Warum die Papier Personalakte zum Risiko wird
Für Office Manager in deutschen Unternehmen ist die klassische Personalakte auf Papier längst ein Sicherheitsrisiko geworden. Wer eine Personalakte digitalisieren und dabei die DSGVO konsequent beachten will, muss über verstreute Ordner, ungesicherte Daten und fehlende Protokolle hinausdenken. Die Umstellung auf eine digitale Personalakte reduziert nicht nur Suchzeiten, sondern schützt personenbezogene Daten der Mitarbeiter deutlich besser und erleichtert die Einhaltung gesetzlicher Pflichten, etwa nach Art. 5 Abs. 1 lit. f DSGVO (Integrität und Vertraulichkeit).
In vielen Unternehmen liegen Personalakten und andere Dokumente noch in Schränken, zu denen faktisch jeder mit einem Generalschlüssel Zugriff hat. Genau hier kollidieren analoge Personalakten mit den Anforderungen der DSGVO an Datensicherheit, Zweckbindung und Löschkonzepte nach Art. 5 und Art. 32 DSGVO, denn Papier lässt sich weder revisionssicher protokollieren noch automatisiert entsperren oder sperren. Wer die Personalakte digitalisieren und DSGVO konform verwalten möchte, muss deshalb ein klares Berechtigungskonzept für den Zugriff definieren, dieses im System technisch durchsetzen und regelmäßig dokumentiert überprüfen; Orientierung bieten hier u. a. die Leitlinien des Europäischen Datenschutzausschusses (EDPB) zu Verantwortlichkeit und Rechenschaftspflicht.
Bitte beachten Sie bei jeder Planung, dass auch scheinbar harmlose Informationen über Mitarbeiter als personenbezogene Daten gelten. Dazu zählen Notizen zu Fehlzeiten, Gesprächsprotokolle oder E Mails, die als Dokumente in die digitalen Personalakten übernommen werden sollen. Office Manager müssen hier eng mit Datenschutzbeauftragten zusammenarbeiten, um den eigentlichen Inhalt der Akten zu strukturieren, nur die wirklich erforderlichen Daten nach Art. 5 Abs. 1 lit. c DSGVO zu speichern und eine klare Trennung besonders sensibler Kategorien wie Gesundheitsdaten vorzunehmen; Art. 9 DSGVO stellt für Gesundheitsdaten und vergleichbare Informationen besonders strenge Anforderungen.
Rechtlicher Rahmen: DSGVO, GoBD und arbeitsrechtliche Vorgaben
Wer Personalakten in ein digitales System überführt, bewegt sich im Spannungsfeld aus DSGVO, Handels und Steuerrecht sowie Arbeitsrecht. Die DSGVO verlangt unter anderem Transparenz über verarbeitete Daten, klare Löschfristen und eine Protokollierung jedes Zugriffs auf die digitale Personalakte; zentrale Normen sind hier insbesondere Art. 5 (Grundsätze), Art. 6 (Rechtsgrundlagen) und Art. 30 DSGVO (Verzeichnis von Verarbeitungstätigkeiten). Parallel gelten GoBD Vorgaben für die revisionssichere Archivierung von steuerrelevanten Dokumenten, etwa bei Lohnabrechnungen und Reisekostenbelegen, einschließlich Nachvollziehbarkeit, Vollständigkeit und Unveränderbarkeit; maßgeblich ist hier das BMF Schreiben zu den GoBD vom 28.11.2019 mit den Anforderungen an elektronische Aufzeichnungen.
Für Office Manager heißt das konkret, dass sie vor der Einführung einer digitalen Personalakte ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO aktualisieren müssen. Darin wird beschrieben, welche Daten der Mitarbeiter zu welchem Zweck verarbeitet werden, wie lange sie gespeichert bleiben und ob Daten an Dritte oder Daten an Drittanbieter weitergegeben werden, etwa an Lohnabrechnungsdienstleister. Bitte beachten Sie, dass jede Weitergabe an Drittanbieter vertraglich über Auftragsverarbeitungsverträge abgesichert werden muss; eine typische Muster AVV Klausel lautet etwa, dass der Auftragsverarbeiter personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet, Unterauftragsverarbeiter nur nach vorheriger Genehmigung einsetzt und geeignete technische und organisatorische Maßnahmen nach Art. 28 Abs. 3 DSGVO nachweist.
Arbeitsrechtlich spielen Betriebsvereinbarungen eine zentrale Rolle, wenn Personalakten digitalisiert werden. Der Betriebsrat hat ein Mitbestimmungsrecht bei der Einführung digitalen Personalakten, insbesondere beim Berechtigungskonzept und bei der Frage, welche Inhalte entsperrt oder für Vorgesetzte gesperrt werden. Für aktuelle arbeitsrechtliche Updates für Office Manager lohnt sich ein Blick auf spezialisierte Fachbeiträge, etwa zu neuen arbeitsrechtlichen Anforderungen, wie sie in Leitfäden zu arbeitsrechtlichen Updates für Office Manager beschrieben werden, die praxisnah aufzeigen, welche Dokumente in Personalakten zwingend enthalten sein müssen und wie Kontrollrechte des Betriebsrats gewahrt bleiben; einschlägig sind hier insbesondere die Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG bei technischen Einrichtungen zur Leistungs und Verhaltenskontrolle.
Systemwahl: Kriterien für eine DSGVO konforme digitale Personalakte
Die Wahl des Systems entscheidet darüber, ob Sie die Personalakte digitalisieren und DSGVO Anforderungen im Alltag wirklich einhalten können. Ein geeignetes Dokumentenmanagementsystem oder eine HR Software wie Personio, Haufe People Operations oder DATEV Personalakte bietet rollenbasierte Zugriffsrechte, ein Audit Trail für jeden Zugriff und Schnittstellen zur Lohnbuchhaltung. Für Office Manager ist wichtig, dass sich Berechtigungen fein steuern lassen, damit nur befugte Personen den eigentlichen Inhalt sensibler Dokumente sehen und Protokolle revisionssicher gespeichert werden; dies entspricht auch den Vorgaben zu technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.
Ein professionelles System für digitalen Personalakten sollte außerdem Funktionen für Löschfristen, Aufbewahrungsfristen und automatisierte Erinnerungen enthalten. So lassen sich Daten, die nicht mehr benötigt werden, rechtzeitig löschen, während andere Dokumente wie Arbeitsverträge oder Abmahnungen revisionssicher archiviert bleiben und nicht versehentlich entsperrt werden. Achten Sie darauf, dass das System klar anzeigt, wenn Sie nur Platzhalterinhalt sehen, weil bestimmte Inhalte entsperrt werden müssen und der Zugriff erst nach zusätzlicher Freigabe möglich ist, und dass Metadaten wie Dokumentart, Erstellungsdatum und Verantwortlicher eindeutig hinterlegt sind; ein einfaches Metadaten Schema mit Pflichtfeldern wie „Mitarbeiter ID“, „Dokumenttyp“ und „Ablaufdatum“ erleichtert hier die tägliche Arbeit.
Gerade im Büroalltag hilft eine Lösung, die Office Manager intuitiv bedienen können, ohne für jeden Schritt die IT zu benötigen. Ein gutes Beispiel für praxisnahe Orientierung bietet ein Fachbeitrag zu DSGVO im Büroalltag mit typischen Fallen bei Personalakten, Posteingang und Besucherbuch, der zeigt, wie schnell Daten unbemerkt an Drittanbieter weitergegeben werden können. Bitte beachten Sie bei der Systemauswahl auch, ob der Anbieter Server in der EU betreibt und ob der Service akzeptieren lässt, dass nur die wirklich erforderlichen Services aktiv sind, damit keine unnötigen Datenflüsse entstehen und Datentransfers in Drittländer nach Art. 44 ff. DSGVO vermieden oder sauber geregelt werden; die Leitlinien des EDPB zu internationalen Datentransfers geben hier zusätzliche Orientierung.
Migrationsstrategie: von der Papierakte zur digitalen Personalakte im laufenden Betrieb
Die größte praktische Hürde für Office Manager ist selten die Software, sondern die Migration der bestehenden Papierakten. Sie müssen entscheiden, ob Sie einen Stichtag wählen und ab diesem Datum alle neuen Dokumente nur noch digital ablegen oder ob Sie eine sukzessive Migration mit paralleler Papier und digitalen Personalakte planen. Beide Wege haben Vor und Nachteile, die Sie mit Blick auf Ressourcen, Datenschutz und Akzeptanz im Unternehmen abwägen sollten; hilfreich ist ein kurzer Praxisfall, in dem zunächst nur neue Verträge digital geführt und später schrittweise Altakten nachgezogen werden, sodass die Personalakten Migration DSGVO konform und kontrolliert erfolgt.
Bei einer Stichtagsumstellung bleibt die alte Papier Personalakte für historische Dokumente bestehen, während neue Dokumente direkt in die digitale Personalakte wandern. Das reduziert den Scanaufwand, erfordert aber klare Regeln, welche Informationen in welcher Form abgelegt werden und wie Mitarbeiter über den Wechsel informiert werden. Bei einer vollständigen Migration werden alle relevanten Dokumente gescannt, mit Metadaten versehen und in die digitalen Personalakten übernommen, was mehr Aufwand bedeutet, aber langfristig einheitliche Datenbestände schafft und die Suche nach Unterlagen deutlich beschleunigt; zusätzlich lassen sich so Dubletten vermeiden und veraltete Unterlagen im Rahmen eines Löschkonzepts gezielt aussortieren.
Für beide Varianten gilt, dass Sie den Scanprozess strukturiert planen müssen. Legen Sie fest, welche Dokumente zwingend im Original aufbewahrt werden, etwa bestimmte Zeugnisse oder unterschriebene Arbeitsverträge, und welche Unterlagen nach dem Scannen vernichtet werden dürfen. Bitte beachten Sie dabei die GoBD Vorgaben, die Anforderungen an die Unveränderbarkeit digitaler Dokumente definieren und sicherstellen, dass der digitale Inhalt zuzugreifen ist, ohne dass jemand heimlich den Inhalt entsperren oder verändern kann; dokumentieren Sie dazu ein kurzes Scan und Metadaten Checklisten Template mit Feldern für Dokumenttyp, Datum, Verantwortliche Person und Prüfschritt, etwa „Lesbarkeit geprüft“, „Vollständigkeit geprüft“ und „Löschfrist gesetzt“.
Operative Umsetzung: Scanprozess, Zugriffsrechte und Akzeptanz im Team
Im Alltag entscheidet die Qualität des Scan und Ablageprozesses darüber, ob Ihre digitalen Personalakten wirklich funktionieren. Definieren Sie klare Dateinamenkonventionen, etwa „Personalakte Nachname Vorname Dokumentart Datum“, und legen Sie feste Kategorien für Dokumente an, damit Office Manager und HR Generalisten schnell den eigentlichen Inhalt finden. Wer hier sauber arbeitet, reduziert Rückfragen und verhindert, dass sensible Daten versehentlich im falschen Ordner landen; eine einfache Checkliste mit Prüfpunkten wie Lesbarkeit, Vollständigkeit, richtige Kategorie und gesetzte Löschfrist unterstützt die tägliche Routine und kann als einseitige Arbeitsanweisung direkt neben dem Scanner hängen.
Beim Berechtigungskonzept sollten Sie streng nach dem Need to know Prinzip vorgehen. Nur Personen, die für ihre Aufgabe bestimmte Informationen benötigen, dürfen diese Daten sehen, während andere Inhalte entsperren müssen, indem sie einen dokumentierten Antrag stellen, der im Audit Trail sichtbar bleibt. Eine einfache Berechtigungs Matrix kann zum Beispiel die Rollen HR, direkte Führungskraft, Geschäftsführung, Betriebsrat und IT aufführen und für jede Rolle definieren, ob sie vollen Zugriff, nur Leserechte, Zugriff auf ausgewählte Dokumentarten oder ausschließlich technische Metadaten erhält; ergänzen Sie dazu Spalten wie „Zugriff auf Stammdaten“, „Zugriff auf Leistungsdaten“ und „Zugriff auf Gesundheitsdaten“.
Akzeptanz im Team entsteht, wenn Mitarbeiter verstehen, warum die Personalakte digitalisiert wird und welche Vorteile sie persönlich haben. Erklären Sie transparent, welche Informationen gespeichert werden, wie lange sie aufbewahrt bleiben und wie sie ihr Recht auf Auskunft und Löschung nach Art. 15 und Art. 17 DSGVO wahrnehmen können, ohne erst umständlich eine Schaltfläche unten in einem Portal suchen zu müssen. Nicht die Vorlage zählt, sondern das gelebte Protokoll, denn nur wenn Prozesse im Alltag eingehalten werden, bleibt die digitale Personalakte DSGVO konform und wird von Mitarbeitern als vertrauenswürdiges Instrument akzeptiert; verweisen Sie in Schulungen ruhig auf offizielle Orientierungshilfen der Aufsichtsbehörden, um die Bedeutung der Regeln zu unterstreichen.
FAQ: häufige Fragen zur digitalen Personalakte und DSGVO
Welche Dokumente gehören zwingend in die digitale Personalakte?
In eine digitale Personalakte gehören in der Regel Arbeitsverträge, Vertragsänderungen, Abmahnungen, Zeugnisse, Nachweise über Qualifikationen, relevante Korrespondenz sowie Unterlagen zur betrieblichen Altersvorsorge. Nicht hinein gehören Gesundheitsdaten aus dem betrieblichen Eingliederungsmanagement oder vertrauliche BEM Protokolle, die getrennt und besonders geschützt aufbewahrt werden sollten. Bitte beachten Sie, dass jede Kategorie klar definiert sein muss, damit keine sensiblen Daten unnötig gespeichert werden und die Trennung von Personalstammdaten, Leistungsdaten und Gesundheitsinformationen nachvollziehbar bleibt; Orientierung bieten hier auch die Hinweise der Datenschutzaufsichtsbehörden zu Personalaktenführung.
Wie lange dürfen personenbezogene Daten in der Personalakte gespeichert werden?
Die Speicherdauer richtet sich nach gesetzlichen Aufbewahrungsfristen und dem Zweck der Verarbeitung. Lohn und Gehaltsunterlagen müssen häufig zehn Jahre aufbewahrt werden, während Bewerbungsunterlagen abgelehnter Kandidaten in der Regel nach sechs Monaten gelöscht werden sollten, sofern keine Einwilligung für eine längere Aufbewahrung vorliegt. Office Manager müssen gemeinsam mit dem Datenschutzbeauftragten ein Löschkonzept erstellen, das diese Fristen systemseitig abbildet, regelmäßige Löschläufe vorsieht und dokumentiert, wann welche Datensätze endgültig entfernt wurden; Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) und die GoBD Vorgaben zur Aufbewahrungsdauer sind hier maßgeblich.
Wie wird der Zugriff auf digitale Personalakten rechtssicher geregelt?
Rechtssicher ist ein Zugriffskonzept, wenn es schriftlich dokumentiert, technisch im System umgesetzt und regelmäßig überprüft wird. Typischerweise erhalten nur HR Mitarbeiter und direkte Vorgesetzte eingeschränkten Zugriff, während die IT keinen Einblick in Inhalte, sondern nur in technische Metadaten hat. Jeder Zugriff sollte im System protokolliert werden, damit im Zweifel nachvollziehbar bleibt, wer wann welche Daten gesehen hat, und diese Protokolle müssen im Rahmen des Datenschutzmanagements ausgewertet und bei Bedarf angepasst werden; dies entspricht dem Rechenschaftspflichtprinzip aus Art. 5 Abs. 2 DSGVO und den Empfehlungen des EDPB zur Protokollierung.
Welche Rolle spielt der Betriebsrat bei der Einführung einer digitalen Personalakte?
Der Betriebsrat hat ein Mitbestimmungsrecht, weil mit der digitalen Personalakte das Verhalten und die Leistung von Mitarbeitern überwacht werden könnten. Deshalb ist eine Betriebsvereinbarung nötig, die Zweck, Umfang, Zugriffsrechte und Protokollierung klar regelt und auch festlegt, welche Auswertungen ausdrücklich ausgeschlossen sind. Eine frühzeitige Einbindung des Betriebsrats erhöht die Akzeptanz und reduziert spätere Konflikte, weil Bedenken zu Überwachung, Leistungsprofilen und Kennzahlen bereits im Einführungsprojekt adressiert werden; verweisen Sie in der Kommunikation auf § 80 und § 87 BetrVG, um die Beteiligungsrechte transparent zu machen.
Wie kann ich sicherstellen, dass externe Dienstleister DSGVO konform mit Personaldaten umgehen?
Schließen Sie mit jedem externen Dienstleister, der Zugriff auf Personaldaten hat, einen Auftragsverarbeitungsvertrag nach DSGVO ab. Darin werden technische und organisatorische Maßnahmen, Unterauftragsverhältnisse, Löschfristen und Kontrollrechte des Unternehmens detailliert geregelt; eine Musterklausel kann zum Beispiel vorsehen, dass der Dienstleister nur geprüfte Unterauftragnehmer einsetzt und jede Änderung vorab schriftlich anzeigt. Prüfen Sie regelmäßig, ob der Dienstleister diese Vorgaben einhält, und dokumentieren Sie die Ergebnisse als Teil Ihres Datenschutzmanagements, etwa in Form von Auditberichten oder Checklisten; die Leitlinien des EDPB zu Art. 28 DSGVO bieten hierfür zusätzliche Auslegungshilfen.