Seit Juni kommt die Frage immer gleich, und fast immer mit dem gleichen besorgten Gesicht: „Kann ein Mitarbeiter jetzt fragen, wie viel der Kollege verdient?“ Die kurze Antwort ist nein. Die nützliche Antwort ist länger, denn das Gesetzesdekret vom 7. Mai 2026, Nr. 96, am 1. Juni in der Gazzetta veröffentlicht und seit dem 7. Juni in Kraft, schafft tatsächlich ein neues Recht, und dieses Recht endet genau an der Schwelle der Vertraulichkeit anderer. Das Problem ist, dass diese Schwelle nicht durch ein Schild markiert ist: Man muss sie Unternehmen für Unternehmen, Kategorie für Kategorie berechnen.

Das Dekret setzt die Richtlinie (EU) 2023/970 zur Entgelttransparenz um. Ziel ist es, die geschlechtsspezifische Entgeltlücke zu bekämpfen, nicht die Lohnabrechnungsarchive zu öffnen. Doch beim Übergang vom Ziel zur Praxis öffnet sich eine Lücke, in der es sehr leicht ist, die DSGVO zu verletzen, während man glaubt, ein Arbeitsrecht einzuhalten. Darum lohnt es sich, ins Detail zu gehen, mit dem Hinweis, dass ich hier nicht als Arbeitsrechtsberater schreibe: Ich betrachte die Norm mit den Augen eines DPO.

Was Artikel 7 wirklich gewährt

Es ist ratsam, ihn Absatz für Absatz zu lesen, denn jeder Absatz verschiebt einen Teil der Abwägung.

Absatz 1 räumt dem Arbeitnehmer das Recht ein, schriftlich und innerhalb von zwei Monaten nach der Anfrage Informationen über die durchschnittlichen Entgeltniveaus, aufgeschlüsselt nach Geschlecht, für Kategorien von Arbeitnehmern zu erhalten, die die gleiche oder eine gleichwertige Arbeit ausüben. Das Recht kann nicht mehr als einmal jährlich direkt oder über Arbeitnehmervertretungen oder Gleichstellungsorgane, auf spezifische Delegation hin, ausgeübt werden. Drei Worte sind entscheidend: durchschnittlich, nach Geschlecht, Kategorien. Keines davon bedeutet „von Mario Rossi“.

Absatz 2 bietet eine Abkürzung, die viele unterschätzen: Der Arbeitgeber kann seiner Pflicht nachkommen, indem er diese Informationen im Intranet oder im geschützten Bereich der Unternehmenswebsite veröffentlicht. Praktisch. Wir werden später sehen, warum dies meiner Meinung nach auch die gefährlichste Option unter denen ist, die der Gesetzgeber zur Verfügung stellt.

Absatz 4 führt eine aktive Pflicht ein, die in vielen Unternehmen bereits unbemerkt abgelaufen ist: Arbeitgeber informieren jährlich alle Mitarbeiter über ihr Recht, diese Informationen zu erhalten, und über die Modalitäten zu dessen Ausübung. Dies ist keine Reaktion auf eine Anfrage, sondern eine Mitteilung, die jedes Jahr eigenständig an alle erfolgt. Wenn Sie dies noch nie getan haben, sind Sie in diesem Punkt bereits säumig, unabhängig davon, ob jemand etwas angefordert hat.

Absatz 5 gibt dem Arbeitnehmer das Recht, Klarstellungen zu verlangen, wenn die erhaltenen Informationen ungenau oder unvollständig sind, und schreibt eine begründete Antwort vor. Das bedeutet: Es genügt nicht, eine Tabelle zu senden und die Angelegenheit als erledigt zu betrachten. Wenn die Tabelle nicht verständlich ist, beginnt der Zyklus von Neuem, diesmal mit der Pflicht zur Erklärung.

Die Asymmetrie, die fast niemand bemerkt

Die Absätze 6 und 7 sind die beiden Seiten derselben Medaille und erläutern im Zusammenhang das gesamte System.

Absatz 6 bestimmt, dass dem Arbeitnehmer nicht verwehrt werden darf, sein eigenes Entgelt offenzulegen, und erklärt Vertragsklauseln für verboten, die diese Befugnis einschränken. Dies ist eine Neuerung, die viele italienische Arbeitsverträge betrifft, in denen die Vertraulichkeit des Gehalts eine übliche Klausel war, die jahrelang von Muster zu Muster kopiert wurde. Diese Klauseln sind heute nichtig und müssen entfernt werden. Wenn Ihr Mustervertrag ein Verbot der Offenlegung des eigenen Entgelts enthält, müssen Sie eine Überarbeitung vornehmen, und dies ist nicht optional.

Absatz 7 schließt auf der anderen Seite mit einer Formulierung, die es wert ist, zweimal gelesen zu werden: Informationen, die von den eigenen Entgeltinformationen abweichen, dürfen ausschließlich zur Ausübung des Rechts auf gleiches Entgelt verwendet werden und dürfen keine direkte oder indirekte Kenntnis der individuellen wirtschaftlichen Verhältnisse anderer Arbeitnehmer ermöglichen.

Hier ist die Asymmetrie: Mein Entgelt ist meins, und ich kann es sagen, wem ich will; das des Kollegen ist es nicht, und das Dekret verwehrt es mir auch auf indirektem Wege. Das Wort „indirekt“ verschiebt den Schwerpunkt vom Arbeitsrecht zum Datenschutz und macht aus einer HR-Pflicht ein Berechnungsproblem.

Die Abwägung, aus Sicht eines DPO

Hier äußere ich eine klare Meinung, weil ich glaube, dass dies der zentrale Punkt der gesamten Norm ist.

Die überwiegende Mehrheit der Rechte, die wir täglich in der DSGVO handhaben, ist zweiseitig: Es gibt eine betroffene Person, die fragt, und einen Verantwortlichen, der antwortet, und der Konflikt, wenn er entsteht, liegt zwischen diesen beiden. Auskunft, Löschung, Widerspruch funktionieren so. Das Recht aus Artikel 7 ist hingegen ein dreiseitiges Recht: Es gibt jemanden, der fragt, jemanden, der antwortet, und einen Dritten, der nichts gefragt hat, nicht am Verfahren beteiligt ist, nicht darüber informiert wird, was geschieht, und der der Einzige ist, der den Preis zahlt, wenn die Abwägung fehlerhaft ist.

Diese Person, der Kollege, dessen Entgelt abgeleitet werden kann, hat keine Mittel. Er erhält keine Benachrichtigung, kann keinen Widerspruch einlegen, weiß nicht einmal, dass eine Anfrage gestellt wurde. Wenn das Unternehmen ihm Schaden zufügt, erfährt er es zufällig, meistens, wenn es bereits alle anderen wissen. Meiner Erfahrung nach ist dies genau die Art von Verarbeitung, bei der sich Organisationen am schlechtesten verhalten, nicht aus Bösartigkeit, sondern aus einem strukturellen Grund: Wer nicht protestiert, wird nicht als Risiko betrachtet. Und hier protestiert die gefährdete Person nicht, weil sie nichts weiß.

Es gibt dann noch etwas, das der europäische Gesetzgeber vorgesehen hatte und das meiner Meinung nach in der italienischen Debatte zu wenig Beachtung fand. Art. 88 der DSGVO erlaubt den Mitgliedstaaten, spezifischere Regeln für die Verarbeitung von Daten im Beschäftigungskontext zu erlassen, verlangt aber in Absatz 2, dass diese Regeln angemessene und spezifische Maßnahmen zum Schutz der menschlichen Würde, der berechtigten Interessen und der Grundrechte enthalten. Die Absätze 7 und 8 des Artikels 7 sind genau diese Maßnahmen. Sie sind keine vorsorgliche Ergänzung des italienischen Gesetzgebers: Sie sind die Bedingung, unter der die gesamte Regelung zulässig ist. Wer sie als Empfehlung behandelt, missversteht die Hierarchie.

Mein Gesamturteil zur Norm ist daher positiv, jedoch mit einem präzisen Vorbehalt. Es ist positiv, weil die Abwägung vorhanden, niedergeschrieben und an der richtigen Stelle platziert ist: in Absatz 7 als Zweckbindung und in Absatz 8 als technische Schutzbestimmung. Der Vorbehalt ist, dass der Gesetzgeber das Prinzip formuliert und dem Unternehmen den einzigen schwierigen Teil überlassen hat, nämlich die Berechnung. Es gibt keine Mindestanzahl. Es gibt keine Regel, wie Kategorien so zu bilden sind, dass Zellen nicht geleert werden. Es gibt kein Verbot, vergleichbare historische Reihen erneut zu veröffentlichen. All dies hätte eine technische Norm in drei Zeilen regeln können, wird aber stattdessen zu einer Ermessensentscheidung, die der Verantwortliche im Nachhinein vor einer Behörde verteidigen muss, mit dem Wissen dessen, der den Schaden bereits gesehen hat.

Warum der Durchschnitt keine Anonymisierung ist

Hier irren sich die meisten Unternehmen, und das nicht aus böser Absicht, sondern aufgrund einer falschen Intuition. Die Intuition lautet: „Wenn ich den Durchschnitt bilde, gehört das Datum niemandem mehr.“ Das ist nicht so, und es ist keine Meinung: Es ist Arithmetik.

Erwägungsgrund 26 der DSGVO besagt, dass zur Feststellung, ob eine Person identifizierbar ist, alle vernünftigerweise nutzbaren Mittel, die vom Verantwortlichen oder jeder anderen Person zur direkten oder indirekten Identifizierung der Person verwendet werden könnten, zu berücksichtigen sind. Der Punkt ist nicht, ob der Name in der Tabelle erscheint. Der Punkt ist, ob derjenige, der die Tabelle liest, mit dem, was er bereits weiß, die Person identifizieren kann. Und im Unternehmen weiß man viel: Man weiß, wer was tut, seit wann, wer im März eingestellt wurde und wer im September gegangen ist.

Es lohnt sich, die Zahlen tatsächlich zu überprüfen, mit fiktiven, aber realistischen Werten, denn solange es ein abstraktes Thema bleibt, glaubt niemand daran.

Die kleinen Fälle, einzeln betrachtet

Nur eine Person dieses Geschlechts in der Kategorie. Dies ist der einfachste und häufigste Fall. Der „weibliche Durchschnitt“ einer Kategorie mit nur einer Frau ist das Gehalt dieser Frau. Es ist keine Schätzung, es ist der exakte Wert, der unter dem beruhigenden Etikett „Durchschnitt“ klar veröffentlicht wird. Und Sie lösen es nicht durch Runden: Wenn Sie 28.000 statt 28.400 veröffentlichen, haben Sie das Gehalt dieser Person mit einer Marge von wenigen hundert Euro kommuniziert, was mehr als ausreichend ist, um zu erfahren, wie viel ein Kollege verdient. In Unternehmen unter fünfzig Mitarbeitern ist dies kein Grenzfall: Es ist der Normalfall. Denken Sie an den Qualitätsmanager, den IT-Leiter, den Leiter der Verwaltung. Das sind Rollen mit nur einer Person, und diese Person ist bereits durch die Kategorie selbst identifiziert, noch bevor das Geschlecht ins Spiel kommt.

Zwei Personen desselben Geschlechts, und der Anfragende ist einer von beiden. Dies ist ein Beispiel, das man sich merken sollte, da es von Unternehmen als harmlos angesehen wird. Kategorie „Verwaltungsangestellte“: fünf Personen, drei Männer und zwei Frauen. Sie teilen den weiblichen Durchschnitt mit: 28.400 Euro. Anna, die eine der beiden ist und 26.800 verdient, macht nur einen Schritt: 28.400 mal zwei ergibt 56.800, abzüglich 26.800 ergibt 30.000. Sie hat gerade das Gehalt von Beatrice auf den Cent genau herausgefunden. Sie hat nichts verletzt, nichts erzwungen, sie hat nur die Antwort gelesen, die Sie ihr geschickt haben.

Zwei Personen insgesamt, ein Mann und eine Frau. Noch schlimmer, und dies ist die typische Konfiguration kleiner Abteilungen. Hier sind beide Durchschnitte die Durchschnitte einer einzelnen Person. Es ist nicht einmal eine Berechnung erforderlich: Jeder, der diese Tabelle erhält, innerhalb oder außerhalb der Kategorie, kennt das Gehalt beider. Und in diesem Fall ist der Schaden symmetrisch: Auch der Anfragende hat sich exponiert, oft ohne es zu merken.

Drei Personen desselben Geschlechts. Hier entspannen sich viele und irren sich. Weiblicher Durchschnitt 29.000 bei drei Frauen: Die Summe beträgt 87.000. Anna weiß, dass sie 26.800 verdient, und leitet daraus ab, dass die beiden anderen zusammen 60.200 erhalten, also einen Durchschnitt von 30.100. Das ist noch kein individueller Wert, aber eine sehr enge Spanne. Und wenn sie weiß, dass Beatrice erst seit Kurzem angestellt ist, während Carla seit fünfzehn Jahren dort arbeitet, verschiebt sich die Spanne von selbst in die richtige Richtung.

Absatz 6 wirkt gegen Absatz 7

Kehren wir zum Beispiel der drei Frauen zurück, denn hier befindet sich meiner Meinung nach der am meisten unterschätzte Teil der gesamten Norm, und ich habe ihn kaum irgendwo gesehen.

Anna weiß, dass Beatrice und Carla zusammen 60.200 verdienen. Es fehlt ihr nur eine Angabe. Und diese Angabe kann sie rechtmäßig erhalten, denn Absatz 6 besagt, dass niemand einen Arbeitnehmer daran hindern kann, sein eigenes Entgelt offenzulegen. Wenn Beatrice ihr in der Kaffeepause erzählt, dass sie 30.000 verdient, leitet Anna Carlas Gehalt durch Subtraktion ab: genau 30.200. Carla hat mit niemandem gesprochen, weiß nichts, und ihr Entgelt ist öffentlich bekannt.

Die allgemeine Regel ist in ihrer Einfachheit brutal: In einer Kategorie von n Personen genügt es, dass n minus eins Personen spontan sprechen, damit das Entgelt des letzten mit absoluter Präzision berechenbar wird. Und spontan zu sprechen ist keine zu verhindernde Rechtsverletzung: Es ist eine Freiheit, die dasselbe Gesetz schützt und die der Arbeitgeber vertraglich nicht einschränken kann.

Daraus ergibt sich eine operative Konsequenz, die ich schriftlich festhalten möchte, weil sie die Art und Weise umkehrt, wie die meisten Unternehmen Risiken bewerten. Sie können sich nicht darauf verlassen, dass Kollegen nicht miteinander sprechen. Das ist die implizite Minderung, auf die sich alle verlassen, wenn sie entscheiden, dass eine Zelle von drei Personen „ja sowieso aggregiert“ ist, und es ist eine Minderung, die der Gesetzgeber im vorherigen Absatz explizit entfernt hat. Wenn Sie Ihre Risikobewertung vornehmen, müssen Sie davon ausgehen, dass freiwillig bekanntgegebene Entgelte zirkulieren, weil dies gesetzlich erlaubt ist. Unter dieser Annahme schützt eine Schwelle von drei Personen pro Zelle niemanden.

Die Angriffe, die niemand ausprobiert

Soweit zum statischen Fall. Doch die meisten Informationen gehen beim Vergleich von zwei Daten verloren, die, einzeln betrachtet, harmlos erschienen.

Zwei Momentaufnahmen im zeitlichen Abstand. Kategorie mit vier Personen, Durchschnitt 31.000: Die Entgeltsumme beträgt 124.000. Sechs Monate später umfasst dieselbe Kategorie fünf Personen und der Durchschnitt liegt bei 32.200, d.h. 161.000. Das Entgelt des Neuzugangs ist die Differenz: genau 37.000 Euro. Dasselbe gilt für diejenigen, die das Unternehmen verlassen. Und im Unternehmen weiß man sehr genau, wer gekommen und wer gegangen ist.

Derselbe Schnappschuss, ohne dass jemand eintritt oder austritt. Eine subtilere Variante: Das Team bleibt bei vier Personen und der Durchschnitt steigt von 31.000 auf 31.750. Die Differenz, 750 Euro, multipliziert mit vier ergibt 3.000 Euro an Gesamtgehaltserhöhungen in diesem Zeitraum. Wenn in diesem Halbjahr nur Marco befördert wurde und dies in einem Team von vier Personen alle wissen, haben Sie gerade den genauen Betrag von Marcos Gehaltserhöhung mitgeteilt.

Zwei sich überschneidende Kategorien. Dies ist der Fehler, der gemacht wird, wenn man einer zweiten Anfrage mit „einem etwas anderen Detailgrad“ zustimmt. Sie veröffentlichen „Verwaltungsangestellte“, acht Personen, Durchschnitt 30.500, also 244.000. Dann, um jemandem entgegenzukommen, veröffentlichen Sie „Senior-Verwaltungsangestellte“, sieben Personen, Durchschnitt 31.000, also 217.000. Die Differenz zwischen den beiden Summen, 27.000 Euro, ist das Gehalt des einzigen Juniors. Zwei Tabellen, beide „aggregiert“, und eine identifizierte Person.

Die Unterdrückung, die nicht unterdrückt. Dies ist der häufigste technische Fehler, wenn man beginnt, die Dinge richtig zu machen. Sie haben drei Untergruppen, stellen fest, dass die dritte zwei Personen hat und beschließen zu Recht, dies nicht mitzuteilen. Dann veröffentlichen Sie jedoch die Gesamtzahl der Kategorie und die ersten beiden Untergruppen. Die dritte wird im Handumdrehen durch Differenz berechnet. Wenn Sie eine Zelle unterdrücken, müssen Sie eine zweite unterdrücken oder die Gesamtsumme nicht veröffentlichen. Wer mit statistischen Daten arbeitet, nennt dies sekundäre Unterdrückung, und es ist das Erste, was man lernt: Eine Zahl in einer ausgeglichenen Tabelle zu verstecken, ist nutzlos.

Die Verknüpfung mit den Daten aus Art. 9. Denken Sie daran, dass Sie, wenn Sie mehr als hundert Mitarbeiter haben, auch verpflichtet sind, den Prozentsatz von Frauen und Männern in jedem Entgeltquartil mitzuteilen. In einem Unternehmen mit vierzig Frauen bei einhundertzwanzig Personen, bedeutet „5 Prozent der Frauen sind im höchsten Quartil“ zwei Frauen. Diese Zahl, neben dem Kategoriedurchschnitt platziert, schränkt das Feld dramatisch ein. Die beiden Informationen wurden von verschiedenen Abteilungen zu verschiedenen Zeitpunkten erstellt, und genau deshalb betrachtet sie niemand gemeinsam.

Aneinandergereiht sagen diese Angriffe nur eines, und das ist der Grund, warum ich auf die Abkürzung in Absatz 2 zurückkomme. Die Veröffentlichung im Intranet ist unter den vom Dekret erlaubten Modalitäten diejenige, die am stärksten exponiert: Sie stellt die Daten stabil und vergleichbar allen zur Verfügung, lässt sie dort, während sich die Belegschaft ändert, und lässt dem Unternehmen nicht einmal die Möglichkeit zu erkennen, wer was ansieht. Alle oben gesehenen Berechnungen erfordern zwei Tabellen: Die dauerhafte Veröffentlichung liefert diese kostenlos. Der Gesetzgeber hat sie als Vereinfachung angeboten. Ich, wenn ich um eine Meinung gebeten werde, rate davon in kleinen Organisationen ab, und in großen erlaube ich sie nur bei breiten Kategorien, einer schriftlichen Schwellenregel und keiner online gelassenen historischen Reihe: Die Daten des Vorjahres werden archiviert, nicht neben denen dieses Jahres platziert.

Wo ich die Schwelle setzen würde, und was zu antworten ist, wenn man nicht antworten kann

An diesem Punkt gibt es nur eine praktische Frage: Was ist die Mindestanzahl von Personen pro Zelle? Das Dekret sagt es nicht, daher ist das Folgende meine Meinung, keine gesetzliche Regel.

Statistische Institute arbeiten seit Jahrzehnten mit Mindestschwellen von drei oder fünf Einheiten. In diesem Kontext reichen drei nicht aus, aus dem oben genannten Grund: Es genügen zwei Kollegen, die die Freiheit aus Absatz 6 ausüben, und der dritte ist entblößt. In der Praxis gehe ich von fünf Personen pro Zelle, desselben Geschlechts, aus und erhöhe sie, wenn die Gruppe homogen ist und sich die Personen gut kennen, denn dort leistet das Kontextwissen den Teil der Arbeit, den die Arithmetik nicht leistet. Es ist keine magische Zahl: Es ist ein Ausgangspunkt, der begründet und schriftlich festgehalten werden muss und den Sie bei einer Prüfung verteidigen können müssen. Was zählt, mehr als die Zahl, ist, dass die Schwelle im Voraus festgelegt wird, für alle gilt und nicht gesenkt wird, wenn die Anfrage von jemandem kommt, dem man schwer absagen kann.

Und wenn die Zelle zu klein ist, was antwortet man? Nicht einfach „nein“, denn das Recht besteht und Schweigen ist eine Pflichtverletzung. Man antwortet auf drei Ebenen. Erstens: Man gibt die Daten auf dem feinstmöglichen Aggregationsniveau, das sicher bleibt, was in einem kleinen Unternehmen die gesamte Firma anstelle der einzelnen Tätigkeit bedeuten kann. Zweitens: Man begründet schriftlich, warum man nicht weiter heruntergeht, unter Bezugnahme auf Absatz 7, der auch die indirekte Erkennbarkeit verbietet, und für Unternehmen unter fünfzig Mitarbeitern Absatz 8. Drittens: Man dokumentiert die vorgenommene Bewertung, denn diese Begründung ist Ihr Nachweis der Rechenschaftspflicht und schützt Sie auch vor dem entgegengesetzten Vorwurf, die Privatsphäre als Ausrede benutzt zu haben, um nicht zu antworten.

Zu diesem letzten Punkt möchte ich klar sein, denn das Missbrauchsrisiko besteht und ist spiegelbildlich: Der Datenschutz ist kein bequemer Vorwand, um eine Entgeltlücke zu verbergen. Wenn die Zellen überall klein sind und die Antwort immer lautet „Ich kann es Ihnen nicht sagen“, ist der Verdacht, dass etwas vertuscht wird, berechtigt, und ein Prüfer wird dies äußern. Der Ausweg ist nicht, starr zu bleiben: Es ist, nach oben zu aggregieren, bis zu einem Niveau, das tatsächlich kommunizierbar ist, und dies dann auch zu kommunizieren. Eine klare Gesamtdaten des Unternehmens sagt viel mehr aus als sechs unterdrückte Zellen.

Datenminimierung: Hier entscheidet sich alles

Wenn ich nur ein Prinzip von Art. 5 nennen müsste, nach dem diese Norm zu lesen ist, würde ich die Datenminimierung wählen. Aber es lohnt sich, alle durchzugehen, denn jedes sagt etwas Operatives aus.

Rechtmäßigkeit. Die Rechtsgrundlage der internen Verarbeitung ist eine rechtliche Verpflichtung: Es ist das Gesetz, das die Berechnung und die Antwort vorschreibt. Aber Achtung, denn dies ist der Punkt, an dem ich den häufigsten Fehler sehe: Die Rechtsgrundlage deckt die Erfüllung der Pflicht ab, nicht alles, was Sie in die Antwort aufnehmen. Sie deckt die aggregierten Daten ab, die zur Überprüfung der Gleichheit erforderlich sind, keinen Zentimeter darüber hinaus. Wenn Ihre Antwort Rückschlüsse auf eine Person zulässt, ist dieser Teil der Kommunikation ohne Rechtsgrundlage, und die Tatsache, dass Sie eine andere Gesetzgebung erfüllten, ist keine Entschuldigung: Es ist ein Erschwerungsgrund für Oberflächlichkeit.

Zweckbindung. Absatz 7 ist in jeder Hinsicht eine Zweckbindungsklausel, die in ein Arbeitsgesetz geschrieben ist. Die erhaltenen Informationen dienen zur Überprüfung der Entgeltgleichheit und zu nichts anderem. Dies hat eine praktische Konsequenz, die ich empfehle, schriftlich in die Antwort aufzunehmen: Wer die Daten erhält, muss über die Einschränkung informiert werden. Nicht damit eine Textzeile jemanden daran hindert, in der Kaffeepause zu plaudern, sondern damit die Einschränkung besteht, dokumentiert und anfechtbar ist.

Datenminimierung. Das wahre Schlachtfeld. Minimierung bedeutet hier nicht, aus allgemeiner Vorsicht weniger Daten zu senden: Es bedeutet, die Granularität zu wählen. Jede weitere Aufschlüsselung nach Standort, Dienstalter, Hierarchieebene, Alter reduziert die Anzahl der Personen in der Zelle und erhöht die Wahrscheinlichkeit der Identifizierung. Die Anfrage des Arbeitnehmers wird immer auf Detail drängen, da Details den Vergleich nützlich machen. Ihre Aufgabe ist es, den feinsten Detailgrad bereitzustellen, der nicht identifiziert, und erklären zu können, warum Sie dort aufgehört haben. Es ist eine technische Entscheidung, kein Akt der Großzügigkeit oder Obstruktion.

Richtigkeit. Absatz 5 macht dies durchsetzbar: Ist die Angabe ungenau, verlangt der Arbeitnehmer Klarstellung, und Sie antworten begründet. Ein falscher Entgeltwert in einer Gleichstellungstabelle ist kein Tippfehler: Es ist ein impliziter Diskriminierungsvorwurf gegen Ihr Unternehmen oder eine versteckte, tatsächliche Diskriminierung. Beide Annahmen verdienen eine Überprüfung vor dem Versand, nicht danach.

Speicherbegrenzung. Das Dekret bietet den einzigen nützlichen numerischen Anhaltspunkt: Art. 9 sieht vor, dass auf Anfrage auch die Daten der vier vorangegangenen Jahre bereitgestellt werden. Von dort aus würde ich eine verteidigbare Aufbewahrungspolitik aufbauen, dabei jedoch zwischen aggregierten Daten, die diese Historizität erfordern, und einzelnen Arbeitnehmeranfragen mit den zugehörigen Anhängen unterscheiden, die keinen Grund haben, jahrelang aufbewahrt zu werden.

Integrität und Vertraulichkeit. Eine Datei mit den Kategorieunterschieden, die ohne Zugriffskontrolle per interner E-Mail verschickt wird, ist ein Unfall, der darauf wartet, zu passieren. Und wenn es passiert, ist es kein beliebiger Unfall: Es ist die Verbreitung der Personalvergütungen, d.h. eine der Dinge, die dem internen Klima mehr Schaden zufügt als jede technische Verletzung.

Rechenschaftspflicht. Wie immer ist es das Prinzip, das die anderen zusammenhält. Es genügt nicht, die Schwelle gut gewählt zu haben: Sie müssen nachweisen können, wann Sie sie gewählt haben, nach welchen Kriterien und wer sie genehmigt hat. Eine Schwelle, die am Tag des Eingangs einer Anfrage unter Druck entschieden wurde, ist viel weniger wert als dieselbe Schwelle, die sechs Monate zuvor in Ruhe entschieden und in einem Verfahren festgelegt wurde.

Das Risiko ist nicht Ihres, und deshalb können Sie es nicht akzeptieren

Es gibt einen Punkt, den ich oft wiederhole, wenn Datenschutz und Managementsysteme integriert werden, und der hier besonders deutlich wird.

In der ISO 31000 und ISO/IEC 27001 wird das Risiko an den Zielen der Organisation gemessen: Kontinuität, Vertraulichkeit der Vermögenswerte, Konformität, Reputation. In der DSGVO wird das Risiko an den Rechten und Freiheiten natürlicher Personen gemessen. Der Träger des Risikos ist nicht das Unternehmen, sondern die betroffene Person. Die praktische Konsequenz ist eindeutig: Ein Restrisiko, das das Unternehmen für sich selbst problemlos akzeptieren würde, kann völlig inakzeptabel sein, wenn es jemand anderen betrifft. Die Akzeptanzkriterien sind nicht übertragbar, und man kann die Risiken anderer nicht mit derselben Sorglosigkeit akzeptieren, mit der man die eigenen akzeptiert.

Im Falle der Entgelttransparenz ist diese Asymmetrie maximal ausgeprägt, und deshalb halte ich sie für das entscheidende Kriterium. Wenn die Personalabteilung prüft, ob eine etwas zu detaillierte Tabelle veröffentlicht werden soll, überlegt sie implizit: „Wenn wir einen Fehler machen, was riskieren wir?“ Das ist die falsche Frage. Die richtige Frage lautet: „Wenn wir einen Fehler machen, was riskiert die Person, die identifiziert wird?“ Und die Antwort ist in einer Organisation, in der sich alle kennen, dass diese Person ihr Gehalt Kollegen bekannt finden wird, mit denen sie jahrelang arbeiten muss, ohne danach gefragt zu haben, ohne die Möglichkeit, dies rückgängig zu machen, und ohne dass eine Korrekturmaßnahme Abhilfe schaffen könnte. Es gibt keinen Widerruf für eine Information, die einmal verstanden wurde.

Wie diese Rechte abgewogen werden sollten

Bisher habe ich den Konflikt beschrieben. Jetzt versuche ich zu erklären, wie er gelöst wird, denn „abwägen“ ist eines jener Wörter, die jeder benutzt und fast niemand in ein Verfahren übersetzt.

Eine Vorbemerkung, die für diesen gesamten Abschnitt gilt und die ich bitte ernst zu nehmen. Die folgenden Hinweise sind nicht verbindliche Ratschläge, die für die aktuelle Übergangszeit gedacht sind. Das Ministeriumsdekret zu Art. 9 Absatz 4 steht noch aus und wird nach Anhörung des Garante für den Schutz personenbezogener Daten erlassen: Dort werden die technischen Regeln für die Offenlegung dieser Daten erscheinen, und es ist vernünftig zu erwarten, dass die Behörde ihre Meinung auch in anderen Formen äußern wird, wie sie es in der Vergangenheit bei ähnlichen Themen getan hat. Wenn dies geschieht, hat das, was der Garante sagt, Vorrang vor dem, was ich sage, und dieser Abschnitt muss dann mit diesem Text erneut gelesen werden. In der Zwischenzeit gehen bereits Anfragen ein, die Zweimonatsfrist läuft ebenfalls, und nicht zu antworten ist keine Option.

Daher halte ich die von mir verwendete Methode schriftlich fest und erkläre sie als das, was sie ist: eine begründete und vorsorgliche Position, keine Gesetzesvorschrift.

Der Ausgangspunkt ist, dass keines der beiden Rechte abstrakt gewinnt. Erwägungsgrund 4 der DSGVO formuliert es mit einer selten zitierten Klarheit: Das Recht auf Datenschutz ist kein absolutes Recht, es muss in Bezug auf seine soziale Funktion betrachtet und mit anderen Grundrechten nach dem Grundsatz der Verhältnismäßigkeit abgewogen werden. Auf der anderen Seite steht die Entgeltgleichheit, die keine Unternehmenspolitik, sondern ein Prinzip der Verträge und unserer Verfassung ist. Wer dieses Dossier mit der Überzeugung angeht, dass der Datenschutz die Transparenz blockiert, hat die Herangehensweise bereits falsch gewählt, und es ist genau derselbe, umgekehrte Fehler wie bei denen, die meinen, Transparenz erlaube alles.

Erstens: Wer sind die Parteien

Es gibt drei Parteien, aber sie haben nicht denselben Status, und hier mache ich die klarste Aussage des gesamten Artikels. Auf der einen Seite steht der Antragsteller, der ein Grundrecht geltend macht. Auf der anderen Seite steht der Kollege, der ein anderes Grundrecht geltend macht. In der Mitte befindet sich der Arbeitgeber, der nicht Partei dieser Abwägung ist: Er ist der Schiedsrichter.

Daraus folgt, dass die organisatorische Bequemlichkeit des Unternehmens nicht in die Waagschale fällt. „Es wäre kompliziert, die Kategorien neu zu berechnen“, „das System exportiert so“, „die Gehaltsabteilung hat keine Zeit“ sind reale Probleme, aber keine Argumente: Sie haben keinen Rang, um gegen ein Grundrecht abgewogen zu werden. Ich sehe sie praktisch jedes Mal so behandelt, als hätten sie diesen Rang, und fast immer ist dies der Grund, warum eine gefährliche Tabelle so veröffentlicht wird, wie sie ist, nämlich weil das Neuanfertigen einen halben Tag gekostet hätte.

Zweitens: Der Test in drei Fragen

Verhältnismäßigkeit ist keine Impression, sondern eine Abfolge. Bevor ich eine Zahl herausgebe, stelle ich mir drei Fragen, in dieser Reihenfolge, und stoppe bei der ersten, die schiefgeht.

Ist es geeignet? Dient diese Angabe wirklich der Überprüfung der Entgeltgleichheit, oder beantworte ich nur eine Neugier? Der Zweck ist in Absatz 7 festgelegt und begrenzt alles andere.
Ist es erforderlich? Gibt es eine weniger invasive Form, die denselben Zweck erreicht? Wenn ja, ist diese Form keine Option: Es ist die einzig zulässige. Dies ist die Datenminimierung, angewandt auf die Abwägung.
Ist es im engeren Sinne verhältnismäßig? Überwiegt der Nutzen für den Anfragenden das Opfer, das demjenigen auferlegt wird, der nichts gefragt hat? Bei Zellen mit zwei Personen lautet die Antwort immer nein, weil der Nutzen marginal und das Opfer total ist.

Drittens: Die Skala der Datenformen

Die zweite Frage, die nach der Erforderlichkeit, hat eine praktische Antwort, die meiner Meinung nach der nützlichste Beitrag ist, den ein DPO zu diesem Dossier leisten kann. Derselbe Informationsinhalt kann in sehr unterschiedlichen Formen übermittelt werden, und diese sind nicht gleichwertig. Vom wenigsten zum invasivsten:

Der prozentuale Unterschied zwischen den Geschlechtern in der Kategorie: „In dieser Kategorie verdienen Frauen 4 Prozent weniger als Männer.“ Dies sagt alles aus, was zur Überprüfung der Gleichheit erforderlich ist, und ermöglicht keine Rekonstruktion absoluter Werte, selbst bei zwei Personen nicht.
Der Median anstelle des Durchschnitts. Mediane lassen sich nicht summieren und eignen sich daher nicht für die zuvor erwähnten Differenzberechnungen. Bei zwei Personen fällt er mit dem Durchschnitt zusammen und hilft nicht, aber ab drei Personen hält er viel besser stand.
Die Gehaltsspannen anstelle von Punktwerten, mit einer Breite, die entsprechend der Anzahl und nicht zufällig gewählt wird.
Der absolute Durchschnitt nach Geschlecht, der der im Absatz 1 geforderten Form entspricht und alle oben genannten Berechnungen ermöglicht.
Einzelwerte, in welcher Form auch immer, einschließlich „namenloser“ Übersichten: niemals.

Hier entsteht jedoch eine Spannung innerhalb der Norm selbst, die offen angesprochen werden sollte, anstatt sie zu umgehen. Absatz 1 verlangt durchschnittliche Entgeltniveaus; Absatz 7 verbietet die auch indirekte Kenntnis individueller Entgelte. In kleinen Organisationen können diese beiden Dinge nicht nebeneinander bestehen, weil der Durchschnitt von zwei Personen das individuelle Entgelt des anderen ist.

Meine Position, die ich für vertretbar halte, ist, dass in diesem Konflikt die Garantie Vorrang hat. Nicht aus einer allgemeinen Bevorzugung der Vertraulichkeit, sondern aus einem hierarchischen Grund: Die Absätze 7 und 8 sind die Schutzmaßnahmen, die Art. 88 der DSGVO als Bedingung vorschreibt, damit ein Mitgliedstaat Regeln für Daten im Arbeitsverhältnis erlassen kann. Ohne diese Maßnahmen wäre die nationale Regelung nicht haltbar. Sie sind keine externe Grenze der Norm: Sie sind das, was sie zulässig macht. Wo der Durchschnitt identifizieren würde, ist daher der prozentuale Unterschied anzugeben und die Ersetzung unter Verweis auf Absatz 7 schriftlich zu begründen.

Viertens: Der Ausweg ist bereits im Gesetz niedergelegt

Es gibt einen Punkt, der das alles wesentlich weniger dramatisch macht und der in der Debatte fast ignoriert wurde. Die richtige Abwägung ist nicht „weniger Daten für den Arbeitnehmer“: Es ist „feine Daten für einen gebundenen Vermittler“.

Art. 12 der Richtlinie sieht ausdrücklich vor, dass die Mitgliedstaaten den Zugang zu Informationen, die eine Identifizierung ermöglichen, den Arbeitnehmervertretungen, der Arbeitsinspektion oder der Gleichstellungseinrichtung vorbehalten können. Und das italienische Dekret hat diesen Weg bereits geschaffen: Absatz 1 erlaubt die Ausübung des Rechts über die Vertreter oder Gleichstellungseinrichtungen auf Delegation, Absatz 3 sieht vor, dass die Informationen diesen Stellen direkt zur Verfügung gestellt werden, und Art. 9 Absatz 6 leitet genau an sie die granularsten Daten, nämlich die nach Kategorien, die hingegen nicht veröffentlicht werden.

Der Unterschied ist wesentlich. Ein Arbeitnehmervertreter oder eine Gleichstellungseinrichtung kann ein Detailniveau erhalten, das dem einzelnen Kollegen nicht gegeben werden kann, da er zur Vertraulichkeit verpflichtet ist, eine definierte Funktion hat, für seine Handlungen verantwortlich ist und nicht im Raum neben der Person arbeitet, deren Gehalt er einsehen. Das Recht des Antragstellers wird nicht geopfert: Es wird kanalisiert. Wenn ein Mitarbeiter eine Diskriminierung vermutet und die Zelle zu klein ist, um ihm offen zu antworten, lautet die richtige Antwort nicht „Ich kann es Ihnen nicht sagen“ und auch nicht die Zahl zu übergeben: Es ist, ihm zu sagen, dass dieses Detailniveau für seinen Vertreter oder die Gleichstellungsbeauftragte verfügbar ist, und ihm zu erklären, wie diese zu aktivieren sind. Auf diese Weise erfolgt die Überprüfung wirklich, und der Kollege wird niemandem ausgesetzt.

Fünftens: Die Regel für Zweifelsfälle

Es wird immer einen Graubereich geben, in dem die Berechnung keine eindeutige Antwort liefert. Dort ist ein im Voraus festgelegtes Abschlusskriterium erforderlich, sonst entscheidet derjenige, der am meisten Eile hat. Mein Kriterium ist, dass im Zweifel der Schutz des Dritten überwiegt, und das ist keine ästhetische Präferenz: Es beruht auf drei konkreten Gründen.

Der Dritte sitzt nicht am Tisch. Er wurde nicht benachrichtigt, kann keinen Widerspruch einlegen, weiß nicht einmal, dass über ihn entschieden wird. Bei jeder anderen Abwägung der DSGVO hat die betroffene Person zumindest die Möglichkeit, sich Gehör zu verschaffen; hier nicht.
Die beiden Schäden sind nicht auf die gleiche Weise reversibel. Wenn ich aus übermäßiger Vorsicht einen Fehler mache, stehen dem Anfragenden noch alle Wege offen: die Vertreter, die Gleichstellungseinrichtung, die Aufsichtsbehörde, das Gericht. Wenn ich aus übermäßiger Transparenz einen Fehler mache, hat der Kollege keinen Weg: Sein Entgelt ist bekannt und bleibt bekannt.
Es gibt eine Alternative für den einen und keine für den anderen. Dem Anfragenden kann ich den Kanal des Vermittlers anbieten, der sein Recht vollständig erfüllt. Dem exponierten Kollegen kann ich nichts anbieten.

Achten Sie jedoch darauf, diese Regel nicht in eine systematische Ablehnung zu verwandeln, was einen spiegelbildlichen und ebenfalls sanktionierbaren Missbrauch darstellen würde. Sie gilt im Zweifel, nicht als Ausgangsprinzip. Und sie geht immer mit zwei Pflichten einher: die Daten dennoch auf dem feinsten sicheren Niveau bereitzustellen und den alternativen Weg aufzuzeigen. Ein „Nein“ ohne diese beiden Punkte ist keine Vorsicht, sondern Obstruktion.

Sechstens: Die Abwägung schriftlich festhalten

Eine Abwägung, die nicht schriftlich festgehalten ist, hat vor einer Behörde nie stattgefunden. Es braucht kein Traktat: Es braucht eine Seite pro Kategorie, einmal erstellt und überprüft, wenn sich die Belegschaft wesentlich ändert. Diese Seite beantwortet sechs Fragen: wie viele Personen sich in der Zelle pro Geschlecht befinden, welche Datenform ich gewählt habe und warum, welche weniger invasiven Formen ich aus welchem Grund verworfen habe, wer entschieden hat, wann, und welchen alternativen Kanal ich anbiete, wenn die Daten nicht bereitgestellt werden können.

Der natürliche Platz für diese Seite ist innerhalb der Datenschutz-Folgenabschätzung (DSFA), falls Sie eine durchführen, oder als Anhang zum Verfahren zur Bearbeitung von Anfragen. Und sie hat einen Nebeneffekt, der die Mühe allein wert ist: Wenn die Anfrage tatsächlich eingeht, ist die Antwort bereits entschieden. Niemand muss eine Abwägung zwischen zwei Grundrechten improvisieren, während er zwei Monate Zeit hat und ein Mitarbeiter wartet.

In der Zwischenzeit: Wie ich mich in diesem Zeitfenster verhalten würde

Wir befinden uns in einem unbequemen Zwischenraum: Die Pflicht ist seit dem 7. Juni vollständig in Kraft, die begleitende technische Regelung fehlt noch, und der Garante hat sich noch nicht geäußert. In einer solchen Situation ist die Versuchung groß, zwischen zwei falschen Extremen zu wählen, nämlich abzuwarten oder sofort eine endgültige Praxis zu etablieren. Ich würde weder das eine noch das andere tun. Hier ist, wie ich mich verhalten würde, immer als Ratschlag.

Immer antworten. Schweigen ist die einzige sicher falsche Wahl: Das Recht besteht bereits, und die Zweimonatsfrist wartet nicht auf das Dekret.
Bei Kategorien weit gefasst bleiben, bis der Rahmen geschlossen ist. Eine breitere Aggregation als nötig kann später immer noch verfeinert werden; ein zu feiner veröffentlichter Datenwert kann nicht zurückgezogen werden.
Keine Automatismen konsolidieren. Keine wiederkehrenden Veröffentlichungen im Intranet, keine geplanten Berichte, keine Tabellen, die sich vierteljährlich selbst generieren. Alles, was heute automatisch startet, muss morgen deaktiviert werden und erzeugt in der Zwischenzeit vergleichbare historische Reihen.
Jede Entscheidung schriftlich begründen, unter Angabe der Absätze 7 und 8 und ausdrücklich erklären, dass es sich um eine vorläufige Lösung in Erwartung des Ministeriumsdekrets handelt. Eine als vorläufig erklärte und begründete Entscheidung ist viel besser zu verteidigen als eine stillschweigende Praxis, auch wenn sie sich als restriktiver als nötig erweisen sollte.
Den Vermittlerkanal nutzen, wann immer die Zelle klein ist. Es ist die einzige Lösung, die heute funktioniert, ohne erraten zu müssen, was der Garante sagen wird, da sie bereits in der Richtlinie und im Dekret verankert ist.
Eine Liste der gestellten Anfragen und der gegebenen Antworten führen. Wenn die technischen Regeln eintreffen, ist diese Liste das, was es ermöglicht, auf die bearbeiteten Fälle zurückzukommen und sie zu korrigieren, anstatt Monate später festzustellen, dass man systematisch Fehler gemacht hat.

Eine abschließende Überlegung zu diesem Punkt, die eher methodischer als rechtlicher Natur ist. In Übergangsphasen ist das Schlimmste, was eine Organisation tun kann, einzufrieren und auf Gewissheit zu warten, denn normative Gewissheit kommt immer nach den Fakten. Das Beste ist, bewusst vorläufige Entscheidungen zu treffen und den Grund dafür schriftlich festzuhalten. Wenn in einigen Wochen das Ministeriumsdekret, nach Anhörung des Garante, etwas anderes besagt als das, was ich hier geschrieben habe, müssen diejenigen, die ihre Entscheidungen dokumentiert haben, diese nur aktualisieren. Diejenigen, die nichts dokumentiert haben, müssen hingegen im Nachhinein beweisen, dass sie überlegt haben. Es ist ein Unterschied, der am Tag einer Prüfung voll zur Geltung kommt.

Die Schwellenwerte: Wer wann was tun muss

Das Informationsrecht nach Art. 7 gilt für alle Arbeitgeber, ohne Größenbegrenzung. Die Pflichten zur regelmäßigen Mitteilung nach Art. 9 gelten hingegen für Arbeitgeber mit mindestens einhundert Mitarbeitern, mit einem gestaffelten Zeitplan, den man sich merken sollte:

ab 250 Mitarbeitern: erste Daten bis zum 7. Juni 2027, dann jährlich;
von 150 bis 249: erste Daten bis zum 7. Juni 2027, dann alle drei Jahre;
von 100 bis 149: erste Daten bis zum 7. Juni 2031, dann alle drei Jahre.

Die mitzuteilenden Daten sind sieben und nicht trivial: geschlechtsspezifische Entgeltlücke, Lücke bei ergänzenden oder variablen Bestandteilen, Medianlücke, Medianlücke bei variablen Bestandteilen, Prozentsatz von Frauen und Männern, die variable Bestandteile erhalten, Prozentsatz von Frauen und Männern in jedem Entgeltquartil, und Kategorieunterschiede, aufgeschlüsselt nach Grundgehalt und variablen Bestandteilen.

Achten Sie auf die Verteilung, denn die Unterscheidung ist aufschlussreich. Die ersten sechs gehen an die Überwachungsstelle, die sie veröffentlicht, und können auch vom Arbeitgeber öffentlich gemacht werden. Die siebte, die nach Kategorien, wird nicht veröffentlicht: Sie wird Arbeitnehmern und ihren Vertretern zugänglich gemacht und auf Anfrage an die Arbeitsinspektion und die Gleichstellungsorgane übermittelt. Es ist dasselbe Prinzip der Abwägung, angewendet mit dem Lineal: Je granularer die Daten werden, desto enger wird der Kreis derer, die sie sehen. Wer sein internes System gestaltet, täte gut daran, diese Logik auch dort zu übernehmen, wo die Norm sie nicht vorschreibt.

Dann gibt es noch Art. 10: Wenn der durchschnittliche Unterschied in einer Kategorie gleich oder größer als 5 Prozent ist, nicht auf objektiven und geschlechtsneutralen Kriterien beruht und nicht innerhalb von sechs Monaten nach der Mitteilung korrigiert wird, beginnt die gemeinsame Bewertung mit den Arbeitnehmervertretungen. Ich weise darauf hin, dass dies der Moment des größten Risikos des gesamten Systems ist: Die gemeinsame Bewertung führt eine Gruppe von Personen dazu, über immer feinere Kategorien zu diskutieren, mit dem legitimen Ziel, herauszufinden, woher der Unterschied kommt, bis zu dem Punkt, an dem die Zellen leer werden und die Einzelpersonen wieder auftauchen. Wenn im Unternehmen ein DPO existiert, ist dies der Tisch, an dem er sitzen sollte.

Das fehlende Stück, und es läuft in wenigen Wochen ab

Für Arbeitgeber mit bis zu neunundvierzig Mitarbeitern hat der Gesetzgeber das Problem erkannt und ein Ventil eingefügt: Art. 7 Absatz 8 besagt, dass, um die direkte oder indirekte Identifizierung einzelner Arbeitnehmer gemäß der DSGVO zu vermeiden, die Informationen in der nach Art. 9 Absatz 4 vorgesehenen Weise bereitgestellt werden können.

Nur dass diese Modalitäten noch nicht existieren. Art. 9 Absatz 4 Buchstabe d) verweist sie auf ein oder mehrere Dekrete des Arbeitsministers, nach Anhörung des Garante für den Schutz personenbezogener Daten, die innerhalb von neunzig Tagen nach Inkrafttreten zu erlassen sind. Das Dekret ist seit dem 7. Juni 2026 in Kraft: Die Frist endet Anfang September 2026.

Dass der Garante hinzugezogen wird, ist die beste Bestätigung, dass das Problem als das erkannt wurde, was es ist. Es bleibt jedoch ein offenes Zeitfenster von drei Monaten, in dem das Recht des Arbeitnehmers bereits besteht, die Zweimonatsfrist für die Antwort ebenfalls läuft und die technische Regelung, die kleine Unternehmen schützen sollte, fehlt. Wenn Sie weniger als fünfzig Mitarbeiter haben, rate ich Ihnen, jetzt keine Praxis zu improvisieren, die Sie in wenigen Wochen überarbeiten müssen: Antworten Sie mit breiten Kategorien, begründen Sie teilweise Ablehnungen schriftlich unter Bezugnahme auf Absatz 8 und warten Sie auf das Dekret, bevor Sie jeglichen Automatismus konsolidieren.

Vor der Einstellung: Das Verbot, das ATS und Recruiter betrifft

Art. 5 verlagert die Transparenz nach vorne und enthält zwei spiegelbildliche Pflichten.

Einerseits müssen Bewerbern Angaben zum Einstiegsgehalt oder zur Gehaltsspanne der Position gemacht werden, basierend auf objektiven und geschlechtsneutralen Kriterien, und diese Informationen müssen in Anzeigen und Ausschreibungen enthalten sein. Nicht im Vorstellungsgespräch, nicht auf Anfrage: in der Anzeige.

Andererseits dürfen Bewerber nicht nach Informationen über das erhaltene Entgelt in aktuellen oder früheren Arbeitsverhältnissen gefragt werden. Und hier ist der Teil, der im Unternehmen immer vergessen wird: Dieselben Informationen dürfen auch nicht auf andere Weise, auch nicht indirekt, durch Dritte erlangt werden, denen die Auswahl anvertraut wurde. Das heißt, durch Personalberatungsunternehmen und die von Ihnen genutzten Portale.

Im Bereich des Datenschutzes ist dies der einfachste und am meisten vernachlässigte Fall von Datenminimierung: Das Feld „aktuelles Gehalt“ oder „aktuelles Bruttojahresgehalt“ muss aus den Bewerbungsformularen und der Bewerbermanagement-Software entfernt werden, nicht einfach leer gelassen. Ein Feld, das existiert, wird früher oder später von jemandem ausgefüllt. Und es muss im Vertrag mit dem Dienstleister festgehalten werden, denn wenn der externe Recruiter diese Daten in Ihrem Namen sammelt, bleibt das Problem bei Ihnen: Es ist der klassische Fall, in dem der Auftragsverarbeiter das tut, was er immer getan hat, und der Verantwortliche zu spät entdeckt, dass er es ihm nie verboten hat.

Die neu zu ordnenden Dokumente

Es gibt vier Dokumente, die geändert werden müssen, und keines davon ist optional.

Das Verzeichnis der Verarbeitungstätigkeiten, das den neuen Zweck mit seinen Empfängern und Aufbewahrungsfristen aufnehmen muss. Die Informationen für Mitarbeiter, die ergänzt werden müssen, da die Verarbeitung ihrer Entgeltdaten nun auch diesen Zweck und diese Empfänger hat, einschließlich der Arbeitnehmervertretungen und, auf Anfrage, der Arbeitsinspektion. Das Verfahren zur Bearbeitung von Anfragen, das heute in fast keinem Unternehmen existiert. Und die Verträge: die Arbeitsverträge für die nun verbotenen Gehaltsvertraulichkeitsklauseln, und die Verträge mit den Auswahl-Dienstleistern.

Zur Datenschutz-Folgenabschätzung (DSFA) lehne ich mich aus dem Fenster. Das Dekret schreibt sie nicht vor, und niemand kann Ihnen sagen, dass sie abstrakt obligatorisch ist. Aber wenn Sie ein System aufbauen, das das gesamte Personal klassifiziert, Unterschiede nach Geschlecht und Quartil berechnet, diese jahrelang aufbewahrt, mehreren Empfängern zur Verfügung stellt und Mitteilungen erstellt, die jemanden identifizierbar machen können, stellt sich die Frage von Art. 35 von selbst. In fast allen Organisationen, mit denen ich gearbeitet habe, wäre die ehrliche Antwort ja. Und es gibt einen praktischen Grund, der mehr zählt als der formale: Die DSFA ist der richtige Ort, um die Mindestanzahlschwelle mit ihrer schriftlichen Begründung festzulegen, anstatt sie als Intuition im Kopf dessen zu belassen, der die Tabelle erstellt.

Eine letzte methodische Anmerkung, die vielleicht die wichtigste und am wenigsten technische ist. Art. 38 der DSGVO verlangt, dass der DPO frühzeitig und ordnungsgemäß in alle Fragen des Datenschutzes eingebunden wird. Dies ist eine dieser Fragen, und in der Praxis geschieht dies fast nie: Entgelttransparenz kommt im Unternehmen als arbeitsrechtliches Thema an, wird von der Personalabteilung und dem Gehaltsberater bearbeitet, und der DPO erfährt davon, wenn die Dinge bereits erledigt sind, vielleicht wenn die erste Tabelle bereits veröffentlicht wurde. Wenn Ihr DPO dieses Dossier noch nicht gesehen hat, ist das organisatorische Problem größer als das normative Problem.

Der zweigleisige Sanktionsweg

Dies ist der Teil, der die Geschäftsleitungen in der Regel mehr überzeugt als jedes prinzipielle Argument: Fehler werden hier doppelt bestraft, vor zwei verschiedenen Behörden.

Auf arbeitsrechtlicher Seite verweist Art. 13 des Dekrets auf Art. 41 des Gleichstellungsgesetzes (Codice delle Pari Opportunità): Die Feststellung einer Diskriminierung führt zu einer Meldung an die zuständigen Ministerien, die gewährte Vorteile widerrufen und von Subventionen und öffentlichen Aufträgen bis zu zwei Jahre ausschließen können, zusätzlich zu den für spezifische Verstöße vorgesehenen Bußgeldern. Für diejenigen, die mit der öffentlichen Verwaltung zusammenarbeiten, wiegt der Ausschluss von öffentlichen Aufträgen viel schwerer als eine Geldbuße.

Auf datenschutzrechtlicher Seite ist eine Mitteilung, die das Entgelt einer identifizierbaren Person offenlegt, ein eigenständiger Verstoß gegen die DSGVO, mit eigenem Regime, eigenen Beschwerden und eigener Haftung für Schadensersatz. Und es gibt ein Detail, das selten zur Sprache kommt: Die hier geschädigte betroffene Person ist auch ein aktiver Mitarbeiter. Es ist kein Kunde, der geht, es ist eine Person, die bleibt, die neben demjenigen arbeitet, der jetzt weiß, wie viel sie verdient, und die alle internen und externen Kanäle hat, um ihre Rechte geltend zu machen. Die Rufschädigung durch diesen Verstoß wird vor allem innerhalb des Unternehmens bezahlt.

Die europäische Richtlinie hatte dieses Szenario vorgesehen. Art. 12 verlangt, dass die Verarbeitung gemäß der DSGVO erfolgt und die Informationen an den Zweck gebunden sind, für den sie erhoben werden, und Erwägungsgrund 34 fordert ausdrücklich Garantien gegen die direkte oder indirekte Offenlegung von Daten, die einem identifizierbaren Arbeitnehmer zuzuordnen sind. Das italienische Dekret hat dieses Konzept fast wörtlich übernommen. Es ist kein Versehen: Es ist eine speziell geschriebene Abwägung, die jedoch die Berechnung Ihnen überlässt.

Praktisch: Wo beginnen

Definition der Kategorien von Arbeitnehmern, die die gleiche oder eine gleichwertige Arbeit ausüben, mit objektiven und geschlechtsneutralen Kriterien: Kompetenzen, Verantwortlichkeiten, Engagement und Arbeitsbedingungen. Ohne diesen Schritt beruht alles andere auf dem Nichts, und Kategorien können nicht bei jeder Anfrage neu geordnet werden, um die Zahlen passend zu machen.
Die Schwellenregel festlegen: unter wie vielen Personen pro Geschlecht eine Zelle nicht kommuniziert wird, was zusammengefasst wird, wie die teilweise Ablehnung begründet wird. Vorab entschieden, nicht unter dem Druck einer Anfrage.
Das Verfahren aufbauen: wer die Anfrage erhält, wie die Identität des Anfragenden und eine eventuelle Delegation überprüft wird, wer berechnet, wer genehmigt, mit welchem Modell geantwortet wird, wie das Datum für die zwei Monate und die Begrenzung auf eine Anfrage pro Jahr verfolgt wird.
Das Antwortmuster vorbereiten mit einer Regel, die keine Ausnahmen zulässt: Es werden niemals Gehaltsabrechnungen, Einheitsbücher oder namentliche Übersichten übermittelt. Die Anfrage nach Entgelttransparenz ist kein Aktenzugang.
Die jährliche Mitteilung gemäß Absatz 4 in nachvollziehbarer Form vornehmen. Es ist die einfachste und am häufigsten vergessene Pflicht.
Auswahl und Verträge bereinigen: das Feld für das vorherige Gehalt aus Anzeigen, Formularen und Software entfernen, schriftliche Anweisungen an externe Recruiter, Überprüfung der nun verbotenen Gehaltsvertraulichkeitsklauseln.
Informationen und Verzeichnis aktualisieren und die DSFA bewerten, indem die Schwelle darin verankert wird.
Den DPO jetzt einbinden, nicht erst bei der ersten Anfrage. Und wenn der Tisch der gemeinsamen Bewertung eröffnet wird, ihn dort Platz nehmen lassen.
Die Antwortenden schulen. Das Risiko liegt nicht in der Richtlinie: Es liegt in der Person der Personalabteilung, die in gutem Glauben und mit der Absicht, nützlich zu sein, eine Zeile zu viel in die Tabelle einfügt.

Der Fehler, vor dem man sich am meisten hüten muss, bleibt der erste, dem ich jedes Mal begegne: zu glauben, dass das Entfernen des Namens ausreicht. Es reicht nicht. In einer Kategorie mit wenigen Personen verschwindet der Name, aber die Person bleibt, erkennbar für jeden, der das Organigramm kennt. Und das Organigramm im Unternehmen kennen alle.

Genauer betrachtet, ist die Entgelttransparenz keine Bedrohung für die Vertraulichkeit: Sie ist ein gutes Beispiel dafür, wie zwei Grundrechte koexistieren können, wenn jemand die Mühe auf sich nimmt, die Berechnungen durchzuführen. Der Gesetzgeber hat seinen Teil durch die Festlegung der Grenze getan. Der verbleibende ungedeckte Teil, nämlich diese Grenze in eine verteidigbare numerische Schwelle zu übersetzen, ist genau das Metier derjenigen, die sich mit Datenschutz befassen. Wenn Sie wissen wollen, wo Sie stehen, ist der schnellste Weg, Ihre Belegschaft zu nehmen, sie in die Kategorien einzuteilen, die Sie verwenden würden, und zu zählen, wie viele Personen pro Geschlecht in jede Zelle fallen. Wenn viele Zellen ein oder zwei Personen enthalten, haben Sie kein Compliance-Problem: Sie haben ein Berechnungsproblem, das gelöst werden muss, bevor die erste Anfrage eingeht.

PL Consulting unterstützt Organisationen bei der Abwägung zwischen Transparenzpflichten und dem Schutz der Arbeitnehmerdaten, von der Definition der Kategorien über die Vertraulichkeitsschwelle bis zur Datenschutz-Folgenabschätzung: Entdecken Sie den Service zur DSGVO-Konformität und kontaktieren Sie uns für eine Überprüfung Ihrer Belegschaft, bevor die erste Anfrage eingeht.

Hinweis: Die in diesem Abschnitt zur Abwägung der Rechte enthaltenen Angaben sind unverbindliche Empfehlungen, die vorsorglich für den Zeitraum zwischen Inkrafttreten des Dekrets und der Verabschiedung der in Art. 9 Absatz 4 vorgesehenen technischen Regeln, die nach Anhörung des Garante für den Schutz personenbezogener Daten erlassen werden, formuliert wurden. Sie stellen keine offizielle Auslegung dar und müssen im Lichte dieser Bestimmung sowie etwaiger Hinweise der Behörde überprüft werden. Jede Organisation hat zudem eine unterschiedliche Belegschaftsstruktur, und die Schwelle, ab der eine aggregierte Angabe identifizierend wird, ist im konkreten Fall zu bestimmen. Dieser Artikel dient allgemeinen Informationszwecken und ersetzt keine professionelle Bewertung. Artikel aktualisiert im August 2026.

Entgelttransparenz: Was Sie wirklich sagen können, wenn ein Mitarbeiter fragt, wie viel Kollegen verdienen