Vergib Zugriffsrechte für Personaldaten nach konkreten Aufgaben, nicht nach Nähe zur Geschäftsführung oder bisheriger Gewohnheit. Lege fest, wer welche Daten sehen, ändern, exportieren und freigeben darf. Für den Einstieg empfehlen wir eine übersichtliche Rechtematrix, namentliche Zuständigkeiten und einen festen Ablauf bei Personalwechseln. Das folgende Rollenkonzept ist eine praktische Empfehlung, keine gesetzlich vorgeschriebene Organisationsform.
Rechtlicher Ausgangspunkt sind Datenminimierung und Vertraulichkeit nach Artikel 5 Absatz 1 Buchstaben c und f DSGVO. Artikel 25 Absatz 2 erfasst bei datenschutzfreundlichen Voreinstellungen auch die Zugänglichkeit. Die Vorschriften findest Du im wiedergegebenen Verordnungstext der BfDI-Broschüre „DSGVO – BDSG“, Anhang 2. Die verwendete Broschüre hat den Dokumentstand Mai 2022; dieser Leitfaden den redaktionellen Stichtag 05.11.2026.
1. Erfasse zuerst die Ablagen und tatsächlichen Zugänge
Beginne nicht mit einer neuen Software. Zeichne zunächst auf, wo Dein Betrieb Personaldaten verarbeitet: Personalordner, Lohnprogramm, Zeiterfassung, E-Mail-Postfächer, Tabellen, Cloudablagen und Papierakten. Nimm auch heruntergeladene Abrechnungen, lokale Exportdateien und freigegebene Ordner auf. Unsere Empfehlung: Besprich diese Bestandsaufnahme gemeinsam mit der Person, die Personalunterlagen pflegt, und der zuständigen IT-Betreuung.
Notiere je Ablage den fachlichen Zweck, die verantwortliche Person und alle derzeit zugriffsberechtigten Konten. Prüfe ausdrücklich, ob Gruppenfreigaben oder übergeordnete Ordner zusätzliche Zugänge eröffnen. Frage nicht nur: „Wer soll darauf zugreifen?“ Lass Dir auch zeigen, wer es technisch tatsächlich kann. Behandle einen verschlossenen Aktenschrank dabei genauso konkret wie einen digitalen Personalordner: Wer besitzt den Schlüssel beziehungsweise die Berechtigung?
2. Übersetze Aufgaben in begrenzte Rollen
Eine Rolle bündelt benötigte Rechte für eine Aufgabe. Sie muss keine eigene Stelle sein: In einem kleinen Unternehmen kann dieselbe Person mehrere Rollen übernehmen. Der BSI-Baustein ORP.4, Abschnitt 1.2, beschreibt als Ziel, Zugriffe auf benötigte und autorisierte Ressourcen und Informationen zu begrenzen. Unsere folgende Matrix ist ein betriebliches Ausgangsmuster, keine vom BSI vorgegebene Personaldaten-Rollenverteilung.
Passe die Matrix an Deine tatsächlichen Arbeitsabläufe an. Wir empfehlen insbesondere, „Geschäftsführung“ nicht als pauschales Vollzugriffsprofil anzulegen. Trenne außerdem den Zugriff auf Daten von der Befugnis, Entscheidungen zu treffen: Wer eine Gehaltsänderung beschließt, muss sie nicht selbst im Abrechnungssystem erfassen. Die Matrix beschreibt hier bewusst empfohlene Aufgabengrenzen und keine allgemeingültige rechtliche Bewertung jeder einzelnen Einsichtnahme.
| Empfohlene Rolle | Benötigter Ausschnitt | Bewusst begrenzen |
|---|---|---|
| Personalverwaltung | Erforderliche Stamm- und Vertragsdaten pflegen | Keine automatische Freigabe sämtlicher Exporte |
| Lohnzuständigkeit | Abrechnungsrelevante Daten bearbeiten | Keine pauschale Einsicht in andere Personalvorgänge |
| Teamleitung | Arbeitszeiten und erforderliche Abwesenheiten des eigenen Teams | Keine allgemeinen Bank-, Steuer- oder Gesundheitsunterlagen |
| Geschäftsführung | Für konkrete Führungsentscheidungen erforderliche Informationen | Keine Vorratsfreigabe aller Akten |
| IT-Administration | Konten, Berechtigungen und technische Wartung | Keine routinemäßige fachliche Nutzung von Personalinhalten |
| Vertretung | Für die Vertretungsaufgabe freigegebener Bereich | Zeitlich begrenzt statt dauerhaft zusätzlich |
Beispiel: Eine Teamleiterin genehmigt Urlaub und kontrolliert Arbeitszeiten. Wir empfehlen dafür eine Teamansicht statt einer Kopie der vollständigen Personalakte. Die für die Lohnabrechnung zuständige Person erhält dagegen die erforderlichen Abrechnungsangaben. Braucht die Teamleiterin ausnahmsweise weitere Informationen, empfehlen wir, Anlass, Umfang und Dauer der zusätzlichen Freigabe festzuhalten, statt ihre Rolle dauerhaft zu erweitern.
3. Unterscheide Lesen, Ändern, Exportieren und Freigeben
Schreibe nicht lediglich „Zugriff erlaubt“ in Deine Matrix. Unsere Empfehlung: Bewerte mindestens vier Befugnisse getrennt. Leserechte erlauben Einsicht; Änderungsrechte ermöglichen Eingriffe; Exportrechte erlauben die Ausgabe von Dateien; Freigaberechte betreffen verbindliche Entscheidungen. Ergänze Lösch- und Administrationsrechte gesondert, sofern das eingesetzte System diese unterscheiden kann. Notiere technische Grenzen ausdrücklich, statt eine nicht vorhandene Trennung zu unterstellen.
Für die Umsetzung empfehlen wir einen Test mit einem normalen Benutzerkonto und geeigneten Testdaten: Kann die Teamleitung fremde Teams sehen? Lassen sich vollständige Beschäftigtenlisten herunterladen? Öffnet ein direkter Dateilink trotz eingeschränkter Ordneransicht? Halte erwartetes und tatsächliches Ergebnis fest. Wenn die Anwendung erforderliche Grenzen nicht abbildet, reduziere den Nutzerkreis oder stelle den benötigten Datenausschnitt über einen anderen geeigneten Weg bereit.
Beziehe nach unserer Empfehlung auch den weiteren Weg einer Exportdatei ein. Lege fest, wer sie benötigt, wo sie abgelegt werden soll und wie sie an die zuständige Person gelangt. Prüfe bei der nächsten Rechtekontrolle nicht nur die ursprüngliche Anwendung, sondern auch diesen Ablageort. So bleibt die Prüfung nicht beim Lohnprogramm stehen, während eine zuvor heruntergeladene Personalliste außerhalb des betrachteten Bereichs liegt.
4. Lege Genehmigung und technische Umsetzung fest
Bestimme eine fachlich verantwortliche Person, die den Bedarf beurteilt, und eine zuständige Stelle für die technische Einrichtung. Unsere Empfehlung: Die IT setzt eine genehmigte Berechtigung um, entscheidet aber nicht allein, wer Personalinhalte benötigt. Bei besonders weitreichenden Freigaben solltest Du eine zweite Prüfung vorsehen. Vermeide nach Möglichkeit, dass jemand die eigenen zusätzlichen Rechte selbst genehmigt.
Diese Zuständigkeitsverteilung ist eine redaktionelle Umsetzungsempfehlung. Sie wird hier weder einer bestimmten BSI-Maßnahme noch einer gesetzlichen Vorschrift als verbindliches Organisationsmodell zugeschrieben. Für einen kleinen Betrieb empfehlen wir eine einfache Aufteilung: Die Personalverantwortliche beschreibt den benötigten Datenbereich, die benannte genehmigende Person entscheidet über die Freigabe, und die Administration richtet die bestätigten Rechte ein. Benenne für jede dieser Aufgaben auch eine Vertretung.
Als praktikables Arbeitsmittel empfehlen wir einen kurzen Freigabevermerk mit Name, Aufgabe, System, Datenbereich, einzelnen Rechten, genehmigender Person, Einrichtungsdatum und gegebenenfalls Enddatum. Dokumentiere auch abgelehnte oder eingeschränkte Anträge, soweit das für die Nachvollziehbarkeit sinnvoll ist. Bewahre diese Übersicht selbst zugriffsgeschützt auf. Sie sollte keine Passwörter enthalten und nicht zur zweiten Sammlung vertraulicher Personalinhalte werden. Der Vermerk ersetzt nicht die Prüfung, ob die eingerichteten Rechte tatsächlich passen.
5. Sichere Konten und Vertretungen ab
Unsere Empfehlung: Nutze persönliche Konten statt eines gemeinsamen „Personal“-Logins und aktiviere Mehrfaktor-Authentisierung, soweit verfügbar und angemessen. Für weitreichend berechtigte Konten empfiehlt das BSI diese Absicherung ausdrücklich in ORP.4.A10, Dokumentseite 5. Plane außerdem, wer bei einer Kontosperre hilft und wie dabei die Identität geprüft wird. Ein verlorener zweiter Faktor sollte nicht durch unkontrollierte Passwortweitergabe ersetzt werden.
Richte Vertretungen nach unserer Empfehlung vor dem Urlaub ein: eigene Kennung, benannter Aufgabenbereich und festgelegtes Ende. Prüfe vorher, ob die Vertretung ihre Aufgabe mit diesen Rechten tatsächlich erledigen kann. Falls im Betrieb nur eine Person die Berechtigungen verwaltet, empfehlen wir eine dokumentierte Ersatzlösung für deren Ausfall. Beschreibe dabei auch, wer eine Notfallfreigabe genehmigt und anschließend wieder entzieht.
6. Reagiere auf Rollenwechsel und Austritte
Unsere Empfehlung: Verknüpfe jede Aufgabenänderung mit einer Rechteprüfung. Bewerte alte Rechte ausdrücklich, bevor neue hinzukommen. Prüfe beispielsweise beim Wechsel aus der Personalverwaltung in den Einkauf, welche bisherigen Zugriffe entfallen sollen und welche neue Aufgabe zusätzliche Rechte erfordert. Übernimm nicht einfach das bisherige Profil und ergänze die Einkaufsrechte. Halte das Ergebnis für jedes betroffene System fest.
Für die betriebliche Umsetzung empfehlen wir diese kurze Checkliste. Lege jeweils fest, wer die Aufgabe erledigt und wer den Abschluss kontrolliert. Ein bloßer Hinweis „Mitarbeiter ausgeschieden“ sagt noch nicht, welche technischen Zugänge geprüft wurden.
- Vorbereiten: Austritts- oder Wechselzeitpunkt an die zuständige Administration melden und die betroffenen Systeme benennen.
- Umsetzen: Konten, Gruppen, Fernzugänge und Freigaben gezielt anpassen; bei Papierakten auch Schlüssel berücksichtigen.
- Nachprüfen: Aktive Sitzungen, Zugangsmittel und zusätzliche Anwendungen in die Kontrolle einbeziehen.
- Abschließen: Umsetzung und Kontrolle mit Datum dokumentieren. Über eine Löschung von Unterlagen getrennt entscheiden und zuvor einschlägige Aufbewahrungspflichten prüfen.
7. Prüfe Rechte regelmäßig und behandle Fehlzugriffe
Artikel 32 Absatz 1 Buchstabe d DSGVO, wiedergegeben in der BfDI-Broschüre, nennt regelmäßige Wirksamkeitsprüfungen im Rahmen risikogerechter Schutzmaßnahmen, keinen pauschalen Quartalsrhythmus. Wir empfehlen als Startpunkt eine vierteljährliche Rechtekontrolle plus anlassbezogene Prüfungen. Vergleiche Deine Matrix mit den tatsächlich eingerichteten Konten und Freigaben. Lass die fachlich verantwortliche Person den fortbestehenden Bedarf bestätigen. Passe den Rhythmus an Risiken und Änderungen im Betrieb an.
Bei einem Fehlzugriff empfehlen wir: Begrenze den Zugang, sichere den Sachverhalt und verfügbare Nachweise und informiere die intern zuständige Person. Lass bewerten, ob eine Datenschutzverletzung vorliegt und welche weiteren Schritte erforderlich sind. Lege die Zuständigkeit vorher fest, damit diese Bewertung nicht zwischen Personalverwaltung, Geschäftsführung und IT liegen bleibt. Notiere insbesondere, wann der Vorfall bekannt wurde und welche Datenbereiche betroffen sein könnten.
Nach Artikel 33 DSGVO, wiedergegeben in der BfDI-Broschüre, sind Datenschutzverletzungen zu dokumentieren. Der Verantwortliche muss sie unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, der zuständigen Aufsichtsbehörde melden, außer sie führen voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen. Bei Überschreitung der 72 Stunden ist die Verzögerung zu begründen. Nicht gleichzeitig verfügbare Angaben dürfen ohne unangemessene weitere Verzögerung nachgereicht werden. Wir empfehlen bei Unsicherheit fachliche Unterstützung. Dieser Leitfaden ersetzt keine Einzelfallberatung.
Was das für die Zusammenarbeit mit busta paga bedeutet
Das Rollenmodell oben ist keine Funktionsbeschreibung des busta-paga-Portals. Nach den für diesen Leitfaden bereitgestellten Produktangaben gibt es dort derzeit noch keine Teamrollen und keine mandantenübergreifenden Teambereiche. Arbeitgeber erfassen und pflegen Personaldaten; die zuständige Fachperson erledigt Abrechnung und Meldungen im Lohnsystem. Kläre benötigte Zugänge und Vertretungen deshalb vorab im tatsächlichen Zusammenarbeitsablauf. Unterstelle insbesondere keine technischen Leserechte oder Teambegrenzungen, die das Portal noch nicht anbietet.
Quellen
- [S2] Bundesamt für Sicherheit in der Informationstechnik: IT-Grundschutz-Kompendium, Edition 2023, ORP.4 Identitäts- und Berechtigungsmanagement, Abschnitt 1.2 und A10. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2023.pdf?__blob=publicationFile&v=3. Textabruf: 05.11.2026.
- [S4] Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Info 1 „DSGVO – BDSG. Texte und Erläuterungen“, Stand Mai 2022, 2. Auflage; Anhang 2 mit dem Verordnungstext, insbesondere Artikel 5, 25, 32 und 33. https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=61. Textabruf: 05.11.2026.
