Haftungsfalle Personalakte: Was Geschäftsführer wissen müssen

Kaum ein HR-Thema wird im Mittelstand so stiefmütterlich behandelt wie die Personalakte – und kaum eines birgt so unmittelbare Haftungsrisiken für die Geschäftsführung. Denn Personalakten enthalten fast ausschließlich personenbezogene Daten, teils besonders geschützte Kategorien wie Gesundheitsdaten oder Religionszugehörigkeit (Stichwort Kirchensteuermerkmal). Damit gilt die DSGVO in voller Schärfe, und Verstöße können mit empfindlichen Bußgeldern geahndet werden.

Die drei Grundpflichten

Erstens der Zugriffsschutz: Auf Personalakten dürfen nur Personen zugreifen, die die Informationen für ihre Aufgabe benötigen. Der Aktenschrank, zu dem „das ganze Büro" den Schlüssel hat, oder das ungeschützte Netzlaufwerk „Personal" sind klassische Verstöße. Zweitens die Datenminimierung: In die Akte gehört nur, was für das Arbeitsverhältnis erforderlich ist. Abmahnungen, die ihre Warnfunktion verloren haben, private Notizen über Mitarbeitende oder veraltete Bewerbungsunterlagen abgelehnter Kandidaten haben dort nichts verloren. Drittens die Löschpflichten: Die DSGVO verlangt, Daten zu löschen, sobald der Zweck entfällt und keine Aufbewahrungspflicht mehr besteht.

Aufbewahrungsfristen im Überblick

Die Praxisfolge: Eine Personalakte darf nach dem Austritt nicht einfach „für immer" im Keller liegen, sondern muss nach einem dokumentierten Löschkonzept sukzessive bereinigt werden.

Das Einsichtsrecht wird unterschätzt

Jede und jeder Beschäftigte hat das Recht, die eigene Personalakte einzusehen (§ 83 BetrVG, Art. 15 DSGVO) – und kann nach der DSGVO zusätzlich eine Kopie sämtlicher verarbeiteter personenbezogener Daten verlangen. Auf ein solches Auskunftsersuchen muss binnen eines Monats reagiert werden. Unternehmen ohne geordnete Aktenführung geraten hier regelmäßig in Bedrängnis, besonders wenn das Ersuchen im Kontext eines Kündigungsrechtsstreits gestellt wird – ein inzwischen beliebtes Druckmittel von Arbeitnehmeranwälten.

Der pragmatische Weg zur rechtssicheren Aktenführung führt über drei Schritte: ein Berechtigungskonzept (wer darf was sehen), eine digitale Personalakte mit Protokollierung der Zugriffe und ein Löschkonzept mit jährlichem Löschlauf. Einmal aufgesetzt, reduziert dieses Fundament das Haftungsrisiko drastisch – und beschleunigt nebenbei jede Betriebsprüfung.

Wichtig: Verantwortlich im Sinne der DSGVO ist das Unternehmen, und die Geschäftsführung haftet für die Organisation. „Das hat unsere Personalsachbearbeitung gemacht" entlastet nicht.

Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.