Governance für Beschäftigtendatenschutz nach GDPR und ISO/IEC 27701

Sarah, CISO eines schnell wachsenden SaaS-Unternehmens, ging zuversichtlich in das Auftaktgespräch des Audits.

Ihr Team hatte im vergangenen Jahr kundenbezogene Plattformen gehärtet, das ISMS an ISO/IEC 27001:2022 ausgerichtet und GDPR-Kontrollen für Kundendaten dokumentiert. Sicherheitsfragebögen waren belastbarer geworden. Die Due Diligence durch Kunden lief schneller. Das Leitungsorgan begann endlich, Compliance als Vertriebsfaktor zu verstehen.

Dann änderte der leitende Auditor die Richtung.

„Ihre Governance für Kundendaten sieht solide aus“, sagte er. „Sprechen wir nun über Ihre internen betroffenen Personen: Ihre Beschäftigten.“

Er fragte nach dem Datenlebenszyklus von der Bewerbung bis zur Beendigung des Beschäftigungsverhältnisses. Er fragte nach der Rechtsgrundlage und der Verhältnismäßigkeitsbewertung für das neue Tool zur Überwachung von Remote-Arbeit. Er fragte nach dem Sicherheitsanhang für den Lieferanten des Cloud-HRIS. Er fragte, wie der Zugriff auf Entgeltabrechnung, Gesundheitsakten, disziplinarische Vermerke und Überwachungsdaten nach Rollenänderungen überprüft wurde.

Der Raum wurde still.

Sarahs Organisation hatte Richtlinien, aber sie waren über HR-Dokumente, IT-Verfahren, Beschaffungsvorlagen und Rechtsordner verstreut. Beschäftigtendatenschutz wurde als „HR-Thema“ behandelt, getrennt von Sicherheitsarchitektur, Lieferantenrisiko, Incident Response, Zugriffskontrolle und Auditnachweisen. Das Unternehmen hatte sich auf die Eingangstür konzentriert, also auf Kundendaten, während die interne HR-Tür nur lose gesteuert wurde.

Das ist das eigentliche Problem der Governance für Beschäftigtendatenschutz. Es geht nicht darum, ob die Organisation einen Datenschutzhinweis hat, sondern ob sie Tätigkeit für Tätigkeit nachweisen kann, dass personenbezogene Daten von Beschäftigten fair erhoben, für einen definierten Zweck verwendet, nach dem Need-to-know-Prinzip geschützt, nur so lange wie erforderlich aufbewahrt, transparent offengelegt und bei Ende der Beziehung gelöscht oder zurückgegeben werden.

ISO/IEC 27701:2025 und GDPR führen Organisationen zu einem operativen Datenschutz-Informationsmanagementsystem, nicht zu einer statischen Richtlinienbibliothek. Für CISOs, HR-Führungskräfte, Compliance-Manager, Auditoren und Fachverantwortliche besteht das Ziel darin, Beschäftigtendatenschutz in einen gesteuerten Workflow mit rechenschaftspflichtigen Verantwortlichen, Registern, Nachweisen, Lieferantenkontrollen und Managementaufsicht zu überführen.

Der Ansatz von Clarysec ist bewusst praxisnah. Er verbindet das PIMS-Denken nach ISO/IEC 27701:2025, Rechenschaftspflicht nach GDPR, Governance nach ISO/IEC 27001:2022, Kontrollen nach ISO/IEC 27002:2022 und Cross-Compliance-Erwartungen aus NIS2, DORA, NIST CSF 2.0 und COBIT 2019 zu einem auditfähigen Betriebsmodell.

Warum Beschäftigtendatenschutz ein blinder Fleck für CISOs ist

Viele Organisationen entwickeln Datenschutz-Governance zunächst rund um Kunden. Datenschutzhinweise für Kunden, Cookie-Banner, Marketing-Einwilligungsnachweise, Auftragsverarbeitungsverträge und kundenbezogene Kommunikation zu Datenschutzverletzungen sind für Käufer, Aufsichtsbehörden und Vertriebsteams sichtbar.

Beschäftigtendatenschutz ist stärker fragmentiert.

Personenbezogene Daten von Beschäftigten finden sich in Recruiting, Onboarding, Entgeltabrechnung, Zusatzleistungen, Zugriffsverwaltung, Sicherheitsprotokollen, Geräteverwaltung, Produktivitätswerkzeugen, Kollaborationsplattformen, Leistungsbeurteilungen, Schulungssystemen, Reisesystemen, Hinweisgeberkanälen, Zuverlässigkeitsüberprüfungen, Arbeits- und Gesundheitsschutzaufzeichnungen sowie Offboarding-Archiven.

Nach der GDPR umfassen personenbezogene Daten Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Verarbeitung umfasst Erhebung, Speicherung, Abruf, Verwendung, Offenlegung, Löschung und Vernichtung. Damit sind die meisten HR- und Workforce-Technologieaktivitäten GDPR-relevant.

Beschäftigtendaten enthalten häufig auch Kategorien mit höherem Risiko. Gesundheitsinformationen können in Krankmeldungen oder arbeitsmedizinischen Akten vorkommen. Gewerkschaftszugehörigkeit kann in der Entgeltabrechnung oder im Mitarbeiterbeziehungsmanagement verarbeitet werden. Biometrische Daten können für physischen Zutritt, Zeiterfassung oder Identitätsprüfung genutzt werden. GDPR Article 9 stellt strengere Bedingungen für besondere Kategorien personenbezogener Daten auf; HR kann sich daher nicht auf eine generische Begründung mit „geschäftlichem Bedarf“ stützen.

Das Beschäftigungsverhältnis schafft zusätzliche rechtliche Komplexität. Einwilligung kann unzuverlässig sein, weil Beschäftigte sich möglicherweise nicht frei fühlen, sie zu verweigern. Viele Verarbeitungstätigkeiten stützen sich stattdessen je nach Rechtsordnung und Zweck auf Vertrag, rechtliche Verpflichtung, berechtigte Interessen oder spezifische arbeitsrechtliche Anforderungen.

Die praktische Konsequenz ist einfach: Beschäftigtendatenschutz kann nicht über eine einzige generische Kontrolle gesteuert werden. Entgeltabrechnung, Arbeitsplatzüberwachung, Bewerber-Screening, Verwaltung von Notfallkontakten, Zugriffsprotokollierung und disziplinarisches Fallmanagement benötigen jeweils eigene Zwecke, Rechtsgrundlagen, Aufbewahrungsregeln, Zugriffsbeschränkungen, Lieferantenverpflichtungen und Nachweise.

Clarysecs Mitarbeitenden-Datenschutzrichtlinie Mitarbeitenden-Datenschutzrichtlinie setzt diese Spezifität operativ um:

„[Verantwortlicher] Der Prozessverantwortliche / Fachverantwortliche MUSS die Kategorien personenbezogener Daten von Beschäftigten, die Beschäftigtengruppe, die Erhebungsquelle, den Verarbeitungszweck, das System, die Kategorie interner Empfänger, die Kategorie externer Empfänger und die Verknüpfung zur Aufbewahrung in REG02 dokumentieren, bevor die Verarbeitungstätigkeit genehmigt wird.“

Aus Abschnitt „Verarbeitungsverzeichnis für Beschäftigtendaten und HR-Verarbeitungszwecke“, Richtlinienklausel 4.1.2.

Diese Klausel verändert das Betriebsmodell. HR kann nicht einfach ein neues Tool oder einen neuen Prozess aktivieren. Der Verantwortliche muss vor der Genehmigung dokumentieren, was erhoben wird, warum es erhoben wird, wer es erhält, wo es gespeichert ist und wie die Aufbewahrung verknüpft ist.

Die GDPR-Grundlage: rechtmäßig, fair, begrenzt und nachweisbar

GDPR Article 5 legt die Grundlage für Governance im Beschäftigtendatenschutz fest: Rechtmäßigkeit, Fairness und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht.

Für HR-Teams werden diese Grundsätze zu praktischen Fragen:

Clarysecs Richtlinie zu Datenschutz und Privatsphäre Richtlinie zu Datenschutz und Privatsphäre formuliert den Grundsatz der Rechtsgrundlage unmittelbar:

„Jede Verarbeitung muss auf einer gültigen Rechtsgrundlage beruhen (z. B. Einwilligung, Vertrag, rechtliche Verpflichtung).“

Aus Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Richtlinienklausel 6.1.1.

Für KMU bezieht Clarysecs Richtlinie zu Datenschutz und Privatsphäre – KMU Richtlinie zu Datenschutz und Privatsphäre – KMU Personaldaten ausdrücklich in den Geltungsbereich ein:

„Diese Richtlinie gilt für Daten zu Kunden, Personal, Lieferanten und allen anderen identifizierbaren Personen.“

Aus Abschnitt „Geltungsbereich“, Richtlinienklausel 2.2.

Dieselbe KMU-Richtlinie überführt Rechenschaftspflicht in eine Registeranforderung:

„Der Datenschutzkoordinator muss ein Register aller Verarbeitungstätigkeiten für personenbezogene Daten führen, einschließlich Datenkategorien, Zweck, Rechtsgrundlage und Aufbewahrungsfristen.“

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.2.1.

Für Beschäftigtendatenschutz ist das Register keine Bürokratie. Es ist die Kontrollfläche. Ohne dieses Register kann die Organisation grundlegende Auditfragen nicht zuverlässig beantworten, etwa welche HR-Systeme personenbezogene Daten von Beschäftigten enthalten, welche Rechtsgrundlage Workforce Analytics trägt, welche Führungskräfte Gehaltsdaten einsehen können, wann Aufzeichnungen erfolgloser Bewerber gelöscht werden und welcher Lieferant arbeitsmedizinische Aufzeichnungen hostet.

ISO/IEC 27701:2025 und ISO/IEC 27001:2022: Von der HR-Richtlinie zu PIMS-Nachweisen

ISO/IEC 27701:2025 erweitert Datenschutz-Governance zu einem strukturierten Datenschutz-Informationsmanagementsystem (PIMS). Für Beschäftigtendatenschutz bedeutet dies, dass HR-Daten über definierte Rollen, dokumentierte Verarbeitungstätigkeiten, Datenschutzhinweise, Bearbeitung von Betroffenenrechten, Lieferantenaufsicht, Aufbewahrungsregeln, Vorfalls-Workflows und kontinuierliche Verbesserung gesteuert werden müssen.

Dies fügt sich nahtlos in ISO/IEC 27001:2022 ein. Beschäftigtendatenschutz gehört in das ISMS, weil er von denselben Managementsystem-Disziplinen abhängt: Geltungsbereich, Kontext, interessierte Parteien, Führung, Risikobeurteilung, Kontrollen, Nachweise, Überwachung, internes Audit, Managementbewertung und Verbesserung.

Drei Klauseln aus ISO/IEC 27001:2022 sind besonders wichtig:

• Clause 4.1, Kontext der Organisation, verlangt, dass die Organisation interne und externe Themen versteht, einschließlich rechtlicher und beschäftigtenbezogener Datenschutzverpflichtungen.
• Clause 4.2, Erfordernisse und Erwartungen interessierter Parteien, umfasst Beschäftigte, Aufsichtsbehörden, Kunden, Auditoren, Lieferanten, Versicherer und, soweit einschlägig, Betriebsräte.
• Clause 5.1, Führung und Verpflichtung, verlangt, dass die oberste Leitung das ISMS in Geschäftsprozesse integriert und kontinuierliche Verbesserung unterstützt.

Clarysecs Zenith Blueprint: 30-Schritte-Roadmap für Auditoren Zenith Blueprint beschreibt die praktische Grundlage in der Phase „Controls in Action“, Schritt 23, bei der Erörterung von ISO/IEC 27002:2022 control 5.34, Datenschutz und Schutz personenbezogener Daten:

„Die Grundlage dieser Kontrolle ist Datenbewusstsein. Die Organisation muss wissen, welche personenbezogenen Daten sie erhebt, wo diese liegen, warum sie verarbeitet werden und wer darauf zugreifen kann. Ohne diese Basis sind alle Datenschutzversprechen leer.“

Aus der Phase „Controls in Action“, Schritt 23: Organisatorische Maßnahmen, Control 5.34.

Clarysecs Zenith Controls: Der Cross-Compliance-Leitfaden Zenith Controls identifiziert die themenbezogenen Kontrollen aus ISO/IEC 27002:2022 als „Datenschutz und Schutz personenbezogener Daten“ control 5.34, „Beschäftigungsbedingungen“ control 6.2 und „Verantwortlichkeiten nach Beendigung oder Änderung des Beschäftigungsverhältnisses“ control 6.5.

Diese Kontrollen zeigen, warum Beschäftigtendatenschutz nicht nur ein Thema der Datenschutzfunktion ist. Er berührt Beschäftigungsbedingungen, zulässige Nutzung, Vertraulichkeit, Rollenänderungen, Berechtigungsüberprüfung, Offboarding, Lieferantenverträge, Sicherheitsüberwachung und nachvertragliche Pflichten.

Die sieben Fragen der Governance für Beschäftigtendatenschutz

Ein praxisfähiges Programm für Beschäftigtendatenschutz beginnt mit sieben operativen Fragen. Jede Frage muss Nachweise erzeugen, nicht nur Diskussionen.

Dieses Modell ist nachweisorientiert, weil Auditoren nicht nur hören wollen, dass HR-Daten geschützt sind. Sie wollen Register, Hinweise, Berechtigungsüberprüfungen, Lieferantenaufzeichnungen, Datenaufbewahrungspläne, Löschprotokolle und Vorfalls-Workflows sehen.

Arbeitsplatzüberwachung: Der Härtetest

Arbeitsplatzüberwachung ist der Bereich, in dem Governance für Beschäftigtendatenschutz am häufigsten geprüft wird. Überwachung kann legitim sein, muss aber verhältnismäßig, transparent, zweckgebunden und zugriffskontrolliert sein. „Sicherheitsüberwachung“ darf nicht zu einer pauschalen Rechtfertigung für Produktivitätsüberwachung, Verhaltensbewertung, Tastenanschlagsprotokollierung, verdeckte Aufzeichnung oder übermäßiges Profiling von Beschäftigten werden.

Clarysecs Richtlinie zur zulässigen Nutzung – KMU Richtlinie zur zulässigen Nutzung – KMU setzt eine praktische Grenze:

„Überwachung muss auf legitime geschäftliche Zwecke beschränkt sein und in Übereinstimmung mit den geltenden Datenschutzgesetzen erfolgen.“

Aus Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Richtlinienklausel 6.3.2.

Für Unternehmensumgebungen verlangt Clarysecs Richtlinie zur zulässigen Nutzung Richtlinie zur zulässigen Nutzung, dass Überwachungserwartungen kommuniziert werden:

„Den Benutzern durch Onboarding, Datenschutzhinweise und Sensibilisierungsschulung offenzulegen.“

Aus Abschnitt „Durchsetzung und Einhaltung“, Richtlinienklausel 8.1.2.2.

Ein ausgereifter Genehmigungs-Workflow für ein neues Tool zur Produktivitätsüberwachung sollte vor der Aktivierung diese Schritte umfassen:

1. Zweck präzise definieren, etwa Sicherheitsüberwachung, Workforce-Planung, Erkennung von Insider-Risiken, Produktivitätsanalysen oder disziplinarische Nachweise.
2. Beschäftigtengruppe identifizieren, einschließlich Beschäftigten, Auftragnehmern, Remote-Mitarbeitenden, privilegierten Benutzern oder regulierten Funktionen.
3. Überwachte Datenkategorien dokumentieren, etwa Anwendungsnutzung, URLs, Screenshots, Standort, Kommunikationsmetadaten oder Inhalte.
4. Rechtsgrundlage und Erforderlichkeit bestätigen. Wenn berechtigte Interessen genutzt werden, sind Verhältnismäßigkeit, Schutzmaßnahmen und Auswirkungen auf Beschäftigte zu dokumentieren.
5. Transparenzaufzeichnungen aktualisieren. Die Mitarbeitenden-Datenschutzrichtlinie verlangt:

„[Verantwortlicher] Der Privacy Lead / PIMS-Manager MUSS in REG07 eine Aufzeichnung zum Datenschutzhinweis für Beschäftigte führen, bevor personenbezogene Daten von Beschäftigten direkt oder indirekt für einen neuen oder wesentlich geänderten Zweck erhoben werden.“

Aus Abschnitt „Erhebung von Beschäftigtendaten und Datenschutzhinweise für Beschäftigte“, Richtlinienklausel 4.2.3.

6. Verarbeitungsverzeichnis aktualisieren. Die Mitarbeitenden-Datenschutzrichtlinie verlangt außerdem:

„[Verantwortlicher] Der Prozessverantwortliche / Fachverantwortliche MUSS den Zweck der Beschäftigtenüberwachung, die Beschäftigtengruppe, das Überwachungssystem, die überwachten Datenkategorien, die Kategorien interner Empfänger, die Kategorien externer Empfänger und die Verknüpfung zur Aufbewahrung in REG02 erfassen, bevor Beschäftigtenüberwachung aktiviert oder wesentlich geändert wird.“

Aus Abschnitt „Beschäftigtenüberwachung und HR-Verarbeitung mit hoher Tragweite“, Richtlinienklausel 4.6.1.

7. Zugriff beschränken. Die Richtlinie zu Datenschutz und Privatsphäre – KMU legt fest:

„Benutzerzugriff auf personenbezogene Daten muss auf Rollen mit dokumentiertem geschäftlichem Bedarf beschränkt sein.“

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.3.2.

Direkte Vorgesetzte sollten Rohdaten aus der Überwachung nicht automatisch erhalten. Sichten für HR, Sicherheit, Recht und Management sollten nach Zweck und Erforderlichkeit definiert werden. Zugriff auf disziplinarische Nachweise sollte gesondert genehmigt, protokolliert und regelmäßig überprüft werden.

Eine praxisnahe HR-Genehmigungsaufzeichnung für Überwachung

Ein belastbarer Workflow für ein Überwachungstool kann mit Clarysec-Registern und Genehmigungen aufgebaut werden.

Damit erhält die Organisation eine belastbare Antwort, wenn ein Beschäftigter fragt: „Warum erheben Sie das?“ oder ein Auditor fragt: „Zeigen Sie mir, wo diese Überwachung genehmigt wurde.“

Lebenszykluskontrollen: Onboarding, Rollenänderungen, Offboarding und Löschung

Governance für Beschäftigtendatenschutz muss dem Beschäftigtenlebenszyklus folgen.

Während des Onboardings sollten Datenschutz- und Sicherheitsverantwortlichkeiten in Beschäftigungsbedingungen, zulässige Nutzung, Vertraulichkeit, Sensibilisierungsschulung und Datenschutzhinweise eingebettet werden. ISO/IEC 27002:2022 control 6.2, Beschäftigungsbedingungen, unterstützt diese Erwartung, indem Informationssicherheitsverantwortlichkeiten in Beschäftigungsvereinbarungen abgebildet werden müssen.

Bei Rollenänderungen muss Zugriff überprüft werden. Eine Führungskraft, die von HR zu Finanzen wechselt, sollte keinen HRIS-Zugriff behalten. Ein Entwickler, der eine privilegierte Engineering-Rolle verlässt, sollte keinen Zugriff auf Produktivprotokolle mit Beschäftigtenkennungen behalten. Schleichende Rollenausweitung ist sowohl ein Sicherheitsrisiko als auch ein Datenschutzrisiko.

Der Zenith Blueprint erläutert in der Phase „Controls in Action“, Schritt 16, ISO/IEC 27002:2022 control 6.5, Verantwortlichkeiten nach Beendigung oder Änderung des Beschäftigungsverhältnisses:

„Wenn der Beschäftigte intern wechselt, ist den Zugriffsrechten besondere Aufmerksamkeit zu widmen. Frühere Berechtigungen, die nicht mehr erforderlich sind, müssen entzogen werden, um eine schleichende Ausweitung von Zugriffen zu vermeiden.“

Aus der Phase „Controls in Action“, Schritt 16: Personelle Kontrollen II, Offboarding- und Rollenänderungsprozess, Control 6.5.

Beim Offboarding muss der Entzug des Zugriffs zeitnah und vollständig über HRIS, Entgeltabrechnung, VPN, Identitätsanbieter, Kollaborationsplattformen, Dokumentenrepositorys, physischen Zutritt, privilegierte Konten und Lieferantenportale erfolgen. Ausscheidendes Personal sollte außerdem an fortbestehende Vertraulichkeitspflichten erinnert werden.

Aufbewahrung und Löschung sind häufig die schwächsten Lebenszykluskontrollen. Alte Entgeltabrechnungsexporte verbleiben in gemeinsamen Laufwerken. Postfächer ehemaliger Beschäftigter werden ohne Prüfung archiviert. Recruiting-Ordner bewahren Lebensläufe unbegrenzt auf. Führungskräfte speichern disziplinarische Vermerke lokal. Backups erhalten Aufzeichnungen lange, nachdem aktive Systeme sie gelöscht haben.

Clarysecs Richtlinie zur Datenaufbewahrung und Entsorgung Richtlinie zur Datenaufbewahrung und Entsorgung verknüpft Aufbewahrung unmittelbar mit Datenschutzverpflichtungen:

„Sicherstellen, dass die Aufbewahrung personenbezogener Daten den Datenschutzgesetzen und den Datenschutzhinweisen der Organisation entspricht.“

Aus Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Richtlinienklausel 6.2.2.3.

Der Zenith Blueprint erläutert in der Phase „Controls in Action“, Schritt 19, ISO/IEC 27002:2022 control 8.10, Löschung von Informationen:

„Diese Kontrolle stellt sicher, dass Daten nicht länger als erforderlich aufbewahrt werden und, wenn sie nicht mehr benötigt werden, sicher und zuverlässig gelöscht werden müssen.“

Aus der Phase „Controls in Action“, Schritt 19: Technische Maßnahmen I, Control 8.10.

Löschung sollte auf drei Ebenen gesteuert werden:

• Geschäftsebene, mit definierter Aufbewahrung für Recruiting, Entgeltabrechnung, Zusatzleistungen, Leistung, Schulung, Arbeits- und Gesundheitsschutz, Zugriffsprotokolle, Überwachungsaufzeichnungen, Beschwerden und Offboarding-Akten.
• Systemebene, mit konfigurierter Aufbewahrung in HRIS, Ticketing-Systemen, Protokollierungsplattformen, Postfächern, Endpoint-Tools und, soweit möglich, Backups.
• Nachweisebene, mit Löschprotokollen, Entsorgungszertifikaten, Genehmigungen und Legal-Hold-Ausnahmen.

Wenn HR nicht erklären kann, warum Überwachungsaufzeichnungen eines ehemaligen Beschäftigten zwei Jahre später noch verfügbar sind, kann die Organisation ein Problem mit der Rechenschaftspflicht nach GDPR haben, auch wenn keine Verletzung eingetreten ist.

Betroffenenanfragen von Beschäftigten und Vorfälle

Beschäftigte haben vorbehaltlich rechtlicher Bedingungen und Ausnahmen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, gegebenenfalls Datenübertragbarkeit und Widerspruch. Diese Anfragen können sensibler sein als Kundenanfragen, weil sie häufig im Zusammenhang mit Beschwerden, Disziplinarverfahren, Umstrukturierungen, Kündigungen oder Hinweisgeberuntersuchungen stehen.

Clarysecs Datenschutzrichtlinie für Unternehmensumgebungen verlangt einen dokumentierten DSR-Prozess:

„Der Datenschutzbeauftragte (DPO) muss dokumentierte Prozesse für Eingang, Validierung, Nachverfolgung und Beantwortung von Betroffenenanfragen (DSR) aufrechterhalten.“

Aus Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Richtlinienklausel 6.4.1.

Die Richtlinie zu Datenschutz und Privatsphäre – KMU stellt operative Fristen bereit:

„Der Datenschutzkoordinator muss Anfragen innerhalb von 3 Arbeitstagen bestätigen und innerhalb von 30 Tagen beantworten.“

Aus Abschnitt „Anforderungen an die Umsetzung der Richtlinie“, Richtlinienklausel 6.5.2.

Die Mitarbeitenden-Datenschutzrichtlinie ergänzt eine beschäftigtenspezifische Routing-Anforderung:

„[Verantwortlicher] Der Privacy Lead / PIMS-Manager MUSS jede Betroffenenanfrage von Beschäftigten innerhalb von zwei Geschäftstagen nach Eingang in REG06 erfassen oder dorthin weiterleiten.“

Aus Abschnitt „Bearbeitung von Betroffenenrechten von Beschäftigten“, Richtlinienklausel 4.5.1.

HR-Teams erhalten informelle Anfragen häufig zuerst, etwa: „Schicken Sie mir alles, was Sie zu meiner Leistungsbeurteilung haben“ oder „Ich möchte alle über mich erhobenen Überwachungsdaten.“ Wenn HR die Anfrage nur als Thema der Mitarbeiterbeziehungen behandelt, können Datenschutzfristen versäumt werden.

Ein ausgereifter Workflow definiert Eingangskanäle, Identitätsprüfung, Klärung des Umfangs, Suchorte, Prüfung von Ausnahmen, Umgang mit Daten Dritter, Freigabe der Antwort und Nachweisaufbewahrung. Er stellt außerdem klar, wann Recht, HR, Sicherheit und der DPO einzubeziehen sind.

Dieselbe Nachweisdisziplin gilt für Vorfälle. Die GDPR definiert eine Verletzung des Schutzes personenbezogener Daten als Sicherheitsverletzung, die zur versehentlichen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt. Eine fehlgeleitete E-Mail mit Entgeltabrechnungsdaten, übermäßiger Managerzugriff auf Gesundheitsakten oder ein kompromittiertes HRIS-Konto kann eine Bewertung der Datenschutzverletzung auslösen, nicht nur Incident Response der IT.

HR-Lieferanten und die verborgene Kette der Auftragsverarbeiter

Die meisten personenbezogenen Daten von Beschäftigten fließen heute durch Lieferanten. Entgeltabrechnungsanbieter, HRIS-Plattformen, Recruiting-Systeme, Dienste zur Zuverlässigkeitsüberprüfung, Administratoren von Zusatzleistungen, Lernplattformen, arbeitsmedizinische Anbieter, Engagement-Tools und Anbieter von Beschäftigtenüberwachung können alle personenbezogene Daten von Beschäftigten verarbeiten.

Die Rollen als Verantwortlicher und Auftragsverarbeiter müssen klar sein. Wenn die Organisation Zwecke und Mittel der Verarbeitung von Beschäftigtendaten bestimmt, handelt sie als Verantwortlicher. Wenn ein Anbieter Daten nach Weisung des Verantwortlichen verarbeitet, ist er typischerweise Auftragsverarbeiter. Ketten von Unterauftragsverarbeitern sind relevant, weil Beschäftigtendaten über Hosting-Anbieter, Analysewerkzeuge, Supportsysteme und regionale verbundene Unternehmen weiterfließen können.

Die Mitarbeitenden-Datenschutzrichtlinie verlangt Lieferanten-Governance vor dem Onboarding oder der Verlängerung von HR-Dienstleistern:

„[Verantwortlicher] Der Lieferanten- / Beschaffungsverantwortliche MUSS den Servicezweck, die Kategorien personenbezogener Daten von Beschäftigten, Verarbeitungsweisungen, den Verarbeitungsort, die Einbindung von Unterauftragsverarbeitern, Erwartungen an die Unterstützung bei Betroffenenrechten, Erwartungen an die Vorfallbenachrichtigung sowie Erwartungen an Rückgabe oder Löschung in REG08 erfassen, bevor Onboarding oder Verlängerung eines HR-Dienstleisters genehmigt wird.“

Aus Abschnitt „HR-Auftragsverarbeiter, Entgeltabrechnung, HRIS, Zusatzleistungen und Screening-Lieferanten“, Richtlinienklausel 4.7.2.

Clarysecs Richtlinie zur Lieferanten- und Drittparteiensicherheit Richtlinie zur Lieferanten- und Drittparteiensicherheit unterstützt dies, indem Lieferanten-Governance Folgendes abdecken muss:

„Anforderungen an die Datenverarbeitung, einschließlich Speicherort, Zugriffskontrollen sowie Klauseln zur Rückgabe oder Vernichtung.“

Aus Abschnitt „Governance-Anforderungen“, Richtlinienklausel 5.3.2.

Der Zenith Blueprint erläutert in der Phase „Controls in Action“, Schritt 23, Lieferantenvereinbarungen unter ISO/IEC 27002:2022 control 5.20, Berücksichtigung von Informationssicherheit in Lieferantenvereinbarungen:

„Die Struktur der Vereinbarung ist wichtig. Diese Klauseln können in einem Master Services Agreement, einem dedizierten Auftragsverarbeitungsvertrag oder einem eigenständigen Sicherheitsanhang stehen. Entscheidend ist, dass sie existieren und von beiden Parteien verstanden und akzeptiert werden.“

Aus der Phase „Controls in Action“, Schritt 23: Organisatorische Maßnahmen, Control 5.20.

Für HR-Lieferanten sollte die Vertragscheckliste Zweck, Weisungen, Vertraulichkeit, Zugriffskontrolle, Verschlüsselung, Hosting-Standort, Genehmigung von Unterauftragsverarbeitern, Frist für die Meldung von Datenschutzverletzungen, Unterstützung bei DSR, Auditrechte, Aufbewahrung, Rückgabe, Löschung und Unterstützung bei Vertragsende enthalten.

Cross-Compliance-Zuordnung für Governance im Beschäftigtendatenschutz

Beschäftigtendatenschutz ist nicht von Cybersicherheits-Governance isoliert. NIS2, DORA, NIST CSF 2.0 und COBIT 2019 verstärken alle dasselbe Thema: Organisationen benötigen dokumentierte, rechenschaftsfähige und prüfbare Governance über Risiken, Zugriff, Lieferanten, Vorfälle, Schulung und Kontinuität.

NIS2 Article 20 betont Genehmigung, Aufsicht, Haftung und Cybersicherheitsschulung durch das Leitungsorgan. Article 21 verlangt geeignete technische, operative und organisatorische Maßnahmen zum Management von Cybersicherheitsrisiken, einschließlich Richtlinien zu Risikoanalyse, Incident Handling, Aufrechterhaltung des Geschäftsbetriebs, Sicherheit der Lieferkette, HR-Sicherheit, Zugriffskontrolle, Asset-Management, Schulung, Kryptografie und Kontrollwirksamkeit.

DORA ist relevant für Finanzunternehmen und IKT-Anbieter, die diese bedienen. DORA verlangt Management von IKT-Risiken, Vorfallsmeldung, Tests der digitalen operationalen Resilienz, Informationsaustausch und IKT-Drittparteienrisikomanagement. HR-SaaS-Tools, Identitätssysteme und Managed Services können Teil dieser Abhängigkeitsübersicht werden.

NIST CSF 2.0 ergänzt die GOVERN-Funktion, die erwartet, dass Organisationen gesetzliche und regulatorische Verpflichtungen, Erwartungen von Interessenträgern, Abhängigkeiten, Risikobereitschaft und Risikomanagementstrategie verstehen. Beschäftigtendatenschutz fügt sich natürlich in diese Governance-Ebene ein.

Was Auditoren fragen werden

Verschiedene Auditoren betrachten denselben HR-Prozess aus unterschiedlichen Perspektiven. Ein starkes Programm für Beschäftigtendatenschutz muss alle zufriedenstellen, ohne getrennte Nachweissilos zu schaffen.

Der Zenith Blueprint verstärkt diese nachweisorientierte Auditperspektive für den Schutz personenbezogener Daten:

„Aus Auditperspektive rückt diese Kontrolle zunehmend in den Fokus. Auditoren, Aufsichtsbehörden und Kunden wollen gleichermaßen sehen:

✓ wo personenbezogene Daten liegen,

✓ welche Rechtsgrundlage ihre Verarbeitung steuert,

✓ wie Zugriff beschränkt wird,

✓ wie Vorfälle gemeldet werden,

✓ und wie die Organisation Rechte achtet und Transparenz aufrechterhält.“

Aus der Phase „Controls in Action“, Schritt 23: Organisatorische Maßnahmen, Control 5.34.

Diese Liste ist eine praktische Auditagenda für Beschäftigtendatenschutz.

Ein 90-Tage-Sprint für auditfähigen Beschäftigtendatenschutz

Organisationen müssen nicht alles auf einmal lösen. Ein fokussierter 90-Tage-Sprint kann die Grundlage schaffen.

Häufige Fehler sind unter anderem, HR als ausgenommen zu behandeln, weil es intern ist, unklare Beschreibungen der Rechtsgrundlage zu verwenden, Sicherheitsüberwachung mit Produktivitätsüberwachung zu vermischen, unkontrollierten Managerzugriff zuzulassen, HR-SaaS ohne Datenschutzprüfung einzuführen, Daten ehemaliger Beschäftigter unbegrenzt aufzubewahren und den Umgang mit Beschäftigten-DSR nicht zu üben.

Den blinden Fleck in ein gesteuertes System überführen

Governance für Beschäftigtendatenschutz nach ISO/IEC 27701:2025 und GDPR ist nicht durch die Veröffentlichung eines Hinweises erledigt. Sie entsteht durch ein wiederholbares Betriebsmodell: Verarbeitungsverzeichnis, Zuordnung der Rechtsgrundlagen, Transparenz, Zugriffskontrolle, Lieferanten-Governance, Aufbewahrung, Löschung, Bearbeitung von Betroffenenrechten, Reaktion auf Datenschutzverletzungen und Auditnachweis.

Clarysec gibt Teams die Struktur, um dies ohne leeres Blatt umzusetzen:

• Verwenden Sie die Mitarbeitenden-Datenschutzrichtlinie, um HR-Verarbeitung, Überwachung, Datenschutzhinweise für Beschäftigte, Betroffenenanfragen und HR-Lieferanten zu steuern.
• Verwenden Sie die Richtlinie zu Datenschutz und Privatsphäre und die Richtlinie zu Datenschutz und Privatsphäre – KMU, um Rechtsgrundlagen, Register, Zugriffsbeschränkungen und DSR-Workflows zu verankern.
• Verwenden Sie die Richtlinie zur zulässigen Nutzung und die Richtlinie zur zulässigen Nutzung – KMU, um datenschutzbewusste Grenzen für Überwachung zu definieren.
• Verwenden Sie die Richtlinie zur Datenaufbewahrung und Entsorgung, um Aufbewahrung und Löschung von Beschäftigtendaten an Datenschutzhinweise und rechtliche Verpflichtungen auszurichten.
• Verwenden Sie die Richtlinie zur Lieferanten- und Drittparteiensicherheit, um HR-Auftragsverarbeiter, Entgeltabrechnung, HRIS, Zusatzleistungen, Screening und Überwachungslieferanten zu kontrollieren.
• Verwenden Sie den Zenith Blueprint, um die 30-Schritte-Roadmap von Governance bis Kontrollbetrieb und Auditbereitschaft umzusetzen.
• Verwenden Sie Zenith Controls als Cross-Compliance-Kompass für die Ausrichtung an GDPR, ISO/IEC 27701:2025, ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIS2, DORA, NIST CSF 2.0 und COBIT 2019.

Wenn Ihr HR-Team kurz davorsteht, ein Überwachungstool einzuführen, einen HRIS-Vertrag zu verlängern, auf eine Betroffenenanfrage von Beschäftigten zu reagieren oder sich auf ein PIMS-Audit vorzubereiten, beginnen Sie mit einer Frage:

Können wir nachweisen, welche personenbezogenen Daten von Beschäftigten wir verarbeiten, warum wir sie verarbeiten, wer darauf zugreifen kann, wie lange wir sie aufbewahren, welche Lieferanten darauf zugreifen und wie Beschäftigte ihre Rechte ausüben können?

Wenn die Antwort noch nicht „ja“ lautet, kann Clarysec Ihnen helfen, den Prüfpfad aufzubauen. Laden Sie das Clarysec-Toolkit für Mitarbeitenden-Datenschutzrichtlinien herunter, prüfen Sie Ihr HR-Verarbeitungsverzeichnis oder vereinbaren Sie eine Bewertung Ihrer Datenschutz-Governance, um Beschäftigtendatenschutz von einer Auditüberraschung in ein gesteuertes, messbares Programm zu überführen.