Die Gehaltsabrechnung ist eine zentrale Verarbeitungstätigkeit, die sowohl reguläre als auch besondere Kategorien personenbezogener Daten umfasst.
Rechtsgrundlage
Die Verarbeitung ist für die Durchführung des Arbeitsvertrags erforderlich (Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG) und teilweise zur Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO), insbesondere Steuer- und Sozialversicherungsrecht.
Sensible Daten
Die Gehaltsabrechnung enthält regelmäßig besondere Datenkategorien: Religionszugehörigkeit (für Kirchensteuer), Schwerbehindertenstatus (für Zusatzurlaub und Schwerbehindertenabgabe), ggf. Gewerkschaftszugehörigkeit (bei Tarifbindung). Diese Verarbeitung ist nach § 26 Abs. 3 BDSG zulässig, wenn sie zur Erfüllung arbeits- und sozialrechtlicher Pflichten erforderlich ist. Angemessene Schutzmaßnahmen nach § 22 Abs. 2 BDSG sind erforderlich.
Vertraulichkeit
Gehaltsdaten sind streng vertraulich zu behandeln. Der Zugang muss auf die für die Abrechnung zuständigen Personen beschränkt werden (Art. 32 DSGVO). E-Mail-Versand von Gehaltsabrechnungen sollte verschlüsselt erfolgen.
Aufbewahrungspflichten
Lohnkonten und Lohnunterlagen unterliegen steuer- und sozialversicherungsrechtlichen Aufbewahrungspflichten, Buchungsbelege etwa acht Jahre (§ 147 AO, § 257 HGB). Prüfen Sie die Fristen je Unterlage. Dies ist eine Ausnahme vom Löschungsrecht (Art. 17 Abs. 3 lit. b DSGVO).
Externe Abrechnung
Wird die Gehaltsabrechnung an einen externen Dienstleister ausgelagert, liegt Auftragsverarbeitung nach Art. 28 DSGVO vor. Ein AVV ist zwingend erforderlich.
Geht eine Gehaltsabrechnung an den falschen Empfänger, prüfen Sie die Meldepflicht unter Datenpanne melden. Eine Datenschutzschulung für die Lohnbuchhaltung beugt solchen Fehlern vor.