Adress- und Bankdaten änderst Du sicher, indem Du die Mitteilung eindeutig zuordnest, den gewünschten Gültigkeitsbeginn klärst und die Übernahme bis ins Lohnsystem beziehungsweise in die Zahlungsdatei kontrollierst. Bei einer neuen Bankverbindung empfehlen wir zusätzlich eine Bestätigung über einen bereits bekannten, unabhängigen Kontaktweg. Eine Antwort auf dieselbe E-Mail ist dafür kein unabhängiger Rückkanal. Der folgende Ablauf ist eine organisatorische Empfehlung für kleine und mittlere Arbeitgeber; die gesetzlichen Anforderungen werden jeweils gesondert benannt.
Stand: 05.11.2026 · Kategorie: Personaldaten und Datenschutz. Dieser Leitfaden ersetzt keine individuelle Rechts- oder Steuerberatung.
1. Lege fest, wer Änderungen annimmt und umsetzt
Benenne eine zuständige Person für Änderungsmitteilungen und eine Vertretung. Trenne im Ablauf drei Aufgaben: den Auftrag prüfen, die Stammdaten ändern und die Verwendung bei Abrechnung oder Zahlung kontrollieren. Diese Aufgaben müssen nicht immer drei verschiedene Menschen übernehmen. Entscheidend ist, dass kein Bearbeitungsschritt zwischen Personalverwaltung, externer Lohnbuchhaltung und Zahlungsfreigabe verloren geht.
Rechtlich verlangt Artikel 32 DSGVO, abgedruckt in der BfDI-Broschüre „DSGVO – BDSG“, risikogerechte Schutzmaßnahmen, aber keine allgemeine Vieraugenpflicht für jede Adress- oder Bankänderung. Eine zusätzliche Prüfung empfehlen wir besonders bei ungewöhnlichen Aufträgen oder Änderungen unmittelbar vor dem Zahlungslauf. Prüfe daneben mögliche betriebliche oder branchenspezifische Vorgaben.
Erforderliche Beschäftigtendaten dürfen nach § 26 Absatz 1 BDSG zur Durchführung des Beschäftigungsverhältnisses verarbeitet werden. Verwechsle die Bestätigung einer neuen IBAN deshalb nicht mit einer pauschalen datenschutzrechtlichen Einwilligung: Du willst den konkreten Änderungsauftrag absichern.
2. Erfasse einen eindeutigen Änderungsauftrag
Nutze möglichst ein einheitliches Formular oder einen festgelegten Meldeweg. Bitte Beschäftigte, Anschrift und Bankverbindung getrennt zu benennen. Wer nur umzieht, soll nicht sämtliche Personaldaten erneut einreichen müssen. Für die Bearbeitung empfehlen wir folgende Angaben:
- Name und eindeutige Zuordnung, beispielsweise über die Personalnummer.
- Bei der Anschrift: Straße, Hausnummer, Postleitzahl, Ort und gegebenenfalls Land sowie notwendige Adresszusätze.
- Bei der Bankverbindung: neue IBAN und Name des Kontoinhabers; weitere Zahlungsangaben nur bei Bedarf.
- Gewünschter Beginn: Umzugsdatum beziehungsweise erste Zahlung auf das neue Konto.
- Eingangsdatum, bearbeitende Person und noch offene Rückfragen.
Fordere nicht routinemäßig vollständige Kontoauszüge oder Ausweiskopien an. Kläre bei Zweifeln zuerst, welche zusätzliche Information tatsächlich benötigt wird. Das folgt dem Grundsatz der Datenminimierung in Artikel 5 Absatz 1 Buchstabe c DSGVO, wiedergegeben im Gesetzestext der BfDI-Broschüre. Unsere praktische Empfehlung: Falls ein Nachweis erforderlich erscheint, prüfe eine weniger eingriffsintensive Alternative und beschränke den Inhalt auf das Nötige.
3. Wähle einen geschützten Übermittlungsweg
Empfehlenswert sind ein geeignet abgesicherter Zugang oder eine persönliche Übergabe an die zuständige Stelle. Biete eine erreichbare Alternative an, wenn Beschäftigte den vorgesehenen digitalen Weg nicht nutzen können. Vermeide private Messengergruppen, offene Verteiler und Sammelpostfächer mit unnötig vielen Zugriffsberechtigten.
E-Mail ist nicht pauschal verboten. Die Orientierungshilfe der Datenschutzkonferenz, Abschnitte 4.1 und 4.2, unterscheidet jedoch nach Risiken und zwischen Empfang und Versand. Beim Versand unter normalen Risiken verlangt sie obligatorische Transportverschlüsselung; bei hohen Risiken sind regelmäßig weitergehende Maßnahmen erforderlich. Kann der nötige Schutz nicht gewährleistet werden, ist ein anderer Kanal zu wählen.
Lass Deine IT deshalb den vorgesehenen Kommunikationsweg beurteilen, statt Beschäftigten lediglich „per E-Mail senden“ vorzugeben. Beschränke auch die interne Weitergabe: Die zahlungsfreigebende Person benötigt beispielsweise nicht automatisch die gesamte Korrespondenz zur privaten Wohnsituation. Unsere Empfehlung ist eine kurze Arbeitsanweisung mit erlaubtem Kanal, zuständiger Stelle und Vertretungsregelung.
4. Bestätige Bankänderungen über einen bekannten Rückkanal
Empfehlung, keine allgemeine gesetzliche Pflicht: Bestätige einen Kontowechsel vor der Verwendung über einen unabhängig bekannten Kontaktweg. Rufe etwa die bereits hinterlegte Nummer an oder sprich persönlich mit der beschäftigten Person. Nutze dafür nicht ungeprüft eine neue Telefonnummer aus derselben Änderungsnachricht.
Kläre, ob der Auftrag tatsächlich von der Person stammt und ab welcher Zahlung er gelten soll. Halte knapp fest, wann und auf welchem Weg die Bestätigung erfolgte. Unsere Empfehlung: Prüfe besonders sorgfältig, wenn gleichzeitig Telefonnummer, E-Mail-Adresse und Bankverbindung geändert werden sollen. Behandle die neuen Kontaktdaten bis zur Klärung nicht als unabhängige Bestätigung des Kontowechsels.
Beispiel: Kurz vor dem Zahlungslauf verlangt eine Nachricht mit bekanntem Anzeigenamen eine Überweisung auf ein neues Konto. Die zuständige Person fragt über die bisher bekannte Telefonnummer nach. Die beschäftigte Person kennt den Auftrag nicht. Übernimm die neue IBAN nicht und sichere die Nachricht zur internen Prüfung. Für einen kleinen Betrieb ohne zweite verfügbare Fachkraft empfehlen wir diese Rückfrage und eine dokumentierte Eigenkontrolle als zusätzliche Sicherungen.
5. Übernimm die Änderung mit einem klaren Gültigkeitsdatum
Unterscheide Eingangsdatum, Bearbeitungsdatum und Gültigkeitsbeginn. Ein am 5. November gemeldeter Umzug zum 1. Dezember sollte in Deinem Ablauf als zukünftige Änderung erkennbar bleiben. Bei einer Bankänderung brauchst Du zusätzlich die Information, welche Zahlung erstmals betroffen ist. Vermeide unklare Vermerke wie „ab sofort“, wenn die Zahlungsdatei bereits vorbereitet wurde.
Personenbezogene Daten müssen zweckbezogen richtig und erforderlichenfalls aktuell sein; Beschäftigte haben ein Recht auf unverzügliche Berichtigung unrichtiger Daten. Das regeln Artikel 5 Absatz 1 Buchstabe d und Artikel 16 DSGVO, abgedruckt in der BfDI-Broschüre. Unsere Umsetzungsempfehlung: Kennzeichne offene Vorgänge ausdrücklich und kontrolliere nach der Eingabe die richtige Person, sämtliche geänderten Felder und das Wirksamkeitsdatum.
Bei einer neuen Anschrift empfehlen wir außerdem eine Rückfrage, ob sich neben der Postadresse weitere abrechnungsrelevante Umstände ändern, etwa durch einen Umzug ins Ausland. Behandle solche Fälle nicht als bloßen Austausch eines Adressfeldes, sondern gib sie zur fachlichen Prüfung weiter. Ändere steuerliche oder sozialversicherungsrechtliche Merkmale nicht allein aufgrund einer Vermutung.
6. Kontrolliere Lohnsystem und Zahlungsauftrag getrennt
Plane zwei Abschlusskontrollen ein: Sind die Daten im maßgeblichen Personal- beziehungsweise Lohnsystem angekommen? Und verwendet die konkrete Zahlung die bestätigte Bankverbindung? Unsere Empfehlung ist, Änderungen nicht schon beim Absenden an die Lohnbuchhaltung als erledigt zu markieren. Vereinbare stattdessen eine nachvollziehbare Rückmeldung zur tatsächlichen Verarbeitung.
Prüfe vor der Freigabe, ob bereits eine Zahlungsdatei erstellt oder an die Bank übertragen wurde. Eine Stammdatenänderung solltest Du nicht als Nachweis betrachten, dass ein vorbereiteter Auftrag korrigiert ist. Stimme notwendige Änderungen mit der Zahlungsstelle ab. Ist der Auftrag bereits unterwegs, kläre mit der Bank die Handlungsmöglichkeiten, bevor Du eine weitere Überweisung auslöst.
Bei externer Lohnbuchhaltung empfehlen wir eine feste Übergabe: Personalnummer, betroffenes Feld, bestätigter neuer Wert, Gültigkeitsbeginn und Bearbeitungsstatus. Verzichte auf zusätzliche Vollbestandslisten. Für busta paga gilt: Arbeitgeber pflegen derzeit die Personaldaten; die zuständige Fachperson erledigt Abrechnung und Meldungen im Lohnsystem. Eine Änderung im Kundenportal ist daher nicht mit einer bereits ausgeführten Zahlung gleichzusetzen.
7. Schließe den Vorgang nachvollziehbar ab
Sende der beschäftigten Person eine knappe Abschlussbestätigung über den vereinbarten geschützten Weg. Nenne den übernommenen Gültigkeitsbeginn und gegebenenfalls die erste betroffene Zahlung. Für eine reine Statusmitteilung empfehlen wir, die vollständige IBAN nicht erneut zu versenden. Halte intern Antrag, Prüfung, Umsetzung und Abschluss nachvollziehbar zusammen.
Lege für Änderungsnachweise ein Lösch- und Aufbewahrungskonzept fest, statt sämtliche E-Mails unbegrenzt zu sammeln. Artikel 5 Absatz 1 Buchstabe e DSGVO begrenzt die Speicherung auf den erforderlichen Zeitraum; Artikel 17 Absatz 3 DSGVO berücksichtigt unter anderem rechtliche Pflichten und Rechtsansprüche. Unsere Empfehlung: Unterscheide aktuelle Stammdaten, historische Abrechnungsunterlagen und bloße Arbeitskopien. Eine pauschale Einheitsfrist lässt sich daraus nicht ableiten.
Wenn etwas schiefgeht: Zahlung und Datenschutz getrennt prüfen
Empfehlung für den Fehlerfall: Stoppe zunächst die Verwendung zweifelhafter Daten, informiere die zuständigen Personen und kläre den Zahlungsstatus. Sichere die notwendigen Informationen und prüfe mit der Datenschutzverantwortung mögliche Meldepflichten. Nach Artikel 33 DSGVO, abgedruckt in der BfDI-Broschüre, sind Datenschutzverletzungen zu dokumentieren und grundsätzlich unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden, der Aufsicht zu melden; ausgenommen von der Meldepflicht sind Verletzungen, die voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Unterscheide Zahlungsfehler und Datenschutzverletzung bei der Bewertung.
Quellen
- [S1] Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): Info 1: DSGVO – BDSG. Texte und Erläuterungen, Stand: März 2026, 1. Auflage. Enthält den deutschen DSGVO-Normtext; hier insbesondere Artikel 5, 16, 17, 32 und 33. Abrufdatum des unabhängig geprüften PDF-Inhalts laut Prüfbefund: 05.11.2026. Beim erneuten redaktionellen Direktabruf war die PDF technisch gesperrt; Seitenangaben und Seitensprungziele werden deshalb nicht verwendet.
- [S2] Bundesministerium der Justiz und für Verbraucherschutz / Bundesamt für Justiz, Gesetze im Internet: Bundesdatenschutzgesetz, insbesondere § 26 Absatz 1 – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Rechercheabruf am 05.11.2026; Gesetzestext im Suchindex zugänglich, erneuter HTML-Direktabruf mit Zeitüberschreitung.
- [S3] Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail, Stand 16.06.2021, insbesondere Abschnitte 1, 4.1 und 4.2. PDF abgerufen am 05.11.2026.
