Lohnabrechnungen als PDF per E-Mail: worauf Betriebe achten

Eine Bäckerei in Chur mit neun Angestellten erstellt die Lohnabrechnungen mit einem Lohnprogramm. Früher wurden sie ausgedruckt und in Kuverts in die Fächer gelegt. Seit die Filiale in Domat/Ems dazukam, gehen sie per E-Mail hinaus — als PDF, am 25. des Monats, neun Nachrichten nacheinander.

Das funktioniert. Die Inhaberin fragt sich trotzdem, ob es so richtig ist. In jeder dieser Dateien stehen Name, Adresse, AHV-Nummer, Lohn, Abzüge und die Bankverbindung einer Person. Und ein Tippfehler in der Adresszeile genügt, damit sie bei jemand anderem landen.

Was das Obligationenrecht verlangt

Die Pflicht zur Abrechnung steht im OR: Dem Arbeitnehmer ist eine schriftliche Abrechnung zu übergeben (Art. 323b Abs. 1 OR). Wie genau sie übergeben wird — im Kuvert, per Post, elektronisch —, regelt der Artikel nicht im Einzelnen.

Für den Umgang mit den Daten gilt eine zweite Bestimmung: Der Arbeitgeber darf Daten über den Arbeitnehmer nur bearbeiten, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind; im Übrigen gilt das Datenschutzgesetz (Art. 328b OR). Der EDÖB betont auf seiner Seite zur Datenbearbeitung durch den Arbeitgeber, dass dieser die Sicherheit der bearbeiteten Personendaten angemessen gewährleisten muss.

Was das DSG zur Datensicherheit sagt

Das Datenschutzgesetz verlangt vom Verantwortlichen eine dem Risiko angemessene Datensicherheit durch geeignete technische und organisatorische Massnahmen (Art. 8 Abs. 1 DSG). Die Datenschutzverordnung konkretisiert das:

• Der Schutzbedarf der Daten richtet sich nach ihrer Art und nach Zweck, Art, Umfang und Umständen der Bearbeitung (Art. 1 Abs. 2 DSV).
• Die Massnahmen sollen unter anderem sicherstellen, dass die Daten nur Berechtigten zugänglich sind (Art. 2 Bst. a DSV).
• Bei der Bekanntgabe von Personendaten sollen Unbefugte sie nicht lesen, kopieren, verändern oder löschen können — die sogenannte Transportkontrolle (Art. 3 Abs. 2 Bst. c DSV).
• Dabei werden der Stand der Technik und die Implementierungskosten berücksichtigt (Art. 1 Abs. 4 DSV).

Das Gesetz schreibt also kein bestimmtes Verfahren vor, sondern eine Abwägung: Wie empfindlich sind die Daten, wie gross ist das Risiko, und welche Massnahme ist dafür angemessen?

Was eine Lohnabrechnung verrät

Für diese Abwägung lohnt ein Blick auf den Inhalt. Eine typische Lohnabrechnung enthält:

Angabe	Was sie über die Person sagt
Name, Adresse	Identität und Wohnort
AHV-Nummer	Eine eindeutige Kennung
Bruttolohn, Abzüge, Nettolohn	Einkommen und persönliche Verhältnisse
Quellensteuer, Kinderzulagen	Hinweise auf Aufenthaltsstatus und Familie
Absenzen, Taggelder	Unter Umständen Hinweise auf Krankheit oder Unfall
Bankverbindung	Finanzielle Angaben

Die letzte Zeilengruppe verdient Aufmerksamkeit: Wo eine Abrechnung Absenzen wegen Krankheit ausweist, enthält sie Angaben über die Gesundheit, und diese zählen zu den besonders schützenswerten Personendaten (Art. 5 Bst. c Ziff. 2 DSG).

Varianten beim Versand

Betriebe lösen den Versand unterschiedlich. Die gängigen Varianten, ohne Rangfolge:

Variante	Was dafür spricht	Was dabei zu bedenken ist
PDF als gewöhnlicher E-Mail-Anhang	Einfach, keine zusätzliche Einrichtung	Die Datei ist lesbar für jede Person, die die E-Mail erhält
PDF mit Kennwort zum Öffnen	Die Datei allein ist ohne Kennwort nicht lesbar	Das Kennwort muss auf einem anderen Weg zur Person gelangen
Abruf in einem Portal	Keine Datei im Postfach, Zugriff mit Anmeldung	Die Angestellten brauchen einen Zugang
Verschlüsselte E-Mail	Der Inhalt ist auf dem Weg geschützt	Beide Seiten brauchen die passende Einrichtung
Papier	Keine elektronische Übermittlung	Aufwand, und das Kuvert kann auch verloren gehen

Das Kennwort-PDF ist die Variante, die sich mit Bordmitteln am schnellsten umsetzen lässt. Microsoft beschreibt beim Speichern als PDF in Word die Option «Dokument mit einem Kennwort verschlüsseln»: Dann können nur Personen mit dem Kennwort die PDF-Datei öffnen. Manche Lohnprogramme bieten Ähnliches direkt beim Versand an.

Eine naheliegende Panne: der falsche Empfänger

Der Leitfaden des EDÖB zu Datensicherheitsverletzungen zählt zu den Verletzungen der Datensicherheit auch den Fall, dass Personendaten Unbefugten offengelegt werden. Eine Lohnabrechnung an die falsche Adresse ist genau das. Der Leitfaden nennt als Kriterien für das Risiko unter anderem, wie leicht eine Person bestimmbar ist, und hält fest, dass wirksam verschlüsselte Daten für Unbefugte als anonym gelten.

Das zeigt, warum ein Kennwort-PDF mehr ist als eine Formalität: Landet die Nachricht falsch, liegt beim Empfänger eine Datei, die er nicht öffnen kann. Und es zeigt, warum ein einfacher Ablauf hilft — die Adressen einmal sauber im Lohnprogramm hinterlegen, statt sie jeden Monat neu zu tippen.

Wer im Betrieb die Abrechnungen sieht

Der Versand ist nur ein Teil. Die Datenschutzverordnung verlangt auch Massnahmen, damit berechtigte Personen nur auf die Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen (Art. 3 Abs. 1 Bst. a DSV). In einem kleinen Betrieb heisst das ganz praktisch: Wer im Lohnprogramm arbeitet, hat einen eigenen Zugang; die Abrechnungen liegen nicht in einem gemeinsamen Ordner, auf den das ganze Team zugreift; und der Ausdruck, der vom Drucker im Laden nicht abgeholt wurde, landet nicht im Altpapier.

Für die Angestellten

Auch auf der anderen Seite gibt es Entscheidungen. Lohnabrechnungen werden oft weitergegeben — an eine Vermieterin für eine Wohnungsbewerbung, an eine Bank für einen Kredit, an die Steuerverwaltung. Dabei hilft dieselbe Frage wie im Betrieb: Was braucht die Empfängerin wirklich? Oft genügt der Lohnausweis des Vorjahres oder eine einzelne Abrechnung statt der ganzen Jahresmappe. Wer ein Kennwort-PDF erhalten hat und es weitergeben möchte, kann dafür eine Kopie erstellen, statt das eigene Kennwort weiterzureichen.

Für die Bäckerei in Chur

Die Inhaberin entscheidet sich für einen Weg, der zu ihrem Betrieb passt: Die Abrechnungen gehen weiterhin per E-Mail, aber als PDF mit Kennwort, das mit jeder Angestellten einmal persönlich vereinbart wurde. Die E-Mail-Adressen stehen im Lohnprogramm und werden nicht mehr von Hand eingegeben. Wer lieber Papier möchte, bekommt Papier.

Welche Variante für einen bestimmten Betrieb angemessen ist, hängt von seinen Daten, seinen Angestellten und seiner Einrichtung ab. Die PDF-Werkzeuge, die wir entwickeln, werden PDF-Dateien zusammenfügen, teilen und verkleinern — verarbeitet in der Schweiz, im Arbeitsspeicher, ohne dass eine Datei gespeichert bleibt, und im vertraulichen Modus für ausgewählte Arbeiten ganz auf dem eigenen Gerät.