Redaktioneller Stand: 08.10.2026 · Deutschland
Verantwortung nach Aufgaben statt nach Software verteilen
Bestimmen Sie, wer Dokumente aufnimmt, Inhalte kontrolliert, Zugriffe freigibt und über Berichtigung oder Löschung entscheidet. Die Personalabteilung kann fachliche Abläufe steuern, während IT die technische Umsetzung betreut; rechtliche Verantwortung muss trotzdem eindeutig zugeordnet sein. Ein Dienstleister oder eine Softwarebeschreibung ersetzt keine betriebliche Entscheidung über Zwecke und Berechtigungen. Dokumentieren Sie Vertretungen und Eskalationswege für Zweifelsfälle. Entscheidend ist, dass eine konkrete Anfrage nicht zwischen Abteilungen liegen bleibt und jeder Beteiligte seinen zulässigen Handlungsspielraum versteht, bevor eine Akte angelegt oder erweitert wird.
Inhalte auf ihren tatsächlichen Zweck prüfen
Ordnen Sie Dokumentarten ihren Aufgaben zu, etwa Vertragsdurchführung, Entgeltabrechnung oder Nachweis bestimmter Pflichten. § 26 BDSG enthält Regeln für Beschäftigtendaten; die anwendbare Rechtsgrundlage muss zusammen mit der Datenschutz-Grundverordnung beurteilt werden. Nicht jede interessante Information gehört in eine dauerhafte Personalakte. Prüfen Sie insbesondere private Nachrichten, subjektive Notizen und Unterlagen ohne aktuellen Arbeitsbezug. Die Entscheidung soll Zweck, Erforderlichkeit und vorgesehene Empfänger erkennen lassen. Eine pauschale Einwilligung aller Beschäftigten schafft keine automatische Freigabe beliebiger Datenverarbeitung; auch ihre Freiwilligkeit im Arbeitsverhältnis ist zu beachten.
Berechtigungen und sensible Bereiche nachvollziehbar begrenzen
Erstellen Sie eine Zugriffsmatrix für Personalverwaltung, Vorgesetzte und technische Administration. Ein Teamleiter benötigt möglicherweise bestimmte Vertragsinformationen, aber nicht sämtliche Gesundheitsunterlagen. Trennen Sie besonders sensible Inhalte organisatorisch und technisch passend vom allgemeinen Zugriff. Die Maßnahmen müssen nach Artikel 32 DSGVO zum konkreten Risiko passen. Prüfen Sie Zugangsschutz, Protokollierung und regelmäßige Kontrolle der eingerichteten Rechte. Eine frühere Zuständigkeit sollte nach einem Rollenwechsel nicht unbegrenzt weitergelten. Die technische Einrichtung wird anhand nachvollziehbarer betrieblicher Aufgaben überprüft, statt aus Bequemlichkeit sämtlichen Führungskräften denselben Vollzugriff einzuräumen.
Beschäftigtenrechte und betriebliche Beteiligung einplanen
Legen Sie fest, wie Einsicht, Auskunft und Berichtigungsfragen bearbeitet werden und welche Stelle Beschäftigte ansprechen können. § 83 BetrVG regelt die Einsicht in die eigene Personalakte sowie das Beifügen eigener Erklärungen. Weitere datenschutzrechtliche Rechte sind gesondert einzuordnen. Besteht ein Betriebsrat, müssen mögliche Beteiligungsrechte bei Einführung und Nutzung des Systems geprüft werden; technische Funktionen zur Verhaltens- oder Leistungsüberwachung können insbesondere § 87 BetrVG berühren. Ein Softwarekauf ist deshalb nicht gleichbedeutend mit einer vollständig abgeschlossenen arbeitsrechtlichen Einführung. Klären Sie die benötigte Beteiligung vor dem produktiven Einsatz.
Beispiel: Abteilungswechsel und verbliebene Zugriffe
Eine Führungskraft wechselt die Abteilung, kann aber weiterhin auf sämtliche Personalakten ihres früheren Teams zugreifen. Bei der nächsten Berechtigungsprüfung wird die fehlende Anpassung erkannt. Der Betrieb klärt benötigte neue Rechte, entzieht alte Zugänge und dokumentiert die Änderung. Außerdem wird geprüft, ob unzulässige Einsicht erfolgt sein könnte und welche weiteren Schritte erforderlich sind. Der Fall zeigt eine organisatorische Lücke, die selbst eine technisch funktionierende Software nicht verhindert. Ein geregelter Wechselprozess mit zuständiger Freigabe kann solche Konstellationen künftig früher sichtbar machen und ihre Bearbeitung nachvollziehbar halten.
Aufbewahrung und laufende Kontrolle dokumentieren
Entwickeln Sie eine Übersicht nach Dokumentarten mit Zweck, einschlägigen Aufbewahrungspflichten und späterer Löschprüfung. Es gibt keine einheitliche Frist, die ungeprüft jede Personalunterlage erfasst. Gesetzliche Nachweispflichten und konkrete offene Ansprüche können unterschiedliche Entscheidungen erfordern. Die Grundsätze der DSGVO verlangen unter anderem Datenminimierung und Speicherbegrenzung. Prüfen Sie außerdem, ob Archive, Kopien und Sicherungen in das Konzept einbezogen sind. Für eine fachliche Prüfung helfen Rollenmodell, Musterakte und Systembeschreibung ohne unnötige echte Beschäftigtendaten. Regelmäßige Kontrollen sollten festgelegte Zuständigkeiten und tatsächliche Umsetzung miteinander abgleichen, statt lediglich ein früheres Einführungskonzept abzulegen.
Checkliste für Ihre Vorbereitung
- Systembeschreibung mit Datenarten, Zwecken und Dienstleisterrollen
- Zugriffsmatrix, Freigabeprozess und Vertretungsregelungen
- Aufbewahrungs- und Löschübersicht nach Dokumentarten
- Beschäftigteninformationen, Anfragenprozess und vorhandene Betriebsvereinbarungen
Ordnen Sie Dokumente nach Datum. Unklare Angaben werden als offen markiert; Originale und vollständige Anlagen helfen bei der konkreten Prüfung.
Häufige Fragen
Dürfen alle Führungskräfte die vollständige Akte sehen?
Zugriffe müssen zur jeweiligen Aufgabe und rechtlichen Grundlage passen; ein pauschaler Vollzugriff ist gesondert zu prüfen.
Genügt die Einwilligung der Beschäftigten für alle Inhalte?
Nein. Zweck, Erforderlichkeit, Freiwilligkeit und besonders sensible Daten verlangen eine konkrete Bewertung.
Gilt für sämtliche Dokumente dieselbe Löschfrist?
Die Dokumentarten und einschlägigen Pflichten müssen unterschieden werden; offene Ansprüche können zusätzlich relevant sein.
Fachliche Einordnung
Grundlagen: § 26 BDSG; Art. 5, 32 DSGVO; § 83 BetrVG; § 87 BetrVG. Die allgemeinen Informationen ersetzen keine Prüfung Ihrer Unterlagen. Zuständigkeit und erforderliche Fristen werden im konkreten Auftrag geklärt.