Ist 360°-Feedback DSGVO-konform? Was HR vor dem Start klären muss

Vorab in aller Klarheit: Dieser Beitrag ist keine Rechtsberatung. Er beschreibt die datenschutzrechtlichen Fragen, die HR vor einem 360°-Feedback klären sollte, und verweist auf die amtlichen Texte. Was für Ihre Organisation richtig ist, hängt von Zweck, Zielgruppe, Mitbestimmung und Risiko ab – und gehört zu Ihrer oder Ihrem Datenschutzbeauftragten, wo nötig zu einer Anwältin oder einem Anwalt.

Warum ein 360°-Feedback ein Datenschutzvorhaben ist

Ein 360°-Feedback erhebt Einschätzungen zu einer Person und ist damit fast vollständig personenbezogen. Die Daten der Führungskraft liegen auf der Hand: Name, Rolle, Selbsteinschätzung, aggregierte Fremdeinschätzungen, Freitext über sie. Weniger offensichtlich: Jede Antwort ist zugleich ein personenbezogenes Datum der Person, die sie gegeben hat. Feedbackgebende sind Betroffene im Sinne der DSGVO, nicht nur Datenquellen. Die Prüfliste liefert Art. 5 DSGVO: Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung – und die Rechenschaftspflicht, die Einhaltung nachweisen zu können.

DefinitionPersonenbezogene Daten im 360°-Feedback

Alle Angaben zu einer identifizierten oder identifizierbaren Person. Bei der Führungskraft: Stammdaten, Selbsteinschätzung, Gruppenmittelwerte, Freitext über sie. Bei den Feedbackgebenden: Zuordnung (Vorgesetzte, Peers, direkt zugeordnete Mitarbeitende), Einzelantworten, Bearbeitungsstatus. Aggregation schützt Antworten vor der Führungskraft – anonym im Sinne der DSGVO werden sie in der Datenbank des Anbieters dadurch nicht.

Rechtsgrundlage: Vertrag, berechtigtes Interesse, § 26 BDSG – und warum Einwilligung fragil ist

Nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn eine der dort genannten Grundlagen greift. Für ein 360° im Beschäftigungsverhältnis werden vor allem drei diskutiert: Vertrag (lit. b), berechtigtes Interesse mit dokumentierter Abwägung (lit. f) und in Deutschland § 26 BDSG, erlassen auf Grundlage der Öffnungsklausel des Art. 88 DSGVO. Die Einwilligung (lit. a) ist im Arbeitsverhältnis die fragilste Option.

Warum die Einwilligung so fragil ist, begründet die Artikel-29-Datenschutzgruppe in ihrer Stellungnahme 2/2017 zur Datenverarbeitung am Arbeitsplatz (WP 249): Wegen des Machtungleichgewichts können Beschäftigte nur in Ausnahmefällen frei einwilligen – wenn eine Ablehnung keine Nachteile hat. Vertrag und berechtigtes Interesse tragen nur, wenn die Verarbeitung tatsächlich erforderlich, verhältnismäßig und das mildeste Mittel ist.

Die Stellungnahme stammt aus der Zeit vor Geltung der DSGVO und gehört nicht zu den Dokumenten, die der Europäische Datenschutzausschuss 2018 förmlich übernommen hat; Aufsichtsbehörden greifen dennoch auf sie zurück. § 26 Abs. 2 BDSG ergänzt: Freiwilligkeit ist unter Berücksichtigung der Abhängigkeit zu beurteilen und kann insbesondere vorliegen, wenn Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erlangen.

Deutsche Besonderheit: § 26 BDSG nach dem EuGH-Urteil C-34/21

Der EuGH hat am 30. März 2023 (C-34/21) entschieden: Eine nationale Norm, die nur die Erforderlichkeit aus Art. 6 Abs. 1 lit. b oder e DSGVO wiederholt, ist keine „spezifischere Vorschrift“ nach Art. 88 Abs. 1 DSGVO und bleibt unangewendet, sofern sie nicht eigenständig als Rechtsgrundlage nach Art. 6 Abs. 3 taugt. Betroffen war eine hessische Norm mit dem Wortlaut des § 26 Abs. 1 BDSG; nach überwiegender Lesart gilt das auch für § 26 Abs. 1 Satz 1 BDSG. Wer ein 360° allein auf § 26 BDSG stützt, steht auf dünnem Eis: Verankern Sie es zusätzlich in Art. 6 Abs. 1 lit. b oder f DSGVO und, wo ein Betriebsrat besteht, in einer Betriebsvereinbarung.

Was die Mitbestimmung nach § 87 Abs. 1 Nr. 6 und § 94 BetrVG für ein solches Vorhaben bedeutet, beschreibt 360°-Feedback und Betriebsrat.

Zweckbindung: Entwicklung oder Beurteilung?

Die wichtigste Weiche ist der Zweck. Art. 5 Abs. 1 lit. b DSGVO verlangt festgelegte, eindeutige und legitime Zwecke und verbietet eine unvereinbare Weiterverarbeitung. Ein 360° zur Entwicklung, dessen Ergebnisse nur die Führungskraft und ihre Beraterin oder ihr Berater sehen, ist ein anderes Vorhaben als ein Beurteilungssystem, dessen Werte in Vergütungs-, Beförderungs- oder Trennungsentscheidungen einfließen – es verändert Abwägung, Mitbestimmung, Risiko und die Ehrlichkeit der Feedbackgebenden. Legen Sie den Zweck schriftlich fest, bevor Sie einladen.

Dazu kommt Art. 22 DSGVO: Niemand darf einer Entscheidung unterworfen werden, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruht und rechtliche Wirkung entfaltet oder die Person ähnlich erheblich beeinträchtigt. Ein 360°-Ergebnis darf nicht die alleinige Grundlage einer automatisierten Beförderungs- oder Auswahlentscheidung sein, sofern nicht eine Ausnahme nach Art. 22 Abs. 2 greift und die Garantien des Abs. 3 – menschliches Eingreifen, Anfechtung – gewahrt sind. Wer die Ergebnisse sieht: Kann HR individuelle 360°-Ergebnisse sehen?

Transparenz und Betroffenenrechte: Art. 13 und das Auskunftsrecht

Werden Daten bei der betroffenen Person erhoben, ist sie dabei zu informieren (Art. 13 DSGVO) – unter anderem über Zweck und Rechtsgrundlage (Abs. 1 lit. c) und, bei berechtigtem Interesse, über dieses Interesse (lit. d). Das gilt für die Führungskraft bei der Selbsteinschätzung wie für jede Feedbackgeberin und jeden Feedbackgeber bei der Einladung. Die Datenschutzerklärung des Anbieters ersetzt das nicht: Verantwortlich ist Ihre Organisation, der Anbieter ist Auftragsverarbeiter.

Die schwierigste Frage ist das Auskunftsrecht. Die Führungskraft hat Anspruch auf Auskunft über die zu ihrer Person verarbeiteten Daten – Fremdeinschätzungen eingeschlossen. Dieselben Antworten sind aber personenbezogene Daten der Feedbackgebenden, denen Anonymität zugesagt wurde. Beide Positionen sind legitim; die Spannung lässt sich nur im Einzelfall abwägen. Vorab festlegen: in welcher Form Auskunft erteilt wird (etwa Gruppenwerte und ungekennzeichneter Freitext wie im Bericht), wer den Antrag bearbeitet, wie mit Freitext umgegangen wird, der eine Person erkennbar macht, und wie die Feedbackgebenden darüber informiert werden. Wie Anonymität technisch entsteht: Ist 360°-Feedback anonym?

Datenschutz-Folgenabschätzung: wann sie wahrscheinlich ist

Art. 35 Abs. 1 DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA) vor der Verarbeitung, wenn diese – insbesondere bei neuen Technologien und nach Art, Umfang, Umständen und Zwecken – voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Ausdrücklich genannt ist die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die Entscheidungen mit Rechtswirkung oder ähnlicher Erheblichkeit begründet (Abs. 3 lit. a). Ob ein rein entwicklungsorientiertes 360° darunter fällt, entscheiden die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4, in Deutschland abgestimmt von der Datenschutzkonferenz (DSK) der Aufsichtsbehörden des Bundes und der Länder.

• Wahrscheinlicher wird eine DSFA, wenn Ergebnisse in Beurteilungs-, Vergütungs- oder Auswahlentscheidungen einfließen;
• wenn viele Führungskräfte wiederholt bewertet und Profile über Zyklen verknüpft werden;
• wenn Freitext automatisiert ausgewertet oder mit weiteren HR-Daten verknüpft wird;
• wenn Fragen zu Belastung und Erholung – etwa zu Well-being – gestellt werden, deren Nähe zu Gesundheitsdaten Sie mit Ihrer Datenschutzberatung bewerten sollten.

Verlangen Sie vom Anbieter Unterstützung – Art. 28 Abs. 3 lit. f DSGVO verpflichtet den Auftragsverarbeiter, den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 zu unterstützen, die DSFA eingeschlossen – und eine Beschreibung der Verarbeitung: Datenkategorien, Speicherorte, Unterauftragsverarbeiter, Anonymitätsmechanik, Löschkonzept. Dokumentieren Sie auch ein „nicht erforderlich“ mit Begründung.

Auftragsverarbeiter, Hosting und Speicherfristen

Ein 360°-Anbieter verarbeitet die Daten in Ihrem Auftrag; Art. 28 DSGVO verlangt dafür einen Vertrag zur Auftragsverarbeitung (AVV) mit den Pflichten des Auftragsverarbeiters. Fragen Sie konkret: Wo laufen Datenbank, Authentifizierung, Dateien und Anwendung? Welche Unterauftragsverarbeiter gibt es, verarbeitet einer Daten außerhalb der EU – auf welcher Grundlage? Werden Freitexte von Dritten oder KI-Diensten verarbeitet? Wer das nicht in einer Liste beantworten kann, ist für eine DSFA nicht bereit.

Speicherfristen werden am häufigsten vertagt. Legen Sie je Datenkategorie fest, wie lange sie für den Zweck erforderlich ist – Einladungs- und Statusdaten, Einzelantworten, Berichte, Freitext, Protokolle. Ein Bericht, den die Führungskraft über Zyklen vergleichen möchte, braucht eine andere Frist als die Rohantworten dahinter. Halten Sie die Fristen im AVV und in der Betroffeneninformation fest, samt Regel für Ausscheiden und Vertragsende.

Checkliste vor dem Start

1. Zweck schriftlich festlegen – Entwicklung, keine Beurteilung – und Zweckänderung ausschließen.
2. Rechtsgrundlage dokumentieren, inklusive Interessenabwägung; § 26 BDSG nicht allein tragen lassen.
3. Betriebsrat einbinden: § 87 Abs. 1 Nr. 6 und § 94 BetrVG prüfen, Betriebsvereinbarung verhandeln – siehe 360°-Feedback und Betriebsrat.
4. Information nach Art. 13 getrennt für Führungskräfte und Feedbackgebende, inklusive Anonymitätsregeln.
5. Umgang mit Auskunftsanträgen festlegen, bevor der erste eingeht.
6. DSFA-Erfordernis prüfen und das Ergebnis dokumentieren – auch ein Nein.
7. AVV schließen, Unterauftragsverarbeiter, Speicherorte, Drittlandtransfers prüfen.
8. Speicher-, Lösch- und Zugriffsregeln festhalten: Fristen je Datenkategorie, und wer was sieht.