Personalakten / 7 Datenschutz

Nach § 26 BDSG ist der Arbeitgeber berechtigt, personenbezogene Daten des einzelnen Beschäftigten nur zu bestimmten Zwecken zu erheben, zu verarbeiten oder zu nutzen. Allerdings ist die Norm nach der neuesten Rechtsprechung des EuGH^[1] nicht mehr anwendbar, weil sie gegenüber der DSGVO keinen weitergehenden, eigenständigen Regelungsgehalt besitzt. Somit muss auch für die datenschutzrechtliche Beurteilung von Personalakten auf die allgemeinen Regelungen der DSGVO als alleinige Rechtsgrundlage zurückgegriffen werden. Eine gravierende materielle Änderung dürfte damit voraussichtlich nicht verbunden sein (vgl. dazu StW "Datenschutz im Arbeitsverhältnis"). Rechtsgrundlage dürfte nunmehr vor allem Art. 6 Abs. 1 DSGVO sein, wonach Datenverarbeitungen zur Erfüllung eines Vertrags^[2], zur Erfüllung rechtlicher Verpflichtungen^[3] oder unter Umständen zur Wahrung berechtigter Interessen – des Arbeitgebers –^[4] zulässig sind. Maßstab für die Zulässigkeit ist die Erforderlichkeit und Verhältnismäßigkeit der Datenverarbeitung. Dies ist bei der Personalakte grundsätzlich zu bejahen. Im Übrigen können die Grundsätze der Rechtsprechung zur Personalaktenführung und -inhalte herangezogen werden (dazu bereits oben Abschn. 3).

Dabei stellt die erstmalige Anlegung einer Personalakte, erst recht ihre kontinuierliche Pflege und damit verbundene Erweiterung, eine Datenverarbeitung nach dem insoweit umfassenden Begriff in Art. 4 DSGVO, § 1 und § 2 BDSG dar. Gem. Art. 13 DSGVO muss der Arbeitgeber zunächst dem betroffenen Arbeitnehmer, wenn die personenbezogenen Daten bei ihm erhoben werden, bestimmte Informationen zukommen lassen:

1. Den Namen und die Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters;
2. ggf. die Kontaktdaten des Datenschutzbeauftragten;
3. die Zwecke, für die die personenbezoge...