Phase 1: Die Bewerbung – und die Fehler, die schon hier passieren
- Bewerberdaten sind personenbezogene Daten – sie fallen voll unter die DSGVO.
- Du darfst nur so viele Daten erheben, wie für die Entscheidung nötig sind. Fragen nach Schwangerschaft, Religion, Gewerkschaftszugehörigkeit oder Krankheiten sind grundsätzlich unzulässig.
- Abgelehnte Bewerber haben Anspruch auf Löschung ihrer Daten – in der Regel nach 6 Monaten nach Abschluss des Verfahrens.
- Wer Bewerberdaten länger aufbewahrt, braucht dafür eine Rechtsgrundlage oder die ausdrückliche Einwilligung des Bewerbers.
- Absagen müssen auch ohne Begründung möglich sein – aber du darfst keine diskriminierenden Gründe haben.
Phase 2: Die Probezeit – wer darf was wissen?
- Der Kollege fragt: „Wie viel verdient der Neue?"
- Du fotografierst den Ausweis und schickst das Foto per WhatsApp an die Buchhaltung.
- Die Krankmeldung landet offen auf dem Tresen, weil niemand weiß, wo sie hingehört.
- Das Gehalt wird in einer Excel-Tabelle gepflegt, auf die alle Zugriff haben.
Alles alltäglich. Alles problematisch.
Was in der Praxis geregelt sein muss:
- Zugriff auf Personaldaten nur für Personen, die ihn wirklich brauchen.
- Keine Übermittlung über unsichere Kanäle (WhatsApp, private E-Mail).
- Krankmeldungen und Gesundheitsdaten besonders schützen – sie gelten als sensible Daten nach DSGVO.
- Gehaltsinfos sind vertraulich – das ist nicht nur Anstand, sondern auch rechtlich geboten.
Phase 3: Die Kündigung – und was danach noch zählt
Was in der Praxis am häufigsten fehlt
Aus der Beratungspraxis sind es meist dieselben Lücken:
- Kein Datenschutzhinweis für Bewerber (Pflicht nach Art. 13 DSGVO)
- Keine Löschroutine für Bewerberdaten
- Personalakten ohne Zugriffsbeschränkung
- Kein geregeltes Offboarding für digitale Zugänge
- WhatsApp für interne HR-Kommunikation
- Excel-Listen mit Gehaltsdaten ohne Passwortschutz
Was du konkret tun kannst
1. Datenschutzhinweis für Bewerber erstellen. Ein kurzer Text, der erklärt, welche Daten du erhebst, wofür und wie lange du sie speicherst. Der gehört in jede Stellenausschreibung und ans Ende jedes Bewerbungsformulars.
2. Löschroutine für Bewerberdaten einführen. Kalenderwiederholung, Erinnerung im System, feste Regel: Sechs Monate nach Abschluss des Verfahrens werden abgelehnte Bewerbungen gelöscht – außer der Bewerber hat zugestimmt, länger im Pool zu bleiben.
3. Zugriffsrechte auf Personaldaten prüfen. Wer hat Zugriff auf was? Gehaltsinfos, Krankmeldungen, Verträge – nur wer sie braucht, darf sie sehen.
4. Offboarding-Checkliste einführen. Was passiert am letzten Arbeitstag? Wer sperrt welche Zugänge? Wer kümmert sich um die Personalakte? Das muss geregelt sein, bevor jemand geht.
5. Kommunikationskanäle prüfen. HR-Themen haben auf WhatsApp nichts verloren. Wer ein Bewerbungsgespräch per privatem Messenger koordiniert, macht sich angreifbar.
Fazit: HR und Datenschutz gehören zusammen
Datenschutz im Personalbereich ist kein Thema für große Konzerne mit Personalabteilung. Es ist ein Thema für jeden Betrieb, der Menschen beschäftigt – also für dich.
Die Regeln sind nicht unrealistisch. Sie brauchen aber ein bisschen Struktur. Und genau da setzt die Arbeit an: nicht mit 80-seitigen Richtlinien, sondern mit klaren Abläufen, die im Alltag eines Handwerksbetriebs tatsächlich funktionieren.
Du willst wissen, wo bei dir im Personalbereich Datenschutzlücken schlummern? Dann lass uns das gemeinsam durchgehen.
👉 Jetzt kostenfreies Erstgespräch buchen https://www.hofmeyer.net/kontakt/
