Gerade beim Onboarding werden zahlreiche personenbezogene Daten verarbeitet und Zugriffsrechte vergeben. Wer diese Prozesse nicht sauber organisiert, schafft unnötige Risiken und muss später häufig nachbessern.
Hintergrund
Bereits mit Beginn eines Beschäftigungsverhältnisses verarbeitet ein Unternehmen personenbezogene Daten wie Name, Kontaktdaten oder Bankverbindung. Deshalb müssen neue Mitarbeitende über die Datenverarbeitung informiert werden. Diese Informationspflichten sollten idealerweise über ein separates Datenschutzhinweisdokument erfüllt und die Kenntnisnahme dokumentiert werden.
Ebenso wichtig ist die Vertraulichkeitsverpflichtung. Beschäftigte, die personenbezogene Daten verarbeiten, dürfen dies nur auf Weisung des Arbeitgebers tun. Eine schriftliche Verpflichtung – getrennt vom Arbeitsvertrag – hilft dabei, diese Anforderungen der DSGVO nachvollziehbar umzusetzen.
Auch die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten verdient Aufmerksamkeit. Nach einem Urteil des Europäischen Gerichtshofs aus dem Jahr 2023 und der Bestätigung durch das Bundesarbeitsgericht im Mai 2025 kann § 26 Abs. 1 BDSG nicht mehr als allgemeine Rechtsgrundlage herangezogen werden. Unternehmen sollten ihre Datenschutzhinweise und Verzeichnisse der Verarbeitungstätigkeiten deshalb überprüfen und die Verarbeitung auf Artikel 6 Abs. 1 Buchstabe b oder f DSGVO stützen, soweit dies im jeweiligen Fall zutrifft.
Praktische Bedeutung
Datenschutz beginnt nicht erst bei einer Prüfung durch die Aufsichtsbehörde, sondern bereits beim ersten Arbeitstag. Werden Informationspflichten vergessen, Zugriffsrechte zu großzügig vergeben oder Mitarbeitende nicht auf Vertraulichkeit verpflichtet, entstehen vermeidbare Compliance-Risiken.
Ebenso wichtig ist die technische Organisation. Zugriffs- und Zutrittsrechte sollten konsequent nach dem Need-to-Know-Prinzip vergeben und dokumentiert werden. Zusätzlich empfiehlt sich eine Datenschutzschulung unmittelbar nach Arbeitsbeginn sowie regelmäßige Auffrischungen im Abstand von ein bis zwei Jahren.
Beispiel aus der Praxis: Ein neuer Mitarbeiter beginnt in der Verwaltung und erhält sofort Zugriff auf mehrere gemeinsame Netzlaufwerke. Da die Berechtigungen nicht nach Aufgabenbereichen vergeben wurden, kann er auch auf Personalunterlagen zugreifen, die er für seine Tätigkeit nicht benötigt. Mit einem rollenbasierten Berechtigungskonzept lässt sich dieses Risiko von Beginn an vermeiden.
Unsere Empfehlung
1. Stellen Sie Datenschutzhinweise für Beschäftigte separat bereit und dokumentieren Sie die Kenntnisnahme.
2. Lassen Sie eine schriftliche Vertraulichkeitsverpflichtung unabhängig vom Arbeitsvertrag unterzeichnen.
3. Prüfen und aktualisieren Sie die Rechtsgrundlagen in Datenschutzhinweisen und Verzeichnissen der Verarbeitungstätigkeiten.
4. Vergeben Sie Zugriffs- und Zutrittsrechte ausschließlich nach dem Need-to-Know-Prinzip und dokumentieren Sie diese.
5. Führen Sie Datenschutzschulungen möglichst direkt nach Arbeitsbeginn durch und wiederholen Sie diese regelmäßig.
Fazit:
Ein strukturiertes Onboarding stärkt nicht nur die Organisation, sondern auch den Datenschutz. Wer Informationspflichten, Vertraulichkeit, Rechtsgrundlagen und Berechtigungskonzepte bereits am ersten Arbeitstag berücksichtigt, reduziert Risiken und schafft von Beginn an klare und rechtssichere Prozesse.