Wenn der Arbeitgeber die GB Psych selbst erhebt — wann beginnt der DSGVO-Verstoß?

1. Was die GB Psych datenschutzrechtlich ist

Die psychische Gefährdungsbeurteilung erhebt nach der GDA-Leitlinie systematisch Daten zu sechs Gestaltungsbereichen — Arbeitsinhalt und Arbeitsaufgabe, Arbeitsorganisation, Arbeitszeit, soziale Beziehungen, Arbeitsmittel, Arbeitsumgebung. Die wissenschaftlichen Standardinstrumente wie COPSOQ III fragen direkt nach Erschöpfung, Schlafstörungen, depressiver Verstimmung, Burnout-Symptomen.

Aus diesen Antworten lassen sich Rückschlüsse auf den körperlichen oder psychischen Zustand des Antwortenden ziehen — und damit greift Art. 9 (1) DSGVO (besondere Kategorien personenbezogener Daten). Der Europäische Datenschutzausschuss bestätigt in seinen Leitlinien zu Art. 9, dass auch indirekte Rückschlüsse auf den Gesundheitszustand erfasst sind. Die deutsche Datenschutzkonferenz (DSK) folgt dieser Linie.

Die Konsequenz: Verarbeitung ist grundsätzlich verboten und nur in den engen Ausnahmen des Art. 9 (2) DSGVO zulässig. Bei Beschäftigtendaten greift typischerweise lit. b — Erfüllung arbeitsrechtlicher Pflichten — konkretisiert durch § 26 BDSG und eine Betriebsvereinbarung nach Art. 88 DSGVO.

2. Das Trennungsprinzip: Wer sieht die Rohdaten?

Die GDA-Leitlinie verlangt Anonymität als methodische Grundvoraussetzung. Ohne sie wird der Fragebogen nachweislich verzerrt — Beschäftigte antworten sozial erwünscht, die Validität der Erhebung kollabiert. Datenschutzrechtlich verlangt Art. 25 DSGVO (privacy by design), dass Datenschutz technisch und organisatorisch eingebaut ist — nicht versprochen wird.

In der Eigenbau-Variante gibt es kein Trennungsprinzip: Wer die Erhebung organisiert, kann technisch auch die Rohdaten einsehen. Selbst wenn das organisatorisch verboten ist — die Möglichkeit reicht bereits aus, um das Anonymitätsversprechen rechtlich zu untergraben. Der Bundesbeauftragte für den Datenschutz und die Datenschutzkonferenz folgen hier einer einfachen Linie: Was technisch möglich ist, muss als Risiko gewertet werden.

In der Auftragsverarbeitung nach Art. 28 DSGVO liegt die Rohdaten-Schicht außerhalb des Arbeitgebers. Der Auftragsverarbeiter erhebt, anonymisiert nach technisch erzwungener Schwelle und übergibt nur Aggregate — der Arbeitgeber bleibt Verantwortlicher, hat aber strukturell keinen Rohdatenzugriff. Das ist die saubere Lösung, die der Gesetzgeber im Hinterkopf hatte.

3. Fünf typische Eigenbau-Konstellationen

Wo sitzen die Rohdaten in der Praxis? Eine ehrliche Aufstellung der gängigen Eigenbau-Setups und der jeweils typischen DSGVO-Probleme. Keine pauschale Verurteilung — sondern eine konkrete Aufstellung der Bauteile, die eine Aufsichtsbehörde bei einer Prüfung sehen will.

4. Welche Rechtsnormen gleichzeitig greifen

Die GB Psych ist datenschutzrechtlich kein Einzelverstoß-Kontext. Mehrere Rechtsregimes laufen parallel und greifen bei einer behördlichen Prüfung kumulativ:

Bei einer Aufsichtsprüfung greifen diese Normen unabhängig voneinander. Die Gewerbeaufsicht prüft das ArbSchG, die Datenschutzaufsicht des Landes prüft DSGVO und BDSG, der Betriebsrat hat eigenständige Unterlassungsansprüche aus dem BetrVG.

5. Die Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Die DSFA ist Pflicht, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko" für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Art-29-Datenschutzgruppe (heute EDSA) hat in WP 248 neun Kriterien entwickelt; ab zwei Treffern wird Hochrisiko vermutet. Die GB Psych trifft regelmäßig drei:

• Sensible Daten / besondere Kategorien: Gesundheitsdaten nach Art. 9 DSGVO
• Bewertung oder Einstufung: Belastungsfaktoren werden systematisch bewertet
• Daten von schutzbedürftigen Betroffenen: Beschäftigte gelten in der DSGVO-Praxis als schutzbedürftig wegen des Subordinationsverhältnisses

Die DSK nennt zudem in ihrer Muss-Liste DSFA die „Verarbeitung von Beschäftigtendaten zur Bewertung von Verhalten oder Leistung mit Rechts- oder ähnlich erheblicher Wirkung" explizit. GB-Psych-Erhebungen können diese Schwelle erreichen, sobald aus den Ergebnissen Maßnahmen für einzelne Tätigkeitsbereiche abgeleitet werden.

In der Praxis: Bei Eigenbau-Lösungen wird die DSFA so gut wie nie erstellt. Ihr Fehlen ist nach Art. 83 (4) lit. a DSGVO eigenständig bußgeldbewehrt — auch ohne dass ein konkreter Datenschutzvorfall vorliegt.

6. Mindestgruppengröße n ≥ 5 — Methodikregel oder Datenschutzpflicht?

Die GDA-Leitlinie und die einschlägigen wissenschaftlichen Verfahren (COPSOQ, BAuA-Toolbox) verlangen, dass Auswertungen erst ab einer Gruppengröße von typischerweise n ≥ 5 berichtet werden — manche Empfehlungen gehen auf n ≥ 10. Der Hintergrund ist statistisch und ethisch: Bei kleineren Gruppen lassen sich einzelne Antworten praktisch immer auf bestimmte Personen zurückführen.

Datenschutzrechtlich ist diese Schwelle keine Empfehlung, sondern Bedingung für Anonymität im Sinne von Erwägungsgrund 26 DSGVO. Wird sie nicht eingehalten, bleibt der Datensatz personenbezogen — und alle DSGVO-Pflichten greifen vollständig.

Der entscheidende Punkt im Eigenbau: In Excel oder einem Inhouse-Tool ist n ≥ 5 nur eine Soll-Regel. Wer die Datei öffnet, sieht alle Antworten — die Schwelle ist erst im Auswertungs-Bericht wirksam, nicht in der Datenhaltung. In einer Auftragsverarbeitung mit eingebauter Schwelle wird unterhalb von 5 schlicht nichts angezeigt; die Möglichkeit zur Re-Identifizierung existiert architektonisch nicht.

7. Was eine compliante Erhebung ausmacht

Aus Sicht der Aufsichtsbehörden ist eine professionelle Auftragsverarbeitung das saubere Modell — egal ob über einen externen Berater, einen wissenschaftlichen Dienstleister oder eine spezialisierte Software. Die Bauteile, die in jedem Fall sitzen müssen:

1. Architektonische Trennung von Erheber und Auswerter. Der Arbeitgeber sieht nur Aggregate, niemals Rohantworten. Die Trennung ist im System eingebaut, nicht im Versprechen.
2. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Schriftlich, mit allen Pflichtinhalten, Subprocessor-Liste, Weisungsrecht.
3. Technisch erzwungene n ≥ 5-Schwelle. Unterhalb der Schwelle wird im Bericht schlicht nichts angezeigt — die Anonymität ist dadurch architektonisch wirksam.
4. TOM nach Art. 32 DSGVO dokumentiert. Verschlüsselung, Zugriffsbeschränkung, Pseudonymisierung, Löschkonzept — schriftlich und prüfbar.
5. DSFA vor Beginn der Erhebung. Risikoanalyse, Konsultation des / der DSB, Eintragung im Verzeichnis von Verarbeitungstätigkeiten.
6. Betriebsvereinbarung nach § 87 BetrVG / Art. 88 DSGVO. Mitbestimmung des Betriebsrats und gleichzeitig Rechtsgrundlage nach Art. 88 DSGVO.
7. Information der Beschäftigten nach Art. 13 DSGVO. Vor Beginn der Befragung, transparent, mit allen Pflichtangaben.
8. Definierte Löschfristen. Rohdaten werden nach Auswertung gelöscht, nur Aggregate bleiben für die Dokumentationspflicht nach § 6 ArbSchG erhalten.

9. Drei Bußgeld-Stränge laufen parallel

Wer die GB Psych im Eigenbau erhebt und scheitert, riskiert nicht ein Bußgeld, sondern drei. Die Aufsichtsbehörden sind unabhängig voneinander zuständig, die Verfahren laufen parallel.

Hinzu kommen Schadensersatzansprüche einzelner Beschäftigter nach Art. 82 DSGVO — für materiellen und immateriellen Schaden — sowie Unterlassungsansprüche des Betriebsrats.

Häufige Fragen

Quellen und vertiefende Links