Personalakten richtig führen / 2.3.3 Datenminimierung

Nach Art. 5 Abs. 1c DSGVO gilt das Prinzip der Datenminimierung, d. h. personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. In der Zusammenschau mit Art. 25 DSGVO tritt der Grundsatz der Datenminimierung an die Stelle der bisherigen Maxime der Datenvermeidung und Datensparsamkeit.^[1]

Nach Art. 25 Abs. 1 DSGVO muss der Verantwortliche geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung – treffen, um die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen. Weiter muss den Anforderungen der DSGVO Genüge getan und die Rechte der betroffenen Personen geschützt werden.^[2]

Der Arbeitgeber darf also grundsätzlich keine Daten des Arbeitnehmers – oder auch eines Bewerbers – sammeln, die nicht zwingend für die Zwecke der Verarbeitung notwendig sind.

Art. 5 DSGVO statuiert also den Grundsatz der Datenminimierung und Art. 25 DSGVO legt die Umsetzung durch Technikgestaltung und datenschutzfreundliche Voreinstellungen fest.

Zu beachten ist auch die in Art. 5 Abs. 1e DSGVO normierte Speicherbegrenzung. Hiernach müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen nur unter bestimmten Voraussetzungen länger gespeichert werden.^[3]

Fazit zu Art. 5 DSGVO:

Angesichts der Flut von denkbaren und in verschiedener Form anfallender Informationen über einen Bewerber bzw. Mitarbeiter müssen Unternehmen stets kritisch prüfen, welche Daten sie erheben, was sie in die Personalakte aufnehmen wollen bzw. was vernichtet oder gelöscht werden soll.