Ein externer Interim HR Manager bekommt genau die Zugriffe, die seine vereinbarte Aufgabe erfordert, und die datenschutzrechtliche Rolle entscheidet sich vorher: Wer weisungsgebunden in Ihre Organisation eingegliedert ist, handelt als unterstellte Person unter Ihrer Verantwortung, wer die Aufgabe eigenständig als Dienstleister erbringt, braucht einen Vertrag zur Auftragsverarbeitung. Diese Weiche stellen Sie vor dem ersten Arbeitstag, nicht beim ersten Systemzugang.
Auf einen Blick
- Die Rollenfrage kommt vor der Zugriffsfrage: unterstellte Person unter Weisung oder Auftragsverarbeiter mit Vertrag.
- Zugriffe werden je Aufgabe vergeben, nicht je Person. Vollzugriff auf die Personalakte ist fast nie erforderlich.
- Der Betriebsrat ist früh einzubinden, bei Eingliederung über die personelle Einzelmaßnahme, bei Systemen über die Mitbestimmung.
- Löschung oder Rückgabe am Mandatsende gehört in den Vertrag, nicht in die Abschiedsmail.
- Bei einer Datenschutzverletzung laufen 72 Stunden, unabhängig davon, wer sie verursacht hat.
Die Frage kommt meistens am dritten Tag, und sie kommt von der IT. Der neue Interim HR Manager braucht Zugriff auf das Bewerbermanagement, auf die Personalaktenablage, auf die Entgeltdaten, und jemand muss entscheiden, was er bekommt. In vielen Unternehmen entscheidet das dann die Person, die gerade das Ticket bearbeitet.
Das ist der eigentliche Fehler. Die Zugriffsfrage sieht aus wie eine Berechtigungsfrage, ist aber eine Vertrags- und Rollenfrage, und sie hätte vor dem ersten Arbeitstag beantwortet sein müssen. Wer das nachholt, während der Externe schon arbeitet, hat entweder eine Lücke in der Dokumentation oder eine Person, die ihre Aufgabe nicht erfüllen kann.
Dieser Artikel sortiert die Reihenfolge: welche datenschutzrechtliche Rolle ein externer Interim HR Manager überhaupt haben kann, was daraus für den Vertrag folgt, welche Zugriffe die Aufgabe wirklich verlangt, wann der Betriebsrat mitredet und was am Ende des Mandats passieren muss. Er beschreibt den Rahmen allgemein und ersetzt keine Rechtsberatung: Die Einordnung Ihres konkreten Falls gehört mit Ihrer Datenschutzbeauftragten und Ihrer arbeitsrechtlichen Beratung abgestimmt.
Die Rollenfrage steht vor der Zugriffsfrage
Bevor irgendjemand eine Berechtigung vergibt, muss feststehen, in welcher Rolle der Externe die Daten verarbeitet. Die Datenschutz-Grundverordnung kennt dafür klare Begriffe. Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Das bleibt Ihr Unternehmen. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Daneben steht eine dritte Kategorie, die in der Praxis am häufigsten passt und am seltensten benannt wird. Die Verordnung nimmt vom Begriff des Dritten ausdrücklich diejenigen Personen aus, die unter der unmittelbaren Verantwortung des Verantwortlichen befugt sind, die personenbezogenen Daten zu verarbeiten. Und sie verpflichtet jede dem Verantwortlichen unterstellte Person mit Datenzugang darauf, diese Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten. Dieselbe Bindung wiederholt die Verordnung bei den Sicherheitspflichten.
Für Ihr Mandat heißt das: Ein Interim HR Manager, der in Ihre Organisation eingebunden ist, Ihre Systeme nutzt, Ihre Prozesse ausführt und dabei keine eigenen Zwecke verfolgt, verarbeitet die Daten typischerweise als unterstellte Person unter Ihrer Verantwortung. Ein Dienstleister, der eine abgegrenzte HR-Leistung mit eigener Infrastruktur für Sie erbringt, etwa die Entgeltabrechnung, ist typischerweise Auftragsverarbeiter und braucht den Vertrag dafür.
Die Abgrenzung ist keine Formalie, sondern hat Folgen in beide Richtungen. Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst Zwecke und Mittel der Verarbeitung, gilt er als eigener Verantwortlicher, mit allen Pflichten, die daran hängen. Und eine fehlende oder falsche Einordnung fällt spätestens dann auf, wenn eine betroffene Person Auskunft verlangt oder eine Aufsichtsbehörde fragt, wer hier eigentlich auf welcher Grundlage gearbeitet hat.
Wichtig ist außerdem, dass die datenschutzrechtliche Rolle nicht automatisch die arbeitsrechtliche mitbestimmt. Ein Mandat kann datenschutzrechtlich sauber als Verarbeitung unter Ihrer Weisung laufen und arbeitsrechtlich trotzdem ein Statusrisiko tragen, weil weisungsgebundene, fremdbestimmte Arbeit in persönlicher Abhängigkeit ein Arbeitsverhältnis begründet, unabhängig davon, wie der Vertrag heißt. Beide Fragen gehören deshalb nebeneinander auf den Tisch, nicht nacheinander.
Je weiter rechts die gelebte Praxis liegt, desto klarer ist die Datenschutzrolle und desto genauer muss die arbeitsrechtliche Konstruktion geprüft werden.
Was daraus für den Vertrag folgt
Steht die Rolle fest, folgt daraus, welches Dokument Sie brauchen. Liegt Auftragsverarbeitung vor, verlangt die Verordnung einen Vertrag oder ein anderes Rechtsinstrument in schriftlicher Form, das den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet. Die Mindestinhalte sind vorgegeben und lassen sich nicht wegverhandeln.
Dazu gehören die Verarbeitung ausschließlich auf dokumentierte Weisung, die Vertraulichkeit der eingesetzten Personen, die Sicherheitsmaßnahmen, die Unterstützung bei Betroffenenrechten, die Löschung oder Rückgabe aller Daten nach Ende der Leistung und der Nachweis der Einhaltung. Hinzu kommt die Vorgabe an Sie: Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist eine Auswahlpflicht, keine Formalie.
Handelt der Interim Manager dagegen als unterstellte Person unter Ihrer Verantwortung, brauchen Sie keinen Auftragsverarbeitungsvertrag, aber Sie brauchen dieselbe Substanz an anderer Stelle: eine schriftliche Verpflichtung auf Vertraulichkeit und auf die Verarbeitung ausschließlich auf Ihre Weisung, eine dokumentierte Einweisung in Ihre Datenschutzvorgaben und eine saubere Beschreibung der Aufgabe, aus der sich die Erforderlichkeit der Zugriffe ergibt.
In beiden Fällen gilt derselbe Maßstab für die Daten selbst. Beschäftigtendaten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, soweit das für dessen Begründung, Durchführung oder Beendigung erforderlich ist, und Bewerberinnen und Bewerber sowie ausgeschiedene Personen gelten dabei ausdrücklich als Beschäftigte. Erforderlich ist der Begriff, an dem sich jede einzelne Berechtigung messen lassen muss.
Praktischer Rat aus der Personalleiter-Perspektive: Schreiben Sie die Aufgabe so auf, dass ein Außenstehender daraus die Zugriffe ableiten kann. Ein Mandat für die Begleitung einer Restrukturierung braucht andere Daten als eines für den Aufbau eines Bewerbermanagements. Wer die Aufgabe nur als Rolle beschreibt, landet automatisch beim Vollzugriff, weil niemand begründen kann, was fehlen dürfte.
Mindestinhalte, wenn Auftragsverarbeitung vorliegt
- Verarbeitung nur auf dokumentierte WeisungMündliche Zurufe reichen nicht, die Weisungslage muss nachvollziehbar sein.
- Vertraulichkeit der eingesetzten PersonenVerpflichtung aller, die tatsächlich Zugang haben, nicht nur des Vertragspartners.
- Technische und organisatorische MaßnahmenKonkret benannt, nicht als Anlage mit Textbausteinen ohne Bezug zum Mandat.
- Unterstützung bei BetroffenenrechtenAuskunft, Berichtigung, Löschung: Sie müssen liefern können, auch wenn die Daten beim Dienstleister liegen.
- Löschung oder Rückgabe nach Ende der LeistungMit Frist und Nachweis, nicht als Zusage im Abschlussgespräch.
- Nachweis der EinhaltungDer Auftragsverarbeiter muss die Einhaltung belegen können, Sie müssen das prüfen dürfen.
Welche Zugriffe die Aufgabe wirklich verlangt
Der Grundsatz der Datenminimierung verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Übersetzt in die Berechtigungsvergabe heißt das: Zugriffe werden je Aufgabe vergeben, nicht je Person und schon gar nicht je Titel. Ein Vollzugriff auf die Personalakte ist für die allermeisten Interim-Mandate nicht erforderlich.
Das lässt sich gut zeigen. Wer eine Entgeltrunde vorbereitet, braucht Vergütungsdaten und Funktionszuordnungen, aber keine Abmahnungen und keine Krankheitszeiten. Wer ein Bewerbermanagement aufbaut, braucht Prozessdaten und Stellenprofile, aber keine Bestandsakten. Wer eine Restrukturierung begleitet, braucht Sozialdaten für die Auswahl, aber nicht die Gesprächsnotizen der letzten fünf Jahre.
Ein zweiter Punkt, der in Berechtigungskonzepten oft fehlt: Zugriff ist nicht gleich Zugriff. Lesen, Ändern, Exportieren und Weitergeben sind verschiedene Rechte, und der Export ist das gefährlichste davon, weil er Daten aus Ihrer geschützten Umgebung herausführt. Wenn ein Mandat Auswertungen braucht, ist die bessere Antwort fast immer ein pseudonymisierter Auszug statt eines vollständigen Exports.
Und ein dritter, der regelmäßig unterschätzt wird: Die besonders geschützten Daten liegen selten dort, wo man sie vermutet. Gesundheitsdaten stehen nicht nur in der Krankenakte, sondern auch in Wiedereingliederungsplänen, in Anträgen auf Gleichstellung und in Vermerken zur Arbeitsfähigkeit. Wer eine Ablage pauschal freigibt, gibt diese Daten mit frei, ohne es zu merken.
Halten Sie die Vergabe deshalb schriftlich fest, mit Aufgabe, Systemen, Rechtetiefe und Befristung. Diese Liste ist später Ihr Nachweis, denn der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können. Ohne sie steht im Zweifel Aussage gegen Aussage, und die Beweislast liegt bei Ihnen.
Vier Fragen vor jeder Berechtigung
- Für welche vereinbarte Aufgabe?Steht die Aufgabe nicht im Vertrag oder Zielbild, gibt es auch keine Berechtigung dafür.
- Welche Rechtetiefe?Lesen, ändern, exportieren, weitergeben. Export nur, wenn der Zweck ihn wirklich verlangt.
- Welcher Datenumfang?Einzelner Bereich statt ganzer Ablage. Pseudonymisierter Auszug statt Vollexport.
- Bis wann?Befristung auf die Mandatsdauer, mit festem Entzugstermin statt stillschweigender Verlängerung.
Belege7
Die technische Seite, kurz und konkret
Die Verordnung verlangt geeignete technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und nennt dabei ausdrücklich die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Für ein Interim-Mandat übersetzt sich das in wenige Punkte, die sich in einer Stunde klären lassen. Der Externe arbeitet mit einem eigenen, personengebundenen Konto in Ihren Systemen, nicht mit einem Sammelkonto und nicht mit dem Konto der ausgefallenen Führungskraft. Er nutzt Ihre Geräte oder ein Gerät, dessen Absicherung Sie kennen. Daten bleiben in Ihrer Umgebung, private Cloud-Ablagen und private Mail-Konten sind ausgeschlossen.
Ein eigener Punkt ist die Protokollierung. Sie ist datenschutzrechtlich sinnvoll und arbeitsrechtlich heikel zugleich: Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, unterliegen der Mitbestimmung des Betriebsrats. Wer Zugriffe auf Personaldaten protokolliert, sollte deshalb vorher klären, wie das Protokoll ausgewertet wird und wer es sieht.
Und schließlich das Verzeichnis der Verarbeitungstätigkeiten. Es muss Zwecke, Kategorien betroffener Personen und Empfänger, vorgesehene Löschfristen und eine allgemeine Beschreibung der Maßnahmen enthalten. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift in der Personalarbeit praktisch nie, weil sie bei nicht nur gelegentlicher Verarbeitung und bei besonderen Kategorien personenbezogener Daten ohnehin entfällt. Ein Interim-Mandat ist ein guter Anlass, den Eintrag zu aktualisieren, statt ihn zu vergessen.
- Personengebundenes KontoEigener Zugang mit eigenem Namen, keine Sammelkonten, keine Übernahme des Kontos der vertretenen Person.
- Gerät und Umgebung geklärtIhre Geräte oder ein bekannt abgesichertes Gerät. Keine privaten Ablagen, keine privaten Mail-Konten.
- Rechte nach Aufgabe geschnittenLesen statt ändern, Bereich statt Gesamtablage, pseudonymisierter Auszug statt Vollexport.
- Protokollierung abgestimmtVorher klären, was protokolliert und wie ausgewertet wird, inklusive Mitbestimmung.
- Verzeichnis aktualisiertZweck, Empfängerkategorie, Löschfrist und Maßnahmen für das Mandat eintragen.
- Entzug terminiertDer Entzugstermin steht am Tag der Vergabe fest, nicht am Tag des Abschieds.
Wann der Betriebsrat mitredet
Bei Fremdpersonal im HR gibt es zwei Anknüpfungspunkte, und sie werden regelmäßig verwechselt. Der erste betrifft die Person: Wird sie in den Betrieb eingegliedert, liegt eine Einstellung im betriebsverfassungsrechtlichen Sinn vor, und der Betriebsrat ist vor der Maßnahme zu unterrichten, mit Vorlage der erforderlichen Bewerbungsunterlagen. Er kann die Zustimmung aus sechs gesetzlich genannten Gründen verweigern, schriftlich und innerhalb einer Woche, sonst gilt sie als erteilt.
Ob eine Eingliederung vorliegt, hängt nicht am Vertragsverhältnis. Das Bundesarbeitsgericht hat am 23. September 2025 präzisiert, dass dafür zumindest ein partielles, arbeitsvertragstypisches Weisungsrecht des Betriebsinhabers hinsichtlich Inhalt, Ort und Zeit der Tätigkeit erforderlich ist. Der bloße Einsatz auf dem Betriebsgelände aufgrund eines Dienst- oder Werkvertrags genügt dafür nicht.
Der zweite Anknüpfungspunkt betrifft die Systeme. Sobald für das Mandat eine technische Einrichtung eingeführt oder anders genutzt wird, die zur Überwachung von Verhalten oder Leistung bestimmt ist, greift die Mitbestimmung. Das betrifft seltener das HR-System selbst als die Auswertungen, die im Mandat neu entstehen, etwa ein Berichtswesen über Fehlzeiten oder Bearbeitungsdauern.
Hier hängt beides zusammen, und das ist der Punkt, den viele Beauftragungen nicht sehen: Je klarer Sie das Mandat als eigenständige Leistung ohne Weisungsbindung ausgestalten, desto eher liegt keine mitbestimmungspflichtige Einstellung vor, aber desto eher brauchen Sie datenschutzrechtlich einen Auftragsverarbeitungsvertrag. Je stärker Sie die Person einbinden, desto einfacher die Datenschutzrolle und desto größer die arbeitsrechtliche Prüfpflicht.
Und eine Konstruktion, die separat zu prüfen ist: Stellt Ihnen ein Provider eigene Angestellte zur Verfügung, die Sie wie eigenes Personal einsetzen, ist das Arbeitnehmerüberlassung. Sie ist erlaubnispflichtig, und dieselbe Person darf demselben Entleiher nicht länger als 18 aufeinanderfolgende Monate überlassen werden, soweit nicht Tarifverträge oder Betriebsvereinbarungen etwas anderes vorsehen.
Der Externe startet am Montag, der Zugang kommt per IT-Ticket, der Betriebsrat erfährt davon im Monatsgespräch, die Datenschutzrolle klärt niemand, weil formal ja ein Dienstvertrag vorliegt.
Rolle und Vertragsform vor Mandatsbeginn geklärt, Aufgabe schriftlich, Zugriffe daraus abgeleitet und befristet, Betriebsrat je nach Konstruktion beteiligt oder informiert, Verzeichnis ergänzt, Entzugstermin gesetzt.
Der Unterschied kostet ungefähr einen halben Tag Vorlauf und erspart im Streitfall die Rekonstruktion aus Erinnerungen.
Wenn etwas schiefgeht
Eine Datenschutzverletzung hält sich nicht an Vertragsverhältnisse. Verliert der Externe ein Gerät, verschickt er eine Liste an den falschen Verteiler oder legt er eine Auswertung versehentlich offen ab, läuft dieselbe Uhr wie bei jedem internen Vorfall: Die Meldung an die zuständige Aufsichtsbehörde hat unverzüglich und möglichst binnen 72 Stunden zu erfolgen, nachdem die Verletzung bekannt wurde, es sei denn, ein Risiko für die Rechte und Freiheiten ist unwahrscheinlich.
Liegt Auftragsverarbeitung vor, hat der Auftragsverarbeiter dem Verantwortlichen die Verletzung unverzüglich zu melden. Das ist der Grund, warum der Meldeweg in den Vertrag gehört, mit Kontaktstelle und Erreichbarkeit. Wer erst im Ernstfall klärt, wen er anruft, verbraucht die Hälfte der 72 Stunden mit der Frage.
Zur Haftung: Ein Auftragsverarbeiter haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder gegen die Weisungen des Verantwortlichen gehandelt hat. Gegenüber der betroffenen Person haftet im Außenverhältnis jeder Beteiligte auf den gesamten Schaden, damit wirksamer Ersatz sichergestellt ist. Der Ausgleich untereinander kommt danach.
Und die Größenordnung, die solche Gespräche intern schnell beendet: Verstöße gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die Grundsätze der Verarbeitung und gegen Betroffenenrechte mit bis zu 20 Millionen Euro oder 4 Prozent, jeweils der höhere Betrag.
Das ist kein Argument gegen externe Unterstützung. Es ist ein Argument dafür, die halbe Stunde Vorbereitung tatsächlich zu investieren, weil genau diese halbe Stunde später den Unterschied macht zwischen einem dokumentierten Vorfall und einem ungeklärten.
Die ersten zehn Arbeitstage, in der richtigen Reihenfolge
Wenn das Mandat kurzfristig startet, und das tun die meisten, hilft eine feste Reihenfolge mehr als ein vollständiges Konzept. Die folgende Taktung hat sich bewährt, weil sie die Entscheidungen dort trifft, wo sie hingehören, und den Externen trotzdem ab Tag eins arbeitsfähig macht.
Der Kern ist, dass die Aufgabe zuerst schriftlich steht. Aus ihr ergibt sich alles Weitere fast von selbst: die erforderlichen Daten, die Rechtetiefe, die Frage nach der Mitbestimmung, die Dauer der Berechtigung. Wer mit der Berechtigung anfängt, arbeitet rückwärts und begründet hinterher.
Ein Detail aus der Praxis, das erstaunlich oft scheitert: Der Entzugstermin gehört in dieselbe Zeile wie die Vergabe. Berechtigungen, die zum Mandatsende nicht automatisch auslaufen, überleben das Mandat regelmäßig um Monate, weil niemand zuständig ist. Das ist der häufigste Befund in internen Prüfungen und einer der am leichtesten vermeidbaren.
Die Reihenfolge ist wichtiger als die Vollständigkeit. Wer bei der Aufgabe beginnt, kommt automatisch zu vertretbaren Zugriffen.
Die drei häufigsten Fehler
Der erste Fehler ist der Vollzugriff aus Bequemlichkeit. Er entsteht nicht aus Absicht, sondern aus Zeitdruck: Die Aufgabe ist unklar, also bekommt die Person alles, damit sie nicht täglich nachfragen muss. Das Ergebnis ist eine Berechtigung, die sich nicht begründen lässt, und eine Dokumentation, die im Prüfungsfall gegen Sie arbeitet.
Der zweite Fehler ist die Konstruktion nach Gefühl. Ein Dienstvertrag wird unterschrieben, die Zusammenarbeit läuft aber wie ein Arbeitsverhältnis, und die Datenschutzrolle bleibt ungeklärt, weil formal ja ein externer Dienstleister tätig ist. Im Zweifel zählt die gelebte Praxis, nicht die Überschrift auf dem Papier, und das gilt in beiden Rechtsgebieten.
Der dritte Fehler ist das fehlende Ende. Das Mandat läuft aus, die Übergabe findet statt, und die Zugänge bleiben. Manchmal, weil eine Verlängerung im Raum steht, meistens, weil niemand den Entzug terminiert hat. Genau dieser Fall ist der, den Aufsichtsbehörden und interne Revisionen am schnellsten finden, weil er in jedem Berechtigungsbericht sichtbar ist.
Alle drei haben dieselbe Ursache: Die Zugriffsfrage wird als technische Aufgabe behandelt statt als Teil der Beauftragung. Wer sie dorthin zurückholt, wo sie hingehört, nämlich in die Vereinbarung über das Mandat, löst sie einmal und muss sie nicht wöchentlich neu verhandeln.
Quellen
- Art. 4 Nr. 7 DSGVO: Verantwortlicher
- Art. 29 DSGVO: Verarbeitung unter der Aufsicht des Verantwortlichen
- Art. 32 Abs. 4 DSGVO: Zugang nur auf Weisung
- Art. 28 Abs. 10 DSGVO: Auftragsverarbeiter als Verantwortlicher
- § 611a BGB: Arbeitsvertrag
- § 26 BDSG: Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
- Art. 5 Abs. 1 lit. b DSGVO: Zweckbindung
- Art. 30 DSGVO: Verzeichnis von Verarbeitungstätigkeiten
- § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei Überwachungseinrichtungen
- § 99 BetrVG: Mitbestimmung bei personellen Einzelmaßnahmen
- BAG, Beschluss vom 23. September 2025, 1 ABR 25/24
- § 1 AÜG: Erlaubnispflicht und Höchstüberlassungsdauer
- Art. 33 DSGVO: Meldung von Verletzungen an die Aufsichtsbehörde
- Art. 82 DSGVO: Haftung und Recht auf Schadenersatz
- Art. 83 DSGVO: Allgemeine Bedingungen für die Verhängung von Geldbußen
Häufige Fragen
Braucht ein externer Interim HR Manager einen Auftragsverarbeitungsvertrag?
Das hängt von der Rolle ab. Wer weisungsgebunden in Ihre Organisation eingebunden ist, Ihre Systeme nutzt und keine eigenen Zwecke verfolgt, verarbeitet die Daten typischerweise als unterstellte Person unter Ihrer Verantwortung; dann braucht es keinen solchen Vertrag, wohl aber eine schriftliche Verpflichtung auf Vertraulichkeit und Weisungsbindung. Wer eine abgegrenzte Leistung mit eigener Infrastruktur erbringt, ist typischerweise Auftragsverarbeiter und braucht den Vertrag nach Artikel 28. Die Einordnung Ihres Falls gehört mit dem Datenschutzbeauftragten abgestimmt.
Darf ein Externer die komplette Personalakte einsehen?
In aller Regel nein. Maßstab ist die Erforderlichkeit für die vereinbarte Aufgabe und der Grundsatz der Datenminimierung. Zugriffe werden je Aufgabe geschnitten, nach Bereich, Rechtetiefe und Dauer. Besonders geschützte Daten wie Gesundheitsangaben stecken oft in Vermerken und Anträgen, die bei einer pauschalen Freigabe unbemerkt mitgehen.
Muss der Betriebsrat beteiligt werden?
Wenn die Person in den Betrieb eingegliedert wird, liegt eine Einstellung im betriebsverfassungsrechtlichen Sinn vor und der Betriebsrat ist vorher zu unterrichten; er kann binnen einer Woche schriftlich widersprechen. Nach der Rechtsprechung des Bundesarbeitsgerichts setzt die Eingliederung zumindest ein partielles Weisungsrecht zu Inhalt, Ort und Zeit voraus. Unabhängig davon greift die Mitbestimmung, sobald technische Einrichtungen zur Überwachung von Verhalten oder Leistung eingeführt oder neu genutzt werden.
Was passiert mit den Daten am Ende des Mandats?
Zugänge werden zum vereinbarten Termin entzogen, Daten werden zurückgegeben oder gelöscht, und beides wird dokumentiert. Bei Auftragsverarbeitung ist die Löschung oder Rückgabe nach Ende der Leistung ausdrücklicher Mindestinhalt des Vertrags. Der häufigste Prüfbefund ist der Zugang, der das Mandat überlebt, weil niemand den Entzug terminiert hat.
Wer meldet eine Datenschutzverletzung, wenn sie beim Externen passiert?
Die Meldung an die Aufsichtsbehörde macht der Verantwortliche, also Ihr Unternehmen, unverzüglich und möglichst binnen 72 Stunden ab Kenntnis. Ein Auftragsverarbeiter muss die Verletzung dem Verantwortlichen unverzüglich melden. Deshalb gehören Meldeweg und Kontaktstelle in die Vereinbarung, bevor das Mandat startet.
Schreibt aus der Praxis als HR Manager und Head of People, in Festanstellung und im Mandat. Über 100 Einstellungen in mehr als zwölf Ländern.
Mandat besprechen
Ein kostenloses Erstgespräch, in dem wir Ihre Lage sortieren: Aufgabe, Rolle, Zugriffe und Beteiligung. Wenn ein Mandat nicht die richtige Antwort ist, sage ich Ihnen das dort.
Mandat besprechen