DSGVO Personalakte digital: 5 Pflichten + Aufbewahrung

Hauptartikel: Verarbeitungsverzeichnis erstellen — wie Sie das Verzeichnis nach Art. 30 DSGVO aufbauen und pflegen, mit den Pflichtangaben und Beispielen aus KMU.

Eine digitale Personalakte ist dann nachvollziehbar dokumentiert, wenn fünf Punkte geregelt und nachweisbar sind: wer zugreifen darf, wie lange welches Dokument bleibt, wann und wodurch gelöscht wird, wie ein Auskunftsantrag beantwortet wird und wie Daten exportiert werden. Die folgenden fünf Pflichten nennen je Punkt die konkrete Maßnahme, den Grund und die Fundstelle. Wo deutsches und österreichisches Recht auseinandergehen, steht das getrennt.

1. Zugriffs-Konzept (Need-to-Know)

Legen Sie vor der Migration fest, welche Rolle welchen Teil der Akte sehen darf, und protokollieren Sie die Zugriffe. Vorgesetzte: nur eigene Mitarbeitende. HR: alle. Geschäftsführung: bei Bedarf. Zugriffe im Audit-Log festhalten (Praxisempfehlung, Inhalt siehe unten). Technisch getragen wird dieses Rollenmodell von zwei Maßnahmen des zentralen TOM-Konzepts nach Art. 32 DSGVO: die Verschlüsselung der Aktenablage im Ruhezustand (at-rest) und ein dokumentiertes Rollenkonzept für die HR-Zugriffe. Praxisempfehlung: Das Zugriffsprotokoll sollte je Zugriff Zeitpunkt, Nutzerkonto, betroffene Person, Dokumentenklasse und Aktion (Ansicht, Änderung, Export) festhalten und in einem festen Rhythmus stichprobenartig ausgewertet werden — im Pannenfall ist es der einzige Nachweis darüber, wer die Akte gesehen hat.

Der Grund für die Abstufung liegt im Akteninhalt. Gesundheitsdaten — Krankmeldungen, betriebsärztliche Unterlagen, BEM-Vorgänge (betriebliches Eingliederungsmanagement) — gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt und wird nur über eine der engen Ausnahmen des Abs. 2 zulässig, etwa die ausdrückliche Einwilligung. Ein Rollenmodell, das solche Dokumente derselben Sichtbarkeit unterwirft wie eine Gehaltsabrechnung, bildet diese Unterscheidung nicht ab.

Läuft die Akte in einer HR-Software, ist der Anbieter regelmäßig Auftragsverarbeiter. Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; der Vertrag nach Art. 28 Abs. 3 DSGVO muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. In Österreich tritt daneben das Datengeheimnis nach § 6 DSG: Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet. Praxisempfehlung: Rollen einmal zentral definieren und je Dokumentenklasse zuordnen, statt Rechte je Einzeldokument zu pflegen.

2. Aufbewahrungs-Fristen

Fristen gelten nicht für „die Personalakte", sondern je Dokumententyp — und gehören als geplante Löschfristen in das Verarbeitungsverzeichnis. Lohnabrechnungen 6 Jahre (§ 41 EStG). Steuer-Unterlagen 10 Jahre (§ 147 AO). Bewerber 6 Monate (BAG 2 AZR 1180/16). Mitarbeiter-Akten nach Ende: 10 Jahre als Praxiswert ohne eigene Norm.

Ordnen Sie jedes Dokument vor der Migration einer dieser Zeilen zu; maßgeblich ist der Dokumententyp, nicht die Akte. Für österreichische Standorte gelten die dortigen Aufbewahrungsvorschriften — je Standort separat prüfen.

Warum Bewerberunterlagen überhaupt einen Nachlauf bekommen: Aus einer Absage können fristgebundene Ansprüche entstehen. In Deutschland muss ein Anspruch nach § 15 Abs. 1 oder 2 AGG innerhalb von zwei Monaten schriftlich geltend gemacht werden, sofern die Tarifvertragsparteien nichts anderes vereinbart haben; bei einer Bewerbung beginnt die Frist mit dem Zugang der Ablehnung (§ 15 Abs. 4 AGG). In Österreich sind Ansprüche wegen der Nichtbegründung eines Arbeitsverhältnisses binnen sechs Monaten ab Ablehnung gerichtlich geltend zu machen (§ 15 GlBG für Teil I, § 29 GlBG für die übrigen Diskriminierungsgründe). Über HGB und AO hinaus nennt der Hauptartikel zum Verarbeitungsverzeichnis das SGB (5 Jahre) und die arbeitsrechtliche Aufbewahrung als weitere Fristenquellen; welche davon einen einzelnen Dokumententyp trägt, ist je Akte zu bestimmen.

3. Pflichtlöschung nach Frist

Zu jeder Frist gehört ein Löschlauf mit Auslöser, Zuständigkeit und Protokoll — sonst bleibt der Fristenplan Papier. Automatisierte Löschungs-Prozesse implementieren. Bei Konflikt mit aktivem Arbeitsverhältnis: Aufbewahrung bis Ende.

Die geplanten Löschfristen sind zugleich eine der Pflichtangaben im Verarbeitungsverzeichnis. Fehlende Löschfristen — Einträge mit „keine konkrete Angabe" — zählen dort nach Praxiseinschätzung neben veralteten Empfänger-Listen zu den häufigen Fehlern. Steht eine Aufbewahrungspflicht der Löschung nach Art. 17 DSGVO entgegen, ist dieser Konflikt zu dokumentieren.

Praxisempfehlung: Zielzustand ist eine systemseitige Löschregel je Dokumentenklasse. Wo die HR-Software das nicht abbildet, tritt an ihre Stelle ein wiederkehrender Termin mit fester Zuständigkeit; halten Sie in beiden Fällen fest, welche Dokumentenklassen der Lauf erfasst hat — beim manuellen Lauf ist dieses Protokoll der einzige Nachweis. Die Begründung für aufgeschobene Löschungen gehört an den betroffenen Verzeichnis-Eintrag. Für das Verzeichnis selbst empfiehlt der Hauptartikel einen jährlichen Review plus Aktualisierung bei jeder Änderung, quartalsweise bei ständig wachsenden Unternehmen — das ist ein Praxis-Rhythmus, keine gesetzliche Frist.

4. Auskunfts-Verfahren (Art. 15)

Auf einen Auskunftsantrag müssen Sie unverzüglich reagieren, in jedem Fall innerhalb eines Monats nach Eingang. Mitarbeiter-Antrag: Auskunft binnen 1 Monat. Vorlage als PDF mit allen Datenkategorien.

Die Monatsfrist steht in Art. 12 Abs. 3 DSGVO und gilt für alle Anträge nach Art. 15 bis 22 DSGVO — also auch für Berichtigung, Löschung und Datenübertragbarkeit. Sie kann um zwei weitere Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist; über die Verlängerung ist die betroffene Person innerhalb eines Monats unter Angabe der Gründe zu unterrichten. Die Verlängerung ist damit kein stiller Aufschub, sondern selbst eine fristgebundene Mitteilung.

Verstöße gegen die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO) liegen im oberen Bußgeldrahmen: bis zu 20 Mio. EUR oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Davon zu unterscheiden ist der nationale Ordnungswidrigkeiten-Tatbestand: § 43 Abs. 2 und Abs. 3 BDSG stellt Verstöße im Zusammenhang mit § 30 BDSG (fehlerhafte Behandlung eines Auskunftsverlangens bzw. Verbraucherunterrichtung) als Ordnungswidrigkeit unter Bußgeld bis zu 50.000 Euro; gegen Behörden und sonstige öffentliche Stellen werden keine Geldbußen verhängt. Praxisempfehlung: Legen Sie vorab fest, wer den Eingang datiert, wer die Akte zusammenstellt und wer versendet.

5. Datenexport (Art. 20)

Ein Antrag auf Datenübertragbarkeit läuft im selben Fristenregime wie die Auskunft. Maschinenlesbares Format. Praxis: bei Wechsel Arbeitgeber selten verlangt, aber Pflicht.

Weil Art. 20 DSGVO zu den Betroffenenrechten der Art. 15 bis 22 DSGVO zählt, gilt auch hier die Monatsfrist des Art. 12 Abs. 3 DSGVO samt Verlängerungsmöglichkeit. Praxisempfehlung: Legen Sie ein strukturiertes Exportformat fest (z. B. CSV oder JSON je Person) und halten Sie in einer Liste fest, welche Dokumentenklassen der Export umfasst. Prüfen Sie schon bei der Auswahl der HR-Software, ob ein Export je Person ohne Anbieter-Support möglich ist — sonst hängt die Einhaltung der Frist im Ernstfall am Dienstleister. Welche Daten Art. 20 DSGVO im Einzelnen erfasst, ist am konkreten Aktenbestand zu klären.

Datenpanne in der Personalakte: Meldeweg und Fristen

Fließen Daten aus der Personalakte ab, ist die Verletzung der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Erfolgt die Meldung später, ist ihr eine Begründung für die Verzögerung beizufügen.

Die Benachrichtigung der betroffenen Beschäftigten ist eine zweite, engere Stufe. Sie greift erst bei voraussichtlich hohem Risiko für die persönlichen Rechte und Freiheiten (Art. 34 Abs. 1 DSGVO) und ist nicht erforderlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden, das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder die Benachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre — im letzten Fall tritt eine öffentliche Bekanntmachung an ihre Stelle (Art. 34 Abs. 3 DSGVO). Genau darin liegt der praktische Hebel der Verschlüsselung at-rest aus Punkt 1.

Dokumentiert wird jede Panne, auch die nicht meldepflichtige — mit Zeitpunkt, Beschreibung, Folgen und Maßnahmen sowie der Begründung, falls keine Meldung erfolgt ist (Art. 33 Abs. 5 DSGVO). Zuständig ist in Deutschland für nichtöffentliche Stellen die nach Landesrecht zuständige Landesdatenschutzbehörde (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Die Personalakte im Verarbeitungsverzeichnis

Die Personalakte gehört als eigene Verarbeitungstätigkeit ins Verzeichnis nach Art. 30 DSGVO — und die 250-Beschäftigten-Ausnahme entlastet dabei nicht. Art. 30 Abs. 5 DSGVO greift nur kumulativ — alle vier Kriterien im FAQ. Die Lohnabrechnung ist eine regelmäßige Verarbeitung; damit ist die Ausnahme verbraucht. Der Wortlaut stellt zudem auf „ein Risiko" ab, nicht auf ein hohes Risiko — die Schwelle „hohes Risiko" gilt nur für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO.

Vier Felder tragen im HR-Kontext besonders: die Kategorien der Empfänger (Steuerberater als eigenständig Verantwortlicher, externe Lohnabrechnung), die geplanten Löschfristen aus Punkt 2, der Verweis auf das zentrale TOM-Konzept nach Art. 32 DSGVO statt eines eigenen TOM je Eintrag — und die Rechtsgrundlage: Art. 6 Abs. 1 DSGVO, bei Mitarbeiterdaten in Deutschland meist § 26 BDSG, in Österreich Art. 6 und Art. 88 DSGVO. Dieses Feld ist in Art. 30 Abs. 1 nicht genannt, folgt aber aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Stützt sich eine Verarbeitung auf eine Einwilligung, muss der Verantwortliche sie nachweisen können, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und Abs. 3 DSGVO).

Krankheitsfälle und BEM führen Sie als eigenen Eintrag — besondere Kategorien nach Art. 9 DSGVO, in Deutschland ergänzt um § 167 SGB IX (BEM). Bei umfangreicher Verarbeitung besonderer Datenkategorien ist vorab eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 Abs. 1 und Abs. 3 DSGVO). Unterliegt eine Verarbeitung dieser Pflicht, ist in Deutschland unabhängig von der Zahl der beschäftigten Personen ein Datenschutzbeauftragter zu benennen (§ 38 Abs. 1 Satz 2 BDSG).

Deutschland und Österreich: Was unterscheidet sich?

Die oben zitierten DSGVO-Artikel (u. a. Art. 5, 6, 7, 9, 12, 15, 20, 28, 30, 32, 33, 34, 35) gelten als EU-Verordnung in Deutschland und Österreich gleichermaßen und inhaltlich identisch. Auch der Bußgeldrahmen des Art. 83 DSGVO gilt in beiden Ländern; seine Anwendung wird national ergänzt (siehe Sanktionen). Unterschiedlich sind nur die nationalen Anker:

• Beschäftigtendatenschutz: Deutschland hat mit § 26 BDSG eine eigene Norm für Daten im Beschäftigungsverhältnis. In Österreich existiert kein direktes Pendant — dort gilt neben der DSGVO das Datenschutzgesetz (DSG). Maßgeblich sind dort Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG (eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist unzulässig) und § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Zustimmung des Betriebsrats bzw. Betriebsvereinbarung).
• Aufsichtsbehörde: In Deutschland überwachen die nach Landesrecht zuständigen Landesdatenschutzbehörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG), der oder die BfDI ist für Bundesstellen zuständig (§ 9 Abs. 1 BDSG). In Österreich ist die Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO eingerichtet (§ 18 Abs. 1 DSG).
• Aufbewahrungsfristen: Die unter Punkt 2 genannten Fristen (HGB, AO, EStG) sind deutsches Recht. In Österreich gelten die entsprechenden österreichischen Aufbewahrungsvorschriften — Fristen daher je Standort separat prüfen.
• Datenschutzbeauftragter: Deutschland ergänzt die DSGVO-Pflicht um eine Schwelle von in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen (§ 38 Abs. 1 BDSG). Österreich sieht keine zusätzliche zahlenmäßige Schwelle vor; die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO.
• Datengeheimnis: § 6 DSG verpflichtet in Österreich Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung. Diese Pflicht tritt neben Art. 28 DSGVO, für den es in Österreich keine Sonderregel gibt.
• Sanktionen: Der EU-Rahmen ist in beiden Ländern identisch. Verstöße gegen Pflichten aus Art. 25 bis 39 DSGVO — darunter Auftragsverarbeitung, Verzeichnis, Sicherheit der Verarbeitung, Meldepflicht, Folgenabschätzung und Datenschutzbeauftragter — werden mit bis zu 10 Mio. EUR oder — bei einem Unternehmen — bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO); für Verstöße gegen die Grundsätze der Verarbeitung und die Betroffenenrechte gilt der höhere Rahmen aus Punkt 4 (Art. 83 Abs. 5 DSGVO). National kommen hinzu: in Deutschland § 43 BDSG (Details in Punkt 4), in Österreich § 62 Abs. 1 DSG mit Geldstrafe bis zu 50.000 Euro für Verwaltungsübertretungen wie den vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung oder die vorsätzliche Übermittlung in Verletzung des Datengeheimnisses — und zwar nur, soweit die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist. § 11 DSG sieht dabei eine verhältnismäßige Anwendung des Art. 83 DSGVO vor — insbesondere bei erstmaligen Verstößen Verwarnung statt Geldbuße.