Personaldaten im ERP: Wer darf Gehälter und Fehlzeiten sehen?

Zugriffsrechte auf Personaldaten sind eine betriebliche Regel mit rechtlichem Rahmen. Welche Rolle ein Feld sehen darf, legen Sie fest; wie eng die Rechte geschnitten sein müssen, gibt das Datenschutzrecht vor. Mit jedem Export verlässt ein Datensatz das Rechtemodell des ERP.

Worauf es bei Zugriffsrechten ankommt

In Deutschland und Österreich ist die Datenschutz-Grundverordnung seit 25. Mai 2018 unmittelbar verbindlich (Art. 99 Abs. 2 DSGVO). Für die Feldrechte zählen vier Vorgaben: Datenminimierung (Art. 5 Abs. 1 lit. c), Sicherheit der Verarbeitung (Art. 5 Abs. 1 lit. f), die Bindung jedes Zugangs an die Anweisung des Verantwortlichen (Art. 32 Abs. 4) und die datenschutzfreundliche Voreinstellung, die auch die Zugänglichkeit der Daten erfasst (Art. 25 Abs. 2).

In der Schweiz gilt das revidierte Datenschutzgesetz, in Kraft seit 1. September 2023: Art. 6 DSG (rechtmässig, nach Treu und Glauben, verhältnismässig, zweckgebunden), Art. 7 DSG (Technikgestaltung und Voreinstellungen auf das nötige Mindestmass) und Art. 8 DSG (Datensicherheit); Art. 328b OR engt Personaldaten auf das für die Eignung und die Durchführung des Arbeitsvertrags Erforderliche ein. Die DSGVO erfasst nach Art. 3 Abs. 1 Verantwortliche mit Niederlassung in der Union und nach Art. 3 Abs. 2 auch solche ohne Niederlassung, die Personen in der Union Waren oder Dienstleistungen anbieten.

Eine Datenart braucht daneben einen eigenen Schnitt. Der Krankheitsgrund ist ein Gesundheitsdatum. In Deutschland und Österreich, im Anwendungsbereich der DSGVO, ist seine Verarbeitung nach Art. 9 Abs. 1 DSGVO untersagt, solange keine Ausnahme des Art. 9 Abs. 2 greift; im Beschäftigungskontext kommt insbesondere lit. b in Betracht, daneben etwa die ausdrückliche Einwilligung nach lit. a oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nach lit. f, jeweils nur unter ihren eigenen Voraussetzungen. In der Schweiz gehört er zu den besonders schützenswerten Personendaten (Art. 5 lit. c DSG), und Art. 328b OR lässt die Bearbeitung von Arbeitnehmerdaten nur zu, soweit sie die Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind; im Übrigen gelten die Bestimmungen des DSG. In Deutschland ließ das Bundesarbeitsgericht am 8. Mai 2025 (8 AZR 209/21) § 26 Abs. 1 Satz 1 BDSG für die dort geprüfte Verarbeitung von Beschäftigtendaten zu Testzwecken in einem Personal-Informationsmanagementsystem unangewendet: Die Vorschrift enthalte keine Schutzmaßnahmen im Sinn des Art. 88 Abs. 2 DSGVO und stelle für diese Verarbeitung auch keine Rechtsgrundlage im Sinn des Art. 6 Abs. 3 DSGVO dar. Für die Verarbeitung, die zur Erfüllung eines sich aus dem Gesetz ergebenden Rechts der Interessenvertretung der Beschäftigten erforderlich ist, hat das Bundesarbeitsgericht § 26 Abs. 1 Satz 1 BDSG dagegen als Rechtsgrundlage im Sinn des Art. 6 Abs. 3 in Verbindung mit Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO behandelt und offen gelassen, ob auch die übrigen Tatbestände der Vorschrift diese Anforderungen erfüllen (Beschluss vom 9. Mai 2023 – 1 ABR 14/22, Leitsatz 2 und Rn. 68). Eine Betriebsvereinbarung trägt die Verarbeitung nach dem Urteil des Gerichtshofs der Europäischen Union vom 19. Dezember 2024 (C-65/23, K GmbH) nur, wenn zusätzlich Art. 5, Art. 6 Abs. 1 und gegebenenfalls Art. 9 DSGVO erfüllt sind.

Wer darf welches Feld sehen?

Die folgende Matrix ist ein redaktioneller Vorschlag für die Feldrechte im ERP, keine gesetzliche Tabelle. Wie grob oder fein Sie schneiden, hängt von Ihrer Aufbauorganisation und von den Beteiligungsrechten der Personalvertretung ab. In kleinen Betrieben fallen mehrere Rollen auf eine Person; trennen Sie die Rollen trotzdem und halten Sie fest, in welcher Rolle gearbeitet wird.

Rolle	Stammdaten (Anschrift, Bankverbindung)	Gehalt und Lohn	Fehlzeiten (Zeitraum und Art)	Krankheitsgrund	Beurteilung
Geschäftsleitung	lesen	lesen	lesen	kein Zugriff	lesen
Lohn- und Personalabteilung	lesen und ändern	lesen und ändern	lesen und ändern	lesen und ändern, aber nur, soweit eine Ausnahme des Art. 9 Abs. 2 DSGVO greift und die Verarbeitung im Einzelfall erforderlich ist (in der Schweiz nur, soweit Art. 328b OR sie zulässt)	lesen und ändern
Führungskraft, eigene Abteilung	dienstliche Kontaktdaten lesen	kein Zugriff	lesen, Anträge erfassen	kein Zugriff	eigene Beurteilungen schreiben und lesen
Systembetreuung	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff	kein Zugriff
Beschäftigte Person	eigene Daten lesen	eigene Abrechnungen lesen	eigene Anträge erfassen	eigene Angaben erfassen	eigene Beurteilung lesen

Die Matrix gilt für ein ERP in Deutschland, Österreich und der Schweiz. Die rechtlichen Anker sind je Land verschieden:

• Deutschland und Österreich: die oben genannten Vorgaben der DSGVO. In Deutschland bleiben die Beteiligungsrechte der Interessenvertretung nach § 26 Abs. 6 BDSG unberührt; die Einführung technischer Einrichtungen, die objektiv geeignet sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen, ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmt, soweit keine gesetzliche oder tarifliche Regelung besteht (BAG, Beschluss vom 16. Juli 2024 – 1 ABR 16/23, Rn. 25).
• Österreich: Die Einführung von Systemen zur Verarbeitung personenbezogener Arbeitnehmerdaten, die über allgemeine Angaben zur Person und fachliche Voraussetzungen hinausgehen, braucht die Zustimmung des Betriebsrats (§ 96a Abs. 1 Z 1 ArbVG); nicht erforderlich ist sie, soweit die tatsächliche oder vorgesehene Verwendung nicht über die Erfüllung von Verpflichtungen aus Gesetz, Normen der kollektiven Rechtsgestaltung oder Arbeitsvertrag hinausgeht. Die Schlichtungsstelle kann die Zustimmung ersetzen (§ 96a Abs. 2 ArbVG). Für Kontrollmaßnahmen und technische Systeme zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren, braucht es daneben die Zustimmung nach § 96 Abs. 1 Z 3 ArbVG (§ 96a Abs. 3 ArbVG).
• Schweiz: Art. 6 bis 8 DSG, Art. 328b OR und für die Protokollierung Art. 4 DSV.

In dieser Matrix hat nur die Lohn- und Personalabteilung Schreibrecht auf Lohn- und Krankheitsdaten; bei ihr liegen Abrechnung und Entgeltfortzahlung. In Deutschland und Österreich ist dieser Zugriff auf den Krankheitsgrund ein betrieblicher Vorschlag und kein gesetzliches Recht: Er ist zulässig, soweit eine Ausnahme des Art. 9 Abs. 2 DSGVO greift – im Beschäftigungskontext insbesondere lit. b – und die Verarbeitung dieses Felds im Einzelfall erforderlich ist. In der Schweiz muss der Zugriff vor Art. 328b OR bestehen und auf das für die Eignung und die Durchführung des Arbeitsvertrags Erforderliche beschränkt bleiben. Die Führungskraft plant Arbeit mit Zeiträumen, nicht mit Diagnosen. Die Systembetreuung hat nach diesem Vorschlag kein Leserecht; sie braucht im Störfall einen befristeten Zugang auf Anweisung (Art. 32 Abs. 4 DSGVO). Unvereinbare Aufgaben trennt ORP.4.A4 des BSI-IT-Grundschutzkompendiums; die Methodik bindet nur, soweit Gesetz, Vertrag oder eine eigene Regelung es festschreiben. Die Übergabe an die Abrechnung beschreibt ERP und Lohnabrechnung.

Protokollierung und Löschung

Jedes Feld braucht eine Protokollregel und eine Löschregel. Die folgende Tabelle nennt beides je Datenfeld.

Datenfeld	Protokollierung	Löschung und Aufbewahrung
Gehalt und Lohn	Vorschlag: jedes Lesen und Ändern mit Benutzer, Zeitpunkt und Datensatz festhalten	Daten ohne Aufbewahrungspflicht: löschen, sobald der Zweck fortfällt (Art. 5 Abs. 1 lit. e DSGVO; in der Schweiz Art. 6 Abs. 4 DSG); in Deutschland und Österreich bleibt die erforderliche Speicherung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen zulässig (Art. 17 Abs. 3 lit. e DSGVO). Aufbewahrungspflichtige Lohnunterlagen: Deutschland 10 Jahre (Bücher und Aufzeichnungen), 8 Jahre (Buchungsbelege), 6 Jahre (übrige Unterlagen), § 147 Abs. 3 Satz 1 AO, der kürzere Fristen in anderen Steuergesetzen zulässt; für das Lohnkonto gilt die kürzere Frist bis zum Ablauf des sechsten Kalenderjahres, das auf die zuletzt eingetragene Lohnzahlung folgt (§ 41 Abs. 1 Satz 9 EStG); Österreich 7 Jahre, § 132 Abs. 1 BAO; Schweiz 10 Jahre, Art. 958f Abs. 1 OR; in Deutschland und Österreich dauert die Aufbewahrung länger, solange die Unterlagen für ein offenes Steuer- beziehungsweise Abgabenverfahren von Bedeutung sind (§ 147 Abs. 3 Satz 5 AO; § 132 Abs. 1 BAO)
Fehlzeiten mit Krankheitsgrund	In der Schweiz Pflicht nach Art. 4 Abs. 1 und 5 DSV, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden und die präventiven Massnahmen den Datenschutz nicht gewährleisten können; in Deutschland und Österreich: Vorschlag	Löschen, sobald der Zweck erreicht ist (Art. 5 Abs. 1 lit. e DSGVO; in der Schweiz Art. 6 Abs. 4 DSG), soweit keine Aufbewahrungspflicht entgegensteht; in Deutschland und Österreich bleibt die erforderliche Speicherung für Rechtsansprüche zulässig (Art. 17 Abs. 3 lit. e DSGVO)
Beurteilung	Vorschlag: Schreibzugriffe und Freigaben festhalten	Löschen, wenn die Personalentscheidung abgeschlossen ist (Art. 17 Abs. 1 lit. a DSGVO; in der Schweiz Art. 6 Abs. 4 DSG), vorbehalten die erforderliche Speicherung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO); bei nicht automatisierter Verarbeitung tritt die Einschränkung der Verarbeitung nur dann an die Stelle der Löschung, wenn die Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich und das Löschinteresse gering ist und die Daten nicht unrechtmäßig verarbeitet wurden (§ 35 Abs. 1 BDSG); stehen satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegen, gilt Abs. 1 entsprechend (§ 35 Abs. 3 BDSG)

Die deutschen Fristen stehen in § 147 Abs. 3 Satz 1 AO in der ab 1. Januar 2025 geltenden Fassung; die Achtjahresfrist für Buchungsbelege gilt nach Art. 97 § 19a Abs. 2 EGAO erstmals für Unterlagen, deren Frist nach der bis 31. Dezember 2024 geltenden Fassung noch nicht abgelaufen war. Für das Lohnkonto greift die kürzere Frist des § 41 Abs. 1 Satz 9 EStG: Es ist bis zum Ablauf des sechsten Kalenderjahres aufzubewahren, das auf die zuletzt eingetragene Lohnzahlung folgt; das Fristende liegt damit sechs Jahre nach dem Kalenderjahr der letzten Lohnzahlung (Beispiel: zuletzt eingetragene Lohnzahlung im Kalenderjahr 2026, Aufbewahrung bis 31. Dezember 2032); § 147 Abs. 3 Satz 1 AO lässt kürzere Aufbewahrungsfristen in anderen Steuergesetzen ausdrücklich zu, und seine Fristentabelle nennt das Lohnkonto nicht. Beide Fristen können sich verlängern: Die Aufbewahrungsfrist läuft nach § 147 Abs. 3 Satz 5 AO nicht ab, soweit und solange die Unterlagen für Steuern von Bedeutung sind, für welche die Festsetzungsfrist noch nicht abgelaufen ist; in Österreich sind Bücher und Aufzeichnungen sowie die zu den Büchern und Aufzeichnungen gehörigen Belege nach § 132 Abs. 1 BAO darüber hinaus noch so lange aufzubewahren, als sie für ein anhängiges Abgabenverfahren von Bedeutung sind.

Ein Protokoll hat einen Zweck. In der Schweiz muss es nach Art. 4 Abs. 4 DSV die Identität der bearbeitenden Person, die Art, Datum und Uhrzeit der Bearbeitung sowie gegebenenfalls die Empfänger nennen; nach Art. 4 Abs. 5 DSV ist es mindestens ein Jahr getrennt vom System aufzubewahren und ausschliesslich für die Überprüfung der Datenschutzvorschriften und die Datensicherheit verwendbar. Eine Auswertung zu Leistungs- oder Verhaltenszwecken ist damit nicht vereinbar. In Deutschland und Österreich stützt die Dokumentation die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO; wer die Protokolle zur Leistungskontrolle nutzen will, braucht eine eigene Grundlage (in Deutschland § 87 Abs. 1 Nr. 6 BetrVG; mitbestimmt ist die Einführung schon dann, wenn die Einrichtung objektiv zur Überwachung von Verhalten oder Leistung geeignet ist, BAG, Beschluss vom 16. Juli 2024 – 1 ABR 16/23, Rn. 25). Wie Löschung und Aufbewahrung aufeinandertreffen, behandeln das Löschkonzept im ERP und das Löschkonzept in der Schweiz.

Beispiel: die Anfrage der Führungskraft

Beispiel mit erfundenen Zahlen: Ein Betrieb mit 38 Beschäftigten an drei Standorten führt Löhne und Zeiterfassung im ERP. Der Standortleiter bittet die Systembetreuung um eine Tabelle mit allen Fehlzeiten der letzten zwölf Monate einschließlich Grund, um die Wochen um Weihnachten zu planen.

Die Prüfung hat drei Schritte. Erstens sieht die Rolle des Standortleiters den Krankheitsgrund nicht vor, also bleibt dieses Feld gesperrt. Zweitens braucht er nur seinen Standort, also wird die Abfrage auf seine Abteilung gefiltert. Drittens bleibt die Liste im System: Ein Export auf ein Netzlaufwerk hebt jede Feldberechtigung auf.

Für die Planung genügt eine Liste mit Name, Zeitraum und Art der Abwesenheit; der Grund bleibt bei der Lohnrolle. Käme die Anfrage von der Geschäftsleitung, bliebe der Krankheitsgrund gesperrt: Für die Planung zählt der Zeitraum, nicht die Diagnose. Der Zugriff auf die Liste wird protokolliert.

Typische Fehler

• Rechte nach Hierarchie statt nach Aufgabe. Wer alles sehen darf, weil er die Leitung ist, umgeht jede Feldberechtigung; jeder Zugriff braucht einen Grund, der zur Aufgabe passt (Art. 5 Abs. 1 lit. c DSGVO; in der Schweiz Art. 6 Abs. 2 DSG).
• Unbefristeter Wartungszugang. Die Systembetreuung behält ein Konto mit Vollrechten. Art. 32 Abs. 4 DSGVO verlangt, dass Zugang nur auf Anweisung genutzt wird; ein solcher Zugang gehört befristet und protokolliert.
• Exporte als Schattenkopie. Die Rechteverwaltung im ERP hilft nicht, wenn die Lohnliste als Datei auf einem Netzlaufwerk liegt, auf das alle zugreifen können.
• Protokoll zur Leistungskontrolle. In der Schweiz widerspricht das dem Verwendungszweck der Protokolle nach Art. 4 Abs. 5 DSV; in Deutschland ist die Einführung einer solchen Einrichtung nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmt, soweit keine gesetzliche oder tarifliche Regelung besteht; es genügt die objektive Eignung zur Überwachung (BAG, Beschluss vom 16. Juli 2024 – 1 ABR 16/23, Rn. 25).
• Feld ohne Löschregel oder ohne Prüfung der Aufbewahrungspflicht. Ein Feld ohne Regel bleibt dauerhaft gefüllt; wer zu früh löscht, verliert Unterlagen, die eine Aufbewahrungspflicht trifft, und wer ohne Prüfung löscht, übersieht die erforderliche Speicherung für Rechtsansprüche (Art. 17 Abs. 3 lit. b und lit. e DSGVO).

So gehen Sie vor

1. Inventarisieren Sie die Felder: Gehalt und Lohn, Bankverbindung, Fehlzeit mit und ohne Grund, Beurteilung. Trennen Sie den Krankheitsgrund technisch von der Fehlzeit.
2. Schneiden Sie die Rollen nach Aufgaben, nicht nach Personen, und richten Sie eine eigene Lohnrolle ein.
3. Setzen Sie Feldrechte statt Modulrechte und machen Sie die datenschutzfreundliche Einstellung zum Standard (Art. 25 Abs. 2 DSGVO; in der Schweiz Art. 7 Abs. 3 DSG): Neue Rollen starten ohne Zugriff auf Gehalt, Krankheitsgrund und Beurteilung.
4. Prüfen Sie jede Rolle Zelle für Zelle gegen die Matrix oben.
5. Aktivieren Sie die Protokollierung für Lesen und Ändern und begrenzen Sie die Auswertung auf Datenschutz und Datensicherheit (in der Schweiz Art. 4 Abs. 5 DSV, in Deutschland und Österreich Art. 5 Abs. 1 lit. b DSGVO).
6. Hinterlegen Sie je Feld eine Löschfrist und dazu die Aufbewahrungsfristen (§ 147 Abs. 3 Satz 1 AO, für Lohnkonten § 41 Abs. 1 Satz 9 EStG, § 132 Abs. 1 BAO, Art. 958f Abs. 1 OR) sowie die Ausnahmen für Rechtsansprüche und für Unterlagen, die für ein offenes Verfahren noch von Bedeutung sind (Art. 17 Abs. 3 lit. e DSGVO; § 147 Abs. 3 Satz 5 AO; § 132 Abs. 1 BAO).
7. Prüfen Sie die Rechte einmal im Jahr und bei jedem Eintritt, Rollenwechsel und Austritt; das beschreibt die Benutzerverwaltung im ERP und die Funktionstrennung im ERP.
8. Klären Sie die Beteiligung: in Deutschland § 87 Abs. 1 Nr. 6 BetrVG (objektive Eignung zur Überwachung genügt; BAG, Beschluss vom 16. Juli 2024 – 1 ABR 16/23, Rn. 25); in Österreich § 96a Abs. 1 Z 1 ArbVG (Zustimmung nur für Systeme, die personenbezogene Arbeitnehmerdaten über allgemeine Angaben zur Person und fachliche Voraussetzungen hinaus verarbeiten, und nur, soweit die Verwendung über die Erfüllung von Pflichten aus Gesetz, Normen der kollektiven Rechtsgestaltung oder Arbeitsvertrag hinausgeht). Die Einzelheiten stehen bei BDE und Betriebsrat und BDE und Betriebsrat in Österreich.