DSGVO-konforme Coaching-Software: 8 Prüfpunkte für HR

Coaching-Plattformen versprechen Matching, Terminverwaltung und Fortschrittsberichte auf Knopfdruck. Für HR und Geschäftsführung stellt sich vorab eine andere Frage: Wo landen die Daten, wer verarbeitet sie, und was sieht der Arbeitgeber? Dieser Artikel liefert acht Prüfpunkte und eine Entscheidungshilfe, mit der Sie Anbieter strukturiert vergleichen können.

---

Ein typischer Ablauf: HR sucht nach einer Möglichkeit, Coaching im Unternehmen für mehrere Führungskräfte anzubieten. Die Demo einer Plattform überzeugt, Terminbuchung, Coach-Matching und Fortschrittsübersicht wirken professionell. Die Datenschutzfragen kommen häufig erst auf, wenn der Vertrag fast unterschrieben ist oder wenn der Betriebsrat nachfragt. Dann wird es mühsam und im ungünstigen Fall teuer.

Dieser Artikel dreht die Reihenfolge um. Er ersetzt keine Rechtsberatung, und die abschließende Bewertung gehört zu Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten. Er hilft Ihnen aber, die richtigen Fragen zu stellen, bevor Sie sich festlegen.

Warum Coaching-Daten besonders sensibel sind

Ein Kalendertool verarbeitet Termine. Eine Coaching-Plattform verarbeitet, worüber Menschen mit ihrem Coach sprechen: Konflikte mit Vorgesetzten, Zweifel an der eigenen Rolle, Überlastung, Karrierepläne, manchmal private Krisen. Sobald Gesundheitsbezüge auftauchen, etwa bei Erschöpfung oder Schlafproblemen, kann es sich um besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO handeln. Dafür gelten deutlich strengere Anforderungen.

Hinzu kommt eine strukturelle Spannung. Der Arbeitgeber bezahlt das Coaching und hat verständlicherweise ein Interesse an Wirkung. Der Coachee braucht dagegen die Sicherheit, dass nichts davon in der Personalakte oder in der nächsten Beurteilungsrunde auftaucht. Ein weiterer Punkt wird oft übersehen: Coaches unterliegen anders als Ärzte oder Rechtsanwälte in der Regel keiner gesetzlichen Schweigepflicht nach § 203 StGB (je nach Grundberuf kann es Ausnahmen geben). Vertraulichkeit entsteht im Coaching durch Vertrag, Haltung und Technik. Wie Sie das vertraglich sauber regeln, beschreibt der Beitrag Coaching-Vertrag: Was rein muss.

Fehler in diesem Bereich haben zwei Dimensionen. Die formale: Bußgelder nach Art. 83 DSGVO können bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes betragen. Die praktische ist oft schwerwiegender: Wenn Führungskräfte den Verdacht haben, dass ihre Coaching-Inhalte einsehbar sind, nutzen sie das Angebot nicht mehr, oder sie sprechen nicht mehr offen. Dann haben Sie Geld in ein Format investiert, das nicht trägt.

Auf welcher Grundlage darf das überhaupt verarbeitet werden? Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO, bei Gesundheitsbezügen zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Im Arbeitsverhältnis ist eine Einwilligung heikel, weil sie freiwillig sein muss und Beschäftigte vom Arbeitgeber abhängig sind (§ 26 Abs. 2 BDSG). Lassen Sie die Grundlage daher vorab von Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten festlegen, statt sie dem Anbieter zu überlassen.

Prüfpunkt 1 bis 3: Rollen, Vertrag und Speicherort

1. Rollen und Verantwortlichkeit klären. Wer ist im Datenschutzsinn wofür verantwortlich? In der Praxis begegnen Ihnen drei Konstellationen: Das Unternehmen beauftragt eine Plattform, die Coaches angestellt hat. Die Plattform vermittelt freiberufliche Coaches. Oder der Coach bringt eigene Tools mit. Je nach Konstellation liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor, eine getrennte oder eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Verlangen Sie vom Anbieter eine schriftliche Beschreibung, wer welche Daten zu welchem Zweck verarbeitet. Wenn der Anbieter diese Frage nicht klar beantworten kann, ist das bereits eine Antwort.

2. Auftragsverarbeitungsvertrag und Unterauftragnehmer. Wo eine Auftragsverarbeitung vorliegt, braucht es den Vertrag vor Beginn der Verarbeitung. Er muss unter anderem Gegenstand und Dauer, Art der Daten, Weisungsbindung, technische und organisatorische Maßnahmen, Rückgabe oder Löschung und Kontrollrechte regeln. Achten Sie besonders auf die Liste der Unterauftragnehmer: Hosting, Videodienst, E-Mail-Versand, Support-Software. Sie sollte vollständig vorliegen und Änderungen müssen Ihnen vorab mitgeteilt werden. Ein Hinweis wie „Ein AV-Vertrag ist nicht nötig, der Coach ist selbstständig“ ist kein Abschluss der Prüfung, sondern der Anlass, die Rollenfrage unter Punkt 1 genauer zu klären.

3. Speicherort und Drittlandtransfer. Fragen Sie, wo die Daten tatsächlich liegen und von wo aus darauf zugegriffen werden kann. Rechenzentren in der EU oder im EWR vereinfachen die Lage. Bei Anbietern mit US-Bezug benötigen Sie eine tragfähige Grundlage, etwa eine Zertifizierung unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission seit Juli 2023, der Bestand sollte weiter beobachtet werden) oder Standardvertragsklauseln samt Folgenabschätzung. Wichtig: Auch Support-Zugriffe aus einem Drittland gelten als Übermittlung, selbst wenn die Daten physisch in Frankfurt liegen. Diese Frage wird in Demos selten von allein beantwortet.

Prüfpunkt 4 und 5: Datenumfang und Vertraulichkeit gegenüber dem Arbeitgeber

4. Welche Daten entstehen überhaupt? Lassen Sie sich eine Datenkategorien-Übersicht geben: Stammdaten, Termine, Nachrichten, Coach-Notizen, Fragebögen, Videodaten, Metadaten wie Nutzungshäufigkeit oder Stimmungswerte. Prüfen Sie dann den Grundsatz der Datenminimierung nach Art. 5 DSGVO. Braucht die Plattform wirklich Abteilung, Vorgesetzten und Gehaltsband, damit ein Matching funktioniert? Sind Aufzeichnungen von Sitzungen standardmäßig deaktiviert? Je weniger erhoben wird, desto weniger kann abfließen, missbraucht oder falsch ausgewertet werden.

5. Vertraulichkeit gegenüber dem Arbeitgeber. Das ist der Prüfpunkt, an dem sich Coaching-Software von gewöhnlicher HR-Software unterscheidet. Klären Sie drei Dinge:

• Was sieht HR? Unproblematisch sind in der Regel Teilnahme, Anzahl der Sitzungen und Budgetverbrauch. Kritisch sind Themenkategorien, Stimmungsbarometer, Zielerreichungswerte oder Freitext. Auch aggregierte Auswertungen können bei kleinen Gruppen Rückschlüsse auf Einzelne zulassen. Vereinbaren Sie eine Mindestgruppengröße für Berichte.
• Wer hat welche Rechte? Verlangen Sie ein Rollen- und Rechtekonzept. HR-Administratoren dürfen Konfiguration und Abrechnung verwalten, Nachrichten und Notizen aber nicht lesen können. Gilt das auch für den Plattform-Support?
• Was wird berichtet? Klären Sie vor Mandatsbeginn gemeinsam mit Coach und Coachee, welche Rückmeldungen an den Auftraggeber gehen. Rückmeldungen über Inhalte gehören im Zweifel nur mit ausdrücklicher Zustimmung des Coachees dazu.

Hinzu kommen zwei Punkte außerhalb der Software. Die Teilnahme sollte freiwillig sein und eine Ablehnung darf keine Nachteile haben. Und ein Betriebsrat hat bei technischen Einrichtungen, die zur Verhaltens- oder Leistungskontrolle geeignet sind, ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Beziehen Sie ihn früh ein, nicht erst bei der Einführung.

Prüfpunkt 6 bis 8: Sicherheit, Löschung und KI-Funktionen

6. Technische und organisatorische Maßnahmen. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Bei Coaching-Daten sind das mindestens Verschlüsselung bei Übertragung und Speicherung, Mehr-Faktor-Authentifizierung, abgestufte Zugriffsrechte und Protokollierung von Zugriffen. Zertifizierungen wie ISO 27001 oder der BSI-Kriterienkatalog C5 sind ein nützliches Indiz, ersetzen aber nicht die Prüfung des konkreten Dienstes. Fragen Sie auch nach dem Vorgehen bei Datenpannen: Als Verantwortlicher müssen Sie Verletzungen in der Regel binnen 72 Stunden melden (Art. 33 DSGVO). Dafür muss der Anbieter Sie ohne Verzögerung informieren.

7. Löschkonzept und Betroffenenrechte. Coaching-Daten brauchen ein Ende. Fragen Sie nach festen Fristen für die Löschung nach Mandatsende, nach dem Umgang mit Coach-Notizen und Sitzungsprotokollen, nach der Löschung bei Beendigung des Plattformvertrags und nach Exportmöglichkeiten. Prüfen Sie außerdem, wie Auskunfts-, Berichtigungs- und Löschersuchen ablaufen. Die Frist von einem Monat nach Art. 12 DSGVO gilt auch dann, wenn die Anfrage an Ihr Unternehmen gerichtet ist, die Daten aber beim Anbieter liegen.

8. KI-Funktionen und automatisierte Auswertungen. Viele Plattformen bauen inzwischen Transkription, Zusammenfassungen, Themenerkennung oder algorithmisches Matching ein. Klären Sie, welche Funktionen aktiv sind, ob sie sich abschalten lassen und ob Coaching-Inhalte für das Training von Modellen genutzt werden. Aus Sicht von Geschäftsführung und HR sollte das ein K.-o.-Kriterium sein. Beachten Sie außerdem, dass die KI-Verordnung der EU die Erkennung von Emotionen am Arbeitsplatz seit Februar 2025 grundsätzlich verbietet (Art. 5 Abs. 1 lit. f). Funktionen, die „Stimmung“ aus Sprache oder Video ableiten, sind deshalb nicht nur eine Vertrauensfrage, sondern ein rechtliches Risiko.

Entscheidungshilfe: So gehen Sie bei der Auswahl vor

Acht Prüfpunkte ergeben noch keine Entscheidung. Hilfreich ist eine Trennung in K.-o.-Kriterien und Verhandlungspunkte, bevor Sie Anbieter vergleichen. Sonst entscheidet am Ende die Oberfläche der Demo.

Typische K.-o.-Kriterien:

• Kein tragfähiger Vertrag zur Auftragsverarbeitung oder keine klare Rollenbeschreibung.
• Keine vollständige Liste der Unterauftragnehmer oder keine Auskunft zu Drittlandzugriffen.
• Inhalte oder inhaltsnahe Auswertungen sind für den Arbeitgeber ohne Zustimmung der Teilnehmenden einsehbar.
• Coaching-Inhalte werden für das Training von KI-Modellen verwendet.

Typische Verhandlungspunkte: Aufbewahrungsfristen, Format und Detailtiefe von Berichten, Zertifizierungsnachweise, Auditrechte, Reaktionszeiten im Support.

Als Vorgehen bewährt sich eine einfache Reihenfolge:

• Zweck definieren. Brauchen Sie Terminverwaltung und Abrechnung, oder wollen Sie Wirkung messen? Letzteres erhöht den Datenbedarf und das Risiko erheblich.
• Datenschutzbeauftragte und Betriebsrat früh einbinden. Prüfen Sie gemeinsam, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Bei umfangreicher Verarbeitung sensibler Daten ist das häufig der Fall. Haben Sie keinen Betriebsrat oder keine interne Datenschutzbeauftragte, holen Sie sich diese Prüfung extern: Sie sollte nicht an der Geschäftsführung allein hängen.
• Einen Fragebogen mit den acht Punkten versenden. Schriftliche Antworten sind belastbarer als Aussagen in der Demo und bilden später die Grundlage für den Vertrag.
• Eine Pilotgruppe starten. Eine kleine, freiwillige Gruppe und ein klar begrenzter Zeitraum zeigen, ob die Praxis zum Papier passt. Weil auch ein Pilot echte Daten verarbeitet, müssen der Vertrag zur Auftragsverarbeitung und die Beteiligung des Betriebsrats vorher stehen.
• Teilnehmende verständlich informieren. Ein kurzes Informationsblatt, das ohne Juristendeutsch erklärt, was erhoben wird und was der Arbeitgeber sieht, schafft mehr Vertrauen als jede Datenschutzerklärung.

Berücksichtigen Sie auch die Kostenseite ehrlich. Der Preis der Plattform ist nur ein Teil. Prüfaufwand, Betriebsratsprozess und Pflege der Dokumentation gehören dazu. Eine Orientierung für das eigentliche Coaching-Budget finden Sie im Beitrag Was kostet Executive Coaching?.

Wann es auch ohne Plattform gut funktioniert

Nicht jedes Unternehmen braucht Coaching-Software. Wenn Sie wenige Mandate pro Jahr vergeben, kann ein direkt beauftragter Coach mit eigenem, schlankem Datenschutzkonzept die bessere Lösung sein: Terminabstimmung über verschlüsselte Kommunikationswege, ein klarer Vertrag mit Verschwiegenheitsregelung, keine zentrale Datenhaltung beim Arbeitgeber. Weniger Systeme bedeuten weniger Angriffsfläche und weniger Abstimmungsaufwand. Die Rollen- und Vertraulichkeitsfragen aus den Prüfpunkten 1 und 5 stellen sich allerdings auch beim direkt beauftragten Coach.

Wichtiger noch: Software löst keine Vertrauensfrage. Ob ein Coachee sich öffnet, hängt an der Beziehung zum Coach und an der Glaubwürdigkeit des Rahmens, nicht an einem Datenschutzsiegel. Und nicht jedes Anliegen ist ein Coaching-Thema. Wenn ein Konflikt zwischen zwei Personen im Raum steht, gelten andere Rollen und andere Vertraulichkeitsregeln. Die Unterschiede erläutert der Beitrag Mediation, Coaching und Supervision: Abgrenzung. Legen Sie das Format fest, bevor Sie das Werkzeug wählen.

Ihr nächster Schritt

Sie planen Coaching für Führungskräfte oder prüfen gerade ein Angebot? In einem kostenfreien Erstgespräch von 30 Minuten klären wir den Berichtsrahmen (was HR erfährt und was nicht) und die Vertraulichkeitsregel, die Sie vor der Anbieterauswahl brauchen. Die rechtliche Bewertung bleibt bei Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

---