Inhalt
Ein Feedbackprozess mit vier Ratern pro Führungskraft, anonym versprochen, technisch aber über personalisierte Links nachverfolgbar. Genau an diesem Punkt scheitern viele 360-Grad-Feedback-Projekte datenschutzrechtlich, nicht am Fragebogen oder an der Methodik, sondern an der Frage, ob die Anonymität, die den Teilnehmenden zugesichert wird, auch tatsächlich haltbar ist.
360-Grad-Feedback verarbeitet personenbezogene Daten auf mehreren Ebenen gleichzeitig. Das Feedback über eine Führungskraft ist ebenso schützenswert wie die Identität der Ratenden, die sich oft aus Vorgesetzten, Kolleginnen und Kollegen sowie unterstellten Mitarbeitenden zusammensetzen. Diese Doppelstruktur macht 360-Grad-Feedback datenschutzrechtlich komplexer als eine klassische Mitarbeiterbefragung.
Wer Rechtsgrundlage, technische Pseudonymisierung, Löschfristen und Auftragsverarbeitung von Anfang an konkret statt pauschal regelt, übersteht auch eine kritische Prüfung durch Betriebsrat oder Datenschutzbeauftragten.
Welche Rechtsgrundlage trägt 360-Grad-Feedback wirklich
Für die Verarbeitung von Beschäftigtendaten ist in Deutschland in erster Linie § 26 BDSG maßgeblich, nicht die allgemeinen Erlaubnistatbestände der DSGVO. Die Vorschrift erlaubt die Verarbeitung, wenn sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist, oder auf Grundlage einer Kollektivvereinbarung, also insbesondere einer Betriebsvereinbarung.
Genau diese Betriebsvereinbarung ist für 360-Grad-Feedback in der Praxis oft die tragfähigere Grundlage. Der Europäische Gerichtshof hat allerdings in mehreren Entscheidungen der letzten Jahre die Anforderungen an solche Vereinbarungen deutlich verschärft: Sie müssen die Art der verarbeiteten Daten, die konkreten Verarbeitungszwecke und die Rechte der Beschäftigten hinreichend klar und präzise regeln, allgemein gehaltene Formulierungen reichen nicht mehr aus. Eine Betriebsvereinbarung, die 360-Grad-Feedback nur pauschal erwähnt, ohne Zweck, Anonymisierungsverfahren und Löschfristen konkret zu benennen, trägt datenschutzrechtlich möglicherweise nicht.
Für Details zu Mitbestimmung, Betriebsvereinbarungs-Pflichtinhalten und dem praktischen Abstimmungsprozess mit dem Betriebsrat lohnt sich ein Blick in unseren Beitrag zu Mitarbeiterbefragung und Betriebsrat, die rechtliche Mechanik ist bei 360-Grad-Feedback identisch, nur das Instrument unterscheidet sich.
Pseudonymisierung ist keine Frage des Vertrauens, sondern der Technik
Ehrliches Feedback entsteht nur dort, wo Ratende keine Konsequenzen befürchten müssen. Wer weiß, dass sein Kommentar theoretisch zurückverfolgbar ist, formuliert vorsichtiger oder verzichtet ganz auf kritisches Feedback. Das Ergebnis sind Daten, die zwar vorliegen, aber die tatsächliche Wahrnehmung nicht mehr abbilden.
Technische Pseudonymisierung bedeutet konkret: Zugänge, die nicht direkt mit dem Namen der ratenden Person verknüpft sind, konfigurierbare Anonymitätsschwellen, also Mindestteilnehmerzahlen pro Gruppe, ab denen Ergebnisse überhaupt erst angezeigt werden, und keine Speicherung von Metadaten, die trotz Pseudonymisierung Rückschlüsse auf Einzelpersonen zulassen, etwa Zeitstempel in Kombination mit sehr kleinen Rater-Gruppen. Eine vertragliche Zusicherung von Anonymität ersetzt diese technische Umsetzung nicht. Wenn ein Softwareanbieter Pseudonymisierung nur als Feature in der Beschreibung nennt, aber auf Nachfrage nicht erklären kann, wie sie konkret funktioniert, ist das ein Warnsignal.
Pseudonymisierung ist nicht dasselbe wie Anonymisierung
Pseudonymisierte Daten bleiben personenbezogene Daten, da eine Re-Identifizierung mit zusätzlichem Wissen grundsätzlich möglich bleibt. Sie unterliegen deshalb weiterhin dem vollen Schutzregime der DSGVO, auch wenn Pseudonymisierung als technische und organisatorische Maßnahme das Risiko für Betroffene deutlich reduziert.
Technische Pseudonymisierung in der Praxis sehen
Erleben Sie in einer Demo, wie Zugänge, Anonymitätsschwellen und Auswertungen bei einem 360-Grad-Feedback technisch getrennt bleiben.
Wann eine Datenschutz-Folgenabschätzung erforderlich wird
Ein Punkt, der bei 360-Grad-Feedback-Projekten regelmäßig übersehen wird: Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Das gilt insbesondere bei einer systematischen und umfassenden Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient.
360-Grad-Feedback bewertet systematisch persönliche Aspekte, nämlich das Führungsverhalten, oft KI-gestützt ausgewertet. Ob daraus tatsächlich eine Pflicht zur Folgenabschätzung entsteht, hängt im Einzelfall davon ab, ob die Ergebnisse Entscheidungen mit Rechtswirkung nach sich ziehen, etwa Beförderungs- oder Vergütungsentscheidungen. Genau deshalb ist die vertragliche und praktische Trennung von Entwicklungsinstrument und Beurteilungsinstrument nicht nur methodisch, sondern auch datenschutzrechtlich relevant. Unternehmen sollten diese Einschätzung nicht allein treffen, sondern gemeinsam mit dem Datenschutzbeauftragten dokumentieren, unabhängig vom Ergebnis der Prüfung.
Löschfristen und Aufbewahrung konkret regeln
Für 360-Grad-Feedback existiert keine pauschale, gesetzlich vorgeschriebene Löschfrist. Maßgeblich ist der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO: Daten dürfen nur so lange gespeichert werden, wie es der Verarbeitungszweck erfordert. In der Praxis heißt das, Löschfristen für Rohdaten, aggregierte Auswertungen und Freitextkommentare getrennt zu betrachten und in der Betriebsvereinbarung verbindlich festzulegen, statt sie offen zu lassen.
Eine sinnvolle Orientierung bietet der Verarbeitungszweck selbst: Sobald die Ergebnisse besprochen und die abgeleiteten Entwicklungsmaßnahmen dokumentiert sind, besteht für die Rohdaten in der Regel kein weiterer Verarbeitungszweck mehr. Aggregierte, nicht mehr personenbeziehbare Auswertungen für Zeitreihenvergleiche können davon unabhängig länger aufbewahrt werden, wenn dies vorab klar geregelt ist.
Ihre Daten bleiben in Deutschland
functionHR arbeitet mit dem externen Datenschutzbeauftragten Intersoft Consulting Services AG zusammen, ISO/IEC 27001:2022 zertifiziert, Datenspeicherung ausschließlich in Deutschland.
Auftragsverarbeitung: Was bei externen Softwareanbietern zu prüfen ist
Wird 360-Grad-Feedback über eine externe Softwareplattform abgewickelt, handelt es sich um Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Ein schriftlicher Auftragsverarbeitungsvertrag ist zwingend, bevor überhaupt Daten übermittelt werden, nicht erst nachträglich. Er muss unter anderem Gegenstand und Dauer der Verarbeitung, die eingesetzten technischen und organisatorischen Maßnahmen sowie den Umgang mit Unterauftragsverarbeitern festlegen.
Prüffragen bei der Anbieterauswahl
Wo werden die Daten gespeichert, und liegt ein vollständiger Auftragsverarbeitungsvertrag inklusive TOM-Anlage vor? Werden Unterauftragsverarbeiter eingesetzt, und wurde deren Einbindung zugestimmt? Bei Anbietern mit Serverstandort außerhalb der EU ist zusätzlich das Datenschutzniveau im Zielland zu prüfen, da das transatlantische Privacy-Shield-Abkommen seit 2020 ungültig ist.
Wie Softwareanbieter sich generell in Sachen Anonymität, Auswertungstiefe und operativer Kriterien vergleichen lassen, haben wir im Beitrag 360-Grad-Feedback Software: Auswahlkriterien für HR-Entscheider ausführlicher aufgeschlüsselt.
FAQ
Ist 360-Grad-Feedback ohne Betriebsvereinbarung DSGVO-konform möglich?
Grundsätzlich ja, wenn die Verarbeitung nach § 26 Abs. 1 BDSG für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. In der Praxis ist eine Betriebsvereinbarung aber meist die tragfähigere Grundlage, weil sie Zweck, Anonymisierungsverfahren und Löschfristen konkret regeln kann.
Wie viele Personen müssen an einem 360-Grad-Feedback teilnehmen, damit Anonymität technisch gewahrt bleibt?
Eine pauschale Zahl gibt es nicht. In der Praxis hat sich eine Anonymitätsschwelle von mindestens fünf Ratenden pro Gruppe bewährt, damit Rückschlüsse auf Einzelpersonen technisch ausgeschlossen sind. Die konkrete Schwelle sollte in der Betriebsvereinbarung festgelegt werden.
Wie lange dürfen Rohdaten aus einem 360-Grad-Feedback gespeichert werden?
Es gibt keine pauschale gesetzliche Frist. Maßgeblich ist der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO. Sobald Ergebnisse besprochen und Entwicklungsmaßnahmen dokumentiert sind, besteht für die Rohdaten in der Regel kein weiterer Verarbeitungszweck mehr.
Braucht 360-Grad-Feedback immer eine Datenschutz-Folgenabschätzung?
Nicht automatisch. Das hängt davon ab, ob die Ergebnisse Entscheidungen mit Rechtswirkung nach sich ziehen, etwa bei Beförderungen oder Vergütung. Unternehmen sollten diese Einschätzung gemeinsam mit dem Datenschutzbeauftragten dokumentieren, unabhängig vom Ergebnis der Prüfung.
functionHR hilft Ihnen dabei, die Arbeitszufriedenheit zu verbessern. Sehen Sie selbst, wie Sie Ihre Befragungslandschaft effektiv gestalten können. Werfen Sie einen Blick auf unsere umfangreiche Plattform für Mitarbeiterbefragungen und People Analytics!
Entdecken Sie, wie Sie Ihre Führungskräfte mit Feedback aus deren Verantwortungsbereichen fördern können.
Weitere Artikel
6 Gründe, wieso Single-Item Maße besser sind als ihr Ruf
Arbeitszufriedenheit mit nur einer Frage messen? Das klingt nach einem einfachen und effizienten Vorgehen. Tatsächlich sind solche sogenannten Single-Item Maße jedoch in der Wissenschaft ziemlich
5 Gründe, warum Austrittsbefragungen in jeden Offboarding-Prozess gehören
Im Dialog mit verschiedenen HR-lern hören wir immer wieder diesen Satz: „Wir haben keine Kapazitäten für Exit-Befragungen und die Mitarbeiter:innen gehen ja eh. Da ist
Führungsfeedback, Folgemaßnahmen und deren Evaluation in einem Tool
Die individuelle Förderung und Entwicklung von Führungskräften ist einer der wichtigsten Aufgabenbereiche im Personalmanagement. Trotzdem erfolgt diese viel zu oft nur per Gießkannenprinzip. Die Folgen:
