DATENSCHUTZ-FOLGENABSCHÄTZUNG (Art. 35 DSGVO) — VORLAGE
Verarbeitung: Entgeltanalyse und Entgeltbericht nach der Richtlinie (EU) 2023/970 mit Lohngleich

Stand der Vorlage: 27.08.2026. Diese Vorlage ist auf den Einsatz von Lohngleich
(lohngleich.de) zugeschnitten. Die kursiv beschriebenen Stellen [in eckigen Klammern]
füllt das verantwortliche Unternehmen aus. Die Vorlage ersetzt keine Rechtsberatung;
Datenschutzbeauftragte/r ist nach Art. 35 Abs. 2 DSGVO zu Rate zu ziehen.

------------------------------------------------------------------------
1. VERANTWORTLICHER UND BETEILIGTE

Verantwortlicher:            [Firma, Anschrift]
Datenschutzbeauftragte/r:    [Name, Kontakt] — beteiligt am: [Datum]
Fachbereich:                 [HR / Personal]
Auftragsverarbeiter:         Atemis GmbH (Lohngleich), Vertrag nach Art. 28 DSGVO
                             (Bestandteil der AGB, abrufbar unter lohngleich.de/agb)
Arbeitnehmervertretung:      [Betriebsrat beteiligt am … / Betriebsvereinbarung vom …]

2. BESCHREIBUNG DER VERARBEITUNG (Art. 35 Abs. 7 lit. a)

Zweck: Erfüllung der Pflichten aus der Richtlinie (EU) 2023/970 und dem
Entgelttransparenzgesetz: Berechnung der Entgeltkennzahlen (Art. 9 Abs. 1 lit. a–g),
Bildung von Gruppen gleichwertiger Arbeit (Art. 4), Beantwortung von
Auskunftsverlangen (Art. 7), Dokumentation von Begründungen (Art. 10),
ergänzend die bereinigte Entgeltanalyse (Regression nach Logib-Verfahren).

Datenkategorien (je Beschäftigtem, pseudonymisiert):
- Personalnummer (Pseudonym; die Auflösungstabelle verbleibt beim Verantwortlichen)
- Geschlecht, Geburtsjahr, Eintrittsdatum, Beschäftigungsmonate im Berichtsjahr
- vertragliche Wochenarbeitszeit, betriebsübliche Vollzeit
- Grundentgelt und variable/ergänzende Bestandteile (Jahresbeträge brutto)
- Tätigkeitsbezeichnung, ggf. Vergleichsgruppe/Tarifgruppe, Führungsebene,
  Anforderungsniveau, Ausbildung, Abteilung, Standort, Gesellschaft
Ausdrücklich NICHT verarbeitet: Namen, Adressen, Bankdaten, Sozialversicherungs-
nummern, besondere Kategorien nach Art. 9 DSGVO.

Betroffene: Beschäftigte des Verantwortlichen ([Anzahl] Personen).

Ablauf: Export aus dem Lohnsystem ohne Namen → verschlüsselte Übertragung (TLS)
→ Berechnung → verschlüsselte Speicherung der Rohdaten (AES, Server in
Deutschland) → Bericht (PDF/Excel) → automatische Löschung der Rohdaten nach
90 Tagen oder sofort auf Veranlassung des Verantwortlichen; aggregierte
Kennzahlen ohne Personenbezug bleiben für die Vierjahres-Rückschau
(Art. 9 Abs. 9) erhalten. Für die KI-gestützte Tätigkeitsbewertung werden
ausschließlich Tätigkeitsbezeichnungen (ggf. Abteilung/Ebene) verarbeitet —
niemals Entgelte, Geschlecht oder Personalnummern.

3. RECHTSGRUNDLAGE UND ERFORDERLICHKEIT (Art. 35 Abs. 7 lit. b)

Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO i. V. m. den Pflichten aus der
Richtlinie (EU) 2023/970 bzw. dem EntgTranspG; bis zum deutschen
Umsetzungsgesetz ergänzend § 26 BDSG und Art. 6 Abs. 1 lit. f DSGVO
(berechtigtes Interesse: Vorbereitung gesetzlicher Berichtspflichten,
Herstellung von Entgeltgleichheit). Zweckbindung nach Art. 12 Abs. 2 der
Richtlinie: Nutzung ausschließlich zur Durchsetzung der Entgeltgleichheit;
keine Verwendung für Leistungs- oder Verhaltensbewertung oder personelle
Einzelmaßnahmen.

Erforderlichkeit/Verhältnismäßigkeit: Die Kennzahlen sind ohne die genannten
Daten nicht berechenbar. Datenminimierung ist umgesetzt (keine Namen, nur
erforderliche Felder, feste Löschfristen). Mildere Mittel (rein manuelle
Auswertung) böten kein geringeres Risiko, sondern mehr Kopien und Zugriffe.

4. RISIKEN FÜR DIE BETROFFENEN (Art. 35 Abs. 7 lit. c)

R1 Wiederidentifizierung trotz Pseudonymisierung, insbesondere in kleinen
   Gruppen (z. B. einzige weibliche Führungskraft).            Risiko: mittel
R2 Unbefugter Zugriff auf Entgeltdaten (Übertragung/Speicher). Risiko: mittel
R3 Zweckänderung (Nutzung der Analyse für Personalentscheide). Risiko: gering
R4 Fehlerhafte Kennzahlen mit Folgewirkung (falsche Auskünfte,
   unbegründete Verdachtslage).                                Risiko: gering

5. ABHILFEMASSNAHMEN (Art. 35 Abs. 7 lit. d)

Zu R1: Keine Namen im System; Sechs-Personen-Regel (§ 12 Abs. 3 EntgTranspG):
  Auskünfte nur bei mindestens sechs Personen je Geschlecht in der Gruppe,
  kleine Gruppen im Bericht gekennzeichnet; Ergebnisse kleiner Gruppen werden
  nicht breit kommuniziert.
Zu R2: TLS-Übertragung; Speicherung AES-verschlüsselt auf Servern in
  Deutschland (Hetzner, Nürnberg); Zugriff nur für benannte Rollen
  ([Rollen eintragen]); Anmeldebremse und Sitzungsschutz; tägliche
  verschlüsselte Sicherungen; Löschung der Rohdaten nach 90 Tagen oder sofort.
Zu R3: Zweckbindungsklausel (Art. 12 Abs. 2 der Richtlinie), Verwertungsverbot
  in der Betriebsvereinbarung ([Datum]); Ereignisprotokoll der Zugriffe.
Zu R4: Offengelegte Methodik (lohngleich.de/methodik), Kennzahlen gegen
  handgerechnete Referenzdatensätze getestet; jede Tätigkeitsbewertung mit
  Begründung ausgewiesen und durch den Verantwortlichen änderbar.

6. BEWERTUNG UND ERGEBNIS

Nach Umsetzung der Maßnahmen verbleibt ein [geringes] Restrisiko. Die
Verarbeitung ist verhältnismäßig und kann durchgeführt werden. Eine
Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO ist [nicht] erforderlich.

Ort, Datum: ____________________  Verantwortlicher: ____________________

Datenschutzbeauftragte/r (Stellungnahme nach Art. 35 Abs. 2): ____________

7. ÜBERPRÜFUNG

Diese DSFA wird überprüft bei: Änderung des Datenumfangs, neuen
Verarbeitungszwecken, Wechsel des Auftragsverarbeiters, Inkrafttreten des
deutschen Umsetzungsgesetzes — spätestens nach [12] Monaten.