DSGVO Lohnabrechnung — Was Arbeitgeber wissen und umsetzen müssen

Von David Schulte-Herbrüggen · Datenschutz & Compliance

Die Lohnabrechnung verarbeitet die sensibelsten Daten, die ein Arbeitgeber kennt: Gehälter, Krankheitszeiten, Religionszugehörigkeit, Bankverbindungen. Das DSGVO-Regelwerk dafür ist komplex, aber überschaubar. Art. 6 Abs. 1 lit. b und c DSGVO liefern die Rechtsgrundlage, Art. 28 regelt externe Dienstleister, Art. 32 schreibt technische Schutzmaßnahmen vor.

Wer die Lohnabrechnung auslagert, braucht fast immer einen Auftragsverarbeitungsvertrag und muss prüfen, ob der Anbieter Daten in die USA überträgt. Was das konkret bedeutet, steht auf dieser Seite.

Welche Daten die Lohnabrechnung verarbeitet

Die Lohnabrechnung ist datenschutzrechtlich kein Randthema. Sie verarbeitet systematisch personenbezogene Daten aller Beschäftigten, und darunter befinden sich Daten, die Art. 9 DSGVO als besondere Kategorie einstuft und mit erhöhtem Schutz belegt.

Jede Lohnabrechnung enthält persönliche Stammdaten (Name, Anschrift, Geburtsdatum, Familienstand), steuerliche Daten (Steuerklasse, Steueridentifikationsnummer, Freibeträge), die Bankverbindung für die Auszahlung, Sozialversicherungsdaten (SV-Nummer, Krankenkasse, Beitragsgruppen) sowie Beschäftigungsdaten wie Eintrittsdatum, Wochenstunden und Entgeltgruppe.

Dazu kommen besondere Kategorien nach Art. 9 DSGVO, die strengere Anforderungen auslösen. Die Religionszugehörigkeit ist über die Kirchensteuer-Abführung erkennbar, datenschutzrechtlich sensibel, weil Weltanschauung direkt betroffen ist. Gesundheitsdaten entstehen durch Krankheitszeiten, Mutterschutz, Elternzeit und Schwerbehindertenstatus. In Tarifbetrieben kann auch die Gewerkschaftszugehörigkeit relevant sein, wenn Tarife oder Beitragsabführungen per Lohnabzug davon abhängen.

Weil diese Art. 9-Daten verarbeitet werden, gelten höhere Anforderungen an Sicherheitsmaßnahmen, Zugriffsbeschränkungen und Dokumentation als bei normalen Personaldaten.

Rechtsgrundlagen — § 26 BDSG, Art. 6 und Art. 9 DSGVO

Die Lohnabrechnung braucht keine Einwilligung der Beschäftigten. Mehrere Rechtsnormen erlauben die Datenverarbeitung ohne sie.

Rechtsgrundlage der Lohnabrechnung sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Arbeitsvertrags) und lit. c DSGVO (rechtliche Verpflichtungen, z. B. Steuer- und Sozialversicherungsrecht). Die Entlohnung ist die arbeitsvertragliche Hauptpflicht, ihre Berechnung und Auszahlung damit ohne Weiteres gedeckt.

§ 26 Abs. 1 Satz 1 BDSG bleibt nach dem EuGH-Urteil C-34/21 (30.03.2023) und dem BAG-Urteil vom 08.05.2025 (8 AZR 209/21) unangewendet: Er erfüllt die Öffnungsklausel des Art. 88 DSGVO nicht, weil er keine Schutzmaßnahmen nach Art. 88 Abs. 2 DSGVO enthält. Die Verarbeitung richtet sich dann unmittelbar nach der DSGVO; das BAG hat dies für die Übertragung von Beschäftigtendaten zu Softwaretests entschieden. Die Abführung von Lohnsteuer und Sozialversicherungsbeiträgen ist gesetzlich vorgeschrieben und braucht keine Rechtfertigung über eine Einwilligung.

§ 26 Abs. 3 BDSG erlaubt die Verarbeitung besonderer Kategorien nach Art. 9 DSGVO, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist. Kirchensteuer und Entgeltfortzahlung sind klassische Anwendungsfälle.

Was die Einwilligung nicht löst: Manche Arbeitgeber lassen Beschäftigte Einwilligungen zur Datenverarbeitung unterschreiben. Das ist in der Regel überflüssig und kann sogar problematisch sein. Eine Einwilligung ist freiwillig und kann widerrufen werden. Wer sich auf eine Einwilligung für die Pflicht-Lohnabrechnung stützt, verliert die Rechtsgrundlage, wenn der Beschäftigte widerruft, obwohl die Verarbeitung weiterhin nötig ist. Art. 6 Abs. 1 lit. b und c DSGVO sind die robustere Grundlage.

Abgrenzung zur Einwilligung (§ 26 Abs. 2 BDSG regelt deren Freiwilligkeit im Beschäftigungsverhältnis): Wenn der Arbeitgeber Daten für Zwecke verarbeitet, die über das unmittelbar für das Beschäftigungsverhältnis Erforderliche hinausgehen, zum Beispiel für Auswertungen zu Krankenquoten oder Überstunden-Analysen, tragen Art. 6 Abs. 1 lit. b und c DSGVO nicht ohne Weiteres. Für solche Sekundärzwecke braucht es entweder eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO oder eine Einwilligung. Was für die Abrechnung nötig ist, ist nicht automatisch auch für interne HR-Analytics erlaubt.

Auftragsverarbeitung Art. 28 — wann ein AVV Pflicht ist

Wenn ein externer Dienstleister Lohnabrechnungen erstellt, verarbeitet er personenbezogene Daten im Auftrag des Arbeitgebers. Der Arbeitgeber bleibt datenschutzrechtlich Verantwortlicher, er gibt nur die operative Arbeit weiter, nicht die Verantwortung.

Ein AVV ist grundsätzlich immer Pflicht, wenn ein externer Dienstleister nach Weisung des Arbeitgebers Lohndaten verarbeitet. Das gilt für Lohnbüros, Payroll-Dienstleister und SaaS-Lösungen gleichermaßen. Ausnahme: Steuerberater gelten als eigene Verantwortliche nach § 11 Abs. 2 StBerG und benötigen keinen AVV.

Was ein AVV enthalten muss: Art. 28 Abs. 3 DSGVO schreibt die Mindestinhalte vor. Gegenstand, Dauer und Zweck der Verarbeitung; Art der Daten und Kategorien betroffener Personen; Weisungsbindung des Dienstleisters; Vertraulichkeitsverpflichtung; technische und organisatorische Maßnahmen; Regelung zu Unterauftragsverarbeitern; Unterstützungspflichten bei Betroffenenrechten und Datenpannen; Löschung oder Rückgabe der Daten bei Vertragsende.

Ohne gültigen AVV drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO, dazu mögliche Schadensersatzansprüche betroffener Beschäftigter nach Art. 82 DSGVO.

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Art. 32 DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet, zu Schutzmaßnahmen, die dem Risiko der Verarbeitung angemessen sind. Bei Lohndaten mit Gehaltsstrukturen, Krankheitszeiten und Bankverbindungen ist das Risikopotenzial erheblich.

Das Berechtigungskonzept ist das wichtigste Werkzeug: Nur Personen mit konkretem Bedarf erhalten Zugriff auf Lohndaten. Die Zugriffsrollen werden schriftlich dokumentiert und regelmäßig überprüft.

Verschlüsselung schützt die Daten in zwei Zuständen: at rest (auf Festplatten und in Datenbanken) und in transit (beim Übertragen über Netzwerke). TLS für alle Web-Übertragungen, AES-256 für gespeicherte Daten ist Stand der Technik.

Protokollierung ist bei Datenpannen unverzichtbar: Wer hat wann auf welche Lohndaten zugegriffen und was geändert? Backups nach der 3-2-1-Regel (3 Kopien, 2 Medien, 1 Off-Site) mit regelmäßigen Wiederherstellungstests.

Art. 32 Abs. 4 DSGVO verlangt außerdem, dass alle Personen mit Zugang zu Lohndaten angewiesen und geschult sind. Einmaliges Onboarding reicht nicht, jährliche Auffrischung ist empfohlen.

Als Arbeitgeber müssen Sie vor Beauftragung eines externen Lohndienstleisters dessen TOMs prüfen und dokumentieren. Das geschieht über eine TOM-Dokumentation des Dienstleisters und ergänzende Fragen im Rahmen des AVV-Abschlusses. Diese Prüfung ist keine einmalige Sache: Art. 28 Abs. 3 lit. h DSGVO verpflichtet Sie, die Einhaltung der TOMs auch während der laufenden Zusammenarbeit zu kontrollieren. In der Praxis bedeutet das mindestens eine jährliche Überprüfung.

Aufbewahrung und Löschung — konkrete Fristen

Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) und Art. 17 DSGVO (Recht auf Löschung) schaffen eine Löschpflicht nach Ablauf des Verarbeitungszwecks. Das gilt auch im Arbeitsverhältnis, aber erst wenn gesetzliche Aufbewahrungsfristen abgelaufen sind.

Faustregel: Lohnrelevante Unterlagen 10 Jahre aufbewahren, weil Lohnsteueranmeldungen und SV-Meldungen die längste gesetzliche Pflichtfrist bestimmen. Nach Ablauf entsteht aktive Löschpflicht, passives Liegenlassen reicht nicht. Beim Dienstleisterwechsel: Datenlöschung beim alten Anbieter mit Frist und Löschbescheinigung im AVV vereinbaren.

Dienstleister prüfen — 8-Punkte-Checkliste

Wer die Lohnabrechnung auslagert, überträgt den größten Datenschatz des Unternehmens an einen Dritten. Art. 28 Abs. 1 DSGVO verlangt ausdrücklich, dass der Verantwortliche nur Auftragsverarbeiter einsetzt, die hinreichende Garantien für die Datensicherheit bieten.

1. Serverstandort Deutschland oder EU ohne Drittlandtransfer. Explizit im AVV festschreiben.
2. AVV mit allen Pflichtinhalten nach Art. 28 Abs. 3 DSGVO. Ein Muster-AVV aus dem Internet ist kein Ersatz für einen auf den konkreten Leistungsumfang zugeschnittenen Vertrag.
3. TOM-Dokumentation vorlegen lassen, maximal 12 Monate alt. Zugangskontrolle, Zugriffskontrolle, Verschlüsselung und Protokollierung müssen beschrieben sein.
4. Unterauftragsverarbeiter vollständig aufgelistet. Jeder Unterauftragsverarbeiter muss im AVV genehmigt sein. US-Anbieter bei Cloud-Diensten genau prüfen.
5. Transfer Impact Assessment für US-Komponenten. Sobald ein Unterauftragsverarbeiter US-amerikanisch ist, ist ein TIA erforderlich.
6. Datenlöschung bei Vertragsende mit Frist und Nachweis. Löschbescheinigung im AVV vereinbaren.
7. Meldepflicht bei Datenpannen nach Art. 33/34 DSGVO. Der Dienstleister muss Pannen unverzüglich melden, damit die 72-Stunden-Meldefrist an die Aufsichtsbehörde gehalten werden kann.
8. Zertifizierungen oder externe Prüfberichte als Qualitätsnachweis. ISO 27001, BSI C5 oder ISAE 3402 bedeuten unabhängige Prüfung der Sicherheitsmaßnahmen.

US-Cloud und Schrems II — das unterschätzte Risiko

Viele Lohnabrechnungs-Softwareanbieter und Payroll-Dienstleister nutzen US-amerikanische Cloud-Infrastruktur, auch wenn die Server physisch in Europa stehen. Das ist seit dem Schrems-II-Urteil des EuGH (C-311/18, Juli 2020) ein ernsthaftes Problem.

Das Urteil erklärte das EU-US Privacy Shield für ungültig. Seitdem sind Standardvertragsklauseln (SCC) das wichtigste Instrument für Drittlandtransfers, aber nur dann wirksam, wenn das Zielland tatsächlich ein angemessenes Schutzniveau bietet.

Zum EU-US Data Privacy Framework hat die Europäische Kommission am 10.07.2023 einen Angemessenheitsbeschluss erlassen. Das Gericht der EU hat die Klage dagegen am 03.09.2025 abgewiesen (T-553/23, Latombe/Kommission). Dagegen wurde am 31.10.2025 Rechtsmittel beim EuGH eingelegt (C-703/25 P; Stand der Bekanntmachung im Amtsblatt vom 22.12.2025).

Der US CLOUD Act verpflichtet US-Unternehmen, Daten an US-Behörden herauszugeben, auch wenn die Server in Deutschland stehen. Ein Lohndienstleister, der AWS, Google Cloud oder Microsoft Azure einsetzt, kann trotz EU-Server unter CLOUD-Act-Zugriff stehen. Das ist kein hypothetisches Szenario, sondern der Gegenstand laufender Datenschutzbehörden-Entscheidungen.

Wer US-Cloud-Anbieter einsetzt, braucht ein Transfer Impact Assessment (TIA): eine dokumentierte Analyse, warum das Schutzniveau trotzdem ausreichend ist.

Die einfachere Lösung: Anbieter, die ausschließlich auf europäischen Servern ohne US-Muttergesellschaft betreiben, sind Schrems-II-sicher ohne TIA-Aufwand. Serverstandort und Konzernstruktur gehören daher in jede Dienstleister-Ausschreibung. Ein Punkt, der in der Praxis oft übersehen wird: Auch wenn ein Anbieter seinen Hauptserver in Frankfurt hat, können einzelne Support-Systeme oder Ticketing-Tools aus dem US-Konzernverbund stammen. Fragen Sie nach einer vollständigen Liste der Unterauftragsverarbeiter.

Wie Payroll Fuchs DSGVO-konform arbeitet

Payroll Fuchs speichert und verarbeitet Lohndaten und Mitarbeiterdaten ausschließlich in Deutschland: Die Abrechnung läuft im DATEV-Rechenzentrum, die eigene KI auf Servern in Deutschland.

Die technische Basis ist DATEV Lohn und Gehalt der DATEV eG, eines deutschen Genossenschaftsunternehmens ohne US-Muttergesellschaft. Abrechnung und Speicherung der Lohndaten bleiben auf deutsche Rechenzentren beschränkt.

Bei Auftragserteilung erhalten Sie automatisch einen AVV nach Art. 28 DSGVO mit vollständigen Pflichtinhalten, TOMs und Regelung zur Datenlöschung bei Vertragsende. Der AVV ist Teil des Onboarding-Prozesses, kein gesonderter Schritt.

Die Abrechnung entsteht automatisiert und in der verlässlichen DATEV-Qualität in DATEV Lohn und Gehalt; jede Abrechnung prüft der Inhaber, Wirtschaftsprüfer David Schulte-Herbrüggen, persönlich. Er erbringt auch steuerberatende Leistungen. Die AVV-Pflicht gilt und wird ohne Umwege eingehalten.

Zugriffskonzept: Nur direkt zuständige Mitarbeitende haben Zugriff auf Ihre Lohndaten. Jeder Zugriff wird protokolliert. Bei Vertragsende werden alle Daten nach Übergabe Ihrer Unterlagen fristgerecht gelöscht, mit Löschbescheinigung.

Häufig gestellte Fragen

Quellen

1. Bundesministerium der Justiz: Bundesdatenschutzgesetz (BDSG) § 26. gesetze-im-internet.de, aktueller Stand.
2. Bundesministerium der Justiz: Datenschutz-Grundverordnung Art. 6, Art. 9, Art. 28, Art. 32, Art. 33. dsgvo-gesetz.de, aktueller Stand.
3. EuGH C-34/21 — Urteil vom 30.03.2023. eur-lex.europa.eu.
4. BAG 8 AZR 209/21 — Urteil vom 08.05.2025. bundesarbeitsgericht.de.
5. Gericht der EU, Pressemitteilung Nr. 106/25 vom 03.09.2025 (T-553/23, Latombe/Kommission) und Amtsblatt C/2025/6610 vom 22.12.2025 (C-703/25 P). curia.europa.eu.
6. EuGH C-311/18 (Schrems II) — Urteil vom 16.07.2020. curia.europa.eu.
7. LfD Niedersachsen: Formulierungshilfe Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO. lfd.niedersachsen.de, aktueller Stand.
8. Taxmaro: Aufbewahrungsfristen Personalakte 2026/2027 — Tabelle mit Rechtsquellen. taxmaro.com, 2026.
9. dpc-datenschutz.de: Datenschutz bei der Lohnabrechnung — Rechtsgrundlagen und Pflichten. dpc-datenschutz.de, aktueller Stand.
10. docurex.com: CLOUD Act, EU-DSGVO, Schrems II — was Unternehmen wissen müssen. docurex.com, aktueller Stand.
11. Externer Datenschutzbeauftragter Dresden: Art. 32 DSGVO — TOMs, Anforderungen und Umsetzung. externer-datenschutzbeauftragter-dresden.de, aktueller Stand.