Wenn Sie als Arbeitgeber psychische Belastungen am Arbeitsplatz erfassen, bewegen Sie sich in einem doppelten Pflichtenfeld: Das Arbeitsschutzgesetz verlangt die Beurteilung und Dokumentation, das Datenschutzrecht verlangt zugleich den Schutz der dabei entstehenden Informationen. Der Datenschutz bei der psychischen Gefährdungsbeurteilung ist deshalb keine Kür, sondern fester Bestandteil einer rechtskonformen Durchführung.

Die gute Nachricht: Mit den richtigen Grundsätzen – Datenminimierung, Zweckbindung und konsequenter Anonymisierung – lassen sich beide Anforderungen gut vereinbaren. Dieser Ratgeber zeigt Ihnen den rechtlichen Rahmen, bewährte Verfahren für Erhebung und Auswertung sowie praktische Wege, wie kleine und mittlere Unternehmen den Prozess eigenständig umsetzen.

Der rechtliche Rahmen: DSGVO, BDSG und §5 ArbSchG

Drei Regelwerke bestimmen, wie Sie mit Daten aus einer psychischen Gefährdungsbeurteilung umgehen müssen: die europäische Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) und das Arbeitsschutzgesetz mit seinem §5.

DSGVO: Drei Grundsätze sind entscheidend

Die DSGVO legt Grundprinzipien für den Umgang mit personenbezogenen Daten fest. Für die psychische Gefährdungsbeurteilung sind vor allem drei davon relevant:

• Datenminimierung: Sie erheben nur die Daten, die für die Beurteilung tatsächlich notwendig sind – nicht mehr.
• Zweckbindung: Die erhobenen Daten dürfen ausschließlich für die Gefährdungsbeurteilung genutzt werden. Eine anderweitige Verwendung, etwa für Personalentscheidungen oder Leistungsbewertungen, ist unzulässig – kommunizieren Sie das den Beschäftigten von Anfang an klar.
• Betroffenenrechte: Beschäftigte haben ein Recht auf Auskunft, Berichtigung und in bestimmten Fällen auf Löschung. Bei vollständig anonymisierten Auswertungen greifen diese Rechte in der Regel nicht mehr, weil kein Personenbezug mehr besteht.

BDSG: Nationale Ergänzungen

Das BDSG konkretisiert die DSGVO auf nationaler Ebene, insbesondere bei der Verarbeitung von Beschäftigtendaten. Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO kann erforderlich sein, wenn besondere Kategorien personenbezogener Daten – etwa Gesundheitsdaten – verarbeitet werden und dies voraussichtlich ein hohes Risiko für die Betroffenen birgt. Psychische Gefährdungsbeurteilungen können in diesen Bereich fallen, wenn die Erhebung nicht anonym erfolgt. Die deutschen Datenschutzaufsichtsbehörden stellen dazu Leitfäden bereit; da den Landesbehörden ein gewisser Auslegungsspielraum bleibt, orientieren Sie sich am besten an den Hinweisen der für Sie zuständigen Aufsichtsbehörde.

§5 ArbSchG: Die Pflicht, die alles auslöst

Das Arbeitsschutzgesetz verpflichtet Arbeitgeber, Gefährdungen am Arbeitsplatz zu ermitteln und zu bewerten – seit 2013 nennt §5 ArbSchG ausdrücklich auch psychische Belastungen. Die Ergebnisse der Beurteilung und die daraus abgeleiteten Maßnahmen müssen dokumentiert werden. Je nach Erhebungsverfahren kann der Prozess dabei personenbezogene Daten erzeugen – etwa bei nicht anonymen Interviews oder Workshops. Hinzu kommt: Gefährdungsbeurteilungen sind regelmäßig zu überprüfen und anzupassen – jede erneute Datenerhebung unterliegt dann wieder den Datenschutzvorgaben. Was §5 ArbSchG darüber hinaus inhaltlich verlangt, lesen Sie im Beitrag ArbSchG §5: Psychische Gesundheit einbinden.

Datenerhebung: Wie Sie von Anfang an datenschutzkonform vorgehen

Psychische Gefährdungsbeurteilungen können sensible Informationen berühren. Birgt die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen, ist vor Beginn der Datenerhebung eine Datenschutz-Folgenabschätzung durchzuführen. Die DSFA analysiert die Risiken der Datenverarbeitung systematisch, bewertet sie und legt Maßnahmen zu ihrer Minimierung fest.

Ein wesentlicher Bestandteil der DSFA ist die sorgfältige Dokumentation der Verarbeitungsvorgänge. Dazu gehören:

• die Art der Daten (z. B. Angaben mit Gesundheitsbezug),
• die spezifischen Zwecke der Datenerhebung,
• die Datenflüsse sowie
• die beteiligten Systeme und externen Dienstleister.

Bleibt nach Umsetzung aller Schutzmaßnahmen ein hohes Restrisiko bestehen, müssen Sie vor Beginn der Verarbeitung die zuständige Datenschutz-Aufsichtsbehörde konsultieren (Art. 36 DSGVO). Praktische Hinweise zur eigentlichen Erhebung – von Befragungen bis Workshops – finden Sie im Leitfaden Psychische Gefährdungsbeurteilung: Daten richtig sammeln.

Ein Punkt, der oft übersehen wird: Auch die Einbindung der Beschäftigten – etwa über Befragungen oder Workshops – kann selbst sensible Daten erzeugen. Diese müssen vertraulich behandelt und dürfen nur für den vorgesehenen Zweck genutzt werden. Auch kleinere Unternehmen mit einfacheren Verfahren sind verpflichtet, diese Datenschutzprinzipien konsequent einzuhalten.

Dokumentation und Anonymisierung: Die Balance zwischen Nachweis und Schutz

Hier liegt die eigentliche Kunst: Das Arbeitsschutzgesetz verlangt eine nachvollziehbare Dokumentation – gleichzeitig dürfen dabei keine sensiblen Mitarbeiterdaten offengelegt werden.

Was die Dokumentation enthalten muss

Arbeitgeber sind verpflichtet, die Ergebnisse der Gefährdungsbeurteilung, die festgelegten Schutzmaßnahmen und die Ergebnisse ihrer Überprüfung zu dokumentieren – ausdrücklich auch für psychische Belastungen. Konkret gehören dazu:

• eine systematische Erfassung der Arbeitsplätze und Tätigkeiten,
• identifizierte psychische Belastungsfaktoren,
• abgeleitete Schutzmaßnahmen mit Umsetzungsfristen,
• eingesetzte Methoden zur Datenerhebung,
• nachvollziehbare Bewertungskriterien.

Der entscheidende Kniff für den Datenschutz: Verwenden Sie ausschließlich Arbeitsplatzbezeichnungen oder Tätigkeitsgruppen statt Namen oder Personalnummern. Wie ein prüfungsfester Bericht am Ende aussieht, zeigt der Beitrag Audit-Bericht nach §5 ArbSchG erstellen.

Aggregation: Ergebnisse ohne Personenbezug darstellen

Datenschutzkonforme Berichte fassen Einzelantworten zu anonymisierten Gesamtergebnissen zusammen. Die Faustregel: Je größer die ausgewertete Gruppe, desto geringer das Risiko einer Rückidentifizierung. In kleinen Abteilungen kann es notwendig sein, ähnliche Tätigkeitsbereiche zusammenzuführen oder auf einer höheren Organisationsebene auszuwerten. Statistische Kennzahlen wie Durchschnittswerte, Mediane oder Häufigkeitsverteilungen ermöglichen aussagekräftige Berichte ohne Personenbezug. Vorsicht ist bei Extremwerten geboten – sie könnten Rückschlüsse auf Einzelpersonen zulassen. Statt exakter Zahlenwerte empfehlen sich daher Kategorien wie „niedrige Belastung“, „moderate Belastung“ und „hohe Belastung“.

Auskunftsersuchen nach Art. 15 DSGVO: So reagieren Sie richtig

Beschäftigte haben nach Art. 15 DSGVO das Recht zu erfahren, welche personenbezogenen Daten über sie verarbeitet werden. Bei psychischen Gefährdungsbeurteilungen kann das mit der Vertraulichkeit des Verfahrens kollidieren. Die Lösung liegt in einer klaren Trennung: Sind Daten ordnungsgemäß anonymisiert und ist eine Rückidentifizierung ausgeschlossen, greift das Auskunftsrecht nicht, weil kein Personenbezug mehr besteht. Noch vorhandene Rohdaten mit Personenbezug sind auf Anfrage hingegen offenzulegen.

Vier präventive Maßnahmen erleichtern den Umgang mit Auskunftsersuchen erheblich:

1. Frühzeitige Anonymisierung der Rohdaten nach Abschluss der Auswertung,
2. separate Speicherung von Identifikatoren und Auswertungsdaten,
3. nachvollziehbare Dokumentation des Anonymisierungsprozesses,
4. transparente Information der Beschäftigten zu Beginn der Beurteilung über Art, Umfang und Dauer der Datenverarbeitung.

Geht ein Auskunftsersuchen ein, prüfen Sie zunächst, ob personenbezogene Daten noch vorhanden sind. Falls ja, legen Sie diese offen – und erläutern zugleich, welche Daten bereits anonymisiert wurden und daher nicht mehr unter das Auskunftsrecht fallen. Diese saubere Trennung zahlt sich auch aus, wenn die Aufsicht anklopft: Mehr dazu im Beitrag über behördliche Kontrollen bei Gefährdungsbeurteilungen.

Datenschutz praktisch umsetzen: Was KMU jetzt tun sollten

Kleine und mittlere Unternehmen stehen vor der Frage, wie sie all diese Anforderungen ohne eigene Rechtsabteilung erfüllen. Externe Beratung für psychische Gefährdungsbeurteilungen kann erhebliche Kosten verursachen – dabei ist die Beurteilung gesetzlich vorgeschrieben und kann von Prüfbehörden wie Gewerbeaufsicht oder Berufsgenossenschaft kontrolliert werden.

Eine Alternative sind spezialisierte digitale Werkzeuge. Das GA-Psyche KIT von GA Psyche etwa richtet sich an kleine und mittlere Unternehmen und begleitet den gesamten Prozess – von der anonymen Mitarbeiterbefragung über die automatische Auswertung bis zu Maßnahmenvorschlägen und einem Zertifikat zur Vorlage bei Prüfbehörden. Aus Datenschutzsicht ist dabei vor allem eines relevant: Die Befragung erfolgt anonym und die Ergebnisse werden ausschließlich aggregiert dargestellt, sodass keine Rückschlüsse auf einzelne Mitarbeitende möglich sind. Das reduziert nicht nur das Risiko bei Auskunftsersuchen nach Art. 15 DSGVO, sondern stärkt auch das Vertrauen der Beschäftigten in die Befragung – und damit die Qualität der Ergebnisse.

Ihr konkreter Fahrplan sieht so aus:

1. Bestandsaufnahme: Prüfen Sie, ob bereits eine Gefährdungsbeurteilung existiert und ob diese den aktuellen Datenschutzanforderungen entspricht.
2. Vorbereitung: Klären Sie Zwecke, Datenflüsse und Verantwortlichkeiten, führen Sie bei Bedarf eine DSFA durch und informieren Sie die Beschäftigten transparent.
3. Durchführung: Erheben Sie nur notwendige Daten, anonymisieren Sie frühzeitig und beschränken Sie Zugriffe auf autorisierte Personen.
4. Dokumentation: Halten Sie Ergebnisse, Maßnahmen, Fristen und den Anonymisierungsprozess prüfungsfest fest.
5. Regelmäßige Aktualisierung: Neue Arbeitsplätze, Umstrukturierungen oder organisatorische Änderungen erfordern eine Überprüfung – und damit erneut einen datenschutzkonformen Prozess.

Da die Gefährdungsbeurteilung regelmäßig zu wiederholen ist, lohnt sich ein Verfahren, das sich ohne externe Dienstleister erneut durchführen lässt. Digitale Lösungen wie das GA-Psyche KIT sind darauf ausgelegt und können bei jeder Wiederholung datenschutzkonform eingesetzt werden.

Datenschutz und psychische Gefährdungsbeurteilung schließen sich nicht aus – sie gehören zusammen. Wer Datenminimierung, Zweckbindung und konsequente Anonymisierung von Anfang an einplant, personenbezogene Daten strikt von Auswertungsergebnissen trennt und den Prozess sauber dokumentiert, erfüllt DSGVO, BDSG und §5 ArbSchG gleichermaßen. Das schützt nicht nur vor Beanstandungen, sondern schafft vor allem das, ohne das keine ehrliche Befragung funktioniert: das Vertrauen Ihrer Mitarbeitenden. Mit strukturierten Werkzeugen wie dem GA-Psyche KIT können auch KMU ohne eigene Datenschutzexperten beide Pflichten eigenständig und bezahlbar erfüllen.