In der Lohnabrechnung dürfen personenbezogene Daten nur verarbeitet werden, soweit sie für das Beschäftigungsverhältnis erforderlich sind – Rechtsgrundlage sind Art. 6 und Art. 88 DSGVO in Verbindung mit § 26 BDSG. Weil Gehaltsdaten teilweise besondere Kategorien nach Art. 9 DSGVO enthalten, etwa Angaben zur Religionszugehörigkeit oder Schwerbehinderung, gelten hier strengere Anforderungen als in der übrigen Buchhaltung.

Welche Daten sind besonders geschützt?

Nicht alle Abrechnungsdaten sind gleich sensibel. Drei Kategorien sollten Sie unterscheiden:

Die praktische Konsequenz: Ein Lohnjournal gehört nicht in eine allgemein zugängliche Ablage, auch nicht in ein gemeinsames Laufwerk der Geschäftsleitung.

Welche Pflichten müssen Sie konkret erfüllen?

1. Zugriffsrechte begrenzen. Nur Personen mit tatsächlicher Aufgabe in der Entgeltabrechnung erhalten Zugriff. Interesse allein genügt nicht – auch Vorgesetzte haben kein pauschales Einsichtsrecht in Abrechnungsdaten.

2. Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO). Die Entgeltabrechnung ist darin eine eigene Verarbeitungstätigkeit mit Zweck, Empfängern, Fristen und Maßnahmen.

3. Technische und organisatorische Maßnahmen umsetzen (Art. 32 DSGVO): verschlüsselte Übertragung, rollenbasierte Rechte, Protokollierung, gesicherte Ablage.

4. Auftragsverarbeitungsvertrag schließen (Art. 28 DSGVO), sobald ein externer Dienstleister die Abrechnung übernimmt – vor der ersten Datenübermittlung, nicht danach.

5. Beschäftigte informieren (Art. 13 DSGVO) über Zweck, Rechtsgrundlage, Empfänger und Speicherdauer der Verarbeitung.

6. Datenpannen melden (Art. 33 DSGVO): binnen 72 Stunden an die Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht.

Wie versendet man Entgeltabrechnungen datenschutzkonform?

Eine unverschlüsselte E-Mail mit der Abrechnung im Anhang ist der häufigste Verstoß im Alltag. Drei tragfähige Alternativen:

• Geschütztes Mitarbeiterportal mit persönlichem Login – der sauberste Weg, weil kein Versand stattfindet.

• Passwortgeschütztes PDF, wobei das Passwort über einen anderen Kanal übermittelt wird und nicht aus öffentlich bekannten Daten wie dem Geburtsdatum besteht.

• Transportverschlüsselte Übermittlung über ein gesichertes Portal des Dienstleisters.

Die Ausgabe in Papierform bleibt zulässig, sofern die Abrechnung verschlossen und persönlich übergeben wird – nicht offen im Pausenraum verteilt.

Welche Aufbewahrungsfristen gelten?

Datenschutz bedeutet nicht nur schnelles Löschen, sondern Löschen zum richtigen Zeitpunkt. Diese Fristen kollidieren regelmäßig mit dem Grundsatz der Speicherbegrenzung:

Ein Löschkonzept übersetzt diese Fristen in konkrete Termine. Ohne ein solches Konzept sammeln sich Daten faktisch unbegrenzt an – einer der häufigsten Befunde bei Datenschutzprüfungen.

Was gehört in den Auftragsverarbeitungsvertrag?

Wird die Abrechnung ausgelagert, bleibt Ihr Unternehmen datenschutzrechtlich Verantwortlicher. Der AV-Vertrag muss mindestens regeln: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen und Daten, Weisungsrechte, Vertraulichkeitsverpflichtung der Beschäftigten des Dienstleisters, technische und organisatorische Maßnahmen, Umgang mit Unterauftragsverarbeitern, Unterstützung bei Betroffenenanfragen sowie Löschung oder Rückgabe nach Vertragsende.

Prüfen Sie zusätzlich, wo die Daten liegen: Rechenzentren außerhalb der EU erfordern eine gesonderte Grundlage für den Drittlandtransfer. Welche Aufgaben ein externer Partner überhaupt übernehmen darf, beschreibt der Beitrag Was ein Buchhaltungsbüro in der Lohnabrechnung leisten darf.

Welche Folgen haben Verstöße?

Der Bußgeldrahmen der DSGVO reicht nach Art. 83 bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – maßgeblich ist der höhere Wert. In der Praxis relevanter sind zwei andere Folgen: Schadensersatzansprüche einzelner Beschäftigter nach Art. 82 DSGVO und der Vertrauensverlust im Team, wenn Gehaltsdaten intern bekannt werden.

Häufige Fragen

Darf ich Gehaltsabrechnungen per E-Mail versenden?
Nur verschlüsselt. Ein unverschlüsselter Versand personenbezogener Entgeltdaten genügt den Anforderungen von Art. 32 DSGVO nicht.

Brauche ich die Einwilligung meiner Mitarbeitenden für die Lohnabrechnung?
Nein. Die Verarbeitung ist zur Durchführung des Beschäftigungsverhältnisses erforderlich. Eine Einwilligung im Beschäftigungskontext ist wegen des Abhängigkeitsverhältnisses ohnehin heikel und sollte die Ausnahme bleiben.

Muss ich einen Datenschutzbeauftragten benennen?
In der Regel dann, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon können besondere Verarbeitungen eine Benennungspflicht auslösen.

Darf der Chef die Gehaltsliste aller Mitarbeitenden einsehen?
Nur im erforderlichen Umfang. Ein pauschaler Zugriff auf Einzelabrechnungen ohne konkrete Aufgabe ist nicht durch das Beschäftigungsverhältnis gedeckt.

Wie lange darf ich Gehaltsdaten aufbewahren?
So lange, wie steuer- und sozialversicherungsrechtliche Fristen es verlangen – danach ist zu löschen. Die Fristen unterscheiden sich je Unterlagenart, siehe Tabelle oben.

Fazit

Datenschutz in der Lohnabrechnung scheitert selten an der Technik, sondern an fehlenden Festlegungen: Wer darf zugreifen, auf welchem Weg werden Abrechnungen zugestellt, wann wird gelöscht. Drei Dokumente decken den Großteil ab – ein Berechtigungskonzept, ein Löschkonzept und ein vollständiger AV-Vertrag mit dem Dienstleister.

Was eine externe Abrechnung kostet, zeigt der Beitrag Wie viel kostet Lohnbuchhaltung extern?. Weitere Themen finden Sie im Ratgeber zur Lohnbuchhaltung und Entgeltabrechnung, und wie wir arbeiten, lesen Sie auf der Seite zur externen Lohnbuchhaltung.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine individuelle datenschutzrechtliche Beratung.