Auftragsverarbeitung im HR-Bereich

Nein. Zuerst muss die datenschutzrechtliche Rolle bestimmt werden. Auftragsverarbeitung, eigene Verantwortlichkeit und gemeinsame Verantwortlichkeit sind unterschiedliche Konstellationen mit verschiedenen Anforderungen.

Nicht für die besonderen Anforderungen einer Auftragsverarbeitung. Vertraulichkeit ist nur ein Bestandteil. Weisungen, Sicherheitsmaßnahmen und weitere Pflichten müssen entsprechend geregelt sein.

Die Rollen ergeben sich aus der tatsächlichen Verarbeitung. Bei Auftragsverarbeitung bleibt der Verantwortliche für seine Pflichten verantwortlich. Die Beauftragung eines Dienstleisters entlastet nicht pauschal von jeder Verantwortung.

Welche Leistungen sie erbringen, welche Daten betroffen sind und wie Genehmigung beziehungsweise Information geregelt sind. Eine unbegrenzte und undurchsichtige Dienstleisterkette ist problematisch.

Nein. Internationale Übermittlungen unterliegen zusätzlichen Anforderungen. Vertrag, Transfergrundlage und tatsächliche Risiken müssen zusammen geprüft werden.

Mit klaren Regeln zu Rückgabe, Löschung, Fristen und Nachweisen. Auch Unterauftragnehmer und Sicherungskopien gehören in die Betrachtung. Ein abgeschalteter Zugang ist noch keine Datenlöschung.

Das ist nicht automatisch vom ursprünglichen Auftrag gedeckt. Eigene Zwecke und Rechtsgrundlagen müssen gesondert geprüft werden. Allgemeine Produktverbesserung rechtfertigt nicht jede Nutzung von Personaldaten.

Nur so lässt sich beurteilen, ob Schutz und Risiko zusammenpassen. Allgemeine Sicherheitsversprechen sagen wenig über Zugriffe, Verschlüsselung, Wiederherstellung und tatsächliche Betriebsorganisation aus.

Nein. Rechtsgrundlage, tatsächliche Verarbeitung und technische sowie organisatorische Maßnahmen bleiben gesondert zu prüfen.

Die Vorlage „HR-Datenschutz: Prozesscheck“ unterstützt die strukturierte Vorbereitung. Sie ist bearbeitbar und enthält eigene Prüfpunkte. Eine fachliche oder rechtliche Freigabe wird dadurch nicht ersetzt.