Ein Datenschutz-Check in der Zeitarbeit ist ein strukturierter Prüfprozess zur Sicherstellung der DSGVO-Konformität, der spezifische Maßnahmen wie die Bestellung eines Datenschutzbeauftragten (DSB), konsequente Datenminimierung und die Einhaltung gesetzlicher Löschfristen umfasst. Personaldienstleister bewegen sich in einem besonders sensiblen Rechtsrahmen: Das Arbeitnehmerüberlassungsgesetz (AÜG), die DSGVO und das Bundesdatenschutzgesetz (BDSG) greifen gleichzeitig. Verleiher und Entleiher teilen sich die Verantwortung für personenbezogene Daten, was die Prüfung komplexer macht als in regulären HR-Strukturen. Datenschutzverstöße können Bußgelder bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Das ist kein theoretisches Risiko, sondern ein konkretes Haftungsszenario für jede Personalabteilung.
1. Datenschutz-Check Zeitarbeit: Was genau geprüft wird
Der Begriff „Datenschutz-Check“ ist kein feststehender Rechtsbegriff, sondern beschreibt in der Praxis eine interne oder externe Datenschutzprüfung (auch: Datenschutz-Audit oder Datenschutz-Folgenabschätzung). In der Zeitarbeit umfasst diese Prüfung mindestens sieben Kernbereiche, die sich aus dem Zusammenspiel von DSGVO, BDSG und AÜG ergeben. Wer nur einen Bereich abdeckt, hat keinen vollständigen Check.
Die Besonderheit liegt im Dreiecksverhältnis: Verleiher, Entleiher und Leiharbeitnehmer. Jede Partei verarbeitet personenbezogene Daten, aber die Verantwortlichkeiten sind nicht automatisch klar verteilt. Genau hier entstehen die meisten Compliance-Lücken.
2. Bestellung eines Datenschutzbeauftragten
Personaldienstleister mit 20 oder mehr Mitarbeitern müssen zwingend einen DSB bestellen, da diese Mitarbeiter regelmäßig personenbezogene Daten automatisiert verarbeiten. Die Schwelle ergibt sich aus § 38 BDSG. Das gilt auch dann, wenn der Personaldienstleister selbst nur 25 Mitarbeiter hat, aber täglich Bewerberdaten, Lohndaten und Einsatzpläne digital verwaltet.
Ein häufiger Fehler: Die Funktion wird intern an jemanden aus der IT oder HR delegiert, ohne formale Bestellung und ohne ausreichende Fachkunde. Das genügt nicht. Der DSB muss unabhängig sein, darf keine Interessenkonflikte haben und braucht nachweisbare Kenntnisse im Datenschutzrecht. Externe DSBs sind für kleinere Zeitarbeitsunternehmen oft die pragmatischere Lösung.
3. Vertragsgestaltung und Rollenverteilung zwischen Verleiher und Entleiher
Zeitarbeitsverträge und Datenschutz gehören zwingend zusammen. Der Überlassungsvertrag muss klar regeln, wer welche Daten des Leiharbeitnehmers zu welchem Zweck verarbeitet. Fehlt diese Regelung, entsteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, die beide Parteien in die Pflicht nimmt.
Der Entleiher erhält typischerweise Qualifikationsnachweise, Gesundheitszeugnisse für bestimmte Tätigkeiten und Kontaktdaten. Aber: Lohnabrechnungen, Sozialversicherungsdaten und Bewerbungsunterlagen gehören nicht in die Hände des Entleihers. Die Pflichten des Verleihers umfassen ausdrücklich die datenschutzkonforme Abgrenzung dieser Datenkategorien. Wer das nicht vertraglich fixiert, haftet im Zweifel für Verstöße des anderen.
4. Datensparsamkeit und rollenbasierte Zugriffskonzepte
Das Need-to-know-Prinzip nach Art. 5 DSGVO verlangt strikte rollenbasierte Zugriffsmodelle auf sensible HR-Daten. Konkret bedeutet das: Ein Disponent, der Einsätze plant, braucht keinen Zugriff auf Gesundheitsdaten. Ein Lohnbuchhalter braucht keine vollständigen Bewerbungsunterlagen. Jede Zugriffsebene muss dokumentiert und begründet sein.
In der Praxis sehen wir häufig Systeme, bei denen alle HR-Mitarbeiter auf alle Datensätze zugreifen können, weil die Einrichtung rollenbasierter Berechtigungen aufwendig erscheint. Das ist ein klassischer Datenschutzverstoß, der bei einer Prüfung sofort auffällt. Protokollierung ist dabei kein optionales Extra, sondern Pflicht.
Profi-Tipp: Führen Sie ein Verarbeitungsverzeichnis nach Art. 30 DSGVO, das für jeden Prozess in Ihrem Zeitarbeitsunternehmen dokumentiert, welche Daten zu welchem Zweck von wem verarbeitet werden. Dieses Verzeichnis ist die Grundlage jedes Datenschutz-Audits und erspart bei Behördenprüfungen erheblichen Erklärungsaufwand.
5. Löschfristen für Bewerberdaten und Talentpools
Abgelehnte Bewerbungsunterlagen müssen spätestens 6 Monate nach der Absage gelöscht werden. Eine längere Speicherung ist nur mit ausdrücklicher, freiwilliger Einwilligung des Bewerbers möglich. Das gilt auch für Talentpools, die in der Zeitarbeit besonders verbreitet sind.
Gerade Talentpools sind ein Risikofaktor. Viele Personaldienstleister sammeln Kandidatenprofile über Jahre, ohne regelmäßige Überprüfung und ohne dokumentierte Einwilligung. Bei einer Prüfung durch die Datenschutzbehörde oder die Finanzkontrolle Schwarzarbeit (FKS) sind solche Pools sofort ein Thema. Löschkonzepte müssen automatisiert und nachweisbar sein, nicht nur als Absichtserklärung im Handbuch stehen.
6. Sicherheitsmaßnahmen für digitale Personalmanagementsysteme
Digitale Personalverwaltungssysteme wie Zvoove, Bullhorn oder Perbit verarbeiten täglich große Mengen sensibler Daten. Zugriffsschutz durch Zwei-Faktor-Authentifizierung, verschlüsselte Übertragung und regelmäßige Sicherheitsupdates sind keine Kür, sondern technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO.
Besonders kritisch: Cloud-basierte Systeme, bei denen der Anbieter in Drittstaaten außerhalb der EU sitzt. Hier braucht es Standardvertragsklauseln oder einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Fehlt der AVV, ist die gesamte Datenverarbeitung rechtswidrig, unabhängig davon, wie gut das System technisch gesichert ist.
7. Schulung von Personalabteilungen zu Datenschutzanforderungen
Datenschutz scheitert selten an fehlenden Richtlinien, sondern an mangelnder Umsetzung im Alltag. Mitarbeiter in Personalabteilungen von Zeitarbeitsunternehmen müssen spezifisch geschult werden: nicht nur zu allgemeinen DSGVO-Grundlagen, sondern zu den konkreten Abläufen bei Bewerberdatenverarbeitung, Einsatzplanung und Kommunikation mit dem Entleiher.
Schulungen sollten dokumentiert und regelmäßig wiederholt werden. Eine einmalige Einweisung bei Einstellung reicht nicht. Wer bei einer Behördenprüfung keine Schulungsnachweise vorlegen kann, hat ein Problem, auch wenn die Richtlinien formal korrekt sind.
8. Datenschutz-Folgenabschätzung bei KI und automatisierten Verfahren
41 % der deutschen Unternehmen nutzen KI in HR-Prozessen, und ein neues Beschäftigtendatenschutzgesetz wird für Ende 2026 erwartet, das Leistungsmessung streng reguliert. Wer KI-gestützte Bewerberauswahl oder automatisierte Leistungsüberwachung einsetzt, braucht zwingend eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO.
Die DSFA ist kein Formular, das man einmal ausfüllt. Sie muss den konkreten Algorithmus, die verarbeiteten Datenkategorien, die Risiken für Betroffene und die Gegenmaßnahmen beschreiben. Und: In Betrieben mit Betriebsrat müssen Überwachungssysteme per Betriebsvereinbarung abgestimmt werden, sonst sind sie nach § 87 Abs. 1 Nr. 6 BetrVG gerichtlich anfechtbar.
Neue Gesetze und Digitalisierung als Treiber der Datenschutzprüfung
Das SchwarzArbMoDiG (2025/2026) verändert die Prüflandschaft grundlegend. Die erweiterten Prüfbefugnisse der FKS umfassen nun auch den Zugriff auf digitale Systeme, aber mit einer entscheidenden Einschränkung: Es darf kein pauschaler Vollzugriff auf IT-Systeme gewährt werden. Nur prüfungsrelevante Daten dürfen bereitgestellt werden, Berufsgeheimnisse und Daten Dritter bleiben geschützt.
Das hat direkte Konsequenzen für die IT-Infrastruktur von Zeitarbeitsunternehmen:
- Segmentierte Datenbankstrukturen, die gezielte Datenausgabe ermöglichen, ohne andere Bereiche zu öffnen
- Protokollierung aller Zugriffe auf HR-Systeme, auch durch externe Prüfer
- Vorhaltekonzepte, die definieren, welche Daten bei welcher Prüfung in welchem Format bereitgestellt werden
- Klare Trennung zwischen operativen Daten und Archivdaten mit unterschiedlichen Zugriffsrechten
- Abstimmung zwischen IT-Security und Datenschutzbeauftragtem vor jeder Behördenprüfung
„Compliance in der Zeitarbeit wandelt sich zu einem aktiven IT-Security-Management mit Fokus auf Audit-Readiness und dokumentierter Zugriffskontrolle statt reiner Papier-Compliance.“
Das Selbstbestimmungsgesetz (SBGG) bringt eine weitere Anforderung: Frühere Namens- oder Geschlechtszuordnungen müssen technisch wirksam verborgen bleiben. Das verlangt revisionssichere Datenmodelle, die viele ältere Personalverwaltungssysteme schlicht nicht unterstützen. Wer das ignoriert, riskiert nicht nur Datenschutzverstöße, sondern auch Diskriminierungsklagen.
Zeitarbeit versus reguläre HR: Wo der Datenschutz komplexer wird
Die Datenschutzanforderungen in der Zeitarbeit unterscheiden sich strukturell von denen in Festanstellungsverhältnissen. Die folgende Tabelle zeigt die wesentlichen Unterschiede:
| Merkmal | Zeitarbeit / Arbeitnehmerüberlassung | Reguläre Festanstellung |
|---|---|---|
| Verantwortlichkeit für Daten | Geteilt zwischen Verleiher und Entleiher (Art. 26 DSGVO) | Liegt allein beim Arbeitgeber |
| Verarbeitung von Gesundheitsdaten | Häufig erforderlich (Eignungsnachweise, G25-Untersuchungen) | Nur in Ausnahmefällen |
| Dokumentationspflichten | Erhöht durch Mehrparteienverhältnis und AÜG-Anforderungen | Standardmäßig nach DSGVO |
| Risiko durch externe Mitarbeiter | Hoch, da Einsatz bei wechselnden Entleihern | Gering, stabiles Arbeitsverhältnis |
| Löschfristen und Talentpools | Besonders komplex durch häufige Bewerbungszyklen | Standardprozesse ausreichend |
Datenschutzverstöße drohen nicht nur Geldbußen, sondern auch Haftungsrisiken bei falscher Einordnung externer Mitarbeiter oder unzureichender Dokumentation. Das Risiko der Scheinselbstständigkeit und die damit verbundenen Dokumentationspflichten verstärken den Druck auf Personaldienstleister zusätzlich.
Praxis-Tipps für einen rechtssicheren Datenschutz-Check
Die Personaler-Checkliste für rechtssichere Zeitarbeit gibt einen strukturierten Überblick über die wichtigsten Prüfpunkte. Ergänzend dazu sind folgende Maßnahmen für die praktische Umsetzung entscheidend:
- Datenschutz-Team aufbauen: Benennen Sie klare Zuständigkeiten zwischen DSB, IT-Leitung und HR. Kein Bereich sollte allein verantwortlich sein.
- Rollen- und Zugriffsmanagement dokumentieren: Erstellen Sie eine Berechtigungsmatrix, die für jede Stelle im Unternehmen festlegt, auf welche Datenkategorien zugegriffen werden darf.
- Verarbeitungsverzeichnis aktuell halten: Das Verzeichnis nach Art. 30 DSGVO ist kein einmaliges Projekt, sondern ein lebendes Dokument, das bei jeder Prozessänderung aktualisiert wird.
- Löschprozesse automatisieren: Setzen Sie technische Löschfristen in Ihrem Personalverwaltungssystem, die Bewerberdaten nach 6 Monaten automatisch zur Löschung markieren.
- Schulungsnachweise systematisch erfassen: Nutzen Sie ein Learning-Management-System oder zumindest eine strukturierte Excel-Tabelle mit Datum, Inhalt und Teilnehmern jeder Datenschutzschulung.
- Behördenprüfungen proaktiv vorbereiten: Definieren Sie intern, wer bei einer FKS-Prüfung als Ansprechpartner fungiert, welche Daten bereitgestellt werden und welche nicht.
Profi-Tipp: Führen Sie mindestens einmal jährlich ein internes Datenschutz-Audit durch, bei dem ein Mitarbeiter aus einer anderen Abteilung die Prozesse der HR-Abteilung prüft. Dieser Perspektivwechsel deckt blinde Flecken auf, die externe Auditoren oft erst nach langer Analyse finden.
Die Compliance in der Zeitarbeit ist kein Zustand, der einmal erreicht wird. Sie ist ein kontinuierlicher Prozess, der regelmäßige Überprüfung und Anpassung erfordert.
Technologische Hilfsmittel und typische Fallstricke
Spezialisierte Datenschutz-Compliance-Software wie OneTrust, Usercentrics oder DataGuard kann die Verwaltung von Einwilligungen, Verarbeitungsverzeichnissen und Löschfristen erheblich vereinfachen. Aber: Diese Tools ersetzen keine rechtliche Prüfung der Prozesse. Sie dokumentieren nur, was Sie ihnen vorgeben.
Die häufigsten Fehlerquellen bei der Datenschutzprüfung in Zeitarbeitsunternehmen:
- Unkontrollierte Datenzugriffe: Mitarbeiter haben Zugriffsrechte, die sie für ihre Tätigkeit nicht benötigen, weil die Berechtigungsstruktur nie überprüft wurde.
- Fehlende Löschprozesse: Bewerberdaten aus 2019 liegen noch im System, weil kein automatisierter Löschmechanismus eingerichtet wurde.
- Unklare AVV-Situation: Cloud-Dienste werden genutzt, ohne dass ein Auftragsverarbeitungsvertrag abgeschlossen wurde.
- KI ohne DSFA: Automatisierte Vorauswahl von Bewerbern läuft ohne vorherige Datenschutz-Folgenabschätzung.
- Fehlende Protokollierung: Wer wann auf welche Daten zugegriffen hat, lässt sich im Nachhinein nicht nachvollziehen.
Automatisierte Risikoanalysen der FKS nutzen systematische Datenbankabgleiche, aber strafrechtliche Entscheidungen erfordern menschliche Prüfung. Das bedeutet: Widersprüche zwischen Vertragsdaten, tatsächlicher Arbeitsausführung und digitaler Kommunikation werden maschinell erkannt und dann von Prüfern bewertet. Die Datenlage muss stringent und widerspruchsfrei sein.
Wichtigste Erkenntnisse
Ein rechtssicherer Datenschutz-Check in der Zeitarbeit erfordert die Kombination aus klarer Rollenverteilung zwischen Verleiher und Entleiher, technisch umgesetzten Zugriffskonzepten und dokumentierten Löschprozessen nach DSGVO und BDSG.
| Punkt | Details |
|---|---|
| DSB-Pflicht ab 20 Mitarbeitern | Personaldienstleister müssen einen fachkundigen, unabhängigen Datenschutzbeauftragten bestellen. |
| Rollenverteilung vertraglich fixieren | Überlassungsverträge müssen Datenschutzverantwortlichkeiten zwischen Verleiher und Entleiher klar regeln. |
| Löschfristen automatisieren | Bewerberdaten sind spätestens 6 Monate nach Absage zu löschen, Talentpools nur mit Einwilligung zu führen. |
| FKS-Prüfungen vorbereiten | Segmentierte IT-Strukturen verhindern unzulässigen Vollzugriff auf Systeme bei Behördenprüfungen. |
| KI-Einsatz erfordert DSFA | Automatisierte Auswahlverfahren und Leistungsüberwachung lösen Datenschutz-Folgenabschätzungspflichten aus. |
Meine Einschätzung nach 20 Jahren Zeitarbeitsrecht
Was mich bei Datenschutzprüfungen in der Zeitarbeit immer wieder überrascht: Die meisten Unternehmen haben die Richtlinien. Schön formuliert, ordentlich abgeheftet. Aber die Umsetzung im Alltag sieht anders aus. Bewerberdaten, die seit Jahren im System schlummern. Zugriffsrechte, die nie angepasst wurden. AVVs, die fehlen, weil niemand gefragt hat, wo der Cloud-Anbieter eigentlich sitzt.
Das eigentliche Risiko liegt nicht im bösen Willen, sondern in der Lücke zwischen Papier und Praxis. Und genau diese Lücke wird durch das SchwarzArbMoDiG und KI-gestützte Behördenprüfungen zunehmend sichtbar. Wer glaubt, eine Datenschutzprüfung sei ein einmaliges Projekt, wird von der nächsten FKS-Kontrolle kalt erwischt.
Mein kritischer Hinweis zur Betriebsratsthematik: Ich erlebe regelmäßig, dass Zeitarbeitsunternehmen digitale Überwachungssysteme einführen, ohne den Betriebsrat einzubeziehen. Das ist nicht nur ein Datenschutzproblem, sondern ein Mitbestimmungsverstoß nach § 87 BetrVG. Die Kombination aus beiden Verstößen ist teuer. Proaktives Compliance-Management bedeutet, beide Rechtsgebiete gemeinsam zu denken, nicht nacheinander.
— Ole Bödeker
Rechtssichere Datenschutzprüfung mit Nanzka & Bödeker
Datenschutz in der Zeitarbeit ist kein Standardprozess, den man mit einer allgemeinen DSGVO-Checkliste abarbeiten kann. Die Kombination aus AÜG, DSGVO, BDSG und den neuen Anforderungen durch das SchwarzArbMoDiG erfordert spezialisiertes Wissen, das reguläre Datenschutzberater oft nicht mitbringen.
Nanzka & Bödeker begleitet Zeitarbeitsunternehmen und Personaldienstleister seit über 20 Jahren bei der rechtssicheren Umsetzung ihrer Datenschutzprozesse. Von der Vertragsgestaltung zwischen Verleiher und Entleiher über die Vorbereitung auf FKS-Prüfungen bis zur Beratung bei KI-Einsatz im Recruiting: Die Kanzlei kennt die spezifischen Fallstricke der Branche. Wer seinen Ablauf der Arbeitnehmerüberlassung rechtssicher gestalten und Datenschutzrisiken systematisch minimieren möchte, findet bei Nanzka & Bödeker einen erfahrenen Partner.
FAQ
Was ist ein Datenschutz-Check in der Zeitarbeit?
Ein Datenschutz-Check in der Zeitarbeit ist eine strukturierte interne oder externe Prüfung aller datenschutzrelevanten Prozesse eines Personaldienstleisters, einschließlich Bewerberdatenverarbeitung, Zugriffskonzepten, Löschfristen und Vertragsgestaltung zwischen Verleiher und Entleiher.
Ab wann braucht ein Zeitarbeitsunternehmen einen Datenschutzbeauftragten?
Nach § 38 BDSG ist ein Datenschutzbeauftragter ab 20 Mitarbeitern Pflicht, die regelmäßig personenbezogene Daten automatisiert verarbeiten. Da Personaldienstleister täglich Bewerberdaten und Lohndaten digital verwalten, gilt diese Schwelle praktisch für nahezu alle Zeitarbeitsunternehmen ab dieser Größe.
Welche Datenschutzrisiken bestehen speziell in der Zeitarbeit?
Die größten Risiken entstehen durch unklare Verantwortlichkeiten zwischen Verleiher und Entleiher, fehlende Löschprozesse für Bewerberdaten, unkontrollierte Datenzugriffe in HR-Systemen und den Einsatz von KI ohne Datenschutz-Folgenabschätzung. Verstöße können Bußgelder bis 20 Mio. EUR auslösen.
Was müssen Zeitarbeitsunternehmen bei FKS-Prüfungen beachten?
Das SchwarzArbMoDiG erlaubt der FKS seit 2025/2026 den Zugriff auf digitale Systeme, aber nur auf prüfungsrelevante Daten. Zeitarbeitsunternehmen müssen segmentierte IT-Strukturen vorhalten, die gezielte Datenausgabe ermöglichen, ohne Berufsgeheimnisse oder Drittdaten preiszugeben.
Wie lange dürfen Bewerberdaten in der Zeitarbeit gespeichert werden?
Abgelehnte Bewerbungsunterlagen müssen spätestens 6 Monate nach der Absage gelöscht werden. Eine längere Speicherung in Talentpools ist nur mit ausdrücklicher, freiwilliger Einwilligung des Bewerbers zulässig und muss dokumentiert sein.
