Arbeitgeber verarbeiten täglich Mitarbeiterdaten. Was erlaubt ist, wie lange gespeichert werden darf und welche Besonderheiten für Gesundheitsdaten gelten, regelt die DSGVO in Verbindung mit § 26 BDSG.
Die Verarbeitung von Mitarbeiterdaten ist nur auf Basis einer klaren Rechtsgrundlage zulässig. Die Einwilligung spielt im Arbeitsverhältnis eine untergeordnete Rolle – wegen des strukturellen Machtgefälles zwischen Arbeitgeber und Arbeitnehmer ist sie selten wirksam.
Rechtliche Grundlage: § 26 BDSG und DSGVO
Was Arbeitgeber verbindlich regeln müssen
- Datenschutzinformation für Mitarbeiter (Art. 13 DSGVO) bei Einstellung aushändigen – was wird verarbeitet, warum, wie lange
- Speicherfristen für alle Datenkategorien festlegen und technisch durchsetzen: Bewerberdaten (6 Monate), Personalakten (nach Ausscheiden 3 Jahre, steuerrelevante Unterlagen 10 Jahre)
- Zugriffskontrolle: Wer darf die Personalakte sehen? HR, direkte Führungskraft – nicht jeder Kollege
- Besondere Kategorien (Gesundheitsdaten, Gewerkschaftszugehörigkeit) nur mit expliziter Rechtsgrundlage verarbeiten
- Datenverarbeitungsverzeichnis (Art. 30 DSGVO) um alle HR-Prozesse ergänzen
- Bei Einsatz von Zeiterfassungs-, Monitoring- oder HR-Software: Auftragsverarbeitungsvertrag mit Anbieter abschließen
- Betriebsrat einbinden, wenn vorhanden – Mitbestimmungsrechte bei technischen Überwachungsmaßnahmen beachten
Datenschutz im Beschäftigungsverhältnis umsetzen
-
Datenschutzinformation erstellen und übergeben
Jeder neue Mitarbeiter muss bei Einstellung eine vollständige Information nach Art. 13 DSGVO erhalten. Diese muss alle verarbeiteten Datenkategorien, Zwecke, Rechtsgrundlagen, Speicherfristen, Empfänger und Betroffenenrechte benennen. Unterschrift empfohlen, aber keine Einwilligungsvoraussetzung.
-
Zugriffsrechte auf Personalakten definieren
Legen Sie verbindlich fest, wer auf welche Teile der Personalakte zugreift. Digitale HR-Systeme müssen Rollenkonzepte unterstützen. Gehaltsabrechnungen darf nicht die gleiche Person sehen wie alle anderen Mitarbeiterdaten – Funktionstrennungen einhalten.
-
Speicherfristen technisch hinterlegen
Definieren Sie für jede Datenkategorie eine Frist und stellen Sie sicher, dass das System nach Fristablauf automatisch löscht oder Sie zur manuellen Löschung auffordert. Bewerberdaten: 6 Monate. Personalakte nach Ausscheiden: 3 Jahre. Steuerrelevante Unterlagen: 10 Jahre. Sozialversicherungsunterlagen: bis zu 30 Jahre.
-
HR-Software-Anbieter auf AVV prüfen
Wenn Sie eine HR-Software nutzen (Personio, SAP SuccessFactors, DATEV etc.), verarbeitet der Anbieter Mitarbeiterdaten in Ihrem Auftrag. Ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist Pflicht – prüfen Sie, ob er vorliegt und aktuell ist.
-
Besonderheiten bei Kündigung und Ausscheiden
Nach Beendigung des Arbeitsverhältnisses dürfen nicht alle Daten sofort gelöscht werden. Prüfen Sie laufende Rechtsstreitigkeiten (Aufbewahrung bis Rechtskraft), gesetzliche Aufbewahrungsfristen und Rentenversicherungsunterlagen. Danach unverzüglich löschen oder vernichten.
Monitoring und Leistungsüberwachung
Sind Ihre HR-Prozesse DSGVO-konform? INREMA prüft Ihre Personalaktenführung, Speicherfristen und Zugriffsrechte und gibt klare Handlungsempfehlungen.
Jetzt beraten lassenHäufige Fragen
Darf ich Krankheitsdiagnosen in der Personalakte speichern?
Wie lange darf ich Bewerberdaten nach einer Absage speichern?
Müssen Mitarbeiter in die Verarbeitung ihrer Daten einwilligen?
Was muss ein AVV mit einem HR-Software-Anbieter enthalten?
War dieser Artikel hilfreich?