Im Kontext moderner Unternehmensgruppen und Konzernstrukturen gewinnen Beschäftigtendaten und deren konzerninterne Weitergabe zunehmend an Bedeutung. Datenschutzexperten stehen vor der Herausforderung, die rechtlichen Anforderungen bei der Übermittlung von Beschäftigtendaten innerhalb von Matrixstrukturen zu erfüllen. Dieser Beitrag beleuchtet die wichtigsten Aspekte auf Grundlage aktueller Hinweise des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) im jüngst veröffentlichten Tätigkeitsbericht für 2025.
Der Inhalt im Überblick
- Welche Rechtsgrundlagen gelten für die Weitergabe von Beschäftigtendaten in Konzernen?
- Wann ist ein berechtigtes Interesse an der Datenweitergabe gegeben?
- Wie kann der Grundsatz der Datenminimierung umgesetzt werden?
- Welche Informationspflichten bestehen gegenüber Beschäftigten?
- Der Umgang mit Beschäftigtendaten ist zu Recht streng
Welche Rechtsgrundlagen gelten für die Weitergabe von Beschäftigtendaten in Konzernen?
Matrixstrukturen werden häufig als Organisationsmodell für die personelle Zusammenarbeit in Unternehmensgruppen und Konzernen genutzt. Der HmbBfDI betont, dass sämtliche Datenübertragungsvorgänge von Beschäftigtendaten auf eine tragfähige Rechtsgrundlage gestützt werden müssen. Im Berichtszeitraum 2025 wurden zwei Beschwerden zur konzerninternen Weitergabe von Beschäftigtendaten geprüft. Ziel war die Schaffung einheitlicher Vergütungsstrukturen und gleicher Arbeitsbedingungen im Konzern. Übermittelt wurden dabei sensible Informationen wie Gehaltslisten mit Namen, Gehalt, Tarif/AT, Eintritts- und Austrittsdatum, Abteilung und Position.
Die rechtliche Bewertung des HmbBfDI ergab eine unrechtmäßige Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO. Weder lag eine Einwilligung der Beschäftigten vor, noch war einer der in Art. 6 Absatz 1 DSGVO genannten Tatbestände erfüllt. Insbesondere Art. 6 Abs. 1 lit. b DSGVO, der die Verarbeitung zur Erfüllung eines Vertrags erlaubt, war nicht anwendbar, da die Weiterleitung der Daten für das Beschäftigungsverhältnis nicht erforderlich war.
Wann ist ein berechtigtes Interesse an der Datenweitergabe gegeben?
Die Prüfung, ob ein berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO vorliegt, ist zentral. Der HmbBfDI stellt klar: Die Verarbeitung wäre nur dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Berechtigte Interessen können rechtlicher, wirtschaftlicher oder ideeller Natur sein, jedoch keine bloßen Allgemeininteressen.
In den geprüften Fällen wurden die Interessen an einheitlichen Vergütungsstrukturen und gleichen Arbeitsbedingungen grundsätzlich als berechtigt anerkannt. Allerdings fehlte es an der Erforderlichkeit der konkreten Datenübermittlung. Der Europäische Gerichtshof (EuGH) betont, dass Ausnahmen und Beschränkungen beim Schutz personenbezogener Daten auf das absolut Notwendige beschränkt sein müssen. Es ist stets zu prüfen, ob das berechtigte Interesse nicht auch mit milderen Mitteln erreicht werden kann.
Wie kann der Grundsatz der Datenminimierung umgesetzt werden?
Ein zentrales Prinzip der DSGVO ist die Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Der HmbBfDI hebt hervor, dass der Zweck der Verarbeitung – etwa die Schaffung einheitlicher Vergütungsstrukturen – auch durch die Übermittlung pseudonymisierter Daten erreicht werden kann. In diesem Fall sind die einzelnen Beschäftigten nicht identifizierbar, wodurch die datenschutzrechtlichen Risiken erheblich reduziert werden.
Die Umsetzung der Datenminimierung kann durch folgende Maßnahmen erfolgen:
- Übermittlung von Gehaltsdaten ohne Namensnennung
- Nutzung von Mitarbeiter-IDs statt Klarnamen
- Aggregation von Daten auf Abteilungs- oder Gruppenebene
- Technische und organisatorische Maßnahmen zur Pseudonymisierung
Diese Ansätze ermöglichen es, die Ziele der Unternehmensgruppe zu erreichen, ohne die Rechte und Freiheiten der Beschäftigten unnötig zu beeinträchtigen.
Welche Informationspflichten bestehen gegenüber Beschäftigten?
Ein weiterer wichtiger Aspekt ist die Transparenz gegenüber den Beschäftigten. Der HmbBfDI weist ausdrücklich darauf hin, dass Arbeitgeber bei der Übermittlung von Beschäftigtendaten an andere Konzerngesellschaften eine ausreichende Rechtsgrundlage nachweisen müssen. Darüber hinaus sind die Beschäftigten umfassend über die Weitergabe ihrer Daten zu informieren.
Zu den Informationspflichten gehören insbesondere:
- Zweck der Datenübermittlung
- Empfänger oder Kategorien von Empfängern
- Rechtsgrundlage der Verarbeitung
- Rechte der betroffenen Personen (z. B. Auskunft, Widerspruch)
- Dauer der Speicherung
Nur durch eine transparente Kommunikation können Unsicherheiten und Beschwerden vermieden werden.
Der Umgang mit Beschäftigtendaten ist zu Recht streng
Die Weitergabe von Beschäftigtendaten in Konzernstrukturen unterliegt strengen rechtlichen Anforderungen. Datenschutzexperten und Datenschutzinteressierte sollten insbesondere auf die Wahl einer geeigneten Rechtsgrundlage, die Umsetzung des Grundsatzes der Datenminimierung und die umfassende Information der Beschäftigten achten. Die Hinweise des HmbBfDI verdeutlichen, dass eine pauschale konzerninterne Datenübermittlung ohne sorgfältige Prüfung und Anpassung an die datenschutzrechtlichen Vorgaben nicht zulässig ist. Zukünftig wird die Bedeutung datenschutzkonformer Prozesse in Matrix- und Konzernstrukturen weiter zunehmen.
