Personalakte und Datenschutz: Was Arbeitgeber beachten müssen

Personalakten bündeln besonders sensible Informationen über Beschäftigte. Zulässig ist nicht, was für den Arbeitgeber lediglich interessant oder praktisch wäre, sondern nur, was für das Beschäftigungsverhältnis erforderlich und rechtlich gedeckt ist.

PersonalakteBeschäftigtendatenschutzZugriffsrechteAufbewahrungKommunen und Unternehmen

Datenschutzgerechter Umgang mit Personalakten

Kurzantwort

Eine Personalakte darf nur Unterlagen enthalten, die in einem unmittelbaren inneren Zusammenhang mit dem Beschäftigungs- oder Dienstverhältnis stehen und für dessen Durchführung erforderlich sind. Sie ist vertraulich zu behandeln und durch ein enges Berechtigungskonzept zu schützen.

Für private Arbeitgeber ist insbesondere § 26 BDSG relevant. Bayerische Kommunen müssen zusätzlich das Personalaktenrecht aus § 50 BeamtStG und Art. 103 ff. BayBG beachten; über Art. 145 Abs. 2 BayBG gilt es grundsätzlich auch für vertraglich Beschäftigte im öffentlichen Dienst.

Eine Personalakte hat keine einheitliche Löschfrist. Für einzelne Unterlagen gelten unterschiedliche gesetzliche, tarifliche oder sachlich begründete Fristen. Deshalb braucht es einen dokumentierten Akten- und Löschplan.

Grundverständnis

Was gehört zur Personalakte?

Die Personalakte ist die geordnete Sammlung der Unterlagen, die eine beschäftigte Person betreffen und mit ihrem Arbeits- oder Dienstverhältnis in einem unmittelbaren inneren Zusammenhang stehen. Dazu können Stammdaten, Arbeitsvertrag oder Ernennungsunterlagen, Entgelt- und Besoldungsdaten, Beurteilungen, Fortbildungsnachweise sowie erforderliche Unterlagen über Abwesenheiten gehören.

Entscheidend ist nicht der Ablageort. Auch Informationen in einem Personalmanagementsystem, in einer gesonderten Teilakte oder in einem strukturierten E-Mail-Ordner können Personalaktendaten sein. Umgekehrt wird eine private Notiz nicht allein dadurch zulässig, dass sie außerhalb der offiziellen Akte gespeichert wird.

Nicht jede Information über Beschäftigte gehört in die Personalakte. Private Lebensumstände, Gerüchte, sachfremde Wertungen oder vorsorglich gesammelte Informationen ohne konkreten Personalzweck dürfen nicht aufgenommen werden. Der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO gilt auch im Personalwesen.

Rechtlicher Rahmen

Welche Rechtsgrundlagen gelten für Personalakten?

Jede Verarbeitung in der Personalakte benötigt einen festgelegten Zweck und eine Rechtsgrundlage. Für private Arbeitgeber und nicht speziell geregelte Beschäftigungsverhältnisse erlaubt § 26 Abs. 1 BDSG die Verarbeitung von Beschäftigtendaten, wenn sie für die Entscheidung über die Begründung, für die Durchführung oder für die Beendigung des Beschäftigungsverhältnisses erforderlich ist.

Bei bayerischen kommunalen Dienstherren richtet sich der Umgang mit Personalaktendaten insbesondere nach § 50 BeamtStG und Art. 103 bis 110 BayBG. Art. 103 BayBG begrenzt die Verarbeitung grundsätzlich auf Zwecke der Personalverwaltung oder Personalwirtschaft. Nach Art. 145 Abs. 2 BayBG gelten die personalaktenrechtlichen Vorschriften vorbehaltlich tarifvertraglicher Regelungen grundsätzlich entsprechend für vertraglich Beschäftigte im bayerischen öffentlichen Dienst.

Daneben bleiben die DSGVO-Grundsätze maßgeblich: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit. Die Personalstelle muss deren Einhaltung nach Art. 5 Abs. 2 DSGVO nachweisen können.

Praxisregel: Der Hinweis „für die Personalakte“ ersetzt weder Zweck noch Rechtsgrundlage. Für jedes Dokument muss erklärbar sein, warum es benötigt wird, wer darauf zugreifen darf und wann es wieder zu entfernen ist.

Erforderlichkeit

Welche Inhalte dürfen gespeichert werden?

Vertrags- und Statusdaten

Arbeitsvertrag, Ernennung, Stellenzuordnung und notwendige Nachweise zur Beschäftigung.

Entgelt und Abrechnung

Bankverbindung, Steuer- und Sozialversicherungsdaten sowie abrechnungsrelevante Änderungen.

Leistung und Entwicklung

Rechtmäßig erstellte Beurteilungen, Zielvereinbarungen und erforderliche Fortbildungsnachweise.

Abwesenheiten

Nur die für Nachweis, Entgeltfortzahlung und Personalplanung erforderlichen Angaben.

Disziplinarisches

Sachlich dokumentierte und rechtmäßig verarbeitete Vorgänge unter Beachtung besonderer Entfernungsfristen.

Korrespondenz

Nur Schreiben mit dauerhaftem Bezug zur Durchführung oder Beendigung des Arbeits- oder Dienstverhältnisses.

Erforderlichkeit ist für jeden Zweck gesondert zu prüfen. Eine Kopie des Personalausweises darf beispielsweise nicht allein aus Gewohnheit dauerhaft abgelegt werden. Bei Nachweisen ist zu klären, ob eine Sichtprüfung oder ein Vermerk genügt und ob nicht benötigte Angaben geschwärzt werden können.

Unrichtige oder unvollständige Unterlagen können berufliche Nachteile verursachen. Tatsachen und Bewertungen sollten deshalb klar getrennt, Quellen nachvollziehbar und Stellungnahmen der betroffenen Person dem Vorgang zugeordnet werden.

Vertraulichkeit

Wer darf auf die Personalakte zugreifen?

Zugriff erhalten nur Personen, die ihn für eine konkrete Personalaufgabe benötigen. Üblicherweise sind dies ausgewählte Beschäftigte der Personalstelle sowie zuständige Entscheidungsträger in dem Umfang, den die jeweilige Aufgabe verlangt. Eine allgemeine Führungseigenschaft rechtfertigt keinen vollständigen Dauerzugriff.

Das Berechtigungskonzept sollte Grundakte, Teilakten und besonders geschützte Bereiche unterscheiden. Lese-, Änderungs-, Export- und Löschrechte sind getrennt zu vergeben. Vertretungen benötigen eigene, möglichst befristete Zugänge; gemeinsam genutzte Konten und Passwortweitergaben sind ungeeignet.

Personalrat, Gleichstellungsstelle, Rechnungsprüfung, Datenschutzbeauftragter oder externe Stellen besitzen nicht automatisch ein unbegrenztes Einsichtsrecht. Der Zugriff richtet sich nach der jeweiligen gesetzlichen Aufgabe, Beteiligungsvorschrift und Erforderlichkeit. Vor jeder Übermittlung ist zu prüfen, ob eine Auskunft oder ein begrenzter Auszug ausreicht.

Besondere Kategorien

Wie sind Gesundheitsdaten in der Personalakte zu behandeln?

Diagnosen, ärztliche Befunde, Angaben zu Behinderungen und andere Gesundheitsdaten unterliegen Art. 9 DSGVO. Eine gewöhnliche Rechtsgrundlage nach Art. 6 DSGVO genügt nicht; zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO oder eine speziellere Vorschrift greifen.

Für die Personalverwaltung ist häufig nur die Information erforderlich, dass eine Arbeitsunfähigkeit besteht und wie lange sie voraussichtlich dauert. Die Diagnose ist regelmäßig nicht erforderlich. Medizinische Gutachten sollten sich gegenüber der Personalstelle auf die dienst- oder arbeitsrechtlich benötigte Aussage beschränken.

Besonders sensible Teilakten brauchen eine strenge Zweckbindung und gesonderte Berechtigungen. Art. 105 BayBG verlangt für Beihilfeunterlagen eine getrennte Aufbewahrung und grundsätzlich eine organisatorisch getrennte Bearbeitung. Diese gesetzliche Trennung verdeutlicht, dass Gesundheitsangaben nicht ohne Weiteres in einer allgemein zugänglichen Grundakte abgelegt werden dürfen.

Technische Umsetzung

Was ist bei einer digitalen Personalakte wichtig?

Eine digitale Personalakte muss mindestens denselben Vertraulichkeitsstandard wie eine Papierakte erreichen. Erforderlich sind personalisierte Konten, starke Authentisierung, rollenbasierte Rechte, verschlüsselte Übertragung, sichere Datensicherung und ein kontrolliertes Verfahren für Exporte und Ausdrucke.

Änderungen und besonders sensible Zugriffe sollten angemessen protokolliert werden. Eine Protokollierung darf jedoch nicht in eine unbegrenzte Verhaltenskontrolle der Beschäftigten umschlagen. Zweck, Auswertung, Zugriff und Löschfrist der Protokolle sind deshalb vorab festzulegen.

Bei Cloud- oder Softwaredienstleistern sind Auftragsverarbeitung, Unterauftragnehmer, Speicherorte, Supportzugriffe, Löschmöglichkeiten und Datenexporte zu prüfen. Die vertragliche Vereinbarung nach Art. 28 DSGVO ersetzt nicht die Prüfung der tatsächlichen technischen und organisatorischen Maßnahmen.

Aktenstruktur und zulässige Dokumentarten festlegen.

Rollen, Freigaben und besonders geschützte Teilakten definieren.

Import, Änderung, Korrektur, Export und Löschung nachvollziehbar regeln.

Dienstleister, Sicherungen und Wiederherstellungsverfahren prüfen.

Beschäftigte transparent nach Art. 13 DSGVO informieren.

Betroffenenrechte

Welche Rechte haben Beschäftigte?

Beschäftigte können nach Art. 15 DSGVO Auskunft über ihre personenbezogenen Daten verlangen. Dazu gehören die gesetzlich genannten Informationen und grundsätzlich eine Kopie der verarbeiteten personenbezogenen Daten. Daneben bestehen insbesondere Rechte auf Berichtigung unrichtiger Daten, Löschung oder Einschränkung, soweit deren Voraussetzungen erfüllt sind.

Das beamtenrechtliche Personalaktenrecht enthält zusätzliche Einsichts- und Verfahrensregeln. Art. 106 BayBG regelt die Anhörung vor Aufnahme bestimmter nachteiliger Vorgänge; Art. 107 BayBG betrifft die Auskunft an Beamte und Beamtinnen. Für Tarifbeschäftigte sind außerdem tarifvertragliche Vorgaben zu beachten.

Ein Auskunftsersuchen führt nicht automatisch zur Herausgabe beliebiger vollständiger Dokumente. Geschuldet sind personenbezogene Daten und die gesetzlichen Zusatzinformationen; Rechte und Freiheiten anderer Personen sind zu schützen. Die Prüfung muss aber konkret erfolgen und darf nicht mit einem pauschalen Hinweis auf „interne Unterlagen“ abgelehnt werden.

Speicherbegrenzung

Wie lange darf eine Personalakte aufbewahrt werden?

Für die gesamte Personalakte gibt es keine einheitliche, für alle Arbeitgeber geltende Frist. Unterschiedliche Dokumentgruppen verfolgen unterschiedliche Zwecke. Abrechnungs- und Steuerunterlagen, Bewerbungsunterlagen, Arbeitszeitnachweise, Abmahnungen und Versorgungsdaten müssen deshalb getrennt bewertet werden.

Art. 110 BayBG enthält für Personalakten im bayerischen Beamtenbereich grundsätzlich eine fünfjährige Aufbewahrungsfrist nach Abschluss der Akte und besondere Regeln für einzelne Unterlagen. Für vertraglich Beschäftigte gilt die Vorschrift nach Art. 145 Abs. 2 BayBG mit der Maßgabe entsprechend, dass gesetzliche oder tarifvertragliche längere Fristen vorgehen können.

Ein Löschkonzept sollte für jede Dokumentart Zweck, Fristbeginn, Fristdauer, Ausnahmen, verantwortliche Stelle und technische Umsetzung festlegen. Gesetzliche Aufbewahrung bedeutet Einschränkung auf diesen Zweck: Unterlagen dürfen währenddessen nicht beliebig weiter für operative Personalentscheidungen genutzt werden.

Bayerische Praxis

Was müssen bayerische Kommunen zusätzlich beachten?

Kommunen beschäftigen Beamte und Tarifbeschäftigte, für die teilweise unterschiedliche Rechtsgrundlagen und Verfahrensregeln gelten. Die Aktenstruktur muss diese Unterschiede abbilden, ohne unnötige Parallelakten zu erzeugen. Personalgrundakte, Beihilfeakte, Disziplinarvorgänge und weitere Teilakten dürfen nicht zu einem unkontrollierten Gesamtdatenbestand verschmelzen.

Der BayLfD betont das Personalaktengeheimnis und die enge Zweckbindung. Kommunale Rechnungsprüfung oder übergeordnete Behörden erhalten nur die gesetzlich erforderlichen Informationen. Bei Gremienvorlagen und öffentlichen Sitzungen sind Personalangelegenheiten so aufzubereiten, dass keine unnötigen Personalaktendaten offengelegt werden.

Gerade in kleineren Verwaltungen ist die persönliche Bekanntheit kein Ersatz für Berechtigungsregeln. Zugriffe müssen auch dann fachlich erforderlich, organisatorisch begrenzt und nachvollziehbar sein, wenn sich alle Beteiligten kennen.

Praxisfehler

Typische Datenschutzfehler bei Personalakten

Vorratssammlung

Unterlagen werden vorsorglich gespeichert, ohne konkreten Personalzweck oder Frist.

Zu breite Zugriffe

Führungskräfte oder Vertretungen sehen vollständige Akten, obwohl Auszüge genügen würden.

Diagnosen in der Grundakte

Nicht benötigte medizinische Details werden zusammen mit gewöhnlichen Personaldaten abgelegt.

E-Mail-Schattenakten

Wesentliche Personalvorgänge liegen unstrukturiert in Postfächern und entziehen sich Fristen und Auskunft.

Einheitsfrist

Alle Unterlagen werden pauschal gleich lange aufbewahrt oder niemals gelöscht.

Ungeprüfte Exporte

Komplette Akten werden versandt, obwohl eine begrenzte Auskunft genügt.

Häufige Fragen

FAQ zu Personalakte und Datenschutz

Darf der Arbeitgeber alles in der Personalakte speichern?

Nein. Die Daten müssen für einen rechtmäßigen Zweck des Beschäftigungsverhältnisses erforderlich sein. Sachfremde, unrichtige oder lediglich vorsorglich gesammelte Informationen sind unzulässig.

Darf eine Krankheitsdiagnose in die Personalakte?

Regelmäßig benötigt die Personalstelle nur den Nachweis und die Dauer der Arbeitsunfähigkeit, nicht die Diagnose. Gesundheitsdaten erfordern eine zusätzliche Ausnahme nach Art. 9 Abs. 2 DSGVO und besonders strenge Schutzmaßnahmen.

Hat jede Führungskraft Zugriff auf die vollständige Personalakte?

Nein. Zugriff besteht nur im für die konkrete Personalaufgabe erforderlichen Umfang. Häufig genügt eine begrenzte Information oder ein Auszug.

Gibt es eine einheitliche Löschfrist?

Nein. Fristen richten sich nach Dokumentart, Zweck sowie gesetzlichen, tariflichen und personalaktenrechtlichen Vorgaben. Ein differenzierter Löschplan ist erforderlich.

Dürfen Personalakten in der Cloud geführt werden?

Das ist nicht generell ausgeschlossen. Rechtsgrundlagen, Auftragsverarbeitung, Speicherorte, Zugriffe, Sicherheitsmaßnahmen, Löschung und Kontrollmöglichkeiten müssen jedoch tragfähig geregelt sein.

Gilt das bayerische Personalaktenrecht auch für Tarifbeschäftigte?

Nach Art. 145 Abs. 2 BayBG gelten § 50 BeamtStG und Art. 103 bis 111 BayBG vorbehaltlich tarifvertraglicher Regelungen grundsätzlich entsprechend für vertraglich Beschäftigte im bayerischen öffentlichen Dienst.

Ergebnis

Fazit

Datenschutz in der Personalakte verlangt mehr als einen verschlossenen Schrank oder ein geschütztes Laufwerk. Zulässige Inhalte, Aktenstruktur, Zugriffe, Teilakten, Auskünfte und Löschfristen müssen als zusammenhängender Prozess geregelt sein.

Besonders wichtig sind eine dokumentierte Erforderlichkeitsprüfung, strenge Berechtigungen und die Trennung sensibler Gesundheits- oder Beihilfedaten. Für bayerische Kommunen kommt das besondere Personalaktenrecht hinzu, das Beamte und grundsätzlich auch Tarifbeschäftigte erfasst.