Ja, ein Vendor-Management-System lässt sich datenschutzkonform betreiben, aber nur unter klaren Bedingungen. Rollen und Zugriffe müssen definiert sein, technische und organisatorische Maßnahmen dokumentiert, Löschroutinen automatisiert. Und die Vertragsform, AVV oder gemeinsame Verantwortlichkeit, muss zur tatsächlichen Datenflusslogik passen, nicht zur Bequemlichkeit der IT-Abteilung. Wer das ignoriert, riskiert bei der nächsten Prüfung mehr als nur Ärger.
Kurz gesagt:
- Wenn ein VMS datenschutzkonform betrieben werden soll, müssen Rollen, Zugriffsrechte und Löschroutinen klar definiert und dokumentiert sein.
- Eine bloße gemeinsame Nutzung eines Systems begründet nicht automatisch eine gemeinsame Verantwortlichkeit nach DSGVO, es braucht echte Zweck- und Mittelvereinbarung.
- Technische Maßnahmen wie rollenbasierten Zugriff, Verschlüsselung und Protokollierung sind notwendig, um Datenschutzrisiken im Alltag zu minimieren.
- Bei Prüfungen der Aufsichtsbehörden sind Verträge, Nachweise zu technischen Maßnahmen und Löschprozessen sowie Zugriffsprotokolle zentral.
- Vor einer technischen Umsetzung sollte die rechtliche Verantwortlichkeit geklärt werden, weil das den Datenschutz im VMS wesentlich beeinflusst.
Was ein VMS in der Zeitarbeit verarbeitet und wo es datenschutzrechtlich brenzlig wird
Ein VMS ist kein neutrales Werkzeug. Es sammelt, verknüpft und verteilt Daten, die in klassischen Personalakten getrennt geführt würden, an einem Ort. Bewerberunterlagen, Auszüge aus der digitalen Personalakte, Zeiterfassungsdaten, mitunter auch Gesundheitsdaten, etwa bei Tauglichkeitsnachweisen für bestimmte Einsatzbereiche. Genau diese Bündelung macht das System praktisch, aber auch zum Risikoherd.
Besonders heikel sind Funktionen, die auf den ersten Blick harmlos wirken:
- Profilmanagement mit Foto, Qualifikationen und Verfügbarkeit, oft für mehrere Entleiher gleichzeitig sichtbar
- Dokumenten-Upload für Führungszeugnisse, Zeugnisse oder Gesundheitsbescheinigungen
- Schnittstellen zu Lohnabrechnung und Zeiterfassungssystemen, die personenbezogene Daten automatisch weiterreichen
Wer betreibt das System eigentlich? Das hängt vom Modell ab. Manche Verleiher stellen das VMS selbst als Dienstleistung bereit, andere nutzen die Plattform des Entleihers, wieder andere laufen über einen Master Vendor, der mehrere Personaldienstleister koordiniert. Jede Variante verschiebt die datenschutzrechtliche Zuordnung anders, und genau da beginnt der Streit, den wir aus der Praxis kennen.
Rechtliche Verantwortlichkeiten: AVV, gemeinsame Verantwortung oder eigenständig?
Die Frage klingt trocken, ist aber der Kern des ganzen Problems. Viele Unternehmen greifen reflexartig zum Auftragsverarbeitungsvertrag, weil das der bekannteste Baustein ist. Nur: Bei der Arbeitnehmerüberlassung ist das oft die falsche Konstruktion. Die reflexartige AVV-Forderung übersieht, dass Verleiher und Entleiher meist eigene, getrennte Zwecke mit den Daten verfolgen, und das ist das Gegenteil von Auftragsverarbeitung.
So prüfen Sie es praxisnah:
- Weisungsgebundenheit prüfen: Verarbeitet die Partei Daten nur nach Anweisung, oder trifft sie eigene Entscheidungen über den Verwendungszweck?
- Mittelausübung klären: Wer bestimmt, welches VMS, welche Speicherorte, welche Schnittstellen genutzt werden?
- Zweckfestlegung trennen: Verfolgt der Entleiher mit den Daten (Einsatzplanung, Zeiterfassung) einen anderen Zweck als der Verleiher (Vertragserfüllung, Lohnabrechnung)?
Die Konsequenzen sind nicht akademisch. Bei falscher Einordnung landen Informationspflichten beim falschen Akteur, Betroffenenrechte laufen ins Leere, und im Streitfall ist unklar, wer haftet. Eine aktuelle Analyse zeigt: Die bloße gemeinsame Nutzung eines Systems begründet für sich genommen noch keine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Es braucht eine tatsächlich gemeinsame Festlegung von Mitteln und Zwecken, nicht nur ein geteiltes Login. Wer eine Vertragsvorlage sucht, findet in der Muster-AVV der BayLDA brauchbare Formulierungsbausteine, die sich aber für VMS-Konstellationen um Klauseln zu Subunternehmern und Datenlokation ergänzen lassen.
Technische und organisatorische Maßnahmen: konkret statt Lippenbekenntnis
TOMs sind der Teil, an dem viele Unternehmen scheitern, weil sie in der Theorie stehen bleiben. Konkret heißt das: Ein rollenbasiertes Zugriffskonzept, kurz RBAC, muss sicherstellen, dass ein Fachbereichsleiter nur die Profile sieht, die er für seine Einsatzplanung tatsächlich braucht, nicht den gesamten Bewerberpool. Genau das verlangt auch die technische Ausgestaltung der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.
Was gehört noch dazu:
- Verschlüsselung von Daten bei Übertragung und Speicherung, nicht nur bei Login-Vorgängen
- Lückenlose Protokollierung, wer wann auf welches Profil zugegriffen hat
- Regelmäßige Backups mit klar definierten Aufbewahrungsfristen
- Penetrationstests in sinnvollen Abständen, dokumentiert und nachvollziehbar
Der BSI-Mindeststandard für externe Cloud-Dienste verlangt Transparenz der Diensterbringung und belastbare Prüfnachweise, nicht bloß ein Zertifikat auf der Anbieter-Website. Das ist der Maßstab, an dem sich auch Cloud-basierte VMS messen lassen müssen: Speicherort der Daten, verfügbare Auditberichte, Nachweisdokumente zur Portabilität, falls Sie den Anbieter wechseln wollen. Wer hier nur auf Marketing-Broschüren vertraut, hat im Zweifel keinen belastbaren Nachweis in der Hand.
Zugriff, Löschung, Minimierung: Regeln für den Arbeitsalltag
Theorie hilft niemandem, wenn im Alltag trotzdem jeder Zugriff auf alles hat. Also, konkret:
- Definieren Sie eine Rollenmatrix, in der klar steht, wer welche Profile sehen darf, und aktualisieren Sie diese, wenn sich Zuständigkeiten ändern.
- Legen Sie Löschtrigger fest: Ende des Einsatzes, Ablauf der gesetzlichen Aufbewahrungsfrist, Widerruf einer Einwilligung.
- Dokumentieren Sie jede Auskunftsanfrage eines Betroffenen, samt Antwortzeit und Umfang der übermittelten Daten.
- Begrenzen Sie Pflichtfelder im VMS auf das, was für die Vermittlung tatsächlich notwendig ist, optionale Angaben sind separat zu kennzeichnen.
Profi-Tipp: Lassen Sie sich vom VMS-Anbieter einen automatisierten Löschreport monatlich zustellen, nicht nur eine Bestätigung auf Anfrage. Das ist der Unterschied zwischen einem funktionierenden Löschkonzept und einer hübschen Absichtserklärung.
Die Zweckbindung gehört in den Vertrag, nicht nur ins Datenschutzkonzept. Wenn im AVV oder in den Nutzungsbedingungen des VMS nicht steht, wofür welche Datenkategorie verwendet werden darf, ist jede spätere Diskussion mit der Aufsichtsbehörde eine Verteidigung ohne Munition.
Was Aufsichtsbehörden und die Bundesagentur im VMS-Kontext wirklich prüfen
Bei einer Prüfung zählt, was Sie vorlegen können, nicht, was Sie erklären. Folgende Unterlagen sollten griffbereit sein:
- Verträge, die die Verantwortlichkeit klar regeln, AVV oder Joint-Controllership-Vereinbarung
- Dokumentierte TOMs mit Versionsstand und letztem Aktualisierungsdatum
- Löschnachweise für abgelaufene Einsätze und ausgelaufene Aufbewahrungsfristen
- Zugriffsprotokolle, die zeigen, wer wann auf sensible Profile zugegriffen hat
Typische Prüfszenarien betreffen die Zeiterfassung (wer sieht die Arbeitszeiten, wer darf sie ändern?), den Bewerberpool (wie lange bleiben abgelehnte Bewerbungen gespeichert?) und komplexere Subunternehmerketten bei Master-Vendor-Modellen. Details zu den Prüfschwerpunkten der Bundesagentur finden Sie in unserem Beitrag zur Bundesagentur-Compliance. Kommt eine Prüfanfrage, gilt: Unterlagen sammeln, nicht improvisieren, und den Compliance- oder Rechtsansprechpartner sofort einbeziehen, bevor Sie irgendetwas schriftlich zusagen.
Was in der Praxis wirklich schiefläuft
Der häufigste Fehler, den wir sehen: Unternehmen fordern reflexartig einen AVV, obwohl die tatsächliche Datenkonstellation eine andere Vertragsform verlangt. Der zweite Klassiker ist eine Rollenverteilung, die auf dem Papier gut aussieht, im VMS aber nie technisch umgesetzt wurde. Und Löschkonzepte, die theoretisch existieren, praktisch aber niemand automatisiert hat.
Der blinde Fleck bei VMS-Datenschutz
Die meisten Ratgeber zu diesem Thema behandeln Datenschutz im VMS wie ein IT-Projekt: Häkchen setzen, Zertifikat vorzeigen, fertig. Das greift zu kurz. Der eigentliche Knackpunkt ist juristisch, nicht technisch, nämlich die Frage, wer über Mittel und Zwecke der Datenverarbeitung tatsächlich entscheidet. Ein VMS mit lupenreiner Verschlüsselung nützt wenig, wenn die zugrunde liegende Vertragskonstruktion falsch ist.
Was ich für überschätzt halte: die Zertifikatsjagd. ISO-Siegel und SOC-Berichte sind hilfreiche Indizien, aber sie ersetzen keine eigene Prüfung, ob die konkrete Datenflusslogik im jeweiligen Dreiecksverhältnis stimmt. Unterschätzt wird dagegen die Rollenmatrix im Alltag. Sie ist unspektakulär, aber genau da entscheidet sich, ob Datenminimierung real existiert oder nur auf Papier.
Mein Rat an Personalverantwortliche: Fangen Sie nicht bei der Technik an, sondern bei der Vertragsfrage. Klären Sie zuerst, wer datenschutzrechtlich wofür verantwortlich ist, dann folgt die technische Umsetzung fast automatisch aus dieser Klärung.
— Ole Bödeker
Datenschutz-Check Zeitarbeit: rechtliche Begleitung statt Bauchgefühl
Wer bis hier gelesen hat, merkt vermutlich: Die Einordnung zwischen AVV und gemeinsamer Verantwortlichkeit ist kein Fall für Vermutungen. Genau da setzen wir an. Ein Datenschutz-Check kann Ihre konkrete VMS-Konstellation prüfen, statt sich nur auf generische Muster aus dem Internet zu stützen.
Der Check umfasst:
- Analyse der bestehenden TOMs und des Rollen- und Zugriffskonzepts
- Prüfung, ob AVV, gemeinsame Verantwortlichkeit oder eigenständige Verantwortlichkeit korrekt abgebildet ist
- Bewertung der Löschkonzepte und Vertragsklauseln mit dem VMS-Anbieter
Der Ablauf ist unkompliziert: Erstgespräch, dann legen wir gemeinsam den Prüfungsumfang fest, danach erhalten Sie ein transparentes Angebot. Details zum gesamten Leistungsspektrum finden Sie auf unserer Leistungsseite. Wenn Sie konkret wissen wollen, wo Ihr VMS-Setup rechtlich steht, starten Sie mit dem Datenschutz-Check Zeitarbeit.
Quellen
Die BayLDA-Muster-AVV liefert Vertragsbausteine, der BSI-Mindeststandard Prüfkriterien für Cloud-Anbieter. Nutzen Sie beide als Grundlage, nicht als fertiges Ergebnis.
- Datenschutz-TOMs: Technische und organisatorische Maßnahmen
- Datenverarbeitung bei der Arbeitnehmerüberlassung | activeMind AG
- Externe Cloud‑Dienste – Mindeststandard des BSI
- Formulierungshilfe für einen Auftragsverarbeitungsvertrag (BayLDA Muster-AVV)
FAQ
Braucht ein VMS zwischen Verleiher und Entleiher immer einen AVV?
Nein, das ist einer der häufigsten Fehlschlüsse in der Praxis. Ob ein AVV, eine gemeinsame Verantwortlichkeit oder zwei getrennte, eigenständige Verantwortlichkeiten vorliegen, hängt davon ab, wer über Zweck und Mittel der Verarbeitung entscheidet. Die rechtliche Einordnung muss für jede VMS-Konstellation einzeln geprüft werden.
Welche Daten dürfen im VMS gespeichert werden?
Nur Daten, die für die konkrete Vermittlung und Vertragserfüllung notwendig sind, das verlangt die Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Führungszeugnisse, Gesundheitsdaten oder besondere Kategorien personenbezogener Daten benötigen eine eigene Rechtsgrundlage und strengere Zugriffsbeschränkungen als reguläre Profildaten.
Wie lange dürfen Bewerberdaten im VMS gespeichert bleiben?
Es gibt keine feste gesetzliche Frist für alle Fälle, entscheidend ist die Zweckbindung: Sobald der Bewerbungsprozess abgeschlossen ist und keine Einwilligung für eine längere Speicherung vorliegt, sollten die Daten gelöscht werden. Automatisierte Löschtrigger im VMS, gekoppelt an das Ende des Bewerbungs- oder Einsatzverhältnisses, sind der praxisnahe Weg, das ohne Aufwand einzuhalten.
Was prüft die Aufsichtsbehörde konkret bei einem VMS?
Geprüft werden vor allem die Vertragsgrundlage (AVV oder gemeinsame Verantwortlichkeit), dokumentierte technische und organisatorische Maßnahmen sowie Nachweise über Löschroutinen und Zugriffsprotokolle. Fehlt eine schlüssige Dokumentation, wird jede Erklärung im Nachhinein deutlich schwieriger.
Reicht ein Zertifikat des VMS-Anbieters als Nachweis?
Ein Zertifikat allein reicht selten aus, es ersetzt nicht die eigene Prüfpflicht des Verantwortlichen. Der BSI-Mindeststandard verlangt zusätzlich Transparenz über Speicherort, Auditberichte und die tatsächliche Umsetzung der Sicherheitsmaßnahmen beim Anbieter.
