Mitarbeiterdaten und DSGVO: Profile, Signaturen und Karten

Wenn ein Unternehmen seine Mitarbeiter mit einheitlichen E-Mail-Signaturen oder digitalen Visitenkarten ausstattet, verarbeitet es personenbezogene Daten: Name und Funktion jeder Person, ihre Kontaktdaten, manchmal ihr Foto. Und diese Daten bleiben nicht intern: Sie werden veröffentlicht, versendet, mit Kunden geteilt.

Die DSGVO verbietet das nicht, ganz im Gegenteil: Es gehört zum normalen Geschäftsalltag. Sie verlangt lediglich, dabei methodisch vorzugehen. Dieser Artikel gibt einen Überblick, ohne Fachjargon. Er ersetzt nicht die Einschätzung Ihres Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Mitarbeiterdaten und DSGVO: worum es geht

Eine Signatur oder eine digitale Visitenkarte enthält in der Regel:

• die Identität: Vorname, Nachname, gegebenenfalls ein Foto;
• das Berufsleben: Funktion, Abteilung, Standort;
• die Kontaktdaten: berufliche E-Mail-Adresse, Durchwahl, berufliches Mobiltelefon;
• Links: LinkedIn-Profil, Netzwerke des Unternehmens.

Das sind personenbezogene Daten im Sinne der DSGVO, auch wenn sie beruflich sind. Die Regeln gelten also, mit einigen Nuancen je nach Datum.

Auf welcher Rechtsgrundlage diese Daten veröffentlichen

Die DSGVO (Artikel 6) verlangt, dass jede Verarbeitung auf einer Rechtsgrundlage beruht. Für berufliche Kontaktdaten stützt sich der Arbeitgeber in der Regel auf die Erfüllung des Arbeitsvertrags oder auf sein berechtigtes Interesse: Ein Vertriebsmitarbeiter muss für seine Kunden erreichbar sein, das ist der Kern seiner Funktion.

Zwei Fälle verdienen mehr Aufmerksamkeit:

• Das Foto. Es fällt auch unter das Recht am eigenen Bild. In der Praxis setzt die Verbreitung des Porträts eines Beschäftigten auf einem öffentlichen Medium seine Zustimmung voraus, freiwillig und für bestimmte Zwecke erteilt. Ein Beschäftigter muss ohne Folgen ablehnen und seine Zustimmung später widerrufen können.
• Die private Mobilnummer. Sie gehört nicht auf ein berufliches Medium, außer auf ausdrücklichen Wunsch der Person.

Die CNIL (französische Datenschutzbehörde) hat einen Referenzrahmen zur Personalverwaltung mit einem FAQ veröffentlicht, der für jeden gängigen Zweck die möglichen Rechtsgrundlagen erläutert: Er ist über ihre Seite La gestion des ressources humaines abrufbar.

Die Grundsätze für den Alltag

Artikel 5 der DSGVO stellt einige Grundsätze auf, die, auf Signaturen und Karten angewandt, sehr konkret werden.

1. Datenminimierung: Veröffentlichen Sie nur, was nützt. Eine Funktion und eine Durchwahl, ja; ein Geburtsdatum, nein.
2. Richtigkeit: Ein veröffentlichtes Datum muss aktuell sein. Eine Signatur mit einem alten Titel oder einer Nummer, die inzwischen jemand anderem gehört, ist ein echtes Problem, nicht nur eine Imagefrage.
3. Speicherbegrenzung: Wenn ein Mitarbeiter geht, müssen seine Profilseite, seine Karte und seine Signatur deaktiviert werden. Die CNIL hat 2026 einen Referenzrahmen für die Aufbewahrungsfristen von Personaldaten veröffentlicht.
4. Sicherheit (Artikel 32): Der Zugang zum Tool, das diese Daten verwaltet, muss geschützt sein, und jeder darf nur ändern können, was ihn betrifft.

Die Mitarbeiter informieren

Artikel 13 der DSGVO verpflichtet dazu, die betroffenen Personen zu informieren. Konkret: Informieren Sie Ihre Mitarbeiter

• darüber, was veröffentlicht wird und wo (Signatur, Online-Seite, Wallet-Karte);
• über den Grund dieser Veröffentlichung;
• über das verwendete Tool und den Ort, an dem die Daten gehostet werden;
• über ihre Rechte: Auskunft, Berichtigung, gegebenenfalls Widerspruch, und Widerruf der Zustimmung für das Foto.

Eine interne Mitteilung, ein Hinweis in der IT-Richtlinie oder in der Willkommensmappe genügt oft. Denken Sie daran, die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) zu erfassen.

Den Dienstleister auswählen und vertraglich absichern

Wenn ein externes Tool die Signaturen oder Karten verwaltet, ist dieser Dienstleister in der Regel Ihr Auftragsverarbeiter im Sinne von Artikel 28 DSGVO. Sie bleiben der Verantwortliche. Prüfen Sie:

• dass ein Vertrag oder Bedingungen die Verarbeitung regeln (Gegenstand, Dauer, Sicherheit, Verbleib der Daten am Ende);
• die Liste seiner eigenen Unterauftragsverarbeiter (Hosting, E-Mail-Versand, Zahlung);
• den Ort, an dem die Daten gehostet werden, und ob Übermittlungen außerhalb der Europäischen Union stattfinden;
• die Möglichkeit, die Daten am Vertragsende zurückzuerhalten und zu löschen.

Die Frage des Hostings verdient einen eigenen Artikel: siehe warum ein souveränes Hosting.

Und die Daten der Besucher?

Eine digitale Visitenkarte kann auch Daten erheben: Aufrufstatistiken, von einem Interessenten hinterlassene Kontaktdaten. Zwei Punkte verdienen Aufmerksamkeit:

• Die Reichweitenmessung: Tracker, die auf dem Telefon des Besuchers abgelegt werden, erfordern grundsätzlich seine Einwilligung, außer bei einer streng eingegrenzten Reichweitenmessung, die die CNIL davon ausnimmt.
• Die von Interessenten hinterlassenen Kontaktdaten: Sie müssen mit einer klaren Information erhoben werden, und das Unternehmen muss nachweisen können, was die Person akzeptiert hat.

Häufige Fehler

• Das Foto veröffentlichen, ohne zu fragen: Dabei ist es die am einfachsten einzuholende Zustimmung, gleich beim Fototermin.
• Die Austritte vergessen: eine Profilseite, die sechs Monate nach einem Austritt noch online ist, mit einer neu vergebenen Nummer.
• Jeden sein Tool wählen lassen: Beschäftigtendaten, verstreut über mehrere kostenlose Dienste, ohne Vertrag und ohne Überblick.
• Den Teams nichts sagen: Die Information ist eine Pflicht und ein Garant für Akzeptanz.

Was Profiles Flow tut

Profiles Flow wurde mit diesen Regeln im Blick entwickelt, ohne den Anspruch, Ihre Compliance an Ihrer Stelle zu übernehmen.

• Getrennte Rollen: Ein Benutzer sieht und ändert nur sein eigenes Profil; ein Redakteur verwaltet die Profile des Unternehmens; ein Administrator verwaltet zusätzlich das Unternehmen, die Module und die Rollen. Ein Mitarbeiter kann auch seine Karte haben, ohne jeden Zugang zur Oberfläche.
• Anmeldung ohne Passwort, per Einmalcode, der per E-Mail gesendet wird, oder per Passkey.
• Austritte: Der Schalter „Aktiviert“ im Profil deaktiviert das Profil; mit der Active-Directory-Synchronisierung werden die Karten ausgeschiedener Personen automatisch deaktiviert, nie ohne Sie gelöscht.
• Statistiken ohne Cookie: kein Cookie, keine gespeicherte IP-Adresse, ein Fingerabdruck, der sich jeden Tag ändert. Kein Banner nötig.
• Leads: Der vom Interessenten akzeptierte Einwilligungstext wird so gespeichert, wie er angezeigt wurde, mit Datum und Uhrzeit der Annahme.

Vertraglich ist Ihr Unternehmen Verantwortlicher für die Profile, die Benutzer und die Leads; Profiles Flow ist Auftragsverarbeiter im Sinne von Artikel 28 und veröffentlicht die datierte Liste seiner Unterauftragsverarbeiter. Die Daten können bis 30 Tage nach Ende des Abonnements auf Anfrage abgerufen werden und werden dann gelöscht. Das Hosting ist auf der Seite souveräne Cloud beschrieben.

Häufige Fragen

Möchten Sie sehen, wie Ihre Daten dort organisiert sind? Profiles Flow gibt es als kostenlose Testphase über 30 Tage, ohne Kreditkarte.