Datenschutz für die Personalakte: Was gilt für Arbeitgeber?

Streng vertraulich: Deshalb ist bei Personalakten Vorsicht geboten

In der Personalakte sammeln Arbeitgeber zahlreiche Informationen über ihre Angestellten – vom Arbeitsvertrag über Adress- und Bankdaten bis hin zu sozialversicherungs- und steuerrechtlich relevanten Informationen.  

Zwar besteht keine Pflicht für das Führen von Personalakten. Allerdings helfen sie Unternehmen, rechtliche Pflichten etwa aus dem Arbeits-, Sozial- oder Steuerrecht zu erfüllen. Das Problem: Eine Personalakte enthält vertrauliche Informationen. Dazu gehören auch personenbezogene Daten, die durch die Datenschutzgrundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) unter einen besonderen Schutz fallen.  

Welche Informationen darf eine Personalakte enthalten?

Eine Personalakte darf Angaben enthalten, die sich auf den Arbeitnehmer und dessen Arbeitsverhältnis beziehen. In diesem Rahmen ist es Arbeitgebern gestattet, auch personenbezogene Daten zu verarbeiten, wenn die Daten für die Durchführung des Beschäftigtenverhältnisses und damit in Zusammenhang stehenden Rechte und Pflichten des Arbeitgebers und Arbeitnehmers erforderlich sind. In seltenen Fällen dürfen Daten auch auf Grundlage einer Einwilligung in der Personalakte aufbewahrt werden, allerdings sind hierbei äußerst strenge Anforderungen zu erfüllen.

Diese personenbezogenen Daten dürfen in der Personalakte stehen

Zu den persönlichen Informationen, die zur Durchführung des Arbeitsverhältnisses verarbeitet werden dürfen, zählen neben dem Namen, dem Geburtsdatum und der Adresse unter anderem:

• Bewerbungsunterlagen wie Zeugnisse, Abschlüsse oder Arbeitszeugnisse

• Arbeitsvertrag und Zusatzvereinbarungen

• Unterlagen zur Sozial- und Krankenversicherung

• Erworbene Zusatzqualifikationen, etwa von Fortbildungen

• Lohnabrechnungen und Steuerunterlagen, einschließlich der hierfür erforderlichen Angaben z. B. zu Kindern, Konfession

• Anträge und bestimmte Daten zu Abwesenheiten, insbesondere Urlaub, Mutterschutz und Elternzeit sowie Arbeitsunfähigkeit

• Arbeitgeberdarlehen oder Lohnpfändungen

• Abmahnungen, wenn diese berechtigt sind und der Wahrheit entsprechen

• Gesprächsnotizen aus Gesprächen mit dem Mitarbeiter

• Daten über die Mitgliedschaft im Betriebsrat

• Kündigungsschreiben

Was gehört nicht in die Personalakte?

Alles, was nicht zur Durchführung des Arbeitsverhältnisses erforderlich ist, hat nichts in der Personalakte verloren. Dies betrifft insbesondere Information aus dem privaten Bereich wie Angaben zu privaten Interessen und Plänen oder Social-Media-Profile und deren Inhalte. Bei sensiblen Daten oder bei besonderen Kategorien von personenbezogenen Daten wie etwa religiösen, politischen oder sexuellen Überzeugungen und Vorlieben oder Gesundheitsdaten ist daher Vorsicht geboten. Es muss genau geprüft werden, was in die Personalakte darf und was nicht.  

Beispiele:

• Angaben zur Konfession dürften verarbeitet werden, falls sie für die Berechnung der Kirchensteuerabzüge erforderlich sind, andere Angaben zur Religion der Beschäftigten jedoch nicht.  

• Ebenso dürften Angaben zum Bestehen einer Arbeitsunfähigkeit und deren Dauer n der Personalakte verarbeitet werden, soweit sie für die Entgeltfortzahlung relevant sind, nicht hingegen ärztliche Atteste, Angaben zu Diagnosen oder sonstigen Informationen zur Krankheit. Soweit die Verarbeitung solcher Gesundheitsdaten im Einzelfall  z.B. im Rahmen eines betrieblichen Eingliederungsmanagements (BEM), überhaupt erlaubt wäre, müssten sie getrennt von der Personalakte und zudem besonders geschützt aufbewahrt werden.  

Was gilt für die Ablage von Personalakten?

Aufgrund ihrer sensiblen Inhalte gibt es strenge Vorgaben für den Umgang und die Aufbewahrung von Personalakten – und zwar unabhängig davon, ob Unternehmen ihre Personalakten in Papierform oder digital führen:

• Nur wenige Personen dürfen Zugriff auf Daten in der Personalakte haben: Der Arbeitnehmer selbst hat arbeitsrechtlich ein Einsichtsrecht. Darüber hinausdürfen  Mitglieder der Geschäftsführung und ausgewählte Personalverantwortliche, also Vorgesetzte oder Mitarbeiter der Personalverwaltung, Zugriff nehmen, aber stets nur im erforderlichen Umfang. Mit Zustimmung des Beschäftigten darf gegebenenfalls auch ein Betriebsratsmitglied Einsicht nehmen.

• Die Akte und ihr Inhalt sind jederzeit vertraulich zu behandeln und aufzubewahren. Um das zu gewährleisten, müssen Unternehmen entsprechende technische und organisatorische Maßnahmen (TOM) ergreifen. Gesundheitsdaten sind besonders zu schützen und müssen gesondert von der Personalakte aufbewahrt werden.

• Die Weitergabe oder ein Offenlegen der Personalakte oder einzelner Inhalte an Dritte, auch an andere Unternehmen einer Unternehmensgruppe, ist nicht ohne Weiteres erlaubt.

Papier oder digital? In welcher Form müssen Arbeitgeber Personalakten speichern?

Unternehmen sind nicht verpflichtet, Personalakten digital zu führen. Allerdings verpflichtet sie die Beitragsverfahrensverordnung (BVV) seit Januar 2022 dazu, bestimmte Entgeltunterlagen digital an Sozialversicherungsträger zu übermitteln.  

Deshalb ist es sinnvoll, die Personalakten digital zu führen. Das vereinfacht es HR-Verantwortlichen nicht nur, die BVV einzuhalten, sondern auch den Datenschutz für Personalakten effizient einzuhalten und Personaldaten fristgerecht zu löschen. Eine Datenschutzsoftware hilft ihnen, die Fristen im Blick zu behalten.

Datenschutz bei der Personalakte: Das müssen Arbeitgeber beachten

Bei den Personalakten ihrer Arbeitnehmer sollten Arbeitgeber nach den Grundsätzen für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) handeln. Das bedeutet, die Aufnahme von Daten in die Personalakte muss unter folgenden Aspekten stattfinden:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

• Zweckbindung

• Datenminimierung

• Richtigkeit

• Speicherbegrenzung – wobei hier auch das Bundesgesetzbuch zu beachten ist

• Integrität und Vertraulichkeit

Die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) besagt, dass Unternehmen in der Lage sein müssen, die Einhaltungen dieser Maßnahmen nachzuweisen.  

Arbeitnehmerrechte: Darf ein Mitarbeiter seine Personalakte einsehen?

Laut § 83 Abs. 1 Betriebsverfassungsgesetz (BetrVG) darf ein Mitarbeiter jederzeit und ohne Angabe von Gründen Einsicht in die Personalakte verlangen – solange er Entgelt bezieht und während der üblichen Arbeitszeit. Dieses Einsichtsrecht in die Personalakte gilt für Akten in Papierform und für elektronische Personalakten.

Dem Mitarbeiter ist es dabei gestattet, Kopien oder Smartphonefotos von den Inhalten zu machen. Allerdings sind Einsicht und Vervielfältigung nur innerhalb des Unternehmens möglich und der Arbeitnehmer darf die Akte nicht mit nach Hause nehmen.

Außerdem haben Arbeitnehmer arbeitsrechtlich das Recht,  

• ihre Personalakte jederzeit berichtigen zu lassen

• falsche Bestandteile löschen lassen

• Stellungnahme oder Gegendarstellungen zu bestimmten Bestandteilen vorzunehmen

• ein Betriebsratsmitglied hinzuziehen, falls ein Betriebsrat vorhanden ist.

Diese Schritte darf der Arbeitnehmer auch gerichtlich durchsetzen. Zudem bleiben diese Rechte auch nach Beendigung des Arbeitsverhältnisses bestehen.

Betroffenenrechte nach DSGVO

Neben den Rechten aus dem Arbeitsrecht stehen Beschäftigten hinsichtlich der Personalakte alle Rechte der DSGVO zur Verfügung, also insbesondere die Rechte auf  

• Auskunft und Kopie

• Löschung

• Berichtigung

• Widerspruch gegen die Verarbeitung

• Widerruf von Einwilligungen

Arbeitgeber sollten auch in Bezug auf die Personalakte sicher, dass diese Rechte innerhalb der gesetzlichen Frist umgesetzt werden und sollten entsprechende Vorkehrungen zur Umsetzung treffen.  

Was passiert mit der Personalakte nach dem Ausscheiden des Mitarbeiters oder beim Arbeitgeberwechsel?

Nach Ausscheiden von Mitarbeitern, etwa bei Kündigung, muss der ehemalige Arbeitgeber bestimmte Dokumente aus der Personalakte gesondert von den Personalakten der aktiven Belegschaft so lange aufbewahren, bis die gesetzlichen Aufbewahrungsfristen ablaufen. Lesen Sie in unserem Übersichtsartikel alles über Aufbewahrungsfristen und Löschfristen, die für Personaldaten und -dokumente gelten.

Wechselt ein Arbeitnehmer von einem Unternehmen einer Gruppe zu einem anderen, darf die Personalakte nicht einfach weitergegeben werden. Regelmäßig muss beim neuen Unternehmen eine neue Personalakte angelegt werden.

Pflicht zur regelmäßigen Löschung oder Vernichtung

Personalakten müssen gelöscht oder vernichtet werden, wenn sie nicht mehr benötigt werden, also insbesondere nach dem Ende des Beschäftigungsverhältnisses. Darüber hinaus ist auch während des laufenden Arbeitsverhältnisses regelmäßig zu prüfen, welche Inhalte und Dokumente in der Personalakte weiterhin aufbewahrt werden müssen oder welche zu entfernen sind. So verlieren etwa Abmahnungen irgendwann Ihre Wirkung und müssen dann aus der Akte entfernt werden.  Personalakten sollten daher regelmäßig kontrolliert und bereinigt werden.

Fazit: Schützen Sie die Privatsphäre Ihrer Mitarbeiter

Um den Datenschutz für Personalakten gewährleisten zu können, benötigen Arbeitgeber klare Regelungen, an die sich die Personal- und HR-Mitarbeiter orientieren können – und den Überblick über aktuell geltende Vorschriften.  

Insbesondere Organisationen, die über den Einsatz von KI in der Personalabteilung nachdenken, oder auf Personalrecruiting spezialisierte Personaldienstleister sollten sich gründlich mit den DSGVO-Vorgaben zur Personalakte auseinandersetzen.