Rechtlicher Rahmen: Auftragsverarbeitung nach DSGVO
Wenn ein externes Lohnbüro Ihre Lohnabrechnung übernimmt, verarbeitet es personenbezogene Daten in Ihrem Auftrag. Das ist eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) zwingend vorgeschrieben. Er regelt:
- welche Daten zu welchem Zweck verarbeitet werden,
- die technischen und organisatorischen Maßnahmen (TOM) zum Schutz der Daten,
- Ihre Weisungs- und Kontrollrechte,
- den Umgang mit Unterauftragnehmern,
- Lösch- und Rückgabepflichten nach Vertragsende.
Sie bleiben dabei „Verantwortlicher" im Sinne der DSGVO – der Dienstleister handelt strikt nach Ihren Weisungen. Ein seriöser Anbieter legt den AVV von sich aus vor und erläutert ihn.
Die technischen Schutzmaßnahmen (TOM)
Datensicherheit ist nicht nur ein Vertrag, sondern gelebte Technik und Organisation. Zu den zentralen Maßnahmen gehören:
- Verschlüsselte Datenübertragung über gesicherte Portale oder Schnittstellen statt unverschlüsselter E-Mail.
- Zugriffsbeschränkungen: Nur berechtigte Personen sehen Ihre Daten, dokumentiert über ein Berechtigungskonzept.
- Sichere Rechenzentren mit Backup- und Notfallkonzepten.
- Protokollierung von Zugriffen zur Nachvollziehbarkeit.
- Definierte Löschfristen: Personaldaten werden nach Ablauf der gesetzlichen Aufbewahrungsfristen fristgerecht gelöscht.
Warum der Dienstleister oft sicherer ist als die interne Lösung
Es klingt paradox, ist aber häufig wahr: Die Daten sind beim spezialisierten Lohnbüro besser geschützt als im eigenen Haus.
- IT-Sicherheit auf Profiniveau: Professionelle Anbieter investieren in Firewalls, Verschlüsselung und Schutz vor Cyberangriffen – ein Niveau, das interne Insellösungen (Excel, lokaler PC, unverschlüsselte Mails) selten erreichen.
- Cyberrisiko intern unterschätzt: Gerade KMU sind beliebte Angriffsziele, weil ihre IT-Sicherheit oft schwächer ist. Lohndaten auf dem Verwaltungs-PC sind ein attraktives Ziel.
- Strukturierter Datenschutz: Beim Dienstleister sind Datenschutzprozesse dokumentiert und gelebt – intern fehlen sie oft.
Ihre Pflichten als Arbeitgeber
Auch wenn Sie auslagern, bleibt der Datenschutz Ihre Verantwortung als „Verantwortlicher". Sie sollten:
- einen AVV abschließen und prüfen,
- die Löschfristen für Personaldaten im Blick behalten,
- die Datenverarbeitung in Ihr Verarbeitungsverzeichnis aufnehmen,
- Mitarbeitende transparent über die Verarbeitung informieren.
Ein guter Dienstleister unterstützt Sie bei all diesen Schritten.
