Info
Das Wichtigste in Kürze: Digitale Personalakte und Datenschutz
- In die Akte gehört nur, was du für das Arbeitsverhältnis wirklich brauchst.
- Die Rechtsgrundlage bilden Artikel 6 DSGVO und § 26 BDSG.
- Jedes Dokument hat seine eigene Löschfrist. Eine Frist für die ganze Akte gibt es nicht.
- Deine Mitarbeiter dürfen jederzeit Auskunft verlangen. Du hast dafür einen Monat Zeit.
- Eine Personalakte ist nicht vorgeschrieben. Entgeltunterlagen musst du ab 2027 aber elektronisch führen.
- Für die digitale Personalakte gilt die DSGVO genauso wie für die Akte aus Papier.
Welche Datenschutzbestimmungen gelten für die Personalakte?
Für den Datenschutz bei Personalakten gelten zwei Regelwerke nebeneinander, die Datenschutz-Grundverordnung (DSGVO) der europäischen Union und das Bundesdatenschutzgesetz (BDSG) aus Deutschland. Fachleute fassen beides unter dem Begriff Beschäftigtendatenschutz zusammen.
Ein Hinweis für dich: Elektronische und digitale Personalakte meint dasselbe und macht für den Datenschutz keinen Unterschied, die DSGVO gilt für beide gleich.
Fünf Grundsätze der DSGVO für die Personalakte
| Grundsatz aus Artikel 5 DSGVO | Was das für die Akte heißt |
|---|---|
| Zweckbindung | Daten werden nur für festgelegte, eindeutige und legitime Zwecke erhoben. „Könnte man mal brauchen“ zählt nicht. |
| Datenminimierung | Nur speichern, was du wirklich benötigst. |
| Speicherbegrenzung | Was keine Frist mehr hat und keinen Zweck erfüllt, löschst du. |
| Richtigkeit | Falsche Angaben korrigierst und löschst du, sobald du davon erfährst. |
| Integrität und Vertraulichkeit | Nur berechtigte Personen haben Zugriff auf die Daten. |
Was ist bei der digitalen Personalakte zu beachten?
Die Digitalisierung ändert nichts an den Regeln. Die DSGVO stellt an die digitale Personalakte dieselben Anforderungen wie an die Akte im Aktenschrank. Eine Pflicht zur digitalen Personalakte gibt es nicht, dazu steht alles im Beitrag zur digitalen Personalakte. Die folgenden vier Punkte klärst du, bevor du deine Prozesse umstellst.
Info
Pflicht zur Führung elektronischer Entgeltunterlagen ab 2027
Ab dem 1. Januar 2027 sind alle Arbeitgeber verpflichtet, bestimmte Entgeltunterlagen elektronisch zu führen. Welche Unterlagen konkret betroffen sind, regelt § 8 BVV. Näheres dazu erfährst du im Beitrag zur Beitragsverfahrensverordnung.
1. Was in die Akte gehört und was nicht
Der Datenschutz in der digitalen Personalakte beginnt bei der Auswahl der Dokumente. In die Akte gehört, was mit dem Arbeitsverhältnis zu tun hat und wofür du einen sachlichen Grund hast. Draußen bleiben private Notizen, Angaben aus dem Privatleben ohne Bezug zur Arbeit, Ergebnisse von Recherchen in privaten Social-Media-Profilen und Diagnosen aus Krankmeldungen.
2. Besondere Daten gehören in eine eigene Teilakte
Manche Personaldaten sind besonders geschützt. Dazu zählen z. B. Gesundheitsdaten. Für sie gilt zusätzlich Artikel 9 DSGVO. Lege diese Unterlagen in einer eigenen Teilakte ab, auf die nur wenige Personen zugreifen.
3. Wer Zugriff auf die Akte bekommt
Nicht jeder in der Personalabteilung braucht jedes Dokument, und Führungskräfte sehen meist nur einen kleinen Ausschnitt. Vergib die Rechte deshalb über Rollen, nicht über freigegebene Ordner. Lege für jede Rolle fest, welche Dokumentarten sie sehen darf. Genau hier hat die digitale Personalakte einen Vorteil gegenüber dem Aktenschrank: Der Datenschutz lässt sich technisch besser durchsetzen.
4. Aufbewahrungsfristen und Löschfristen
Jedes Dokument hat seine eigene Aufbewahrungsfrist. Im Folgenden findest du einen kurzen Überblick.
| Unterlage | Orientierung für die Aufbewahrung |
|---|---|
|
Bewerbungsunterlagen nach einer Absage | drei bis sechs Monate, wegen der Klagefristen aus dem AGG |
| Bewerberpool | nur mit Einwilligung, mit klarer Speicherdauer |
| Abmahnungen | keine feste Frist |
|
Unterlagen nach dem Austritt | keine einheitliche Frist, die Dauer richtet sich nach der Art des jeweiligen Dokuments |
Sobald keine gesetzlichen Aufbewahrungsfristen mehr greifen und kein Zweck mehr besteht, verlangt die DSGVO die Löschung.
Tipp
Löschfristen automatisch statt von Hand
Von Hand zu löschen, bedeutet, die Löschfristen immer im Blick zu behalten. Ein gutes System ordnet jedem Dokument beim Hochladen eine Dokumentart und damit eine Frist zu, startet sie zum richtigen Stichtag und meldet sich vor der Löschung bei dir. Bei einem laufenden Rechtsstreit lässt sich die Löschung gezielt aussetzen. Mit einer automatischen Löschung sparst du Zeit und bist rechtlich auf der sicheren Seite.
Welche Rechte deine Mitarbeiter haben
Deine Mitarbeiter haben mehrere Rechte rund um ihre Personalakte. Sie ergeben sich teils aus der DSGVO, teils aus dem Betriebsverfassungsgesetz und gelten unabhängig davon, ob du die Akte digital oder auf Papier führst:
- Einsicht in die eigene Akte, jederzeit (§ 83 BetrVG)
- Auskunft über alle gespeicherten Daten, Zwecke und Speicherdauer (Artikel 15 DSGVO)
- Berichtigung falscher Angaben (Artikel 16 DSGVO)
- Löschung von Daten, die du nicht mehr brauchst (Artikel 17 DSGVO)
- Gegendarstellung zu einem Eintrag, die du der Akte beifügst (§ 83 BetrVG)
Für eine Auskunft nach Artikel 15 DSGVO hast du einen Monat Zeit. Das Recht gilt auch für ehemalige Mitarbeiter und für abgelehnte Bewerber, solange du deren Daten noch gespeichert hast. Eine gut geführte digitale Akte macht diese Auskunft zur Sache von Minuten.
Technische und organisatorische Maßnahmen: So schützt du die Daten
Artikel 32 DSGVO verlangt, dass du die Daten angemessen schützt. Welche Maßnahmen zu deiner digitalen Personalakte passen, hängt von deinem Betrieb und deinen Prozessen ab.
Diese hier gehören fast immer dazu:
- ein Rechtekonzept, das im System tatsächlich eingerichtet ist
- verschlüsselte Übertragung und Speicherung
- Protokolle darüber, wer wann welches Dokument geöffnet hat
- regelmäßige Sicherungen und ein Plan für den Ernstfall
- Schulungen für alle, die mit Personaldaten arbeiten
Dazu kommen zwei Dokumente, die du ohnehin führen musst: das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO und die Datenschutzhinweise für deine Mitarbeiter nach Artikel 13 DSGVO. Prüfe außerdem, ob deine Prozesse eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erfordern.
Digitale Personalakte in der Cloud: Das gilt für externe Anbieter
Liegt deine digitale Personalakte bei einem Anbieter in der Cloud, ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich. Ohne diesen Vertrag ist die Zusammenarbeit nicht zulässig. Stehen die Server außerhalb des Europäischen Wirtschaftsraums, brauchst du zusätzliche Absicherungen. Frag beim Anbieter nach dem Serverstandort, bevor du unterschreibst.
Was der Betriebsrat mitbestimmt
Gibt es in deinem Betrieb einen Betriebsrat, kommt zum Datenschutz die Mitbestimmung dazu. Die Betriebsvereinbarung, die ihr dazu schließt, sollte Regelungen zu Zugriffsrechten, Protokollierung, Datenerhebung und Löschfristen enthalten. Wie die Mitbestimmung abläuft und was im Detail die Vereinbarung gehört, steht im Beitrag zur digitalen Personalakte rund um den Betriebsrat.
In vier Schritten zur datenschutzkonformen Akte
Bestand sichten und aussortieren stehen am Anfang jeder Umstellung. Wie das abläuft, steht im Beitrag zur digitalen Personalakte. Danach folgen die vier Schritte, die der Datenschutz verlangt.
- Struktur festlegen. Teilakten bilden, besonders geschützte Daten trennen.
- Rechte vergeben. Rollen definieren und im System einrichten.
- Löschfristen hinterlegen. Je Dokumentart eine Frist, möglichst automatisch.
- Dokumentieren und schulen. Verzeichnis, Datenschutzhinweise, Vertrag mit dem Anbieter, Schulung für dein Team.
Häufige Fragen
Darf die Führungskraft in die Personalakte schauen?
Nur in den Teil, den sie für ihre Aufgabe braucht. Ein Vorgesetzter braucht die Zielvereinbarung, aber keine Krankmeldung und keine Lohnabrechnung.
Wie lange darfst du Bewerbungsunterlagen aufheben?
Es gelten die Fristen aus der Tabelle oben. Länger als dort angegeben geht nur mit einer Einwilligung, etwa für einen Bewerberpool. Diese Einwilligung braucht eine klare Speicherdauer und lässt sich jederzeit widerrufen.
Was passiert bei einem Verstoß?
Die Aufsichtsbehörde kann ein Bußgeld verhängen. Häufiger sind allerdings Beschwerden von Mitarbeitern und Schadensersatzforderungen nach Artikel 82 DSGVO.
Brauchst du einen Datenschutzbeauftragten?
Ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten, brauchst du einen. Auch unterhalb dieser Grenze kann eine Pflicht aus anderen Gründen entstehen. Auch ohne Pflicht lohnt sich eine externe Prüfung, bevor du ein neues System einführst.
Rechtsstand: September 2026. Wichtige Vorschriften: Artikel 5, 6, 9, 13, 15 bis 17, 28, 30, 32, 35, 82 und 88 DSGVO, § 26 BDSG, §§ 83 und 87 BetrVG, § 8 BVV, § 28f SGB IV, § 41 EStG, § 147 AO, § 16 ArbZG, § 17 MiLoG, § 15 AGG. Zentrale Entscheidung: Bundesarbeitsgericht, Urteil vom 8. Mai 2025, Aktenzeichen 8 AZR 209/21. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.
