln erfolgt. In der Praxis bevorzugen jedoch viele Mittelständler seit dem Wegfall des EU-US Privacy Shields (Schrems-II-Urteil) und angesichts der fortbestehenden Diskussion um den US CLOUD Act explizit Anbieter mit EU- oder deutschen Rechenzentren, um das Risiko eines behördlichen Zugriffs aus Drittstaaten zu minimieren. Anbieter wie rexx systems werben aktiv mit eigenen deutschen Rechenzentren, während internationale Suiten wie SAP SuccessFactors den Rechenzentrumsstandort vertraglich wählbar machen.
Welche Rolle spielt der Betriebsrat bei der Einführung einer neuen HR-Software?
Nach § 87 Abs. 1 Nr. 6 BetrVG ist die Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, mitbestimmungspflichtig – und praktisch jede moderne HR-Software mit Zeiterfassung, Leistungsauswertung oder Zugriffsprotokollen fällt darunter. Eine Betriebsvereinbarung kann dabei zusätzlich als eigene Rechtsgrundlage nach § 26 Abs. 4 BDSG dienen und bestehende Schutzlücken teilweise schließen. Wird der Betriebsrat erst nach Vertragsunterschrift eingebunden, kann er die Einführung bis zur Einigung blockieren oder eine Einigungsstelle anrufen – in der Praxis ein Projektverzug von mehreren Monaten. Unternehmen sollten den Betriebsrat deshalb bereits während der Anbieterauswahl einbinden statt erst kurz vor dem Rollout – Details dazu liefert die Seite zur Mitbestimmung bei HR-Software.
Wie beeinflusst der EU AI Act den Einsatz von KI in der Personalabteilung?
Der EU AI Act stuft KI-Systeme für CV-Screening, automatisiertes Bewerber-Ranking und Performance-Bewertung ab August 2026 als Hochrisiko-Anwendungen ein. Das bedeutet konkret: Finale Ablehnungsentscheidungen dürfen nicht allein automatisiert getroffen werden, sondern erfordern eine menschliche Überprüfung, was auch mit Art. 22 DSGVO zu automatisierten Einzelentscheidungen korrespondiert. Da solche Systeme in der Regel eine systematische Bewertung von Beschäftigten oder Bewerbenden vornehmen, löst ihr Einsatz zusätzlich meist die Pflicht zu einer Datenschutz-Folgenabschätzung (DPIA, Art. 35 DSGVO) aus, bevor das Modul produktiv geschaltet wird. HR-Software-Anbieter, die KI-Module für Recruiting oder Talentmanagement anbieten, müssen deshalb Dokumentations-, Transparenz- und Kontrollmechanismen nachweisen. Eine ausführliche Einordnung bietet die Seite zum EU AI Act in der HR-Compliance.
Welche Bußgelder drohen bei DSGVO-Verstößen im Personalwesen konkret?
Die Höhe hängt stark vom Einzelfall ab, kann aber laut Art. 83 DSGVO bis zu 4 % des weltweiten Konzernjahresumsatzes erreichen. Bekannte Beispiele aus dem Personalbereich zeigen die Bandbreite: H&M musste 2020 vom HmbBfDI 35,3 Millionen Euro zahlen, weil Vorgesetzte detaillierte Profile über Krankheitssymptome und private Lebensumstände von Mitarbeitenden angelegt hatten. Notebooksbilliger.de wurde vom LfDI Niedersachsen mit 10,4 Millionen Euro belegt (Bekanntgabe des Bescheids 2021, zugrunde liegender Sachverhalt 2015/2016) wegen verdachtsunabhängiger Videoüberwachung von Beschäftigten. Auch kleinere Verstöße wie die zu lange Aufbewahrung von Bewerberdaten wurden bereits mit fünfstelligen Bußgeldern geahndet: Laut Pressemeldung des LfDI Niedersachsen aus 2023 zahlte ein Unternehmen 50.000 Euro, weil abgelehnte Bewerbungen 18 Monate lang ohne Rechtsgrundlage aufbewahrt wurden (Aktenzeichen zu diesem Fall nicht öffentlich einsehbar, Angabe nach Sekundärquellen).
Was sollte bei Gehaltstransparenz-Anforderungen und HR-Software zusätzlich beachtet werden?
Über die klassischen DSGVO-Pflichten hinaus verschärft die EU-Entgelttransparenzrichtlinie, die bis Mitte 2026 in nationales Recht umgesetzt werden muss, die Anforderungen an die Verarbeitung von Gehaltsdaten zusätzlich: Unternehmen müssen künftig strukturierte Auskünfte zu Gehaltsstrukturen bereitstellen können, was eine saubere, DSGVO-konforme Datenbasis in der HR-Software voraussetzt. Datenschutzrechtlich ist dabei zu beachten: Auch die Auswertung von Gehaltsdaten nach Geschlecht braucht eine eigene Rechtsgrundlage nach Art. 6 DSGVO, und sobald zusätzliche Diversitätsmerkmale (z. B. zu Behinderung oder ethnischer Herkunft) erhoben werden, kommt Art. 9 DSGVO mit seinen strengeren Anforderungen an besondere Kategorien personenbezogener Daten ins Spiel. Wer Gehaltsdaten schon heute nach Rollen und Bandbreiten auswertbar strukturiert und die Rechtsgrundlage dafür sauber dokumentiert, spart sich später aufwendige Nacherfassungen. Mehr dazu liefert die Seite zur Entgelttransparenz in der HR-Software.
Welche Einwände bringt der Betriebsrat typischerweise gegen neue HR-Software vor, und wie lassen sie sich ausräumen?
In der Praxis sind drei Einwände besonders häufig: Erstens die Sorge vor Leistungs- und Verhaltenskontrolle, insbesondere wenn KI-gestütztes Ranking oder automatisierte Auswertungen im Spiel sind. Zweitens die Frage, ob eine Betriebsvereinbarung als eigene Rechtsgrundlage nach § 26 Abs. 4 BDSG ausreicht oder zusätzlich individuelle Einwilligungen nötig sind – meist reicht die Betriebsvereinbarung, wenn sie konkret genug formuliert ist. Drittens der Zeitaufwand: Wird ein Einigungsstellenverfahren nötig, weil sich Arbeitgeber und Betriebsrat nicht einigen, kann sich die Einführung um mehrere Monate verzögern. Der wirksamste Weg, diese Einwände zu entschärfen, ist die frühzeitige, transparente Einbindung des Betriebsrats bereits in der Anbieterauswahl statt erst nach Vertragsunterschrift – siehe dazu auch Schritt 4 im Auswahlprozess sowie die Seite zur Mitbestimmung bei HR-Software.
Finden Sie die HR-Software, die Ihre DSGVO-Anforderungen wirklich erfüllt
Löschfristen, AV-Verträge, Data Residency und Betroffenenrechte lassen sich nicht per Checkliste im Herstellerprospekt prüfen – sie müssen im echten Systemvergleich sichtbar werden. Find-Your-HR vergleicht unabhängig, welche Anbieter im DACH-Mittelstand diese Anforderungen tatsächlich abbilden, und hilft bei der Auswahl der passenden Lösung für Ihre Unternehmensgröße und Branche.