Personalakte und die DSGVO: Was darf ein Arbeitgeber aufbewahren?

Als Arbeitgeber dürfen Sie in der Personalakte nur die Daten speichern, die für das Arbeitsverhältnis und Ihre gesetzlichen Pflichten erforderlich sind. Gesundheitsdaten bilden die wichtigste Ausnahme: Sie dürfen zwar die Abwesenheit eines Mitarbeiters und seine verbleibenden Fähigkeiten dokumentieren, jedoch niemals die Diagnose oder die Art der Erkrankung. Diese beiden Regeln legen zusammen mit festgelegten Aufbewahrungsfristen fest, welche Daten in die Akte aufgenommen werden, welche nicht und wie lange sie dort aufbewahrt werden dürfen.

Was sollte man in der Personalakte aufbewahren?

Sie dürfen Daten speichern, die zur Erfüllung des Arbeitsvertrags und Ihrer gesetzlichen Verpflichtungen erforderlich sind. Die DSGVO (niederländisch: AVG) schreibt vor, dass personenbezogene Daten nicht länger oder in größerem Umfang gespeichert werden dürfen, als es der jeweilige Zweck erfordert.

In der Praxis umfasst das Folgendes:

• Name, Adresse und Geburtsdatum;
• die Bürgerservicenummer (BSN);
• eine Kopie des Ausweisdokuments, das Sie zu Beginn Ihrer Beschäftigung vorgelegt haben;
• der Arbeitsvertrag und etwaige Änderungen;
• Gehalts- und Lohnabrechnungsdaten;
• Leistungsbeurteilungen und Korrespondenz;
• Schulungsnachweise und Abwesenheitsdaten;
• Aufzeichnungen über Verwarnungen oder Disziplinarmaßnahmen.

Die Bürgerservicenummer und die Kopie des Ausweisdokuments befinden sich in der Akte, da dies steuer- und sozialversicherungsrechtlich vorgeschrieben ist. Dieselbe gesetzliche Verpflichtung gewährleistet auch die Rechtmäßigkeit ihrer Aufbewahrung. Sie dürfen eine Kopie eines Ausweisdokuments zu keinem anderen Zweck anfordern.

Welche Daten würden Sie möglicherweise nicht speichern?

Es ist Ihnen untersagt, Art und Ursache einer Erkrankung, die Diagnose, die Behandlung oder die Medikamente aufzuzeichnen. Dies gilt auch dann, wenn der/die Mitarbeiter/in Ihnen dies freiwillig mitteilt und selbst wenn er/sie seine/ihre Einwilligung dazu gegeben hat.

Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, AP) legt in ihren Richtlinien für kranke Mitarbeiter fest, welche Daten bei einer Krankmeldung erfasst werden dürfen. Kurz gesagt: Telefonnummer und Adresse des Aufenthaltsortes, voraussichtliche Dauer der Abwesenheit, aktuelle Termine und Tätigkeiten, ob eine gesetzliche Regelung greift, ob die Abwesenheit auf einen Arbeitsunfall zurückzuführen ist und ob ein Verkehrsunfall mit Beteiligung Dritter vorliegt.

Vom Betriebsarzt oder dem betriebsärztlichen Dienst erhalten Sie außerdem Informationen darüber, welche Tätigkeiten der/die Mitarbeiter/in ausüben kann und welche nicht, die voraussichtliche Dauer der Abwesenheit, den Grad der Arbeitsunfähigkeit und etwaige empfohlene Anpassungen. Diese Informationen können Sie dokumentieren. Die Krankenakte selbst verbleibt beim Betriebsarzt. Sie haben keinen Zugriff darauf.

Andere Daten, die nicht in die Datei gehören:

• Besondere Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO, wie Religion, politische Meinung, Gewerkschaftszugehörigkeit, ethnische Herkunft und sexuelle Orientierung, es sei denn, es liegt eine spezifische gesetzliche Ausnahme vor;
• Notizen über das Privatleben des Mitarbeiters, die keinen Bezug zur Arbeit haben;
• Unstrukturierte, persönliche Eindrücke, die von Vorgesetzten schriftlich festgehalten werden. Mitarbeiter können diese einsehen, und sie werden in einem Konfliktfall oft ganz anders interpretiert als zum Zeitpunkt der Niederschrift.

Wie lange dürfen Personaldaten aufbewahrt werden?

Die DSGVO sieht keine festen Aufbewahrungsfristen vor: Daten dürfen nicht länger als nötig aufbewahrt werden (Art. 5 Abs. 1 Buchst. e DSGVO). Die AP verwendet die folgenden, ab Beendigung des Arbeitsverhältnisses gerechneten Zeiträume.

Daten von Bewerbern, die Sie nicht einstellen, werden normalerweise innerhalb von vier Wochen nach Abschluss des Bewerbungsverfahrens gelöscht. Mit der Einwilligung des Bewerbers können Sie diese Daten bis zu einem Jahr aufbewahren.

Ein Aufbewahrungsplan, der diese Fristen pro Kategorie festlegt und den Sie auch tatsächlich anwenden, macht die Einhaltung von einer Absicht zu einem Beweis.

Welche Rechte hat der Arbeitnehmer?

Employees may see their file, have inaccurate data corrected and, in defined circumstances, have data erased. You must answer it without undue delay and at the latest within one month (Article 12(3) GDPR).

Access requests often arrive at the start of an employment dispute. The employee then sees everything in the file within that one-month period, including notes by managers.

Was sollten Sie als Arbeitgeber überprüfen?

Work with a fixed structure and record your choices in the register required by Article 30 GDPR.

• Führen Sie für jeden Mitarbeiter eine separate Akte mit klar definierter Struktur, damit deren Inhalt eindeutig erkennbar ist.
• Den Zugriff auf diejenigen Personen beschränken, die ihn benötigen, und protokollieren, wer Zugriff hat.
• Krankheitsinformationen sind dem Betriebsarzt zu übergeben und dürfen nicht in die Personalakte aufgenommen werden.
• Die Aufbewahrungsfristen sollten jährlich zu einem festen Stichtag angewendet werden, anstatt von Fall zu Fall.
• Halten Sie all dies in Ihrem Verzeichnis der Verarbeitungstätigkeiten fest (Artikel 30 DSGVO). Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten greift hier selten, da personenbezogene Daten regelmäßig verarbeitet werden. Das Verzeichnis ist oft das erste Dokument, das eine Aufsichtsbehörde anfordert.

Was sollten Sie als Mitarbeiter überprüfen?

• Have you asked for access to your file (Article 15 GDPR), and did you receive it within one month?
• Does the file contain a diagnosis or other medical details that belong with the company doctor?
• Are there inaccurate appraisals or notes you can ask to have corrected under Article 16 GDPR?
• Is your former employer keeping data longer than the periods in the table above?

What can we do for you with the personnel file?

Unsere Arbeitsrechtsanwälte advise employers and employees on personnel files:

• We review your personnel files and sickness records against the GDPR and the AP policy rules.
• We draw up a retention schedule and the entries for your Article 30 register.
• We prepare the answer to an access request within the one-month deadline.
• We request access, correction or erasure on behalf of an employee.
• We advise on the use of the personnel file in a dismissal or other employment dispute.

Zusammenfassung

• Speichern Sie nur die Daten, die Sie für den Arbeitsvertrag und Ihre gesetzlichen Verpflichtungen benötigen.
• Eine Diagnose oder die Art einer Erkrankung darf niemals aufgezeichnet werden, auch nicht mit Zustimmung des Mitarbeiters; funktionelle Einschränkungen, die vom Betriebsarzt festgestellt werden, dürfen jedoch aufgezeichnet werden.
• Most personnel data go 2 years after employment ends; the wage tax statement and the identity document copy 5 years after the calendar year of leaving; certain payroll data after 7 years.
• Beantworten Sie eine Zugriffsanfrage innerhalb eines Monats.
• Legen Sie für jede Kategorie einen Aufbewahrungsplan fest und wenden Sie diesen jedes Jahr an.

Häufig gestellte Fragen