Datenschutz in der Personalakte, DSGVO konforme Notizen im Alltag

Das Wichtigste auf einen Blick

Was in die Personalakte gehört und was nicht

Die Personalakte ist kein Archiv für alles, was im Arbeitsverhältnis anfällt. Sie ist eine Sammlung von Unterlagen, die das Arbeitsverhältnis betreffen und für dessen Durchführung, Abwicklung oder Kontrolle erforderlich sind. Wer das verwechselt, sammelt Daten ohne Zweck und verliert den Überblick über Löschfristen.

Hinein gehören Bewerbung, Arbeitsvertrag und Nachträge. Dazu kommen Zeugnisse, Abmahnungen und Kündigungen. Auch Urlaubs- und Fehlzeitenübersichten, Lohnabrechnungen und Fortbildungsnachweise gehören in die Akte. Abmahnungen sind aufzunehmen, weil sie später im Kündigungsschutzverfahren nach dem KSchG Bedeutung haben können.

Nicht hinein gehören Privatadressen von Angehörigen ohne Einwilligung und Gesundheitsdaten ohne Bezug zur Tätigkeit. Auch Parteibücher, Gewerkschaftszugehörigkeit, religiöse Angaben und private Korrespondenz haben in der Akte nichts zu suchen. Solche Daten sind nach der DSGVO besonders geschützt und nur ausnahmsweise zulässig.

Die EU-rechtliche Grundlage des Beschäftigtendatenschutzes steht in der Datenschutz-Grundverordnung, die seit 2018 unmittelbar gilt und den Rahmen für jede Verarbeitung im Beschäftigungsverhältnis setzt. National ergänzt § 32 BDSG die Verarbeitung für Zwecke des Beschäftigungsverhältnisses und regelt zugleich Auskunfts- und Löschungsrechte bei Personalnotizen.

Getrennte Akten, getrennte Zwecke

Viele Betriebe führen mehrere Akten: Personalakte, Lohnakte, Krankheitsakte, Schwerbehindertenakte. Das ist zulässig und oft sinnvoll, weil es den Zugriff begrenzt. Entscheidend ist, dass jede Akte einen eigenen Zweck und eine eigene Zugriffsregel hat.

DSGVO-Grundsätze: Zweckbindung, Datenminimierung, Richtigkeit

Drei Grundsätze bestimmen den Alltag mehr als jede Formularvorlage. Zweckbindung heißt: Daten werden für einen festgelegten, eindeutigen und rechtmäßigen Zweck erhoben und nicht später für etwas anderes verwendet. Eine Bewerbung für die Stelle als Lagermitarbeiter rechtfertigt keine Auswertung für spätere Führungsaufgaben.

Datenminimierung heißt: so wenig Daten wie möglich, so viele wie nötig. Eine Notiz über ein Personalgespräch braucht Anlass, Datum, Ergebnis und Folgemaßnahmen. Sie braucht nicht die Vermutung über die private Situation der Person.

Richtigkeit heißt: falsche Angaben sind zu berichtigen oder zu löschen. Das klingt selbstverständlich, ist aber in handgeschriebenen Notizen die häufigste Fehlerquelle. Wer eine Beurteilung nachträglich ändert, muss kenntlich machen, was ursprünglich dokumentiert war.

Notizen sind Verarbeitungen

Jede Notiz in der Papierakte oder im HR-System ist eine Datenverarbeitung. Sie braucht eine Rechtsgrundlage, sie zählt zur Aufbewahrung, und sie unterliegt Auskunfts- und Löschungsansprüchen. Die handschriftliche Karteikarte im Schrank ist datenschutzrechtlich kein Sonderfall.

Zweckbindung praktisch prüfen

Eine einfache Frage hilft bei jeder Notiz: Welche Entscheidung stützt dieser Satz, und wer muss sie später nachvollziehen können? Lässt sich die Frage nicht beantworten, gehört der Satz nicht in die Akte.

Löschfristen und Aufbewahrungspflichten nach Handels- und Steuerrecht

Löschfristen und Aufbewahrungspflichten sind zwei Seiten derselben Medaille. Die DSGVO verlangt Löschung, sobald der Zweck entfällt. Handels- und Steuerrecht verlangen Aufbewahrung für bestimmte Zeiträume. Wer beides kennt, kann Fristen sauber setzen.

Die handelsrechtliche Aufbewahrungspflicht für Bücher, Bilanzen und Buchungsbelege beträgt sechs Jahre, gerechnet ab dem Schluss des Kalenderjahres, in dem der letzte Eintrag erfolgt ist. Die steuerrechtliche Frist für Buchungsbelege und Rechnungen beträgt zehn Jahre. Arbeitsrechtliche Unterlagen wie Abmahnungen und Kündigungen unterliegen keiner gesetzlichen Aufbewahrungspflicht, können aber wegen möglicher Kündigungsschutzklagen nach dem KSchG aufbewahrt werden.

Lohnunterlagen sind nach steuerrechtlichen Vorgaben aufzubewahren. Sozialversicherungsrechtliche Unterlagen nach dem SGB IV haben eigene Fristen, teils bis zu vier Jahre nach Ablauf des Beitragsjahres, teils länger. Wer hier pauschal löscht, riskiert Betriebsprüfungsprobleme.

Tabelle: typische Fristen im Überblick

Die Tabelle ist eine Orientierung, keine Rechtsberatung. Fristen können sich durch Tarifverträge nach dem TVG, Betriebsvereinbarungen nach dem BetrVG oder branchenspezifische Vorgaben ändern. Wer unsicher ist, dokumentiert die eigene Begründung.

Löschkonzept statt Einzelfallentscheidung

Ein Löschkonzept legt fest, welche Kategorie nach welcher Frist gelöscht wird und wer die Löschung ausführt. Es gehört in das Verzeichnis von Verarbeitungstätigkeiten und wird jährlich überprüft. Ohne Konzept bleibt Löschen Zufall.

Papierakte versus HR-System: gleiche Pflichten, andere Risiken

Die DSGVO unterscheidet nicht zwischen Papier und Software. Die Pflichten sind gleich, die Risiken nicht. Die Papierakte ist physisch begrenzt, aber schwer zu durchsuchen und leicht zu kopieren. Das HR-System ist durchsuchbar, versionierbar und protokollierbar, aber anfällig für Fehlkonfigurationen und Massenexporte.

In der Papierakte liegt das Hauptrisiko beim Zugriff. Wer den Schrankschlüssel hat, liest alles. Deshalb sind getrennte Schränke, ein Schlüsselprotokoll und klare Vertretungsregeln Pflicht. Kopien für Vorgesetzte sind grundsätzlich zu vermeiden, weil sie außerhalb der Akte weiterleben.

Im HR-System liegt das Hauptrisiko bei Berechtigungen und Protokollen. Rollen müssen nach Aufgaben geschnitten sein, nicht nach Hierarchie. Ein Vorgesetzter braucht keine Einsicht in Krankheitsdaten, nur weil er disziplinarisch verantwortlich ist.

HR-System Datenschutz konkret

Zu jedem HR-System gehören ein Verzeichnis der Verarbeitungstätigkeiten, ein Auftragsverarbeitungsvertrag mit dem Anbieter, eine Berechtigungsmatrix und ein Löschkonzept. Bei Cloud-Diensten kommt die Frage nach dem Ort der Verarbeitung hinzu. Wer Personalnotizen in ein System schreibt, das keine Löschfunktion hat, hat ein Problem.

Kleine Betriebe, gleiche Pflichten

Kleine Betriebe ohne Datenschutzbeauftragte stehen vor derselben Aufgabe. Die LDI NRW bietet dafür praxisnahe Hinweise speziell für kleine und mittlere Unternehmen, die sich auf Personalnotizen und einfache Verarbeitungen übertragen lassen.

Zuständige Landesdatenschutzbeauftragte: BayLDA und LDI NRW

Aufsicht ist Ländersache. Zuständig ist die Behörde des Landes, in dem der Verantwortliche seinen Sitz hat. Für bayerische Betriebe ist das BayLDA, für nordrhein-westfälische die LDI NRW. Beide veröffentlichen Hinweise, die sich direkt auf Personalakten und Notizen anwenden lassen.

Das Bayerische Landesamt für Datenschutzaufsicht informiert zu Personalakten, Notizen und Beschäftigtendatenschutz und beschreibt, welche Unterlagen in die Akte gehören und wie mit sensiblen Angaben umzugehen ist. Diese Hinweise sind für die Praxis oft konkreter als der Gesetzestext.

Für Betriebe in Nordrhein-Westfalen ist das Material der LDI NRW der schnellste Weg zu einer belastbaren Ersteinschätzung, weil es typische Verarbeitungen im Personalbereich abdeckt.

Andere Länder, gleiche Struktur

Baden-Württemberg, Niedersachsen und Hessen haben eigene Aufsichtsbehörden mit vergleichbaren Aufgaben, ebenso Berlin, Sachsen und Hamburg. Die Struktur ist überall gleich: Beratung, Beschwerdebearbeitung, Prüfung, Bußgeld. Wer umzieht oder Standorte verlagert, wechselt die Aufsicht.

Wann man die Aufsicht fragt

Bei unklaren Löschfristen, bei neuen Verarbeitungen mit hohem Risiko und bei Datenpannen ist die Aufsicht Ansprechpartner. Beratung ist kein Eingeständnis eines Fehlers. Sie ist Teil der Rechenschaftspflicht.

Checkliste für datenschutzkonforme Notizen im Alltag

Die folgende Checkliste lässt sich auf jede Personalnotiz anwenden, unabhängig davon, ob sie handschriftlich oder digital entsteht.

Nummerierte Schritte für eine neue Notiz

Praxisbeispiel

Ein Betrieb in Nordrhein-Westfalen dokumentiert ein Konfliktgespräch mit einem Mitarbeiter. Die Notiz enthält Datum, Anlass, Ergebnis und Folgemaßnahmen. Sie enthält keine Vermutungen über die private Situation, keine Angaben zu einer Erkrankung und keine Bewertung der Person. Die Löschfrist wird auf zwei Jahre nach Ende des Arbeitsverhältnisses gesetzt und im Löschkonzept vermerkt. Der Zugriff bleibt auf Personalabteilung und Geschäftsführung beschränkt.

Datenpanne und Meldepflichten nach Art. 33 DSGVO

Eine Datenpanne ist jede Verletzung des Schutzes personenbezogener Daten, ob durch Verlust, unbefugten Zugriff, Veränderung oder Offenlegung. Ein verlorener Aktenordner ist genauso eine Datenpanne wie ein falsch adressierter Export aus dem HR-System.

Die Meldepflicht nach Art. 33 DSGVO greift binnen 72 Stunden, nachdem der Verantwortliche von der Verletzung Kenntnis erlangt hat. Die Meldung muss Art der Verletzung, Kategorien und Zahl der Betroffenen, mögliche Folgen und ergriffene Maßnahmen beschreiben.

Das Meldeformular des BayLDA und die zugehörigen Hinweise zum Verfahren stehen für Bayern bereit. Auch wenn die Meldung über ein Online-Formular läuft, bleibt die interne Dokumentation Pflicht. Wer die Panne nicht dokumentiert, kann die Meldung später nicht belegen.

Interne Schritte nach der Entdeckung

Was Personalverwaltungen unterschätzen

Ein E-Mail-Anhang mit einer Personalübersicht an den falschen Empfänger ist der häufigste Fall. Die Panne wird oft erst Tage später bemerkt, weil niemand den Versand prüft. Eine kurze Kontrolle vor dem Versand ist wirksamer als jede Richtlinie.

KI-gestützte Notizen und automatisierte Beurteilungen

KI-Werkzeuge halten Einzug in die Personalverwaltung. Sie fassen Gespräche zusammen, schlagen Formulierungen vor oder bewerten Bewerbungen. Datenschutzrechtlich ändert sich dadurch nichts an den Grundsätzen, aber die Risiken steigen.

Wird ein KI-Werkzeug eingesetzt, braucht es eine Rechtsgrundlage, eine Zweckbestimmung und eine Information der Betroffenen. Bei automatisierten Entscheidungen im Einzelfall greifen zusätzliche Anforderungen der DSGVO, etwa das Recht auf menschliche Überprüfung.

Wer Gesprächsnotizen von einem Sprachmodell zusammenfassen lässt, überträgt personenbezogene Daten an einen Anbieter. Ohne Auftragsverarbeitungsvertrag und ohne Klärung des Verarbeitungsorts ist das unzulässig. Sensible Angaben gehören nicht in einen solchen Dienst.

Automatisierte Beurteilungen

Ein System, das Bewerber anhand von Kriterien sortiert oder Beschäftigte bewertet, ist eine Verarbeitung mit möglicherweise hohem Risiko. Es braucht eine dokumentierte Logik, eine Kontrolle der Ergebnisse und eine Möglichkeit, Fehler zu korrigieren. Die Verantwortung bleibt beim Betrieb, nicht beim Anbieter.

Kontrolle statt Vertrauen

KI-Ausgaben sind Vorschläge, keine Feststellungen. Wer sie ungeprüft in die Personalakte übernimmt, dokumentiert möglicherweise falsche Angaben. Die Richtigkeit bleibt Aufgabe der Personalverwaltung.

Häufige Fragen