Entgeltanalyse und Datenschutz: Pseudonymisierung, Sechs-Personen-Regel, Löschfristen

Lohndaten sind personenbezogene Daten — und die Entgeltanalyse ist nur dann rechtssicher, wenn Datenschutz von Anfang an mitgedacht wird. Rechtsgrundlagen, Zweckbindung nach Art. 12 der Richtlinie, warum keine Namen nötig sind, wie kleine Gruppen geschützt werden und welche Rolle Auftragsverarbeitung und Betriebsrat spielen.

Kaum ein Datenbestand im Unternehmen ist sensibler als die Gehaltsliste. Wer sie für den Entgeltbericht auswertet, bewegt sich zugleich in zwei Rechtsgebieten: Die Entgelttransparenzrichtlinie verlangt die Analyse, die Datenschutz-Grundverordnung setzt ihr den Rahmen. Beides passt gut zusammen — wenn einige Grundsätze von Beginn an eingehalten werden. Dieser Beitrag ordnet sie.

Rechtsgrundlage und Zweckbindung

Entgeltdaten und das Geschlecht sind personenbezogene Daten, aber keine besonderen Kategorien im Sinne des Art. 9 DSGVO — die strengen Sonderregeln für Gesundheits- oder Religionsdaten greifen nicht. Als Rechtsgrundlage der Verarbeitung kommt nach Inkrafttreten des deutschen Umsetzungsgesetzes die rechtliche Verpflichtung in Betracht (Art. 6 Abs. 1 lit. c DSGVO); bis dahin tragen die Beschäftigtendatenverarbeitung nach § 26 BDSG und das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) die vorbereitende Analyse — die Pflichten aus Art. 7 und dem Entgelttransparenzgesetz 2017 bestehen ohnehin schon.

Die Richtlinie selbst enthält in Art. 12 eine eigene Datenschutznorm mit einer klaren Zweckbindung: Daten, die für Auskünfte, Berichte oder die gemeinsame Entgeltbewertung erhoben werden, dürfen ausschließlich für die Durchsetzung der Entgeltgleichheit verwendet werden. Eine Zweitverwertung — etwa für Leistungsbeurteilungen oder Kündigungsentscheidungen — ist gesperrt. Das gehört ausdrücklich in die interne Dokumentation und in jede Vereinbarung mit Dienstleistern.

Datenminimierung: Namen braucht die Analyse nicht

Der wirksamste Datenschutz ist der Verzicht auf Daten. Für sämtliche Kennzahlen des Art. 9 genügt je beschäftigter Person: eine Personalnummer oder ein Pseudonym, das Geschlecht, die vertragliche Arbeitszeit, die Entgeltbestandteile des Berichtsjahres und die Tätigkeit beziehungsweise Vergleichsgruppe — für die bereinigte Analyse zusätzlich Geburtsjahr, Eintrittsdatum, Ausbildung und Ebene. Name, Adresse, Bankverbindung, Sozialversicherungsnummer: alles entbehrlich.

Das ist mehr als eine Formalie. Pseudonymisierte Daten bleiben zwar personenbezogen (der Arbeitgeber kann die Personalnummer auflösen), aber das Risiko jeder Übertragung und jeder Auswertung sinkt erheblich — und die Hemmschwelle im Haus ebenso: Eine Tabelle ohne Namen kann die Lohnbuchhaltung leichter herausgeben, der Betriebsrat leichter prüfen, ein Werkzeug leichter verarbeiten. Lohngleich nimmt aus diesem Grund grundsätzlich keine Namen an; die Importvorlage enthält schlicht kein Namensfeld.

Kleine Gruppen: die Sechs-Personen-Regel

Aggregierte Kennzahlen können Personenbezug zurückgewinnen, wenn die Gruppe klein ist: Das „Durchschnittsentgelt der weiblichen Führungskräfte" ist bei genau einer weiblichen Führungskraft ihr Gehalt. Das deutsche Recht kennt dafür seit 2017 einen handfesten Maßstab: § 12 Abs. 3 EntgTranspG lässt die Auskunft über Vergleichsentgelte nur zu, wenn die Vergleichsgruppe mindestens sechs Beschäftigte des jeweiligen Geschlechts umfasst.

Für die Praxis heißt das: In Auskünften nach Art. 7 werden Durchschnittswerte nur ausgewiesen, wenn beide Geschlechter mit mindestens sechs Personen vertreten sind. Im Bericht selbst werden kleine Gruppen gerechnet, aber gekennzeichnet — ihre Werte sind statistisch ohnehin kaum belastbar. Und in der internen Kommunikation der Ergebnisse (Präsentationen, Aushänge) gehören Kennzahlen kleiner Gruppen nicht in die Fläche. Lohngleich markiert kleine Gruppen automatisch und lässt sie in Auskunftstexten weg.

Speicherung, Löschung, Übermittlung

Drei Betriebsfragen entscheiden über das reale Schutzniveau:

Wo liegen die Daten? Für Lohndaten deutscher Beschäftigter ist die Verarbeitung auf Servern in Deutschland oder der EU der Normalfall, der keine Drittlandsprüfungen nach sich zieht. Verschlüsselung bei Übertragung und Speicherung ist Stand der Technik und bei diesem Datenbestand schlicht Pflicht (Art. 32 DSGVO).

Wie lange? Die Rohdaten der Analyse werden nicht ewig gebraucht: Nach der Berechnung genügen die aggregierten Kennzahlen für Bericht und Kommunikation. Eine feste Löschfrist für die Personendaten — bei Lohngleich 90 Tage, auf Wunsch sofort — setzt die Speicherbegrenzung um. Aufzubewahren sind dagegen die Ergebnisse: Art. 9 Abs. 9 verlangt auf Anfrage die Berichte der vier Vorjahre, und Begründungen nach Art. 10 müssen über die Sechs-Monats-Frist hinaus nachweisbar bleiben. Kennzahlen ohne Personenbezug dürfen bleiben; Einzeldaten gehen.

Wer verarbeitet? Wird ein externes Werkzeug oder ein Lohnbüro eingeschaltet, liegt eine Auftragsverarbeitung vor — ein Vertrag nach Art. 28 DSGVO ist Pflicht, mit den üblichen Garantien zu Weisungsbindung, Unterauftragnehmern, Löschung und Kontrollrechten. Bei Lohngleich ist der Auftragsverarbeitungsvertrag Bestandteil der AGB; ein separates Papier ist nicht nötig.

Eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) ist für die systematische Auswertung von Vergütungsdaten größerer Belegschaften die vorsichtige und meist richtige Wahl. Sie ist keine Hürde, sondern eine strukturierte Dokumentation von Zweck, Rechtsgrundlage, Risiken und Abhilfen — das meiste davon entsteht bei sauberer Projektplanung ohnehin. Eine auf den Einsatz von Lohngleich zugeschnittene, vorausgefüllte Vorlage können Sie kostenlos herunterladen: DSFA-Vorlage.

Die Rolle des Betriebsrats

Der Betriebsrat ist beim Thema doppelt beteiligt: Er hat nach § 80 Abs. 2 BetrVG Einblick in die Bruttoentgeltlisten, und der Einsatz einer Analysesoftware, die Beschäftigtendaten verarbeitet, unterliegt regelmäßig der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Der bewährte Rahmen dafür ist eine Betriebsvereinbarung, die Zweck, Datenumfang, Zugriffe, Löschfristen und den Ausschluss von Verhaltenskontrolle festschreibt — Details und ein Muster im Beitrag Die Betriebsvereinbarung zur Entgeltanalyse-Software. Richtig aufgesetzt, ist der Datenschutz hier kein Konfliktfeld, sondern die gemeinsame Basis: Auch der Betriebsrat will die Analyse — auf sauberen Daten, ohne Namen, mit klaren Regeln.

FAQ

Dürfen wir das Geschlecht überhaupt erfassen?

Ja — für die Zwecke der Entgeltgleichheit ist es sogar erforderlich; ohne Geschlechtsangabe gibt es keine der Kennzahlen. Art. 3 Abs. 3 der Richtlinie stellt zugleich klar, dass keine weiteren Diskriminierungsmerkmale erhoben werden müssen. Beschäftigte mit der Angabe „divers" werden in Kopfzahlen und Quartilen geführt, im binären Frauen-Männer-Gefälle rechnerisch nicht.

Muss jede beschäftigte Person einwilligen?

Nein. Die Verarbeitung stützt sich auf gesetzliche Grundlagen, nicht auf Einwilligungen — die im Beschäftigungsverhältnis ohnehin selten freiwillig wären. Transparenz gehört trotzdem dazu: Die Informationspflichten nach Art. 13/14 DSGVO deckt ein Absatz in den Datenschutzhinweisen für Beschäftigte ab.

Was ist mit dem Steuerberater, der die Lohndaten liefert?

Der Export aus dem Lohnsystem an den eigenen Arbeitgeber ist unproblematisch — es sind dessen Daten. Achten Sie auf den Übertragungsweg: verschlüsselte Übermittlung statt unverschlüsselter E-Mail-Anhänge, und auf das Format ohne Namen, siehe Lohndaten exportieren.

Stand: 25.08.2026. Grundlage: Richtlinie (EU) 2023/970, Bericht der Expertenkommission des Bundes vom 24.10.2025, Entgelttransparenzgesetz 2017 und die im Text genannte Rechtsprechung. Kein Ersatz für Rechtsberatung im Einzelfall.