Beschäftigtendatenschutz / 3 Laufendes Beschäftigungsverhältnis

3.1 Personalakte

Unterlagen zum Beschäftigungsverhältnis werden in einer Papierakte oder in elektronischer Form gespeichert. Form und Inhalt der Personalakte sind gesetzlich nicht geregelt. Nach einem Urteil des BAG ist eine Personalakte die "Sammlung von Urkunden und Vorgängen, die die persönlichen und dienstlichen Verhältnisse des Mitarbeiters betreffen und in einem engen Zusammenhang mit seinem Dienstverhältnis stehen".^[1]

Inhalte

Zur Personalakte gehören neben den Angaben zu den Stammdaten des Arbeitnehmers (Bankverbindung, Krankenkasse, Adresse etc.) typischerweise auch Bewerbungsunterlagen, Personalfragebogen, ärztliche Beurteilungen, Arbeitsverträge, Zeugnisse sowie Informationen bezüglich Berufsausbildung, Weiterbildungsmaßnahmen, beruflicher Entwicklung, Abmahnungen, Rügen, Nebentätigkeitsgenehmigungen, Lohnabtretungen, Gehaltspfändungen und sonstiger Schriftwechsel, soweit sie sich auf das Arbeitsverhältnis beziehen.

Aufbewahrung

Personalakten sind wegen ihres sensiblen Inhalts und der strikten Zweckbindung bei der Verarbeitung personenbezogener Daten sicher aufzubewahren, vertraulich zu behandeln und vor unbefugter Einsichtnahme zu schützen. Zugang zu diesen Unterlagen dürfen nur Beschäftigte haben, die im Rahmen ihrer Tätigkeit mit Personalangelegenheiten betraut sind.

Die Aufbewahrung der Personalakten hat dementsprechend in einem abschließbaren Schrank zu erfolgen und der Zugriff auf diesen Schrank ist zu begrenzen. Ebenso verhält es sich mit den Zugriffsmöglichkeiten auf elektronisch geführte Personalakten.

Aufbewahrungsfrist für Abmahnungen

Ein Bestandteil der Personalakte können arbeitsrechtliche Abmahnungen sein. Es besteht keine gesetzlich definierte Frist, wann eine Abmahnung aus der Personalakte zu entfernen ist. Nach einer Entscheidung des BAG^[2] kann "der Arbeitnehmer die Entfernung einer zu Recht erteilten Abmahnung aus seiner Personalakte nur dann verlangen, wenn sie für die Durchführung des Arbeitsverhältnisses unter keinem rechtlichen Aspekt mehr eine Rolle spielen kann. Das durch die Abmahnung gerügte Verhalten muss für das Arbeitsverhältnis in jeder Hinsicht rechtlich bedeutungslos geworden sein".

Die zulässige Aufbewahrungsdauer lässt sich somit nur für den Einzelfall unter Berücksichtigung der rechtlichen Relevanz des Abmahnungsgrundes bestimmen.

[1] BAG, Urteil v. 19.7.2012, 2 AZR 782/11.

[2] BAG, Urteil v. 19.7.2012, 2 AZR 782/11.

3.2 Arbeitsunfähigkeitsbescheinigungen

Bis zum 30.6.2022 hatten Arbeitnehmer im Krankheitsfall spätestens nach dem 3. Tag ihrer Arbeitsunfähigkeit diese gegenüber dem Arbeitgeber durch eine Arbeitsunfähigkeitsbescheinigung des behandelnden Arztes (in Papierform) nachzuweisen (§ 5 EntgFG). Die Arbeitsunfähigkeitsbescheinigungen (AU) wurden Bestandteil der Personalakte. Auch wenn in der AU der Krankheitsgrund nicht explizit angegeben wurde, konnte aus der Namensangabe des behandelnden Facharztes auf die Art der Erkrankung geschlossen werden. Damit enthielt die AU Gesundheitsdaten, die als "besondere Kategorien personenbezogener Daten" (Art. 9 DSGVO) einen höheren Schutz erforderten.

Seit dem 1.7.2022 wird die AU in einem digitalen Übermittlungsverfahren von den Krankenkassen an den Arbeitgeber übermittelt. Der Arbeitnehmer hat dem Arbeitgeber keinen Papierausdruck der AU mehr vorzulegen. Zwar erhält der Arbeitnehmer von seinem behandelnden Arzt weiterhin ein Exemplar der AU in Papierform für seine persönlichen Unterlagen, dieses ist aber nicht dem Arbeitgeber vorzulegen.

Der Arbeitgeber erhält nach § 109 SGB IV von der Krankenkasse eine Meldung zum Abruf der AU. Die elektronische AU enthält folgende Daten:

• den Namen des Beschäftigten,
• den Beginn und das Ende der Arbeitsunfähigkeit,
• das Datum der ärztlichen Feststellung der Arbeitsunfähigkeit,
• die Kennzeichnung als Erst- oder Folgemeldung.

Der behandelnde Arzt wird dem Arbeitgeber nicht mehr mitgeteilt. Von den Aufsichtsbehörden gibt es noch keine Stellungnahme dazu, ob die elektronische AU – allein weil sich daraus der Beginn und das Ende der Arbeitsunfähigkeit ergeben – weiterhin zu den "besonderen Kategorien personenbezogener Daten" zählt.

3.3 Arbeitszeiterfassung

Auch die erfassten Arbeitszeiten sind personenbezogen Daten. Gerade mit An- und Abwesenheitszeiten lassen sich umfangreiche Profile über das Verhalten des Mitarbeiters bilden.

Aufgrund der Bedeutung dieser Datenkategorie ist ein Berechtigungskonzept zu etablieren, das nur einem engen Kreis von Mitarbeitern den Zugriff auf die Daten erlaubt.

3.4 Lohn- und Gehaltsabrechnung

Häufig ist die Erstellung der Lohn- und Gehaltsabrechnung an ein Steuerbüro oder einen spezialisierten Dienstleister ausgelagert.

Steuerberater, auch wenn sie mit der Lohn- und Gehaltsabrechnung beauftragt sind, sind keine Auftragsverarbeiter, da nach § 11 Abs. 2 StBerG auch die Verarbeitung personenbezogener Daten durch Steuerberater und Steuerberatungsgesellschaften unter Beachtung der für sie geltenden Berufspflichten weisungsfrei erfolgt. Somit ist die Lohn- und Gehaltsabrechnung durch Steuerberater keine Auftragsverarbeitung. Erfolgt die Abrechnung durch andere Dienstleister, liegt eine Auftrag...