Personio und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Personio verarbeitet Beschäftigtendaten — den datenschutzrechtlich empfindlichsten Bestand eines Unternehmens —, und die entscheidenden Fragen sind hier nicht Hosting und Transfer, sondern die Rechtsgrundlage nach § 26 BDSG, die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG, der Umgang mit Gesundheitsdaten in der Abwesenheitsverwaltung und die Löschfristen, die kein Personalsystem von selbst einhält.

Personio ist ein Münchner Anbieter, und das entlastet in einem Punkt und in genau einem: Ein EU-ansässiges Unternehmen mit EU-Infrastruktur vereinfacht die Transferfrage, die bei US-Werkzeugen den größten Teil der Bewertung beansprucht. Alles andere wird dadurch nicht leichter, im Gegenteil. Beschäftigtendaten sind der Bereich, in dem deutsche Aufsichtsbehörden die höchsten Bußgelder verhängt haben, in dem der Betriebsrat mitbestimmt und in dem Betroffene ein strukturelles Abhängigkeitsverhältnis zum Verantwortlichen haben. Wer Personio einführt, führt kein Werkzeug ein, sondern verändert die Verarbeitung von Beschäftigtendaten im gesamten Unternehmen. Anbieterangaben in diesem Beitrag haben den Stand Juli 2026 und sind vor Verwendung in Ihrer Dokumentation in Personios aktuellen Vertrags- und Sicherheitsunterlagen nachzuprüfen.

Wichtige Punkte

• Rechtsgrundlage ist § 26 BDSG in Verbindung mit Art. 6 DSGVO — Einwilligung des Beschäftigten trägt wegen der Freiwilligkeitsproblematik meist nicht.
• Die Einführung ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig, sobald Zeiterfassung, Auswertungen oder Leistungsdaten enthalten sind.
• Abwesenheitsgründe und Arbeitsunfähigkeitsdaten sind Gesundheitsdaten nach Art. 9 DSGVO und brauchen eine eigene Zulässigkeitsgrundlage.
• Personio hält Daten nicht von selbst zurück: Löschfristen für Bewerber, ausgeschiedene Mitarbeiter und Dokumente müssen Sie konfigurieren.
• Eine DSFA ist bei reiner Stammdatenverwaltung meist entbehrlich — bei Leistungsbeurteilung, Zeiterfassung mit Auswertung und automatisierter Bewerbervorauswahl ernsthaft zu prüfen.

1. Welche personenbezogenen Daten Personio verarbeitet

Der Datenbestand ist breit und tief. In der Personalakte: Name, Geburtsdatum, Anschrift, private Kontaktdaten, Bankverbindung, Steuer-Identifikationsnummer, Sozialversicherungsnummer, Familienstand und Kinder (für Steuer- und Sozialversicherungszwecke), Staatsangehörigkeit und aufenthaltsrechtliche Angaben, Vertrag, Gehalt, Gehaltsentwicklung, Arbeitszeitmodell, Urlaubsansprüche, Abmahnungen und Zeugnisse. Im Bewerbermodul: Lebenslauf, Zeugnisse, Bewerbungsfoto, Bewertungen der Fachabteilung, Absagegründe. In der Abwesenheitsverwaltung: Urlaub, Krankheitszeiten, Arbeitsunfähigkeitsbescheinigungen, teilweise Angaben zu Mutterschutz, Elternzeit und Rehabilitationsmaßnahmen. In der Zeiterfassung: Kommt- und Geht-Zeiten, Pausen, Überstunden — also ein tagesgenaues Bewegungsprotokoll des Arbeitsverhaltens.

Drei Kategorien verdienen besondere Aufmerksamkeit. Gesundheitsdaten: Sobald ein Abwesenheitsgrund „krank" lautet oder eine Arbeitsunfähigkeitsbescheinigung hochgeladen wird, verarbeiten Sie Daten nach Art. 9 DSGVO. Zulässig ist das über Art. 9 Abs. 2 lit. b in Verbindung mit § 26 Abs. 3 BDSG, aber nur für die arbeits- und sozialrechtlichen Zwecke und mit besonderen Schutzmaßnahmen. Angaben zur Schwerbehinderung, die für Ausgleichsabgabe und Zusatzurlaub erforderlich sein können, unterliegen demselben Regime und gehören strikt zugriffsbeschränkt. Angaben zur Gewerkschaftszugehörigkeit haben in einem Personalsystem grundsätzlich nichts verloren; wenn sie über Beitragsabführung dennoch entstehen, muss die Zugriffsbeschränkung dokumentiert sein.

2. Rechtsgrundlage und die Rolle des Betriebsrats

Die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten ist § 26 BDSG: erforderlich für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses. Eine Einwilligung der Beschäftigten ist in diesem Verhältnis heikel, weil die Freiwilligkeit nach § 26 Abs. 2 BDSG begründungsbedürftig ist; stützen Sie das System also nicht auf Einwilligung, wo Erforderlichkeit trägt. Für Verarbeitungen, die über das Erforderliche hinausgehen — etwa freiwillige Zusatzangaben im Mitarbeiterprofil, Geburtstagslisten, Fotos im Intranet —, brauchen Sie eine eigene, echte Rechtsgrundlage. Die Grundlagen dazu stehen in unserem Beitrag DSGVO in der Personalabteilung; die Informationspflichten gegenüber Beschäftigten decken die Datenschutzhinweise für Mitarbeiter ab.

Der zweite, in der Praxis unterschätzte Punkt ist die Mitbestimmung. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt oder objektiv geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Ein Personalinformationssystem mit Zeiterfassung, Abwesenheitsstatistiken und Auswertungsfunktionen erfüllt dieses Kriterium unstreitig — die objektive Eignung genügt, eine Überwachungsabsicht ist nicht erforderlich. Praktische Folge: Ohne Betriebsvereinbarung ist die Einführung betriebsverfassungsrechtlich angreifbar, und der Betriebsrat kann die Nutzung untersagen lassen. Regeln Sie in der Betriebsvereinbarung mindestens: welche Module genutzt werden, welche Datenfelder gepflegt werden, wer welche Auswertungen sehen darf, welche Auswertungen ausgeschlossen sind, wie lange Daten gespeichert werden und wie der Betriebsrat seine Rechte wahrnimmt. Eine solche Vereinbarung ist zugleich eine Kollektivvereinbarung im Sinne des § 26 Abs. 4 BDSG und kann selbst Rechtsgrundlage sein — sie darf das Schutzniveau der DSGVO aber nicht unterschreiten.

3. Der AV-Vertrag nach Art. 28 DSGVO

Personio tritt als Auftragsverarbeiter auf. Der AV-Vertrag wird als Bestandteil der Vertragsdokumentation bereitgestellt, üblicherweise in deutscher Sprache — ein praktischer Vorteil gegenüber US-Anbietern, weil Betriebsrat und Datenschutzbeauftragter denselben Text lesen. Prüfen Sie, ob der Vertrag bei Ihnen über die Nutzungsbedingungen einbezogen wurde oder gesondert zu zeichnen ist, und archivieren Sie die geltende Fassung mit Abrufdatum. Die Mindestinhalte nach Art. 28 Abs. 3 — Weisungsbindung, Vertraulichkeit, technisch-organisatorische Maßnahmen, Unterstützung bei Betroffenenrechten und Folgenabschätzung, Löschung oder Rückgabe, Prüfrechte — sollten Sie anhand unseres AVV-Musters durchgehen und die Deckung dokumentieren; die dogmatischen Grundlagen erklärt der Beitrag zur Auftragsverarbeitung nach DSGVO.

Achten Sie auf den TOM-Anhang: Er muss beschreiben, wie Mandantentrennung, Verschlüsselung, Zugriffskontrolle und Protokollierung umgesetzt sind. Bei HR-Daten ist das keine Formalie — vergleichen Sie ihn mit Ihrem eigenen TOM-Muster und halten Sie fest, wo der Anbieter über Ihre Erwartung hinausgeht und wo nicht.

4. Hosting, Transfer und Subprozessoren (Stand: Juli 2026)

Personio gibt an, personenbezogene Daten in der Europäischen Union zu verarbeiten. Lassen Sie sich das konkret bestätigen — welcher Cloud-Anbieter, welche Region — und legen Sie die Antwort mit Datum ab; die pauschale Aussage „EU-Hosting" trägt keine Transferdokumentation. Prüfen Sie zusätzlich die veröffentlichte Subunternehmerliste: Auch bei einem europäischen Anbieter finden sich dort regelmäßig Dienstleister für Support, Kommunikation, Fehleranalyse oder Telefonie, deren Muttergesellschaft außerhalb der EU sitzt. Für jeden solchen Eintrag brauchen Sie eine Transfergrundlage — üblicherweise die Standardvertragsklauseln — und eine Bewertung; die Methodik steht im Beitrag zur internationalen Datenübermittlung.

Klären Sie außerdem das Widerspruchsverfahren: Personio arbeitet wie die meisten Anbieter mit einer allgemeinen Vorabgenehmigung und einer Ankündigung von Änderungen. Legen Sie fest, wer die Benachrichtigungen erhält und bewertet. Bei HR-Daten ist ein neu hinzugekommener Subunternehmer keine Nebensache — er ist Gegenstand der Betriebsvereinbarung und häufig auch der Information an den Betriebsrat.

Zu den Sicherheitsnachweisen: Personio verweist nach eigenen Angaben auf eine ISO-27001-Zertifizierung und stellt Sicherheitsunterlagen auf Anfrage bereit (Stand Juli 2026). Fordern Sie das aktuelle Zertifikat samt Geltungsbereich an, prüfen Sie die Gültigkeitsdauer und legen Sie beides zu Ihrer Dienstleisterprüfung. Was Sie selbst verantworten, bemisst sich unverändert an Art. 32 DSGVO.

5. Konfigurations-Checkliste

1. Rollen- und Rechtekonzept vor dem ersten Datenimport festlegen. Wer sieht Gehälter? Wer sieht Abwesenheitsgründe? Wer sieht Bewerbungsunterlagen? Führungskräfte brauchen selten Zugriff auf die vollständige Personalakte.
2. Abwesenheitsgründe reduzieren. Wo es genügt, „abwesend" zu erfassen, erfassen Sie keine Diagnose und keinen Grund. Gesundheitsdaten nur für die Stellen freigeben, die sie arbeitsrechtlich brauchen.
3. Arbeitsunfähigkeitsbescheinigungen getrennt ablegen und mit engster Zugriffsbeschränkung versehen.
4. Löschfristen konfigurieren. Bewerberdaten spätestens sechs Monate nach Abschluss des Verfahrens (AGG-Klagefrist plus Puffer), ausgeschiedene Beschäftigte nach den handels- und steuerrechtlichen Fristen, Zeiterfassungsdaten nach der arbeitsrechtlich erforderlichen Dauer. Systematik im Löschkonzept, Fristen in der Aufbewahrungsfristen-Tabelle.
5. Auswertungen und Dashboards begrenzen und in der Betriebsvereinbarung abschließend aufzählen. Was nicht aufgezählt ist, wird nicht ausgewertet.
6. Bewerbervorauswahl ohne automatisierte Ablehnung. Wenn ein Filter faktisch über die Absage entscheidet, ist Art. 22 DSGVO berührt; halten Sie eine menschliche Prüfung nachweisbar vor.
7. Freitextfelder in Bewertungen regeln. Anweisung, dass Gesundheits-, Herkunfts- und Weltanschauungsangaben nicht in Notizen gehören — plus Stichproben.
8. Schnittstellen inventarisieren. Lohnbüro, Zeiterfassungshardware, Recruiting-Portale, Kalender: Jede Schnittstelle ist ein Datenfluss und braucht einen Vertrag.
9. Zwei-Faktor-Authentifizierung erzwingen, mindestens für alle Rollen mit Zugriff auf Gehalts- oder Gesundheitsdaten.
10. Protokollierung aktivieren und Zugriffe auf besonders sensible Bereiche stichprobenartig auswerten — in Abstimmung mit dem Betriebsrat, denn Protokollauswertung ist selbst mitbestimmungspflichtig.
11. Mitarbeiterinformation aktualisieren, sobald Personio eingeführt wird: Informationspflicht nach Art. 13 DSGVO, verständlich formuliert, mit Nennung des Auftragsverarbeiters.

6. Was ins Verarbeitungsverzeichnis gehört

Personio erzeugt nicht einen Verzeichniseintrag, sondern mehrere: Bewerbermanagement, Personalverwaltung und Personalakte, Abwesenheits- und Zeiterfassung, gegebenenfalls Entgeltvorbereitung und Leistungsbeurteilung. Je Eintrag: Zweck, Rechtsgrundlage (§ 26 BDSG, Betriebsvereinbarung nach § 26 Abs. 4 BDSG, für Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. b), Datenkategorien mit ausdrücklicher Kennzeichnung der besonderen Kategorien, Betroffenenkategorien (Beschäftigte, Bewerber, Praktikanten, gegebenenfalls Angehörige), Empfänger einschließlich Personio als Auftragsverarbeiter, Lohnbüro und Sozialversicherungsträger, Drittlandbezug über Subunternehmer mit Transfergrundlage, Löschfristen je Datenart und Verweis auf die technischen Maßnahmen. Struktur und Vorlage stehen im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wer HR-Systeme neben einem Dutzend anderer Werkzeuge führt und AV-Verträge, Subprozessorlisten und Verzeichniseinträge synchron halten muss, arbeitet ab einer gewissen Größe nicht mehr sinnvoll mit Tabellen; Datenschutzplattformen wie Legiscope verknüpfen diese Ebenen — der Marktüberblick steht im DSGVO-Software-Vergleich.

7. Wann eine DSFA nötig ist

Bei Beschäftigtendaten liegt die Schwelle niedriger als bei Kundendaten, weil das Abhängigkeitsverhältnis der Betroffenen in die Risikobewertung eingeht. Reine Stammdatenverwaltung und digitale Personalakte lösen für sich genommen häufig noch keine Pflicht aus. Ernsthaft zu prüfen ist die Datenschutz-Folgenabschätzung dagegen, sobald mindestens eines dieser Merkmale hinzukommt: systematische Zeiterfassung mit Auswertungsmöglichkeit, Leistungs- oder Potenzialbeurteilung, automatisierte oder halbautomatisierte Bewerbervorauswahl, umfangreiche Verarbeitung von Gesundheitsdaten im Abwesenheitsmanagement, oder die Zusammenführung von Personaldaten mit Daten aus anderen Systemen zu einem Mitarbeiterprofil. Gleichen Sie das zusätzlich mit der Muss-Liste Ihrer zuständigen Aufsichtsbehörde ab — die Länderlisten enthalten mehrere beschäftigtenbezogene Fallgruppen. Die Folgenabschätzung ist im Übrigen der natürliche Ort, an dem sich die Anforderungen des Betriebsrats und die des Datenschutzes zusammenführen lassen; wer beide Verfahren parallel statt nacheinander führt, spart Monate.

FAQ

Ist Personio DSGVO-konform?

Kein Personalsystem ist als Produkt konform. Personio bietet als EU-Anbieter mit EU-Verarbeitung, deutschsprachigem AV-Vertrag und Rollenkonzept gute Voraussetzungen. Ob Ihre Verarbeitung rechtmäßig ist, hängt an der Rechtsgrundlage, der Betriebsvereinbarung, dem Rechtekonzept und daran, dass Löschfristen tatsächlich konfiguriert sind.

Braucht die Einführung von Personio eine Betriebsvereinbarung?

Wenn ein Betriebsrat besteht: praktisch immer. Ein System mit Zeiterfassung, Abwesenheitsstatistik und Auswertungsfunktionen ist objektiv zur Verhaltens- und Leistungskontrolle geeignet und damit nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Ohne Vereinbarung ist die Einführung angreifbar.

Dürfen Krankheitsdaten in Personio gespeichert werden?

Abwesenheiten wegen Krankheit dürfen erfasst werden, soweit dies für die Durchführung des Arbeitsverhältnisses erforderlich ist — Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Diagnosen gehören nicht hinein, der Zugriff ist auf die zuständigen Stellen zu beschränken, und die Erforderlichkeit ist zu dokumentieren.

Wie lange dürfen Bewerberdaten gespeichert werden?

Regelmäßig bis zu sechs Monate nach Abschluss des Verfahrens, orientiert an der Klagefrist des AGG zuzüglich eines angemessenen Puffers. Eine längere Speicherung im Talentpool braucht eine ausdrückliche, dokumentierte und widerrufliche Einwilligung des Bewerbers.

Fazit

Bei Personio verschiebt sich der Schwerpunkt der Prüfung. Die Transferfrage, die bei US-Werkzeugen den größten Aufwand verursacht, ist hier vergleichsweise schlank — dafür sind Rechtsgrundlage, Mitbestimmung, Gesundheitsdaten und Löschfristen anspruchsvoller als bei jedem CRM. Führen Sie Betriebsvereinbarung, Rechtekonzept und Löschfristen vor dem Produktivstart zusammen, nicht danach; nachträglich ist das Rechtekonzept eine Zumutung und das Löschkonzept eine Datenmigration. Und datieren Sie Ihre Anbieterprüfung — was heute im Sicherheitsdokument steht, gilt nicht dauerhaft.