Die Personalakte wächst selten geplant. Erst kommen Arbeitsvertrag und Steuer-ID, dann Krankmeldungen, Gesprächstnotizen, Bewerbungsunterlagen, Abmahnungen und Daten für die Entgeltabrechnung. Wer Mitarbeiterdaten DSGVO-konform verwalten will, braucht deshalb mehr als einen passwortgeschützten Ordner. Entscheidend sind klare Regeln: Welche Daten werden wirklich benötigt, wer darf sie sehen, wie lange bleiben sie gespeichert und was passiert bei Austritt?
Gerade im Mittelstand mit 25 bis 250 Beschäftigten landen sensible Informationen oft in verschiedenen Händen und Systemen. Die Geschäftsführung benötigt Auswertungen, die Führungskraft eine Abwesenheitsübersicht, die Buchhaltung Abrechnungsdaten und externe Dienstleister bestimmte Unterlagen. Ohne saubere Prozesse entsteht schnell ein Risiko – rechtlich, organisatorisch und für das Vertrauen der Mitarbeitenden.
Warum Mitarbeiterdaten besondere Sorgfalt verlangen
Beschäftigtendaten gehören zu den sensibelsten Informationen im Unternehmen. Neben Name, Adresse und Bankverbindung verarbeitet HR häufig Daten zu Arbeitsunfähigkeit, Schwerbehinderung, Elternzeit, Leistung, Vergütung oder arbeitsrechtlichen Maßnahmen. Für einige dieser Angaben gelten besonders hohe Anforderungen, weil sie besondere Kategorien personenbezogener Daten betreffen.
Die DSGVO erlaubt die Verarbeitung nicht pauschal, sondern nur mit einer tragfähigen Rechtsgrundlage. Im Beschäftigungskontext ist das meist § 26 Bundesdatenschutzgesetz: Daten dürfen verarbeitet werden, wenn dies für die Entscheidung über ein Beschäftigungsverhältnis oder dessen Durchführung erforderlich ist. Für die Entgeltabrechnung, Meldepflichten und steuerliche Dokumentation greifen zudem gesetzliche Pflichten.
Das klingt eindeutig, verlangt aber im Alltag Abwägung. Die private Handynummer für einen Notfallkontakt kann sinnvoll sein. Eine routinemäßige Erfassung privater Interessen oder Gesundheitsinformationen ohne konkreten Zweck dagegen nicht. Die Leitfrage lautet: Ist diese Information für das Arbeitsverhältnis, eine gesetzliche Pflicht oder einen klar benannten Zweck wirklich notwendig?
Mitarbeiterdaten DSGVO-konform verwalten beginnt vor der Ablage
Datenschutz ist kein Aufräumprojekt für alte Personalakten. Er beginnt dort, wo Daten erhoben werden. Schon im Recruiting sollte klar sein, welche Informationen tatsächlich für die Auswahlentscheidung benötigt werden. Bewerbungsunterlagen gehören nicht in frei zugängliche E-Mail-Postfächer oder in Teams-Chats, in denen Personen ohne Auswahlrolle mitlesen können.
Auch Einwilligungen sind mit Bedacht einzusetzen. Im Arbeitsverhältnis besteht ein Abhängigkeitsverhältnis. Deshalb ist eine Einwilligung nur dann eine verlässliche Grundlage, wenn sie freiwillig erfolgt, der Zweck verständlich beschrieben ist und keine Nachteile bei Ablehnung entstehen. Für ein Foto auf der Karriereseite kann das passen. Für Daten, die für Vertrag, Abrechnung oder Personalführung notwendig sind, ist meist eine andere Rechtsgrundlage einschlägig.
Eine praxistaugliche Personalakte trennt Informationen nach Zweck und Zugriffsbedarf. Vertrags- und Abrechnungsunterlagen, Fehlzeiten, Gesundheitsdaten, Entwicklungsdokumentation und Recruitingdaten müssen nicht für dieselben Personen sichtbar sein. Diese Trennung reduziert Risiken und macht Verantwortlichkeiten im Tagesgeschäft deutlich.
Zugriffsrechte: Nicht jeder braucht alles
Viele Datenschutzprobleme entstehen nicht durch einen Hackerangriff, sondern durch zu weit gefasste Berechtigungen. Wenn jede Führungskraft vollständige Personalakten einsehen kann oder ehemalige Mitarbeitende weiterhin Zugriff auf HR-Systeme haben, hilft auch die beste Datenschutzrichtlinie wenig.
Ein Rechtekonzept sollte sich an Rollen statt an Einzelpersonen orientieren. Die HR-Administration benötigt andere Zugriffe als die Lohnbuchhaltung. Führungskräfte brauchen Informationen, um ihr Team zu führen, aber in der Regel keine vollständigen Gesundheits- oder Vergütungsdaten außerhalb ihres Verantwortungsbereichs. Die Geschäftsführung benötigt Kennzahlen und Entscheidungsgrundlagen, jedoch nicht zwangsläufig jede Einzeldokumentation.
Für den Alltag bewährt sich das Prinzip der minimalen Berechtigung: Zugriff erhält nur, wer ihn für eine konkrete Aufgabe benötigt. Rechte werden bei Eintritt, Rollenwechsel und Austritt verbindlich geprüft. Besonders wichtig ist dies bei temporären Kräften, Vertretungen und externen Partnern. Auch ein ehemaliger Administrator oder eine ausgeschiedene Führungskraft darf nicht versehentlich im System bleiben.
Technische Maßnahmen gehören dazu: individuelle Nutzerkonten statt gemeinsamer Logins, starke Passwörter, Mehr-Faktor-Authentifizierung und eine nachvollziehbare Protokollierung kritischer Zugriffe. Bei papiergebundenen Akten gilt derselbe Anspruch. Ein abschließbarer Schrank im frei betretbaren Büro ist keine Zugriffskontrolle.
Digitale HR-Systeme richtig einführen und steuern
Ein digitales HR-System kann Datenschutz deutlich vereinfachen – wenn Prozesse, Rollen und Anbieter dazu passen. Es schafft eine zentrale Datenbasis, kann Fristen unterstützen und sorgt dafür, dass Dokumente nicht unkontrolliert per E-Mail kursieren. Es ersetzt jedoch keine Datenschutzentscheidung.
Vor der Einführung sollte das Unternehmen prüfen, welche Daten im System verarbeitet werden, wo sie gespeichert sind und welche Funktionen wirklich gebraucht werden. Besonders bei cloudbasierten Lösungen ist relevant, ob Daten außerhalb der EU verarbeitet werden oder Unterauftragnehmer eingebunden sind. Hier braucht es klare vertragliche und organisatorische Regelungen.
Setzt ein Unternehmen einen Anbieter für HR-Software, Entgeltabrechnung oder Aktenarchivierung ein, liegt häufig eine Auftragsverarbeitung vor. Dann muss ein passender Vertrag zur Auftragsverarbeitung geschlossen werden. Darin werden Weisungsrechte, Sicherheitsmaßnahmen, Unterstützungsleistungen und der Umgang mit Unterauftragnehmern geregelt. Ein Vertrag allein genügt nicht: Das Unternehmen bleibt verantwortlich, den Dienstleister sorgfältig auszuwählen und angemessen zu kontrollieren.
Bei umfangreichen oder besonders risikoreichen Verarbeitungen kann eine Datenschutz-Folgenabschätzung erforderlich sein. Das betrifft nicht jede Standard-Personalakte. Bei umfangreicher Überwachung, automatisierten Bewertungsprofilen oder neuen Technologien sollte die Prüfung aber früh erfolgen. Wer erst nach dem Go-live fragt, ob ein Tool zulässig ist, zahlt häufig doppelt.
Löschfristen schaffen Ordnung und reduzieren Risiko
Daten dürfen nicht unbegrenzt aufbewahrt werden, nur weil Speicherplatz günstig ist. Die DSGVO verlangt eine Speicherung nur so lange, wie der jeweilige Zweck besteht. Gleichzeitig müssen Unternehmen steuer-, handels- und arbeitsrechtliche Aufbewahrungspflichten beachten. Genau diese Kombination macht ein belastbares Löschkonzept notwendig.
Ein Beispiel: Bewerbungsunterlagen abgelehnter Kandidat:innen werden üblicherweise nach Ablauf der relevanten Frist für mögliche Ansprüche gelöscht, sofern keine ausdrückliche Einwilligung für einen Talentpool vorliegt. Abrechnungsunterlagen können aufgrund gesetzlicher Pflichten deutlich länger aufzubewahren sein. Unterlagen zu betrieblichen Altersvorsorgen oder laufenden Streitigkeiten folgen wiederum eigenen Anforderungen.
Eine pauschale Frist für die gesamte Personalakte ist deshalb selten die beste Lösung. Sinnvoller ist ein Löschkonzept, das Dokumentarten, Rechtsgrundlagen, Fristen und verantwortliche Rollen festlegt. Dabei darf die technische Umsetzung nicht vergessen werden: Gelöscht werden müssen auch Kopien in E-Mail-Postfächern, Scan-Ordnern, lokalen Laufwerken und Backups – soweit dies nach dem jeweiligen Sicherungskonzept möglich und erforderlich ist.
Transparenz gegenüber Mitarbeitenden schafft Vertrauen
Mitarbeitende haben das Recht zu wissen, welche Daten ihr Arbeitgeber verarbeitet. Eine verständliche Datenschutzinformation für Beschäftigte ist daher keine Formalität für den Onboarding-Ordner. Sie sollte erklären, welche Kategorien von Daten verarbeitet werden, zu welchen Zwecken, auf welcher Grundlage, wer Empfänger sein kann und welche Rechte Beschäftigte haben.
Dazu zählen Auskunft, Berichtigung, Löschung unter bestimmten Voraussetzungen, Einschränkung der Verarbeitung und Beschwerde bei einer Aufsichtsbehörde. Anfragen sollten nicht improvisiert bearbeitet werden. Legen Sie fest, wer sie entgegennimmt, welche Fachbereiche eingebunden werden und wie die gesetzliche Frist eingehalten wird. Auskunft bedeutet dabei nicht, interne Bewertungen oder Informationen Dritter ungeprüft weiterzugeben. Auch hier sind Rechte anderer Personen und berechtigte Interessen abzuwägen.
Transparenz zahlt auf die Arbeitgeberbeziehung ein. Wenn Beschäftigte verstehen, warum Daten erhoben werden und wie das Unternehmen sie schützt, sinkt die Skepsis gegenüber digitalen HR-Prozessen. Das ist gerade bei neuen Self-Service-Portalen, digitalen Zeiterfassungslösungen oder Performance-Prozessen relevant.
Diese typischen Fehler kosten unnötig Zeit
In der Praxis sehen wir immer wieder dieselben Muster: Excel-Listen mit sensiblen Daten liegen auf gemeinsamen Laufwerken, Krankmeldungen werden zu detailliert dokumentiert oder Führungskräfte speichern Personalgespräche in privaten Notiz-Apps. Ebenso problematisch sind Sammelpostfächer ohne Rollenklärung und unklare Übergaben, wenn HR-Verantwortliche das Unternehmen verlassen.
Der Gegenentwurf muss nicht kompliziert sein. Ein verbindliches Verzeichnis der Verarbeitungstätigkeiten schafft Transparenz über Prozesse und Systeme. Ergänzt um ein Berechtigungsmodell, Datenschutzinformationen, Löschfristen und kurze Schulungen für HR, Führungskräfte und Administration entsteht ein tragfähiger Rahmen. Wichtig ist, dass diese Regeln in den Arbeitsalltag passen. Eine Richtlinie, die niemand versteht oder anwendet, schützt keine Mitarbeiterdaten.
Bei einer Datenpanne zählt Geschwindigkeit. Wurde eine Personalakte an die falsche Adresse versendet, ein Laptop gestohlen oder ein Systemzugriff unberechtigt genutzt, braucht es einen klaren Meldeweg. Nicht jeder Vorfall ist meldepflichtig. Dennoch muss er dokumentiert, bewertet und gegebenenfalls innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden. Mitarbeitende sollten wissen, an wen sie sich sofort wenden können – ohne Angst, für einen Fehler zuerst nach einer Schuldigen suchen zu müssen.
Datenschutz als fester HR-Prozess
Mitarbeiterdaten DSGVO-konform zu verwalten ist eine Führungs- und Organisationsaufgabe. Das Unternehmen muss Zweck, Zugriff, Aufbewahrung und Verantwortlichkeit zusammen denken. Besonders bei Wachstum, einem Systemwechsel, einer Restrukturierung oder dem Aufbau einer professionelleren HR-Administration lohnt sich ein strukturierter Blick auf die bestehenden Abläufe.
HR SOLVIA unterstützt mittelständische Unternehmen dabei, HR-Prozesse praxistauglich aufzusetzen, digitale Systeme sauber einzuführen und Verantwortlichkeiten klar zu verankern. So bleibt Datenschutz keine zusätzliche Baustelle, sondern wird Teil einer HR-Arbeit, die verlässlich funktioniert.
Der beste Zeitpunkt für klare Regeln ist nicht nach einer Auskunftsanfrage oder Datenpanne. Beginnen Sie bei dem Prozess, der morgen wieder läuft: der Einstellung, der Krankmeldung, der Abrechnung oder dem Austritt. Dort entscheidet sich, ob Datenschutz auf Papier steht oder im Unternehmen wirklich gelebt wird.
