Unternehmen, die ihre Vergütung analysieren, denken an Vergleichsgruppen, Mediane und Rechtfertigungen — und übersehen dabei die Grundlage von allem: Ein Pay-Audit ist eine der sensibelsten Datenverarbeitungen, die HR je durchführt. Wird sie datenschutzwidrig aufgesetzt, drohen nicht nur Bußgelder. Es droht etwas Schlimmeres: Die Analyse, die Sie verteidigen sollte, könnte im Streitfall unbrauchbar werden.
Das dreifache Risiko
Erstens das aufsichtsrechtliche: Bußgelder nach Art. 83 DSGVO — und die Aufsichtsbehörden haben Gehaltslisten nachweislich im Blick. Zweitens das zivilrechtliche: Schadensersatz nach Art. 82 DSGVO, auch für immaterielle Schäden, potenziell geltend gemacht von vielen Betroffenen gleichzeitig. Drittens — und am wenigsten bekannt — das prozessuale: Der Entwurf des Beschäftigtendatengesetzes sieht Verwertungsverbote für rechtswidrig erlangte Daten vor. Ein datenschutzwidrig erstelltes Audit könnte dann im Equal-Pay-Prozess ausgerechnet dem Arbeitgeber nicht mehr helfen. Der EuGH hat sich mit Verwertungsverboten bei Datenschutzverletzungen bereits befasst (Rechtssache C-484/24): grundsätzlich kein automatisches Verwertungsverbot — aber der Verhältnismäßigkeitsgrundsatz setzt Grenzen.
Baustein 1: Berechtigungen nach dem Need-to-know-Prinzip
Klardaten gehören ausschließlich in die Hände des Kernteams (Compensation/Projektteam). Führungskräfte sehen nur den eigenen Bereich, der Betriebsrat erhält die für seine Aufgabe erforderlichen — möglichst aggregierten — Daten, externe Berater arbeiten nur auf Basis von Auftragsverarbeitungsvertrag oder Mandat. Flankierend: technische Zugriffsbeschränkung im HR-System, Protokollierung und ein dokumentierter Berechtigungsentzug nach Projektende. Ein Sonderfall wird oft übersehen: Gremien ohne Betriebsratsstatus — etwa Sprecherausschüsse — genießen nicht die Privilegierung des § 79a BetrVG und brauchen eine eigene datenschutzrechtliche Einordnung, bevor Entgeltdaten fließen.
Baustein 2: Information der Beschäftigten — vor dem ersten Audit
Art. 13 und 14 DSGVO verlangen, dass Beschäftigte über Zwecke, Rechtsgrundlagen, Datenkategorien, Empfänger und Speicherdauer informiert sind — bevor die Analyse läuft. Praktisch bewährt: die bestehende Beschäftigten-Datenschutzinformation um ein Modul „Entgelttransparenz" ergänzen und aktiv kommunizieren. Bei konzerninterner Datenerhebung greift zusätzlich Art. 14 DSGVO gegenüber Beschäftigten anderer Gesellschaften. Fehlende Information war in der Aufsichtspraxis bereits ein eigenständiger Beanstandungspunkt.
Baustein 3: Zweckbindung — die härteste Regel
Art. 12 Abs. 2 der EU-Entgelttransparenzrichtlinie bindet Daten aus Auskunftsprozessen, Berichten und gemeinsamen Entgeltbewertungen strikt an den Zweck der Entgeltgleichheit. Das bedeutet konkret: keine Weiterverwendung für Gehaltsrunden, keine Personalplanung auf Audit-Daten — und Klardaten niemals in einen M&A-Datenraum. Wer dieselben Ausgangsdaten für andere Zwecke braucht, setzt dafür eine eigene Verarbeitung mit eigener Rechtsgrundlage auf.
Baustein 4: Löschkonzept mit Augenmaß
Rohdaten-Schnappschüsse sind kein Archivgut. Als Praxiswert haben sich rund fünf Jahre Aufbewahrung nach dem Bericht etabliert, orientiert an Verjährungs- und Ausschlussfristen (§ 15 Abs. 4 AGG, § 61b ArbGG, tarifliche Ausschlussfristen) — dokumentiert im Löschkonzept. Dauerhaft aufbewahrt wird das, was die Analyse trägt: die Methodik und aggregierte Ergebnisse.
Sonderthema: Geschlechtsangaben und Kleinstgruppen
Das Geschlecht als solches ist kein Datum besonderer Kategorie. Angaben zur Geschlechtsidentität können es aber werden — sie lassen unter Umständen Rückschlüsse zu, die Art. 9 DSGVO unterfallen. Für Statistik und Auskünfte heißt das: kategoriale Erfassung strikt zweckgebunden halten und Kleinstgruppen — etwa eine einzelne diverse Person in einer Vergleichsgruppe — nie ausweisbar machen. Das gilt zusätzlich zum Kleingruppenschutz des § 12 Abs. 3 EntgTranspG.
Häufige Fragen
Dürfen Pay-Audit-Daten für M&A-Due-Diligence verwendet werden?
In den Datenraum gehören nur aggregierte, anonymisierte Kennzahlen — Klardaten aus dem Audit nicht. Die Zweckbindung des Art. 12 Abs. 2 ETRL geht insoweit auch einer Zweckänderung nach Art. 6 Abs. 4 DSGVO vor.
Müssen alle Beteiligten besonders zur Verschwiegenheit verpflichtet werden?
Empfehlenswert ja: projektbezogene Verschwiegenheitsverpflichtungen für HR-Team, Führungskräfte, Betriebsratsmitglieder und Dienstleister — zugleich eine technisch-organisatorische Maßnahme, die im Streitfall den Nachweis angemessener Schutzmaßnahmen erleichtert.
Was heißt das für unsere Tool-Auswahl?
Je weniger Stellen Entgeltdaten verlassen, desto kleiner die Angriffsfläche. Werkzeuge, die vollständig im eigenen Haus laufen und nichts hochladen, reduzieren Empfängerkreis, Übermittlungsfragen und Löschaufwand strukturell.