Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Personalakte

  • Offboarding und Datenschutz: Checkliste beim Ausscheiden

    Wenn Beschäftigte das Unternehmen verlassen, stehen meist organisatorische Fragen im Vordergrund: Übergabe, Resturlaub, Arbeitszeugnis. Datenschutzrechtlich ist das Ausscheiden aber ebenso bedeutsam. Zugänge müssen gesperrt, Postfächer geregelt, Fotos entfernt und Daten nach Fristen gelöscht werden. Wer hier strukturiert vorgeht, verhindert Sicherheitslücken und Konflikte, etwa ein Auskunftsersuchen im Kündigungsstreit.

    1. Zugänge und Geräte

    • Benutzerkonten, VPN- und Cloud-Zugänge zum letzten Arbeitstag sperren,
    • Passwörter für gemeinsam genutzte Konten ändern,
    • Zwei-Faktor-Apps und Token zurückfordern bzw. deaktivieren,
    • Laptop, Smartphone, USB-Sticks und Schlüssel zurücknehmen und dokumentieren,
    • Daten auf zurückgegebenen Geräten sichern oder sicher löschen,
    • Zugriffe auf Kundenportale, Social-Media-Konten und Dienstleisterportale entziehen.

    2. Das E-Mail-Postfach

    Ob und wie der Arbeitgeber auf das Postfach zugreifen darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt war; Einzelheiten in unserem Beitrag „Private E-Mail-Nutzung am Arbeitsplatz“. Bewährt hat sich: eine Abwesenheitsnachricht mit neuem Ansprechpartner für eine Übergangszeit, Weiterleitung nur dienstlicher Nachrichten in Absprache, und anschließend Deaktivierung und Löschung des Postfachs nach einer festgelegten Frist. Geschäftsbriefe, die aufbewahrt werden müssen, sind vorab zu archivieren.

    3. Website, Social Media und Printmaterial

    Fotos, Namen und Kontaktdaten ausgeschiedener Beschäftigter sollten zeitnah von Team-Seiten, Signaturen, Broschüren und Social-Media-Kanälen entfernt werden. Wurde die Einwilligung in die Veröffentlichung widerrufen, ist das ohnehin Pflicht; siehe „Mitarbeiterfotos auf der Website“.

    4. Personalakte und Fristen

    Die Personalakte darf nach dem Ausscheiden nicht pauschal unbegrenzt aufbewahrt werden. Für die einzelnen Bestandteile gelten unterschiedliche Fristen. Zu beachten ist, dass der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt hat. Einen Überblick über die Behandlung der Personalakte bietet unser Beitrag „Personalakte und Datenschutz“. Legen Sie die Fristen in Ihrem Löschkonzept fest und richten Sie eine Wiedervorlage ein.

    5. Daten im Kopf und auf privaten Geräten

    Ausscheidende Beschäftigte sollten daran erinnert werden, dass die Verpflichtung zur Vertraulichkeit fortgilt. Wurden dienstliche Daten auf privaten Geräten gespeichert oder dienstliche Chats über private Messenger geführt, ist deren Löschung zu verlangen und zu dokumentieren. Werden Kundendaten mitgenommen, kann dies eine Datenpanne sein, die nach Art. 33 DSGVO zu bewerten ist.

    6. Auskunftsersuchen vorbereiten

    Gerade bei konfliktbehafteten Trennungen verlangen Beschäftigte häufig Auskunft nach Art. 15 DSGVO. Wer seine Daten geordnet hat, kann die Monatsfrist leichter einhalten. Hinweise zur Beantwortung enthält unser Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Die Kurz-Checkliste

    1. Zugänge sperren, Geräte zurücknehmen.
    2. Postfach-Regelung umsetzen.
    3. Fotos und Kontaktdaten aus öffentlichen Kanälen entfernen.
    4. Löschfristen für Personalakte vormerken.
    5. Vertraulichkeitspflicht in Erinnerung rufen, Löschung privater Kopien dokumentieren.
    6. Ansprechpartner für Auskunftsersuchen festlegen.

    Am besten arbeiten Personalabteilung und IT eine gemeinsame, standardisierte Checkliste ab. Wir helfen beim Aufsetzen des Offboarding-Prozesses und ebenso, wenn bereits ein Auskunftsersuchen eines ehemaligen Mitarbeiters vorliegt. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Personalakte und Datenschutz: Inhalt, Zugriff, Aufbewahrung

    Die Personalakte begleitet jedes Arbeitsverhältnis von der Einstellung bis lange nach dem Ausscheiden. In Papierform wie digital enthält sie eine Vielzahl sensibler Daten, von Gehaltsangaben über Krankmeldungen bis zu Abmahnungen. Arbeitgeber müssen deshalb genau regeln, was hineingehört, wer Zugriff hat und wann Unterlagen vernichtet werden.

    Was gehört in die Personalakte?

    Maßstab ist § 26 Abs. 1 BDSG: Erlaubt ist, was für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Typischer Inhalt sind Arbeitsvertrag und Änderungen, Bewerbungsunterlagen des eingestellten Bewerbers, Zeugnisse und Qualifikationsnachweise, Angaben für Lohnabrechnung und Sozialversicherung, Urlaubs- und Fehlzeiten, Abmahnungen, Beurteilungen und Zielvereinbarungen. Nicht hinein gehören private Informationen ohne Bezug zum Arbeitsverhältnis oder bloße Gerüchte.

    Gesundheitsdaten gesondert schützen

    Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ärztliche Atteste, Unterlagen aus dem betrieblichen Eingliederungsmanagement oder Angaben zu einer Schwerbehinderung sollten getrennt von der allgemeinen Personalakte aufbewahrt werden, etwa in einem verschlossenen Umschlag oder einem gesondert berechtigten digitalen Bereich. Arbeitsunfähigkeitsbescheinigungen enthalten keine Diagnose, dürfen aber trotzdem nur so lange wie nötig gespeichert werden.

    Wer darf Einsicht nehmen?

    Zugriff dürfen nur Personen haben, die ihn für ihre Aufgaben benötigen, typischerweise die Personalabteilung und, soweit erforderlich, der direkte Vorgesetzte. Ein abgestuftes Berechtigungskonzept ist gerade bei digitalen Personalakten unverzichtbar. Beschäftigte selbst haben nach § 83 BetrVG das Recht, ihre Personalakte einzusehen, und können zusätzlich Auskunft nach Art. 15 DSGVO verlangen. Diesen Anspruch hat der BGH zuletzt weit ausgelegt; siehe unseren Beitrag zum Umfang des Auskunftsanspruchs.

    Digitale Personalakte

    Viele Unternehmen stellen auf digitale Personalakten um. Wichtig sind dabei: verschlüsselte Speicherung, feingranulare Rechte, Protokollierung von Zugriffen und eine automatisierte Löschfunktion. Bei Software-as-a-Service-Lösungen ist ein Auftragsverarbeitungsvertrag nötig. Besteht ein Betriebsrat, ist dieser bei der Einführung zu beteiligen.

    Aufbewahrung nach dem Ausscheiden

    Mit dem Ende des Arbeitsverhältnisses entfällt der Hauptzweck der Personalakte. Eine pauschale Aufbewahrung „für immer“ ist unzulässig. Stattdessen sind die einzelnen Bestandteile nach ihren jeweiligen Fristen zu behandeln:

    • Das Lohnkonto ist nach § 41 Abs. 1 EStG bis zum Ende des sechsten Kalenderjahres nach der letzten Eintragung aufzubewahren; lohnrelevante Buchungsbelege unterliegen den handels- und steuerrechtlichen Fristen.
    • Arbeitsvertrag und Zeugnisse dürfen aufbewahrt werden, solange Ansprüche aus dem Arbeitsverhältnis geltend gemacht werden können. Die Verjährungsfrist von drei Jahren ist in der Regel ein Anhaltspunkt.
    • Abmahnungen und Beurteilungen sind nach dem Ausscheiden regelmäßig nicht mehr erforderlich, sofern kein Rechtsstreit droht.
    • Gesundheitsdaten sind so früh wie möglich zu löschen, soweit keine besonderen Aufbewahrungspflichten bestehen.

    Halten Sie die Fristen in Ihrem Löschkonzept fest und legen Sie einen festen Termin für die Bereinigung der Akten ausgeschiedener Mitarbeitender fest.

    Eine schlanke, gut strukturierte Akte, auf die nur Berechtigte zugreifen, schützt die Beschäftigten und das Unternehmen gleichermaßen. Bei der Überprüfung Ihrer Personalaktenführung oder der Umstellung auf digitale Akten unterstützen wir Sie. Schreiben Sie uns oder buchen Sie einen Termin.