bAV-Daten gehören zu den sensibelsten Personaldaten überhaupt: Gesundheitszustand (z. B. bei Hinterbliebenenversorgung), Familienstand, Bankverbindungen, Gehaltsdaten. Die DSGVO-Anforderungen sind entsprechend hoch.
Pflichten des Arbeitgebers
- Auftragsverarbeitungsvertrag (AVV) mit jedem Dienstleister.
- Technisch-organisatorische Maßnahmen (TOMs) dokumentieren.
- Verarbeitungsverzeichnis für die bAV führen.
- Datenschutzerklärung für Mitarbeitende klar formulieren.
- Lösch- und Auskunftspflichten umsetzen.
Anbieterwahl: Worauf achten?
Hosting in Deutschland (z. B. AWS Frankfurt), ISO-27001-Zertifizierung, Verschlüsselung in transit & at rest, regelmäßige Penetrationstests, ein konsistentes RLS-Modell auf Datenbankebene.