Die Personalakte bildet den sensiblen Lebenslauf des Beschäftigungsverhältnisses ab und steht im Zentrum des Beschäftigtendatenschutzes. Wer eine Personalakte datenschutzkonform führen will, muss wissen, was hinein darf, wer zugreifen darf, wo gespeichert wird und wann gelöscht werden muss. Dieser Beitrag zeigt, wie die praktische Umsetzung von Personalakte und Beschäftigtendatenschutz gelingt.
Der Inhalt im Überblick
- Was gehört in eine Personalakte und was nicht?
- Wie strukturiert man eine Personalakte datenschutzkonform?
- Tool, Ordnerstruktur oder Papierakte?
- Wie lange dürfen Bewerbungsdaten gespeichert werden?
- Wann ist während und nach dem Arbeitsverhältnis zu löschen?
- Welche Rechte haben Beschäftigte?
- Personalakte und Beschäftigtendatenschutz als Prozess verstehen
Was gehört in eine Personalakte und was nicht?
In die Personalakte gehören ausschließlich Unterlagen, die in einem unmittelbaren Zusammenhang mit dem Beschäftigungsverhältnis stehen. Typische Beispiele sind Arbeitsvertrag, Vertragsänderungen, erforderliche Bewerbungsunterlagen, Qualifikationsnachweise, relevante Korrespondenz, Entgeltunterlagen, Urlaubs- und Abwesenheitsnachweise, Abmahnungen sowie Unterlagen zur Beendigung des Arbeitsverhältnisses.
Nicht hinein gehören private Mutmaßungen, Gerüchte, Informationen über einen geplanten Jobwechsel, private Lebensumstände ohne Arbeitsbezug oder Unterlagen, die anderen, klar trennbaren Zwecken dienen. Maßgeblich ist, ob die Information für Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist.
Für die Rechtsgrundlage ist insbesondere auf Art. 6 Abs. 1 DSGVO, Art. 9 Abs. 2 DSGVO bei besonderen Kategorien personenbezogener Daten zu achten. Eine pauschale „HR darf das schon“-Begründung reicht nicht aus.
Wie strukturiert man eine Personalakte datenschutzkonform?
Eine gute Personalakte hat eine klare Binnenstruktur. Bewährt ist eine Grundakte für allgemeine Beschäftigungsunterlagen und getrennte Teilakten für besonders sensible oder zweckgebundene Bereiche. Gerade Gesundheitsdaten, BEM-Unterlagen, Schwerbehindertendaten, Disziplinarvorgänge oder arbeitsmedizinische Unterlagen sollten nicht lose zwischen Vertragsänderung und Gehaltsanpassung liegen.
Eine digitale Struktur kann beispielsweise so aussehen:
- Stammdaten und Vertrag
- Vergütung und steuer-/sozialversicherungsrelevante Unterlagen
- Qualifikation, Entwicklung und Zielvereinbarungen
- Abwesenheiten und Arbeitszeitbezug
- Maßnahmen und Korrespondenz mit Personalbezug
- Getrennte Gesundheits-/BEM-Teilakte
- Austritt, Zeugnis, Archivierung und Löschung
Wichtig ist, dass die Struktur zur tatsächlichen HR-Arbeit passt. Ein theoretisch perfekter Ordnerbaum, den niemand nutzt, ist datenschutzrechtlich genauso wenig hilfreich wie ein Aktenvernichter ohne Stecker.
Tool, Ordnerstruktur oder Papierakte?
Ein gutes HR-Tool oder Dokumentenmanagementsystem ist einer bloßen Dateiablage meist überlegen, wenn es Rollen- und Berechtigungskonzepte, Protokollierung, Löschfristen, Versionierung, Verschlüsselung und Exportfunktionen unterstützt. Bei externen Tools ist regelmäßig ein Auftragsverarbeitungsvertrag erforderlich; außerdem sind Unterauftragnehmer, Drittlandtransfers und Löschfunktionen zu prüfen.
Eine Ordnerstruktur auf Netzlaufwerk, SharePoint oder Fileserver ist nicht automatisch unzulässig. Sie ist aber nur dann praxistauglich, wenn Zugriffe streng nach dem Need-to-know-Prinzip vergeben werden, HR-Ordner nicht mit Führungs- oder Projektordnern vermischt werden und sensible Teilakten zusätzlich geschützt sind.
Papierakten bleiben möglich. Dann braucht es verschlossene Schränke, gesicherte HR-Räume, geregelte Herausgabe, Protokollierung der Einsichtnahme und datenschutzgerechte Vernichtung. Bei hybriden Akten muss klar sein, welches System führend ist. Sonst entstehen Doppelbestände — und Doppelbestände sind der natürliche Feind jeder Löschfrist.
Wie lange dürfen Bewerbungsdaten gespeichert werden?
Der Lebenszyklus beginnt schon vor der eigentlichen Personalakte: im Bewerbungsverfahren. Bei abgelehnten Bewerbern gibt es noch keine Personalakte, sondern eine Bewerberakte. Diese darf in der Regel bis zu sechs Monate nach Abschluss des Bewerbungsverfahrens aufbewahrt werden, um mögliche Ansprüche nach dem AGG abwehren zu können. Die Landesbeauftragte für den Datenschutz Niedersachsen verweist insoweit auf die Klagefrist nach § 61b ArbGG i.V.m. § 15 AGG und leitet daraus für nicht-öffentliche Stellen eine vertretbare Aufbewahrung bis zu sechs Monate ab.
Wird der Bewerber eingestellt, dürfen nur die erforderlichen Bewerbungsunterlagen in die Personalakte übernommen werden, etwa Lebenslauf, Zeugnisse, Qualifikationsnachweise oder Nachweise, die für die konkrete Tätigkeit erforderlich sind. Nicht erforderlich sind dagegen regelmäßig alte Auswahlnotizen, interne Rankings, Interview-Rohnotizen oder Background-Check-Material, sofern diese nach der Einstellungsentscheidung keinen Zweck mehr erfüllen.
Während der Probezeit kann es vertretbar sein, bestimmte bewerbungsbezogene Unterlagen noch aufzubewahren, soweit sie für Einarbeitung, Qualifikationsprüfung oder die Entscheidung über die Fortsetzung des Arbeitsverhältnisses erforderlich sind. Nach Bestehen der Probezeit sollte HR die Personalakte aber gezielt bereinigen: Was nur dem Auswahlverfahren diente und für das laufende Beschäftigungsverhältnis keine Bedeutung mehr hat, gehört gelöscht oder jedenfalls aus der aktiven Personalakte entfernt.
Wann ist während und nach dem Arbeitsverhältnis zu löschen?
Auch während des Beschäftigungsverhältnisses ist die Personalakte kein Archiv auf Ewigkeit. Falsche Daten sind zu berichtigen. Überholte oder nicht mehr erforderliche Unterlagen sind zu entfernen. Das gilt besonders für sensible Vorgänge, freiwillige Angaben, veraltete Beurteilungen, erledigte Nebenthemen oder Unterlagen, deren Zweck entfallen ist. Systeme sollten daher nicht nur speichern, sondern auch löschen können.
Nach Beendigung des Arbeitsverhältnisses sind Berechtigungen zu entziehen, laufende Vorgänge abzuschließen und nicht mehr benötigte Daten zu löschen. Allgemeine arbeitsrechtliche Ansprüche verjähren regelmäßig nach drei Jahren ab Schluss des Jahres, in dem der Anspruch entstanden ist. Steuer- und handelsrechtlich relevante Unterlagen können dagegen länger aufzubewahren sein, häufig sechs, acht oder zehn Jahre, je nach Dokumentart. Die Personalakte sollte daher nicht pauschal „zehn Jahre komplett“ liegen bleiben, sondern nach Dokumentenkategorien bewertet werden. Die Datenschutzschulungsunterlage weist zutreffend darauf hin, dass nach Ausscheiden insbesondere Drei-Jahres-Fristen sowie steuerrechtliche Aufbewahrungsfristen zu berücksichtigen sind.
Bei einer Beendigung während der Probezeit gilt nichts grundsätzlich anderes, aber die Akte ist meist schlanker: Nicht benötigte Bewerbungs- und Probezeitunterlagen können früher gelöscht werden, sofern keine Streitigkeit absehbar ist. Nach längerer Betriebszugehörigkeit werden regelmäßig mehr Unterlagen aufbewahrungspflichtig oder beweisrelevant sein.
Welche Rechte haben Beschäftigte?
Beschäftigte haben Anspruch auf Transparenz. Dazu gehören Auskunft über gespeicherte Daten, Einsicht in die Personalakte, Berichtigung unrichtiger Daten und Löschung nicht mehr benötigter Daten. Unternehmen sollten hierfür klare Prozesse definieren: Wer nimmt Anträge entgegen? Wer prüft die Akte? Wie werden Kopien bereitgestellt? Und wer entscheidet, wenn HR, Führungskraft und Beschäftigter über die Erforderlichkeit eines Dokuments streiten?
Personalakte und Beschäftigtendatenschutz als Prozess verstehen
Eine Personalakte datenschutzkonform zu führen bedeutet nicht, ein paar Ordner hübsch zu benennen. Entscheidend ist ein beherrschter Prozess: klare Inhalte, klare Teilakten, klare Zugriffe, klare Speicherorte und klare Löschfristen. Ob digital, Papier oder hybrid ist zweitrangig. Hauptsache, HR kann jederzeit erklären, warum ein Dokument vorhanden ist, wer es sehen darf und wann es wieder verschwindet.
Liebes Dr. Datenschutz-Team, wie immer danke für den interessanten Beitrag. Sie schreiben, dass auch Arbeitsunfähig-keitsbescheinigungen in der Personalakte aufbewahrt werden können. Aus meiner Sicht könnte sich hieraus ein datenschutzrechtliches Problem ergeben, denn gem. Art. 4 Nr. 15 DSGVO handelt es sich dabei um ein Gesundheitsdatum, was den strengeren Verarbeitungsanforderungen aus Art. 9 DSGVO genügen muss. Gerade in Betrieben mit vielen Mitarbeitenden ist regelmäßig auch von größeren Personalabteilungen auszugehen. Wie Sie selbst darstellen, sollte der Zugriff auf P-Akten z.B. auf HR Mitarbeitende, Geschäftsführer und die zuständige Führungskraft beschränkt bleiben. Da ein Krankenschein auch immer den Stempel des behandelten Arztes trägt, kann daraus unter Umständen auf die Krankheitskategorie des Betroffenen geschlossen werden (z.B. Facharzt für Onkologie) – diesbezüglich halte ich die Aufbewahrung in der Personalakte mit einem Zugriff durch z.B. alle HR Mitarbeitenden für kritisch. Wie bewerten Sie diesen Sachverhalt? Danke und viele Grüße NG
Zunächst einmal vielen Dank für die lobenden Worte. Ihr Gedanke ist durchaus nachvollziehbar. Arbeitsunfähigkeitsbescheinigungen können ja schon deshalb als Gesundheitsdatum gewertet werden, da durch sie die Tatsache, dass man arbeitsunfähig ist, schon etwas über den Gesundheitszustand aussagt. Art. 4 Nr. 15 DSGVO ist grundsätzlich weit zu verstehen.
Doch unabhängig davon, ob auch zusätzlich aus den Daten des behandelnden Arztes ein Rückschluss auf konkrete Erkrankungen gezogen werden kann, bestehen vorliegend Ausnahmen gem. Art. 9 Abs. 2 lit. b, h DSGVO bei arbeitsrechtlicher Erforderlichkeit (auch gem. § 26 Abs. 3 BDSG) und für die Beurteilung der Arbeitsfähigkeit eines Beschäftigten. Art. 9 Abs. 1 DSGVO gilt demnach für Arbeitsunfähigkeitsbescheinigungen nicht.
Was die Einsichtsmöglichkeit durch die gesamte Personalabteilung angeht, so ist davon auszugehen, dass diese ja schon deshalb die Arbeitsunfähigkeitsbescheinigungen der Mitarbeiter zu Gesicht bekommen, da sie regelmäßig für damit verbundenen Krankmeldungen zuständig ist. Eine weitere Aufsplitterung von Berechtigungen innerhalb der Personalabteilung, auch bei größeren Abteilungen, dürfte wohl eher nicht notwendig sein und vermutlich auch auf praktische Schwierigkeiten stoßen.
Sehr geehrte Damen und Herren,
vielen Dank für den interessanten Beitrag. Hinsichtlich der Entfernung von Abmahnungen aus der Akte wäre ich sehr vorsichtig. Bei einer verhaltensbedingten Kündigung wird ein Abmahnungsschreiben als Beweismittel ggf. (je nach Schwere des Vorfalls) sehr wichtig sein, um eine sogenannte „beanstandungsfreie Betriebszugehörigkeit“ zu widerlegen. Hat man das Schreiben jedoch frühzeitig aus der Akte entfernt, fehlt der Beweiswert, auch wenn es sich um ein relativ „leichtes Fehlverhalten“ handelt. Aus meiner Sicht ist dies ein gewichtiges Argument. Eine „Ablaufzeit“ von Abmahnungsschreiben gibt es grundsätzlich nicht.
Vielen Dank für Ihren Kommentar und die ergänzenden Hinweise. Der Artikel soll nur eine grobe Übersicht möglicher Konstellationen und Probleme darstellen. Dass regelmäßig Abmahnungen in Personalakten aufbewahrt werden dürfen, sollte in dem Artikel nicht in Abrede gestellt werden, sondern lediglich auf Einzelfälle hingewiesen werden, bei denen möglicherweise eine Löschung in Betracht kommt (das BAG sieht dies z.B. bei nicht hinreichend konkreten Rügen oder wenn das gerügtes Verhalten für das Arbeitsverhältnis in jeder Hinsicht bedeutungslos ist).
Sehr geehrte Damen und Herren,
die Digitalisierung ist ein allgegenwärtiges Thema, daher ist es wichtig zu wissen, welche Unterlagen im Original aufbewahrt werden müssen. In Ihrem Beitrag wird in diesem Zusammenhang auf § 28a Abs. 2 S. 1 SGB IV verwiesen; aus diesem kann ich keine Pflicht zur Vorhaltung von Originalunterlagen (in Papierform) ableiten. Habe ich hier etwas übersehen?
Vielen Dank für Ihren Hinweis. Richtig wäre hier § 28 Abs. 1 S. 1 SGB IV. Danach hat der Arbeitgeber für jeden Beschäftigten, getrennt nach Kalenderjahren, Entgeltunterlagen im Geltungsbereich dieses Gesetzes in deutscher Sprache zu führen und bis zum Ablauf des auf die letzte Prüfung (§ 28p) folgenden Kalenderjahres geordnet aufzubewahren. Da seit 2023 die elektronische Betriebsprüfung vorgesehen ist, müssen hier regelmäßig keine Unterlagen im Original aufbewahrt werden. Ein Original müsste wohl nur noch in Papierform vorliegen, soweit ein Dokument mit Schriftformerfordernis, in elektronischer Form keine qualifizierte elektronische Signatur enthält (z.B: Antrag auf Befreiung von der Rentenversicherungspflicht bei einer geringfügigen Beschäftigung). Wir haben den Artikel entsprechend angepasst.
Liebes Dr. Datenschutzteam,
vielen Dank für den interessanten Beitrag. Zum Thema Zugriff schreiben Sie: „Regelmäßig sind dies die Personalabteilung, die Geschäftsführung sowie der direkte Vorgesetzte.“
Wie wäre das bei einem Unternehmen mit ca. 70 Beschäftigten im HR-Bereich? Müsste da dann nicht das Zugriffsrecht an Rollen geknüpft werden? Ein Recruiter muss eigentlich nicht zwingend die gleichen Dinge sehen, wie ein Controller oder eine Personalentwicklerin. Besteht denn auch ein Recht für die Führungskraft, alle Informationen der Mitarbeiter zu sehen?
Aus datenschutzrechtlicher Sicht ist zu empfehlen, die Berechtigungen zum Zugriff auf Daten der Beschäftigten maximal restriktiv auszugestalten und im Einzelfall zu prüfen, ob weitergehende Berechtigungen möglich sind.
Bei der Verarbeitung von Beschäftigtendaten sind, ob digital oder in Papierform, die Grundsätze des Datenschutzes nach Art. 5 DSGVO zu beachten, insbesondere die Integrität und Vertraulichkeit personenbezogener Daten. Personalakten, Daten zur Zeiterfassung oder sonstige Daten der Beschäftigten dürfen daher nicht allgemein zugänglich sein, vielmehr muss der Kreis der zugriffsberechtigten Personen möglichst klein und die Zugriffsmöglichkeiten möglichst gering gehalten werden, sog. „Need-to-know-Prinzip“. Dies gilt insbesondere für besonders sensible Daten wie z.B. Gesundheitsdaten nach Art. 9 DSGVO. Deren Verarbeitung ist grundsätzlich verboten und gemäß § 26 Absatz 3 BDSG im Beschäftigungsverhältnis nur in bestimmten Ausnahmefällen erlaubt. Aufgrund dessen dürfen solche Daten nicht „offen“ in der Personalakte abgelegt werden und der Kreis der Zugriffsberechtigten ist ggf. noch weiter einzuschränken.
Mit diesen Grundsätzen muss das datenschutzrechtliche Berechtigungskonzept übereinstimmen. Das Berechtigungskonzept kann daher je nach Unternehmen stark variieren, daher kommt es bei konkreten Fragen auch immer auf den konkreten Einzelfall an.
Meine gesamte Personalakte wurde einem leitenden Mitarbeiter meines AG aus dem Auto gestohlen ?!
Diese darf doch nicht in einem geparkten Auto liegen und was muss ich nun beachten. Haftung und Schadensersatz ?
Der Arbeitgeber muss dafür sorgen, dass Unbefugte keinen Zugriff auf die Daten der Personalakte erhalten. Um sicherzustellen, dass die Personalakte nicht durch unbefugte Dritte einsehbar ist, müssen daher sogenannte technische und organisatorische Maßnahmen (TOM) eingeführt werden. In aller Regel bestehen dazu in Unternehmen Richtlinien, die definieren, wie Personalakten aufzubewahren sind und es werden entsprechende Mittel zur Verfügung gestellt (z.B. Aufbewahrung nur in abschließbaren Räumen/Schränken). In dem von Ihnen geschilderten Fall, hat sich der leitende Mitarbeiter eventuell darüber hinweggesetzt oder solche Richtlinien bestehen in Ihrem Unternehmen nicht. Bei einem Diebstahl einer vollständigen Personalakte dürfte es sich regelmäßig um einen meldepflichtigen Datenschutzvorfall gem. Art. 33 DSGVO handeln, da diese eine Vielzahl von Daten einer natürlichen Person enthält auf die grundsätzlich nur ein begrenzter Personenkreis Zugriff nehmen darf, und damit ein Risiko für die Rechte und Freiheiten einer natürlichen Person bejaht werden dürfte.
Eine zivilrechtliche Haftung des Verantwortlichen ist gem. Art. 82 DSGVO ebenfalls möglich. Zentrale Voraussetzung hierfür ist, dass dem Betroffenen ein materieller oder immaterieller Schaden entstanden sein muss. Der EuGH hat hierzu entschieden (Urteil v. 4.5.2023, C-300/21, Österreichische Post), dass zwar kein erheblicher Schaden vorliegen muss, der bloße Verstoß gegen die Bestimmungen der DSGVO jedoch nicht ausreicht, um einen Schadenersatzanspruch zu begründen. Denkbare Schäden wären etwa Diskriminierung, Identitätsdiebstahl oder -betrug, Rufschädigung oder der Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten.
Bitte beachten Sie, dass wir im Rahmen unseres Blogs keine Rechtsberatung anbieten können. Hinsichtlich des Vorliegens zivilrechtlicher Ansprüche in Ihrem konkreten Fall sollten Sie sich daher an einen Anwalt wenden.