Aufbewahrung und Vernichtung (elektronischer) Personalakten

Einführung

Das Führen von Personalakten spielt in der arbeitsrechtlichen Praxis eine bedeutende Rolle. Ohne Personalakte lässt sich ein Arbeitsverhältnis nicht rechtssicher und effektiv gestalten. Die Personalakten enthalten alle wichtigen personenbezogenen Daten und Dokumente, wie z.B. Arbeitsverträge, Zeugnisse, Gehaltsabrechnungen, Abmahnungen, Leistungsbeurteilungen. Daher ist ein sorgsamer Umgang mit diesen Daten und Dokumenten zwingend geboten. Bei der Beendigung eines Arbeitsverhältnisses muss zudem entschieden werden, wie lange die Personalakten und die dort enthaltenen Daten und Dokumente aufbewahrt und wann sie vernichtet bzw. gelöscht werden müssen. Dieser Beitrag soll deshalb einen Überblick über das Aufbewahren und Vernichten (elektronischer) Personalakten insbesondere mit Blick auf Art. 17 DSGVO geben.

Zunächst ist festzuhalten, dass eine allgemein gültige, einheitliche Vernichtungs- bzw. Löschfrist für die gesamte Personalakte bzw. für alle in ihr enthaltenen Daten und Dokumente nicht existiert. Der Arbeitgeber kann sich nicht auf eine einzelne gesetzlich normierte Frist für die Vernichtung bzw. Löschung von Personalakten berufen.

Art. 17 Abs. 1 DSGVO

Art. 17 DSGVO normiert das Recht auf Löschung personenbezogener Daten („Recht auf Vergessenwerden“). Die Norm verfolgt das Ziel, einer Person die Kontrolle über ihre personenbezogenen Daten, auf die ein Dritter Zugriff hat, zu ermöglichen und den Zugriff entsprechend zu beschränken. Die Norm stellt damit eine konkrete Ausgestaltung des datenschutzrechtlichen Gebots der Datenminimierung dar.

Nach Art. 17 Abs. 1 DSGVO hat die betroffene Person in den dort definierten Fällen das Recht, eine unverzügliche Löschung der sie betreffenden personenbezogenen Daten zu verlangen. Darüber hinaus wird eine (antragsunabhängige) Verpflichtung des für die Datenverarbeitung Verantwortlichen begründet, personenbezogene Daten regelmäßig von sich aus zu löschen. Art. 17 Abs. 1 DSGVO normiert dabei in lit. a)–f) sechs Löschungsgründe.

Im Hinblick auf das Vernichten von Personalakten ist insbesondere der Löschungsgrund in Art. 17 Abs. 1 lit. a) DSGVO bedeutend, wonach personenbezogene Daten unverzüglich zu löschen sind, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Ob ein Zweckfortfall und damit ein Löschanspruch besteht, ist für den jeweiligen Einzelfall zu prüfen. Endet ein Arbeitsverhältnis und scheidet ein Beschäftigter aus einem Unternehmen aus, entfällt grundsätzlich der Zweck, die Daten zur Durchführung des Arbeitsverhältnisses zu verarbeiten, sodass der Arbeitgeber verpflichtet sein könnte, die Daten und Dokumente, die den Beschäftigten betreffen, unmittelbar nach dessen Ausscheiden vernichten und löschen zu müssen.

Ausnahmen in Art. 17 Abs. 3 DSGVO

Art. 17 Abs. 1 lit. a) DSGVO gilt jedoch nicht ausnahmslos. Vielmehr normiert Art. 17 Abs. 3 DSGVO in lit. a)–e) fünf Ausnahmen von dem Löschungsanspruch und der mit diesem Anspruch korrespondierenden Löschungspflicht.

1. Ausnahme in Art. 17 Abs. 3 lit. b) DSGVO

Bedeutend ist zum einen die Ausnahme des Art. 17 Abs. 3 lit. b) DSGVO. Danach gilt Art. 17 Abs. 1 DSGVO insbesondere dann nicht, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

Diesem Ausnahmetatbestand unterfallen insbesondere die in verschiedenen Gesetzen für verschiedenste Arten von Dokumenten geregelten Aufbewahrungsfristen und -pflichten. Der Arbeitgeber darf die Daten bzw. Dokumente gerade nicht direkt mit Ausscheiden des Beschäftigten vernichten bzw. löschen, sondern muss sie je nach Länge der jeweils einschlägigen Aufbewahrungsfrist bzw. -pflicht ggf. jahrelang aufbewahren. Beispielhaft sind folgende (arbeitsrechtliche) Aufbewahrungsfristen zu nennen:

• Für Aufzeichnungen über die werktägliche Arbeitszeit von mehr als acht Stunden beträgt die Aufbewahrungsfrist zwei Jahre (§ 16 Abs. 2 ArbZG).

• Für Angaben über Arbeitsentgelt und geleistete Arbeitszeit beträgt die Aufbewahrungsfrist fünf Jahre (§ 165 Abs. 1 S. 1, Abs. 4 S. 2 SGB VII).

• Unterlagen zur betrieblichen Altersversorgung sollten 30 Jahre aufbewahrt werden (§ 18a BetrAVG) .

• Für Lohnkonten beträgt die Aufbewahrungsfrist sechs Jahre (§ 41 Abs. 1 S. 9 EStG).

• Eine Staffelung weiterer Aufbewahrungsfristen von sechs, acht und zehn Jahren findet sich in §§ 147 AO, 257 HGB.

2. Ausnahme in Art. 17 Abs. 3 lit. e) DSGVO

Eine weitere wichtige Ausnahme vom Grundsatz des Art. 17 Abs. 1 lit. a) DSGVO enthält Art. 17 Abs. 3 lit. e) DSGVO. Danach gilt Art. 17 Abs. 1 DSGVO nicht, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Um sich gegen etwaige Rechtsansprüche verteidigen zu können, ist es daher denkbar, gem. Art. 17 Abs. 3 lit. e) DSGVO auf die regelmäßige Verjährungsfrist nach §§ 195, 199 BGB abzustellen. Daraus folgend wäre dem Arbeitgeber zu raten, unabhängig von den speziellen Aufbewahrungsfristen bzw. -pflichten, die Unterlagen in der Personalakte, auf deren Grundlage arbeitsrechtliche Ansprüche gestützt werden können, generell für die Dauer von drei Jahren nach Ablauf des Jahres, in dem das Arbeitsverhältnis sein Ende gefunden hat, aufzubewahren, um möglichen Ansprüchen der Beschäftigten nicht verteidigungslos gegenüberzustehen. Dieser Gedanke ist jedoch rechtlich umstritten. In Teilen der Literatur wird die lediglich abstrakte Möglichkeit eventueller Ansprüche oder Klagen für eine Berufung auf Art. 17 Abs. 3 lit. e) DSGVO für nicht für ausreichend gehalten (Herbst in Kühling/Buchner DS-GVO Art. 17 Rn 83, davon ausgehend, der Rechtsstreit müsse mit hinreichender Wahrscheinlichkeit bevorstehen oder schon stattfinden; für eine Interessenabwägung nach Art. 6 Abs. 1 lit. f) Dix in NK-DatenschutzR DS-GVO Art. 17 Rn 49; Worms in BeckOK DatenschutzR DS-GVO Art. 17 Rn 87).

Das Abstellen auf eine Interessenabwägung ist jedoch aus zwei Gesichtspunkten heraus in der betrieblichen Praxis nicht umsetzbar. Zum einen müssten Arbeitgeber jedes in der Personalakte befindliche Dokument einzeln prüfen und einzeln eine Abwägung vornehmen. Dies ist für Arbeitgeber mit einem kaum zu rechtfertigenden bürokratischen Aufwand verbunden. Zum anderen ist es Arbeitgebern auch im Rahmen der Abwägung nicht möglich, rechtssicher zu bewerten, wie wahrscheinlich die Geltendmachung eines Anspruchs sein wird. Daher ist Arbeitgebern zuzugestehen, die Unterlagen in Personalakten bis zum Ablauf der regelmäßigen Verjährungsfrist nach §§ 195, 199 BGB aufzubewahren, um sich gegen mögliche Rechtsansprüche verteidigen zu können.

Erfasst Art. 17 DSGVO nur digitale Personalakten oder auch Papierakten?

Von der Rechtsprechung der Landesarbeitsgerichte wird die Frage, ob die DSGVO und damit die Grundsätze des Art. 17 DSGVO auch auf Personalakten in Papierform Anwendung finden oder lediglich digitale Akten erfassen, unterschiedlich beantwortet.

Das LAG Niedersachsen hat in seiner Entscheidung vom 4.5.2021 – 11 Sa 1180/20 – ausgeführt, dass für den Anwendungsbereich der noch traditionell in Papierform geführten Personalakten erhebliche Zweifel bestehen, ob oder wieweit diese vom Regelungsbereich der DSGVO und des BDSG erfasst werden. Das LAG Sachsen hat in seiner Entscheidung vom 31.3.2023 – 4 Sa 117/21 – ausgeführt, dass der Löschungsanspruch aus Art. 17 DSGVO auf in Papierform geführte Personalakten nicht anwendbar ist. Das LAG Sachsen-Anhalt bejahte in seiner Entscheidung vom 23.11.2018 – 5 Sa 7/17 – dagegen den Anwendungsbereich der DSGVO und des BDSG auch für in Papierform geführte Personalakten. Ebenso entschied das LAG Baden-Württemberg in seinem Urt. v. 28.7.2023 – 9 Sa 73/21, indem es dem Argument der Beklagten, dass die DSGVO keine Anwendung fände, nicht folgte.

Solange die Frage der Anwendbarkeit der DSGVO auch auf Papierakten nicht höchstrichterlich vom BAG entschieden wurde, sollten Arbeitgeber daher die Grundsätze des Art. 17 DSGVO auch bei Personalakten in Papierform beherzigen.

Fazit

Die Frage der Vernichtung und Löschung von Personalakten nach dem Ausscheiden von Beschäftigten vor dem Hintergrund des Art. 17 DSGVO ist nicht einfach zu beantworten. Für Arbeitgeber ist es deshalb unumgänglich, sowohl für elektronische als auch für traditionelle Personalakten in Papierform Löschkonzepte zu entwickeln, um einerseits die gesetzlichen Aufbewahrungsfristen und -pflichten einzuhalten und andererseits dem Schutz der Daten der Beschäftigten Genüge zu tun.