Wer eine psychische Gefährdungsbeurteilung durchführt, erhebt Angaben zu Stress, Belastung und Arbeitsbedingungen – Informationen, die schnell den Charakter von Gesundheitsdaten annehmen und damit unter den besonderen Schutz des Art. 9 DSGVO fallen können. Der Datenschutz ist bei der psychischen Gefährdungsbeurteilung deshalb kein Nebenschauplatz, sondern eine eigenständige rechtliche Anforderung neben dem Arbeitsschutz. Verstöße können datenschutzrechtliche Konsequenzen bis hin zu Bußgeldern nach sich ziehen.

Gerade kleine und mittlere Unternehmen stehen dabei vor der Frage: Welche Rechtsgrundlage gilt eigentlich? Was darf mit den Antworten der Beschäftigten geschehen – und was auf keinen Fall? Dieser Beitrag ordnet die gesetzlichen Vorgaben ein und zeigt, wie Sie Arbeitsschutz und Datenschutz in der Praxis sauber miteinander verbinden.

Rechtsgrundlagen: DSGVO, BDSG und §5 ArbSchG im Zusammenspiel

Die Datenschutz-Grundverordnung (DSGVO) bildet den Rahmen für jeden Umgang mit personenbezogenen Daten – auch bei der psychischen Gefährdungsbeurteilung. Ergänzt wird sie durch das Bundesdatenschutzgesetz (BDSG) mit spezifischen Regelungen für Deutschland. Für jede Verarbeitung benötigen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Bei der Gefährdungsbeurteilung greift in der Regel Art. 6 Abs. 1 lit. c DSGVO: Die Verarbeitung ist zulässig, weil sie der Erfüllung einer rechtlichen Verpflichtung dient – nämlich der Pflicht aus §5 ArbSchG, psychische Belastungen bei der Arbeit zu beurteilen.

Werden dabei Gesundheitsdaten im Sinne von Art. 9 DSGVO erfasst – etwa Angaben zu Stresssymptomen –, gilt ein grundsätzliches Verarbeitungsverbot mit eng gefassten Ausnahmen. Relevant ist hier Art. 9 Abs. 2 lit. b DSGVO: Die Verarbeitung ist zulässig, wenn sie zur Erfüllung arbeitsrechtlicher Pflichten erforderlich ist. Ergänzend stellt §26 Abs. 3 BDSG besondere Anforderungen an die Verarbeitung von Gesundheitsdaten im Beschäftigungsverhältnis: Sie ist nur zulässig, soweit sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist.

Ein Punkt wird häufig übersehen: Die Grundsätze aus Art. 5 DSGVO – Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung – gelten uneingeschränkt auch für gesetzlich vorgeschriebene Beurteilungen. Nach Art. 5 Abs. 2 DSGVO tragen Sie als Unternehmen zudem eine Rechenschaftspflicht: Sie müssen nachweisen können, dass Sie die Vorgaben einhalten. Das setzt eine nachvollziehbare Dokumentation der Verarbeitungsschritte voraus. Einen Überblick über die rechtlichen Grundlagen bietet auch der Beitrag Datenschutz in der Gefährdungsbeurteilung: Grundlagen.

Strikte Trennung: Arbeitsschutz-Daten sind keine Personaldaten

Der wohl wichtigste Grundsatz in der Praxis: Daten aus der Gefährdungsbeurteilung dürfen ausschließlich für deren Zweck genutzt werden. Eine Weitergabe – etwa an die Personalabteilung – ist ohne ausdrückliche Einwilligung der Betroffenen nicht zulässig. Auch wenn die Beurteilung gesetzlich vorgeschrieben ist, dürfen die erhobenen Angaben nicht in personalbezogene Entscheidungen einfließen. Ein solcher Verstoß gegen das Zweckbindungsprinzip der DSGVO wäre rechtswidrig.

Diese Trennung ist keine juristische Formalie. Bei zweckwidriger Nutzung drohen Benachteiligungen einzelner Beschäftigter, arbeitsrechtliche Konflikte und ein erheblicher Vertrauensverlust. Umgekehrt gilt: Wer die Trennung glaubwürdig kommuniziert und konsequent einhält, erhöht die Bereitschaft der Beschäftigten, ehrlich an der Befragung teilzunehmen – und erhält damit belastbarere Ergebnisse.

Beachten Sie außerdem: Die Arbeitsschutzbehörden prüfen die Durchführung der Gefährdungsbeurteilung, die Datenschutzaufsichtsbehörden die Einhaltung der datenschutzrechtlichen Vorgaben. Bei Verstößen kommen daher sowohl arbeitsschutz- als auch datenschutzrechtliche Konsequenzen in Betracht. Wie eine behördliche Prüfung abläuft, beschreibt der Beitrag zu behördlichen Kontrollen bei Gefährdungsbeurteilungen.

Die zentralen Datenschutzprinzipien in der Umsetzung

Datenminimierung und Zweckbindung

Nach Art. 5 Abs. 1 lit. c DSGVO dürfen Sie nur die Daten erheben, die für die Gefährdungsbeurteilung tatsächlich erforderlich sind. Prüfen Sie Ihre Fragebögen deshalb kritisch: Fragen zu privaten Lebensumständen ohne direkten Bezug zur Arbeitsgestaltung gehören nicht hinein. Konzentrieren Sie die Erhebung auf arbeitsbezogene Faktoren. Nach Abschluss des Verfahrens sind personenbezogene Daten zu löschen – es sei denn, sie wurden anonymisiert oder es bestehen gesetzliche Aufbewahrungspflichten.

Anonymisierung und Pseudonymisierung

Bei der Anonymisierung werden alle Merkmale entfernt, die eine Identifikation ermöglichen – ein Rückschluss auf einzelne Personen ist danach nicht mehr möglich. Die Pseudonymisierung ersetzt identifizierende Angaben dagegen nur durch Codes oder Kennzeichen. Da der Personenbezug wiederherstellbar bleibt, unterliegen pseudonymisierte Daten weiterhin vollständig der DSGVO. Ein verbreiteter Irrtum: Das bloße Entfernen von Namen genügt nicht. Angaben wie Abteilung, Alter oder Geschlecht können in Kombination eine Re-Identifizierung ermöglichen – gerade in kleinen Teams. Praktische Hinweise dazu bietet der Leitfaden Daten in der psychischen Gefährdungsbeurteilung richtig sammeln.

Rechte der Beschäftigten und Informationspflichten

Informieren Sie Ihre Mitarbeitenden vor Beginn der Erhebung transparent über Zweck, Rechtsgrundlage, Speicherdauer und ihre Betroffenenrechte. Beschäftigte können Auskunft über gespeicherte Daten verlangen – dieses Recht läuft bei vollständig anonymisierten Daten ins Leere, bleibt bei pseudonymisierten Datensätzen jedoch bestehen. Hinzu kommen das Recht auf Berichtigung fehlerhafter Angaben und das Recht auf Löschung, sofern der Verarbeitungszweck entfallen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Kommt es zu einer meldepflichtigen Datenschutzverletzung, müssen Sie diese nach Art. 33 DSGVO grundsätzlich innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden.

Technische und organisatorische Maßnahmen: So sichern Sie die Daten ab

Die eingesetzten Systeme müssen dem Stand der Technik entsprechen. Konkret heißt das: verschlüsselte Datenübertragung, sichere Passwörter und regelmäßige Software-Updates. Empfehlenswert ist zudem, Server in Deutschland oder anderen EU-Ländern zu nutzen – unverschlüsselte E-Mails oder Cloud-Dienste außerhalb der EU sind typische Ursachen meldepflichtiger Datenschutzvorfälle.

Ebenso wichtig ist die Zugriffskontrolle: Nur autorisierte Personen, etwa aus dem Auswertungsteam, sollten Zugriff auf die Daten haben. Dokumentieren Sie Zugriffe, damit nachvollziehbar bleibt, wer wann welche Daten eingesehen hat. Für die Unternehmensleitung eignen sich Berichte auf Basis aggregierter Daten, die keine Rückschlüsse auf Einzelpersonen zulassen, aber konkrete Ansatzpunkte für Verbesserungen liefern.

Auf der Dokumentationsseite ist das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO Pflicht: Es beschreibt Zweck, betroffene Personengruppen, Empfänger und geplante Löschfristen jeder Verarbeitung. Wird es nur oberflächlich gepflegt, fällt das spätestens bei einer Kontrolle auf. Bei der Verarbeitung sensibler Gesundheitsdaten oder dem Einsatz neuer Technologien kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein. Und wenn Sie externe Dienstleister einbinden, sind Auftragsverarbeitungsverträge nach Art. 28 DSGVO unverzichtbar.

Typische Fehler in KMU – und wie Sie sie vermeiden

In der Praxis scheitern datenschutzkonforme Gefährdungsbeurteilungen selten am guten Willen, sondern an fehlenden Strukturen. Die häufigsten Stolpersteine:

• Unzureichende Anonymisierung: Kombinierbare Merkmale wie Abteilung, Alter oder Geschlecht machen Personen in kleinen Gruppen identifizierbar.
• Mangelhafte Dokumentation: Ein lückenhaftes Verarbeitungsverzeichnis fällt spätestens bei einer behördlichen Prüfung auf.
• Fehlende Rechtsgrundlage: Die Annahme, eine Gefährdungsbeurteilung rechtfertige automatisch jede Datenverarbeitung, ist ein Irrtum – Art. 6 und Art. 9 DSGVO müssen konkret geprüft werden.
• Unsichere Datenübertragung: Unverschlüsselte E-Mails oder Nicht-EU-Cloud-Dienste führen schnell zu meldepflichtigen Vorfällen.

Bewährt haben sich dagegen: frühzeitige Planung mit einer Checkliste, Schulungen der Mitarbeitenden, standardisierte Vorlagen für Informationsschreiben und Einwilligungserklärungen sowie regelmäßige Überprüfung der Maßnahmen. Ein Blick auf die Umsetzungswege zeigt: Rein manuelle Ansätze wirken günstig, sind aber zeitaufwendig, fehleranfällig und bei wachsender Mitarbeiterzahl kaum praktikabel. Selbst entwickelte digitale Lösungen setzen oft technisches Know-how voraus. Toolkit-basierte Ansätze kombinieren beides – mit DSGVO-konformen Vorlagen, klaren Anleitungen und geringem Ressourcenbedarf.

Datenschutzkonform ohne externe Berater: der Toolkit-Ansatz

Für KMU mit begrenzten Ressourcen ist entscheidend, dass der Datenschutz nicht zum Projekt neben dem Projekt wird. Ein Beispiel für einen strukturierten Weg ist das GA-Psyche KIT der Kiwimo Product GmbH: Es wurde speziell für kleine und mittlere Unternehmen entwickelt, um die psychische Gefährdungsbeurteilung nach §5 ArbSchG digital und datenschutzkonform durchzuführen. Schritt-für-Schritt-Anleitungen führen durch den gesamten Prozess; die enthaltenen Vorlagen für Informationsschreiben und Einwilligungserklärungen sind DSGVO-konform gestaltet und lassen sich individuell anpassen.

Die Mitarbeiterbefragung erfolgt anonym, die Auswertung automatisch – ein Zertifikat dokumentiert die Durchführung und dient als Nachweis gegenüber Prüfbehörden wie Gewerbeaufsicht oder Berufsgenossenschaft. Welche Pakete für Ihre Unternehmensgröße infrage kommen, zeigt die Preisübersicht; einen breiteren Marktüberblick bietet zudem die Übersicht der Top-Anbieter für die psychische Gefährdungsbeurteilung.

Unabhängig vom gewählten Werkzeug gilt: Datenschutz ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Regelmäßige Überprüfungen der Maßnahmen und Schulungen der Mitarbeitenden gehören dauerhaft dazu – ebenso wie die Bereitschaft, Prozesse an neue Anforderungen anzupassen.

Datenschutz und psychische Gefährdungsbeurteilung gehören untrennbar zusammen: §5 ArbSchG verpflichtet zur Beurteilung, DSGVO und BDSG setzen den Rahmen für den Umgang mit den erhobenen Daten. Wer auf Datenminimierung, strikte Zweckbindung, saubere Anonymisierung und nachvollziehbare Dokumentation achtet, erfüllt nicht nur die gesetzlichen Vorgaben – er gewinnt auch das Vertrauen der Beschäftigten, dass ihre Angaben verantwortungsvoll behandelt werden. Genau dieses Vertrauen ist die Voraussetzung für ehrliche Antworten und damit für aussagekräftige Ergebnisse. Strukturierte Werkzeuge wie das GA-Psyche KIT helfen KMU, beide Anforderungen ohne externe Berater umzusetzen.