Die DSGVO ist eines dieser Themen, bei denen die Kluft zwischen der praktischen Grundlinie und dem Compliance-Industriekomplex enorm ist. Für einen HR-Datenkontext in einem kleinen Unternehmen (unter 250 Beschäftigte, keine DSB-Pflicht) zählt Folgendes wirklich.
Die drei Dinge, die Sie tun müssen
- Führen Sie ein minimales Verzeichnis von Verarbeitungstätigkeiten (VVT). Drei Spalten: welche Daten, warum, Aufbewahrungsfrist. Eine einzige Seite reicht - die meisten Teams haben 6–8 Einträge.
- Schließen Sie mit jedem Anbieter, der Beschäftigtendaten berührt, einen schriftlichen Auftragsverarbeitungsvertrag (AVV). Die meisten SaaS-Anbieter geben Ihnen einen; fragen Sie, falls nicht.
- Seien Sie in der Lage, ein Auskunftsersuchen innerhalb von 30 Tagen zu erfüllen. Ein praktischer Maßstab: Jemand fragt „Welche HR-Daten haben Sie über mich?“ und Sie können eine CSV erzeugen.
Die drei Dinge, die Sie (vorerst) zurückstellen können
- Pseudonymisierung von HR-Daten. Nützlich für Forschung/Analytik, nicht für den normalen HR-Betrieb. Lassen Sie es, bis Ihre operative Größe es verlangt.
- Eine formelle Datenschutz-Folgenabschätzung für jedes neue Tool. Erforderlich bei Verarbeitung mit hohem Risiko, was ein PTO-Tracker nicht ist.
- Die Bestellung eines Datenschutzbeauftragten. Nur verpflichtend, wenn Ihre Kerntätigkeiten umfangreiche Verarbeitung oder die Verarbeitung besonderer Datenkategorien umfassen.
Die Frage der Datenlokalisierung
Für HR-Daten von EU-Ansässigen lautet der praktische Maßstab „verschlüsselt bei Übertragung und im Ruhezustand, gehostet in einem Land mit Angemessenheitsbeschluss oder über einen Anbieter mit Standardvertragsklauseln“. US-only-Hosting ist betrieblich in Ordnung, wenn der Anbieter Standardvertragsklauseln und die Zertifizierung nach dem Data Privacy Framework hat.
Auskunftsersuchen in der Praxis
Die meisten kleinen Teams geraten wegen Auskunftsersuchen in Panik, weil sie sich einen feindseligen ehemaligen Mitarbeiter vorstellen, der eines stellt. In der Praxis ist das Volumen nahe null, und die Arbeit - der Export ihrer Daten - ist unkompliziert, wenn Ihre Tools einen Export-Button haben. Vorab zu kartieren, welche Tools welche Daten halten, dauert eine Stunde und erspart die Panik.
Compliance-Theater ist gefährlicher als gar keine Compliance, weil es das Team gegen die eigentliche Arbeit immunisiert.