Digitale Personalakte: Zugriff, Fristen und Nachweis

Fristen sind der Teil der Personalakte, der sich am leichtesten belegen lässt und am häufigsten pauschal behandelt wird. Die Faustregel "zehn Jahre, dann weg" passt auf keinen der Aktenteile. Für das Lohnkonto steht im Gesetz: Die Lohnkonten sind bis zum Ablauf des sechsten Kalenderjahres aufzubewahren, das auf die zuletzt eingetragene Lohnzahlung folgt (Einkommensteuergesetz). Entgeltunterlagen sind für jeden Beschäftigten getrennt nach Kalenderjahren zu führen und bis zum Ablauf des auf die letzte Prüfung folgenden Kalenderjahres geordnet aufzubewahren (Sozialgesetzbuch IV) - diese Frist hat also gar kein festes Ende, sondern hängt am Prüfungsrhythmus. Arbeitszeitaufzeichnungen sind mindestens zwei Jahre ab dem für die Aufzeichnung maßgeblichen Zeitpunkt aufzubewahren - diese Pflicht gilt allerdings nicht für jeden Betrieb: Sie trifft Arbeitgeber, die Arbeitnehmerinnen und Arbeitnehmer nach § 8 Absatz 1 des Vierten Buches Sozialgesetzbuch oder in den in § 2a des Schwarzarbeitsbekämpfungsgesetzes genannten Wirtschaftsbereichen oder Wirtschaftszweigen beschäftigen; für Beschäftigungsverhältnisse nach § 8a des Vierten Buches Sozialgesetzbuch gilt sie nicht (Mindestlohngesetz). Wer die zwei Jahre pauschal für jede Personalakte ansetzt, übernimmt damit eine Frist aus einem Anwendungsbereich, der enger ist als der eigene Bestand; als einheitliche Hausregel kann das sinnvoll sein, als Rechtspflicht ist es dann anders zu begründen.

Aus der Tabelle folgt eine unbequeme Konsequenz: Die Akte als Ganzes hat keinen Löschtermin. Wer die längste Frist auf den gesamten Bestand anwendet, hält Daten länger vor, als es der Zweck trägt - und das steht im Widerspruch zur Speicherbegrenzung, nach der personenbezogene Daten in einer Form zu speichern sind, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke der Verarbeitung erforderlich ist (Datenschutz-Grundverordnung). Wer umgekehrt die kürzeste Frist ansetzt, verliert Unterlagen, die eine Prüfung noch sehen möchte. Die Ablage braucht deshalb Fächer, und jedes Fach trägt seine eigene Frist - technisch dasselbe Vorgehen wie bei jedem anderen fristgebundenen Bestand (siehe Aufbewahrungsfristen digital einhalten).

Ein Fach verdient besondere Aufmerksamkeit, weil es meist außerhalb der Personalakte entsteht und trotzdem zu ihr gehört: die Arbeitszeitaufzeichnung. Sie fällt täglich an, sie ist mindestens zwei Jahre aufzubewahren, wo die Aufzeichnungspflicht des Mindestlohngesetzes greift, und sie gehört zu den wenigen Personaldaten, die laufend maschinell erzeugt werden. Wo die Zeiterfassung ein eigenes System hat, endet die Personalakte an dessen Grenze - die Frist gilt trotzdem, und die Frage nach dem Zugriff stellt sich dort ein zweites Mal (siehe Digitale Zeiterfassung 2026: Pflicht sauber umsetzen).

Ein Protokoll beantwortet zwei verschiedene Fragen, und sie werden gern vermischt. Die erste ist die Frage der Rechenschaft: Kann der Betrieb zeigen, dass er geeignete technische und organisatorische Maßnahmen getroffen hat, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Datenschutz-Grundverordnung)? Dafür genügt, dass Zugriffe erfasst werden und auswertbar sind. Die zweite ist die Frage der Aufklärung: Wer hat am 14. März die Abmahnung geöffnet? Dafür braucht es Einzeldatensätze - und genau die machen das Protokoll selbst zu einem Bestand mit Beschäftigtenbezug.

Ein brauchbarer Protokolleintrag enthält vier Angaben und nicht mehr: das Konto, den Zeitpunkt, das betroffene Dokument oder Fach und die Art des Zugriffs - lesen, ändern, exportieren, löschen. Nicht protokolliert werden Lesedauer, Scrollverhalten oder Bildschirmzeit; solche Daten beantworten keine der beiden Fragen und verschieben das Protokoll in Richtung Verhaltenskontrolle. Der Export verdient eine eigene Zeile, weil er der Punkt ist, an dem Daten die Anwendung verlassen und in eine Ablage geraten, für die die Matrix nicht mehr gilt.

Das Protokoll selbst braucht einen Zweck, eine Frist und einen engen Kreis. Üblich ist eine Aufbewahrung von wenigen Monaten für die Störungsanalyse und eine längere nur dort, wo ein konkreter Anlass besteht und festgehalten ist. Wer das Protokoll unbefristet vorhält, hat die Speicherbegrenzung an genau der Stelle verfehlt, an der er sie durchsetzen wollte - es ist dieselbe Systematik wie bei jeder anderen Verarbeitung (siehe DSGVO bei der Prozessdigitalisierung).

Wer das Protokoll auswerten darf und aus welchem Anlass, ist keine technische Frage, sondern eine Vereinbarung. Praktikabel ist ein Vieraugenprinzip: Die Auswertung beantragt die Personalleitung, freigegeben wird sie zusammen mit der Interessenvertretung, das Ergebnis wird festgehalten. Damit bekommt der Vorgang dieselbe Form wie jede andere Freigabe im Betrieb - mit Antragsteller, Frist, Vertretung und Nachweis (siehe Freigaben digital abbilden).

Ein Teil der Unterlagen, die in einer Personalabteilung anfallen, unterliegt einem strengeren Maßstab. Die Verarbeitung personenbezogener Daten, aus denen unter anderem religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von Gesundheitsdaten ist untersagt (Datenschutz-Grundverordnung), soweit keine Ausnahme greift. Für das Beschäftigungsverhältnis benennt das Bundesdatenschutzgesetz eine solche Ausnahme: Die Verarbeitung besonderer Kategorien ist zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person am Ausschluss der Verarbeitung überwiegt (Bundesdatenschutzgesetz).

Für die Ablage folgt daraus keine Verbotsliste, sondern eine Trennung. Unterlagen des betrieblichen Eingliederungsmanagements, Angaben zu einer Schwerbehinderung, arbeitsmedizinische Bescheinigungen und Vergleichbares liegen in einem eigenen Fach mit einem namentlich benannten Kreis - typischerweise die Personalleitung und eine benannte Vertretung, nicht die gesamte Sachbearbeitung. Technisch ist das kein Sonderfall, sondern dieselbe Matrix wie oben, nur mit einer Zeile, in der fast überall ein Strich steht. Organisatorisch ist es der Punkt, an dem sich zeigt, ob die Matrix gelebt wird oder nur beschrieben ist.

Das Bewerbungsfach ist der Sonderfall mit der kürzesten Frist. Ein Anspruch nach dem Allgemeinen Gleichbehandlungsgesetz muss innerhalb einer Frist von zwei Monaten schriftlich geltend gemacht werden, und diese Frist beginnt im Falle einer Bewerbung mit dem Zugang der Ablehnung (Allgemeines Gleichbehandlungsgesetz). Daraus folgt kein automatischer Löschtermin, wohl aber ein Anhaltspunkt: Nach Ablauf der Frist und einer angemessenen Zeit für weitere Schritte entfällt der Zweck, für den die Unterlagen vorgehalten wurden. Wer eine Bewerbung übernimmt, verschiebt die Unterlagen in das Vertragsfach - und dort beginnt die nächste Kette, vom unterzeichneten Vertrag bis zum Nachweis der wesentlichen Vertragsbedingungen, der in Textform abgefasst und elektronisch übermittelt werden kann, wenn das Dokument zugänglich, speicherbar und ausdruckbar ist und der Arbeitgeber einen Empfangsnachweis anfordert (Nachweisgesetz); zur Formfrage siehe Elektronische Signatur: welche Form wann gilt.

Die Umstellung scheitert selten am Scannen. Sie scheitert daran, dass ein Papierordner keine Fächer kennt und die Struktur beim Digitalisieren zum ersten Mal entschieden werden muss - für jeden Vorgang, der bereits abgelegt ist. Wer diese Entscheidung während des Scannens trifft, trifft sie unter Zeitdruck und für jedes Blatt neu. Die folgende Reihenfolge trennt die Entscheidungen von der Massenarbeit:

Der Zeitbedarf verteilt sich anders, als es die Erwartung nahelegt. Die Massenarbeit - Sichten, Scannen, Zuordnen - ist planbar und lässt sich mit zusätzlicher Hand beschleunigen. Die Entscheidungen aus den Schritten 1, 4 und 5 lassen sich nicht beschleunigen, weil an ihnen mehrere Beteiligte hängen und jede Abstimmung ihre eigene Taktung hat. Wer den Umstellungstermin an der Scanleistung ausrichtet, verschiebt ihn erfahrungsgemäß zweimal; wer ihn am Abschluss der Betriebsvereinbarung ausrichtet, trifft ihn.