Welche datenschutzrechtlichen Anforderungen (AVV nach Art. 28 DSGVO, § 26 BDSG und TOM) gelten bei der Auslagerung der Lohnabrechnung an ein externes Lohnbüro?

Verarbeitung hochsensibler Beschäftigtendaten (§ 26 BDSG, Art. 6 und Art. 9 DSGVO): In der Lohn- und Gehaltsabrechnung werden neben Bank- und Gehaltsdaten auch besonders geschützte Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO verarbeitet – insbesondere Gesundheitsdaten (Krankmeldungen, Schwerbehinderung, Mutterschutz) sowie die Religionszugehörigkeit (Kirchensteuermerkmal in den ELStAM) und ggf. Gewerkschaftszugehörigkeit.

Anders als ein Steuerberater bei der eigenverantwortlichen Rechtsberatung agiert ein auf die laufende Lohnabrechnung spezialisiertes Dienstleistungsunternehmen (§ 6 Nr. 4 StBerG) datenschutzrechtlich als weisungsgebundener Auftragsverarbeiter nach Art. 28 DSGVO!

• Vorteil für den Mandanten: Da die Auslagerung an einen Auftragsverarbeiter datenschutzrechtlich privilegiert ist (keine Dritte-Übermittlung), benötigt der Arbeitgeber für die Übergabe der Mitarbeiterdaten an das Lohnbüro KEINE einzelne Einwilligungserklärung seiner Arbeitnehmer – Rechtsgrundlage ist direkt § 26 Abs. 1 und 3 BDSG i. V. m. dem abgeschlossenen Auftragsverarbeitungsvertrag (AVV nach Art. 28 Abs. 3 DSGVO)!

1. Elektronischer Abschluss des AVV inkl. Dokumentation der Technischen und Organisatorischen Maßnahmen (TOM nach Art. 32 DSGVO) vor Beginn der Datenübernahme.
2. Ausschließliche Datenhaltung im deutschen DATEV-Rechenzentrum in Nürnberg (als genehmigter Unterauftragsverarbeiter).
3. Verbot des unverschlüsselten Versands von Lohnscheinen oder Personalbögen per einfacher Standard-E-Mail (Nutzung von DATEV Unternehmen online, DATEV Arbeitnehmer online und verschlüsseltem Ticketsystem)!