Personalabteilungen bearbeiten täglich Daten, die besonders viel über Menschen aussagen: Lebensläufe, Lohnangaben, Arbeitszeugnisse, Krankheitsmeldungen oder Absenzen. Datenschutzmassnahmen im HR dürfen deshalb nicht nur auf einem Konzeptpapier stehen. Sie müssen im Recruiting, in der Personaladministration und beim Austritt von Mitarbeitenden funktionieren.
Für Schweizer Unternehmen gilt das Datenschutzgesetz, das seit dem 1. September 2023 in Kraft ist, ergänzt durch die arbeitsrechtliche Schranke von Art. 328b OR. Sobald HR-Prozesse Daten von Personen in der EU betreffen, können zusätzlich Anforderungen der DSGVO relevant werden. Für KMU ist entscheidend, die wesentlichen Prozesse sauber zu organisieren: mit klaren Zuständigkeiten, nachvollziehbarer Dokumentation und technisch praktikablen Schutzmassnahmen.
Weshalb HR-Daten besondere Aufmerksamkeit brauchen
HR bearbeitet nicht einfach Kontaktdaten. Personalakten umfassen Vertragsdaten, Löhne, Beurteilungen und Korrespondenz. Bei Unfall, Krankheit, Lohnpfändung oder einer beruflichen Wiedereingliederung kommen besonders schützenswerte Personendaten hinzu, für die das DSG erhöhte Anforderungen stellt.
Dazu kommt die arbeitsrechtliche Grenze: Art. 328b OR erlaubt dem Arbeitgeber nur die Bearbeitung von Daten, die die Eignung der Person für das Arbeitsverhältnis betreffen oder für die Durchführung des Arbeitsvertrags erforderlich sind. Wer im Personaldossier mehr sammelt, etwa Notizen über das Privatleben oder Gesundheitsdetails über das Arztzeugnis hinaus, verletzt diese Bestimmung, auch wenn die Daten nie das Haus verlassen.
Das Risiko liegt selten in einer einzelnen grossen Panne, sondern in alltäglichen Gewohnheiten: Ein Lebenslauf geht an einen zu grossen Verteiler, ein ehemaliger Vorgesetzter hat noch Zugriff auf das HR-Laufwerk, ein Arztzeugnis bleibt im Drucker liegen. Wirksame Massnahmen setzen deshalb direkt bei den Arbeitsabläufen an.
Massnahmen entlang des Mitarbeiterzyklus
Ein guter Ansatz betrachtet den gesamten Weg von der Bewerbung bis zur Archivierung oder Löschung. So entstehen keine Lücken zwischen Systemen, Zuständigkeiten und Ablagen.
Recruiting: Nur erheben, was für die Stelle nötig ist
Bereits das Bewerbungsformular legt fest, welche Daten ins Unternehmen gelangen. Fragen nach privaten Umständen, die für die Stelle nicht erforderlich sind, gehören nicht in den Prozess. Bewerbende müssen dort informiert werden, wo die Daten erhoben werden, und abgelehnte Dossiers brauchen eine Löschfrist, die auch umgesetzt wird. Wie Sie den Datenschutz bei Bewerberdaten im Detail regeln, von der Ausschreibung bis zur Löschung nach Absage, haben wir in einem eigenen Beitrag beschrieben.
Eintritt: Der erste Tag entscheidet über die Berechtigungen
Beim Eintritt werden Konten angelegt, Gruppen zugewiesen und Geräte ausgegeben. Was hier zu grosszügig eingerichtet wird, bleibt oft über Jahre bestehen. Eine Checkliste für das Mitarbeiter-Onboarding stellt sicher, dass nur die für die Rolle nötigen Zugriffe erteilt werden und die neue Person die Datenschutzregeln des Unternehmens kennt, bevor sie mit Personendaten arbeitet.
Anstellung: Zugriffe nach Rollen statt nach Gewohnheit
Die Personalakte wächst über Jahre. Dabei benötigen nicht alle Beteiligten denselben Einblick. Die Geschäftsleitung braucht andere Informationen als die Linienvorgesetzten, die Lohnbuchhaltung oder die IT.
Rollenbasierte Berechtigungen sind deshalb ein zentraler Baustein. Vorgesetzte sehen nur, was sie für Führungsaufgaben benötigen. Die Lohnbuchhaltung braucht abrechnungsrelevante Daten, nicht sämtliche Beurteilungen oder medizinischen Unterlagen. Arztzeugnisse und Angaben zu Krankheitsdiagnosen gehören in einen separat geschützten Bereich, auf den ausserhalb von HR niemand zugreift.
Das gilt auch für Kollaborationsplattformen und gemeinsame Laufwerke. Ein Ordner mit dem Namen «HR» ist keine Zugriffsregelung. Entscheidend ist, wer tatsächlich Lese-, Änderungs- oder Exportrechte hat. Berechtigungen sind bei jedem Funktionswechsel zu prüfen, mindestens aber einmal jährlich.
Laufendes Arbeitsverhältnis: Vertrauliche Abläufe verbindlich machen
Datenschutz wird im HR-Alltag sichtbar, wenn etwas Unvorhergesehenes passiert: Eine Führungskraft fragt nach der Diagnose eines erkrankten Teammitglieds, ein Mitarbeitender verlangt Einsicht in seine Personalakte, ein Dokument wird falsch adressiert. Ohne klare Abläufe entscheiden Mitarbeitende aus dem Bauch heraus.
Hilfreich sind praxistaugliche Vorgaben für Arztzeugnisse (Vorgesetzte erfahren die Dauer der Arbeitsunfähigkeit, nicht die Diagnose), Absenzmeldungen, Mitarbeitergespräche und vertrauliche Korrespondenz. Ebenso wichtig ist ein bekannter Ablauf für Auskunftsersuchen: Mitarbeitende haben nach Art. 25 DSG das Recht, innerhalb von 30 Tagen zu erfahren, welche Daten über sie im Personaldossier liegen. Solche Anfragen häufen sich erfahrungsgemäss rund um Kündigungen, also genau dann, wenn HR ohnehin unter Druck steht.
Bei neuen HR-Systemen, Zeiterfassungslösungen oder Tools für Performance Management gehört der Datenschutz früh in die Beschaffung. Relevant sind Speicherorte, Zugriffsmodelle, Protokollierung, Löschfunktionen und die Rolle externer Anbieter. Wird das Verhalten der Mitarbeitenden systematisch ausgewertet, etwa durch Leistungsüberwachung, ist eine Datenschutz-Folgenabschätzung nach Art. 22 DSG zu prüfen. Reine Verhaltensüberwachung am Arbeitsplatz ist zudem nach Art. 26 der Verordnung 3 zum Arbeitsgesetz untersagt.
Austritt: Zugänge schliessen und Daten geordnet behandeln
Der Austritt ist ein klassischer Zeitpunkt für Lücken. IT deaktiviert das Benutzerkonto, aber die Person hat weiterhin Zugriff auf geteilte Dateien, ein mobiles Gerät oder eine Fachanwendung mit eigenem Login. Eine Austrittscheckliste verbindet HR, IT und die zuständige Führungskraft, damit keine Aufgabe zwischen den Bereichen verloren geht.
Auch die Personalakte braucht danach eine geregelte Behandlung. Nicht jede Information darf oder muss gleich lange aufbewahrt werden. Lohnunterlagen unterliegen der zehnjährigen Aufbewahrungspflicht nach Art. 958f OR, Arztzeugnisse und Bewerbungsunterlagen dagegen nicht. Eine interne Aufbewahrungs- und Löschregel, die zwischen Dokumentarten unterscheidet, macht die Umsetzung nachvollziehbar. Welche Fristen üblich sind, zeigt unser Beitrag dazu, wie lange Personendaten aufbewahrt werden dürfen.
Die wichtigsten organisatorischen und technischen Grundlagen
Datenschutz im HR entsteht aus dem Zusammenspiel von Menschen, Prozessen und Technik. Wer nur Software einführt, aber keine Verantwortlichkeiten festlegt, schafft neue Unsicherheiten. Wer ausschliesslich Richtlinien schreibt, ohne Berechtigungen anzupassen, erreicht ebenfalls wenig. Für die meisten Unternehmen sind diese sechs Grundlagen besonders wirksam:
- Ein aktuelles Bearbeitungsverzeichnis, das HR-Bearbeitungen wie Recruiting, Personaladministration, Lohn, Zeitwirtschaft und Absenzen beschreibt.
- Eine klare Regelung der Verantwortlichkeiten zwischen HR, IT, Führungskräften, Lohnbuchhaltung und externen Dienstleistern.
- Rollenbasierte Zugriffe, Zwei-Faktor-Authentisierung und ein geregelter Prozess für Eintritte, Mutationen und Austritte.
- Aufbewahrungs- und Löschfristen für Bewerbungsdossiers, Personalakten, Absenzen und weitere HR-Unterlagen.
- Schriftlich geregelte Auftragsbearbeitung nach Art. 9 DSG, wenn externe Anbieter wie Lohnbüro, Treuhänder oder HR-Software-Hersteller Personaldaten im Auftrag bearbeiten.
- Schulungen, die konkrete HR-Situationen behandeln, statt nur allgemeine Datenschutzregeln zu vermitteln.
Die passende Ausgestaltung hängt von Unternehmensgrösse, Branche, Systemen und Datenarten ab. Eine Arztpraxis mit acht Angestellten hat andere Anforderungen als ein Betrieb mit Schichtplanung, medizinischen Abklärungen oder internationalem Recruiting. Trotzdem lohnt es sich auch für kleine Organisationen, die Kernprozesse nicht informell zu belassen.
Dokumentation, die im Alltag tatsächlich hilft
Dokumentation wird oft als Pflichtübung wahrgenommen. Gut aufgebaut dient sie als Arbeitsgrundlage: Sie zeigt, welche Daten in welchem Prozess bearbeitet werden, wer Zugriff hat, welche externen Stellen beteiligt sind und welche Schutzmassnahmen bestehen.
Besonders hilfreich ist eine zentrale, gepflegte Übersicht, in der Bearbeitungsverzeichnis, technische und organisatorische Massnahmen, Vorlagen für Datenschutzinformationen, Auftragsbearbeitungsvereinbarungen und die Behandlung von Betroffenenanfragen zusammenlaufen. Das reduziert Suchaufwand und erleichtert es, Änderungen bei neuen Tools oder geänderten HR-Prozessen nachzuführen. Eine Lösung wie DSMS+ kann diese Aufgaben bündeln. Entscheidend bleibt, dass die Einträge zur tatsächlichen Praxis passen. Eine Vorlage ist ein guter Start, ersetzt aber nicht die Abstimmung mit HR und IT.
So starten Sie pragmatisch
Beginnen Sie mit einer kurzen Bestandsaufnahme der wichtigsten HR-Datenflüsse. Wo treffen Bewerbungen ein? In welchem System liegt die Personalakte? Wer bearbeitet Lohn- und Absenzdaten? Welche externen Anbieter erhalten Zugriff? Diese Fragen machen meist schnell sichtbar, wo Berechtigungen, Informationen oder Löschabläufe fehlen.
Priorisieren Sie danach die Punkte mit hohem Nutzen und überschaubarem Aufwand: Berechtigungen bereinigen, Arztzeugnisse getrennt ablegen, Austrittsprozesse verbindlich regeln und die Datenschutzinformation im Recruiting prüfen. Anschliessend lassen sich komplexere Themen wie Systembeschaffungen, internationale Datenflüsse oder vertiefte Risikoanalysen geordnet angehen.
Guter HR-Datenschutz zeigt sich nicht an möglichst vielen Dokumenten. Er zeigt sich daran, dass Mitarbeitende und Bewerbende wissen, was mit ihren Daten geschieht, und dass Ihr Unternehmen auch unter Zeitdruck nachvollziehbar handelt.
Häufige Fragen
Welche Daten darf ein Arbeitgeber über Mitarbeitende bearbeiten?
Nach Art. 328b OR nur Daten, die die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags nötig sind. Dazu gehören Vertrags-, Lohn- und Leistungsdaten, Absenzen und die für Sozialversicherungen nötigen Angaben. Nicht dazu gehören Details zum Privatleben oder Diagnosen über die Arbeitsunfähigkeit hinaus.
Was darf der Vorgesetzte bei einem Arztzeugnis erfahren?
Nur Beginn, Dauer und Grad der Arbeitsunfähigkeit sowie, ob es sich um Krankheit oder Unfall handelt. Die Diagnose ist ein besonders schützenswertes Personendatum und geht den Vorgesetzten nichts an. Arztzeugnisse gehören in einen separat geschützten Bereich der Personalakte, auf den nur HR Zugriff hat.
Wie lange muss die Personalakte nach dem Austritt aufbewahrt werden?
Lohnunterlagen und Abrechnungen unterliegen der zehnjährigen Aufbewahrungspflicht nach Art. 958f OR. Für den Rest des Dossiers gibt es keine gesetzliche Frist; üblich sind fünf bis zehn Jahre wegen möglicher Forderungen aus dem Arbeitsverhältnis und Zeugnisansprüchen. Arztzeugnisse und Bewerbungsunterlagen sollten deutlich früher gelöscht werden.
Dürfen Mitarbeitende ihre eigene Personalakte einsehen?
Ja, das Auskunftsrecht nach Art. 25 DSG gilt uneingeschränkt auch im Arbeitsverhältnis. Die Auskunft ist in der Regel innerhalb von 30 Tagen kostenlos zu erteilen und umfasst auch Beurteilungen und interne Notizen. Nur bei überwiegenden Interessen Dritter, etwa bei Aussagen von Kolleginnen in einer Untersuchung, kann sie teilweise eingeschränkt werden.