De AVG op het gebied van arbeidsrecht
bepaalt hoe werkgevers de gegevens van werknemers verwerken: rechtsgrondslagen die verder gaan dan toestemming (contract, wettelijke verplichting, gerechtvaardigd belang), transparantieverklaringen, gegevensminimalisatie, beveiliging en strikte beperkingen op toezicht. Voor de doorgifte van HR-gegevens aan salarisverwerkers en EOR-dienstverleners zijn verwerkersovereenkomsten en waarborgen voor de doorgifte vereist.
De relevante arbeidsrechtelijke regels
- Toestemming werkt zelden: door de machtsongelijkheid is de toestemming van de meeste werknemers ongeldig — handel op basis van contract, wettelijke verplichting en gerechtvaardigd belang, met een gedocumenteerde afweging.
- Toezicht kent grenzen: heimelijke of alomvattende bewaking mislukt; ondernemingsraden hebben in Duitsland medezeggenschap over de in te zetten middelen; evenredigheid en kennisgeving zijn de toetsstenen.
- Dienstverleners zijn verwerkers: leveranciers van salarisadministratie, EOR-diensten en secundaire arbeidsvoorwaarden sluiten overeenkomsten op grond van artikel 28; voor grensoverschrijdende gegevensstromen zijn standaardcontractbepalingen (SCC’s) of een vaststelling van adequaatheid vereist.
- Verzoeken om inzage worden doorgestuurd naar HR: de verzoeken hebben betrekking op e-mails en bestanden over de betrokkene — de bewaartermijnen en de structuur bepalen of er op de verzoeken kan worden ingegaan.
- De bewaartermijn hangt af van het doel: loongegevens worden gedurende de wettelijk voorgeschreven periode bewaard; gegevens van sollicitanten daarentegen niet.
Veelgestelde vragen
Mogen we personeelsgegevens doorgeven aan groepsmaatschappijen in het buitenland?
Met waarborgen: adequaatheidsbesluiten indien deze bestaan, standaardcontractbepalingen en anders een beoordeling van de doorgifte, en bindende bedrijfsregels voor gevestigde concerns. Doorgiften binnen een concern zijn doorgiften — ‘dezelfde bedrijfsgroep’ vormt geen rechtsgrondslag.
Welke gegevens mag een EOR- of salarisadministratiebedrijf bewaren?
Wat de dienst nodig heeft: identiteitsgegevens, contractgegevens, bankgegevens, fiscale gegevens en sociale gegevens — op basis van een verwerkersovereenkomst volgens artikel 28, met transparantie over subverwerkers en verwijdering bij beëindiging. De HR-afdeling van de klant mag het volledige salarisbestand niet zonder reden terugsturen; het minimaliseren van gegevens geldt in beide richtingen.