Datenschutz bei der externen Lohnbuchhaltung?

Eine eigene Lohnbuchhaltung lohnt sich für kleinere Unternehmen aus wirtschaftlichen Gesichtspunkten oftmals nicht. Häufig ist es aber für den Unternehmer oder seine anderen Angestellten nicht mehr möglich diesen Aufwand zu bewältigen. Hier werden deswegen verstärkt externe Dienstleister mit der Lohnbuchhaltung für das eigene Unternehmen beauftragt. Doch wie wird der Datenschutz hier sichergestellt?

Datenschutz und Lohnbuchhaltung

Das Datenschutzrecht ist in Deutschland vergleichsweise streng und sieht bei Verstößen zum Teil empfindliche Strafen vor. Dies gilt insbesondere für personenbezogene Daten. Für die Erhebung, Verarbeitung und Löschung dieser Daten gelten besonders strenge Regelungen. Grundsätzlich ist damit der Arbeitgeber für die Daten seiner Beschäftigten verantwortlich, die für die Lohnabrechnung erforderlich sind, wie Alter, Kinder, Familienstand, Religionszugehörigkeit, etc. Allerdings ist es in gewissem Umfang zulässig, die Daten von anderer Stelle verarbeiten zu lassen.

Was ist Auftragsdatenverarbeitung?

Im Bundesdatenschutzgesetz (BDSG)ist die Möglichkeit einer sog. Auftragsdatenverarbeitung vorgesehen (§ 11 BDSG), wonach eine Verarbeitung durch andere Stellen zulässig ist. Dies bedeutet, dass im Rahmen eines "Outsourcing" der Lohnbuchhaltung an externe Dienstleister eine Verarbeitung der personenbezogenen Daten durch diese Externen im Auftrag des Arbeitgebers zulässig ist. Nach dieser Regelung ist der Auftraggeber aber auch im Fall der Auftragsdatenverarbeitung für die Einhaltung der Datenschutzbestimmungen weiterhin verantwortlich.

Voraussetzungen einer Auftragsdatenverarbeitung

Eine Auftragsdatenverarbeitung liegt vor, wenn der Auftragnehmer die Daten allein im Sinne und entsprechend den Weisungen des Auftraggebers nutzt, dessen Entscheidungs- und Verfügungsgewalt diese unterliegen. Nach den Vorgaben von § 11 Abs. 2 BDSG ist eine schriftliche Vereinbarung über die Durchführung der Auftragsdatenverarbeitung erforderlich. In dieser sind der Umfang, Dauer, Sicherungsmaßnahmen, Weisungsbefugnisse, etc. zu regeln. Hier findet sich eine genaue Aufzählung im BDSG. Darüber hinaus hat der Auftraggeber den Auftragnehmer sorgfältig auszuwählen und durch geeignet Kontrollen sicherzustellen, dass die Datenschutzbestimmungen eingehalten werden.

Pflichten des Auftragnehmers

Der Auftragnehmer ist verpflichtet, die Auftragsdatenverarbeitung entsprechende der schriftlichen Vereinbarung umzusetzen und die Weisung des Auftragsgeber umzusetzen. Dieser übernimmt damit nicht automatisch die Verantwortung für die Einhaltung des Datenschutzes. Diese verbleibt weiterhin bei dem Auftraggeber. Der Auftragnehmer unterliegt aber ebenfalls der Aufsicht durch öffentliche Stellen. Professionelle Auftragnehmer fertigen in der Regel allgemeingültige Datenschutzkonzepte und führen Zertifizierungen durch, um diese dem Kunden entsprechend vorlegen zu können.