Datenschutz in der Personalarbeit: Warum Löschkonzepte für Unternehmen unverzichtbar sind

In der zunehmend digitalisierten Arbeitswelt verarbeiten Unternehmen große Mengen sensibler Daten, insbesondere im Personalwesen. Diese Daten unterliegen besonderen Schutzanforderungen, um Missbrauch vorzubeugen. Die Datenschutz-Grundverordnung (DS-GVO) verpflichtet dazu, Daten nur so lange zu speichern, wie es für den jeweiligen Zweck erforderlich ist. Ein strukturiertes Löschkonzept für Personaldokumente ist deshalb ein unverzichtbarer Bestandteil moderner Datenschutzstrategien.

Ein Löschkonzept ist eine Planaufstellung, die den spezifischen Datenkategorien individuelle, auf das verantwortliche Unternehmen zugeschnittene Speicherfristen zuweist und so Transparenz und Rechtssicherheit schafft.

I. Rechtlicher Rahmen

Nach Art. 17 Abs. 1 DS-GVO haben betroffene Personen das Recht, die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen, wenn einer der in der Norm genannten Gründe vorliegt. Besonders relevant ist der Fall, dass der Zweck für die Erhebung oder Verarbeitung der Daten nach Art. 17 Abs. 1 a) DS-GVO entfallen und eine weitere Speicherung nicht mehr erforderlich ist. Dieses sogenannte „Recht auf Vergessenwerden“ verpflichtet Unternehmen dazu, Daten aktiv zu löschen, sobald sie nicht mehr benötigt werden.

Dem gegenüber steht das Bedürfnis, Daten für gewisse Zeiträume zu bewahren. Solche Aufbewahrungsfristen ergeben sich insbesondere aus dem Bundesdatenschutzgesetz (BDSG), der Abgabenordnung (AO) und dem Handelsgesetzbuch (HGB). Aus diesen Gesetzen lassen sich Mindestaufbewahrungszeiten ableiten, die durch Unternehmen zwingend einzuhalten sind, woraus wiederum auf den Zeitpunkt der Löschung geschlossen werden kann. Darüber hinaus können sich Fristen auch mittelbar aus anderen gesetzlichen Regelungen ergeben.

II. Risiken ohne Löschkonzept

Unternehmen, die kein systematisches Löschkonzept implementiert haben, setzen sich dem Risiko aus, gegen datenschutzrechtliche Vorgaben zu verstoßen, indem sie die Daten zu früh löschen oder zu lange aufbewahren.

In der Folge können Datenschutzaufsichtsbehörden Bußgelder verhängen. Bereits bei geringfügigen Verfehlungen sind Sanktionen möglich; bei schwerwiegenden Verstößen drohen Bußgelder, die bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes eines Unternehmens betragen können.

Betroffene Personen haben außerdem Anspruch auf Schadensersatz, wenn ihnen durch die unzulässige Datenverarbeitung ein materieller oder immaterieller Schaden entstanden ist. Insbesondere bei einer hohen Anzahl Betroffener kann dies zu beträchtlichen finanziellen Belastungen führen.

Sogar strafrechtliche Konsequenzen sind denkbar: Wird der Verstoß mit Bereicherungsabsicht begangen, kann dies mit einer Freiheitsstrafe von bis zu drei Jahren geahndet werden.

Auch praktische Auswirkungen sind nicht zu unterschätzen: Überlang gespeicherte Datenmengen können IT-Systeme belasten, Speicherplatz blockieren und Arbeitsprozesse verlangsamen – etwa, wenn die Suche nach relevanten Informationen unverhältnismäßig viel Zeit in Anspruch nimmt.

III. Vorteile eines Löschkonzeptes

Ein strukturiertes Löschkonzept dokumentiert nicht nur die Einhaltung gesetzlicher Vorschriften, sondern signalisiert auch Problembewusstsein gegenüber der zuständigen Aufsichtsbehörde.

Sollte es dennoch zu Verstößen gegen datenschutzrechtliche Lösch- und Aufbewahrungsfristen kommen, ist mit milderen Sanktionen zu rechnen, da das Verschulden des Verantwortlichen und ergriffene Präventivmaßnahmen im Rahmen des behördlichen Ermessens gemäß Art. 83 Abs. 2 Satz 2 DS-GVO berücksichtigt werden.

Zudem bietet ein Löschkonzept mit klaren Handlungsanweisungen Transparenz und Rechtssicherheit für Betroffene sowie für die zur Löschung verantwortlichen Personen. Es stellt sicher, dass sowohl die Rechte betroffener Personen als auch die rechtlichen Interessen des Unternehmens gewahrt werden.

IV. Umsetzung eines Löschkonzepts

Die Nutzung eines allgemeingültigen Musters als Löschkonzept ist nicht zweckmäßig, da die Fristen individuell auf die Prozesse und Datenstrukturen des jeweiligen Unternehmens angepasst werden müssen. Die Konzeptentwicklung sollte die folgenden Schritte umfassen.

1. Bestandsaufnahme

Zunächst müssen alle im Unternehmen vorhandenen personenbezogenen Daten identifiziert und kategorisiert werden. Die Klassifizierung ist insbesondere nach Art und Sensibilität der Daten vorzunehmen.

2. Aufbewahrungs- und Löschfristen

Nach Erfassung der gesetzlich vorgegebenen Aufbewahrungs- und Löschfristen sind auf das Unternehmen abgestimmte interne Fristen festzulegen. Diese sollten zum einen dem Bedürfnis auf Aufbewahrung – zum Beispiel für eine spätere rechtliche Auseinandersetzung – und zum anderen dem Recht der betroffenen Person auf rechtzeitige Löschung ihrer Daten gerecht werden.

3. Form der Aufbewahrung

Je nach Dokumentenart gelten unterschiedliche Anforderungen an die Form der Aufbewahrung, welche im Konzept benannt werden sollten. So ist beispielsweise ein Kündigungsschreiben nach § 623 des Bürgerlichen Gesetzbuches (BGB) in Schriftform aufzubewahren, während eine Abmahnung auch in elektronischer Form gespeichert werden kann.

4. Verantwortlichkeit

Darüber hinaus sollten klare Zuständigkeiten zur Überwachung der Fristen und Ausführung der Löschvorgänge festgelegt werden.

5. Dokumentation

Damit im Bedarfsfall die erforderlichen Nachweise erbracht werden können, sollten sämtliche Löschvorgänge nachvollziehbar protokolliert werden.

6. Schulung der Mitarbeiter

Verantwortliche Personen, insbesondere Mitarbeitende der Personalabteilung und der IT sowie Führungskräfte, sollten regelmäßig geschult und in ihrem datenschutzrechtlichen Bewusstsein sensibilisiert werden.

V. Aufbewahrung von Personaldokumenten.

Im Bereich des Personalwesens gelten für verschiedene Dokumente stark voneinander abweichende Speicherfristen.

Da der Zweck der Aufbewahrung nur für einen kurzen Zeitraum besteht, sind etwa Bewerbungsunterlagen grundsätzlich nur für eine Dauer von drei bis sechs Monaten aufzubewahren, sofern keine Einstellung erfolgt. Dies ergibt sich unter anderem aus der zweimonatigen Frist zur Geltendmachung von Entschädigungs- oder Schadensersatzansprüchen aus dem Allgemeinen Gleichbehandlungsgesetz (AGG).

Demgegenüber sollten Dokumente, die Leistungsansprüche aus der betrieblichen Altersvorsorge begründen, bis zu 30 Jahre aufbewahrt werden, da derartige Ansprüche gemäß § 18a Satz 1 des Betriebsrentengesetzes (BetrAVG) erst nach Ablauf dieser Zeitspanne verjähren.

Eine ebenfalls lange Frist gilt beispielsweise für die Archivierung von Lohnunterlagen mit Bezug zu der betrieblichen Gewinnermittlung, welche nach den Vorgaben der Abgabenordnung für bis zu zehn Jahre aufzubewahren sind.

VI. Abmahnungen in der Personalakte

Insbesondere die Aufbewahrung und Vernichtung von Abmahnungen bereitet Unklarheiten, wenn kein konkretes Konzept besteht.

Hier besteht keine gesetzliche Vorgabe zur Speicherung oder Löschung und eine analoge Anwendung vergleichbarer Regelungen kommt ebenso wenig in Betracht. Fest steht, dass eine Abmahnung dann aus der Personalakte zu löschen ist, wenn auf der einen Seite ihre Warnfunktion verwirkt ist und auf der anderen Seite kein länger andauernder Speicherzweck besteht. Die Warnfunktion der Abmahnung besteht nicht unendlich, da insbesondere leichte Pflichtverletzungen im menschlichen Zusammenleben hinzunehmen sind. Sämtliche Zwecke zur Speicherung entfallen, wenn die Abmahnung für die Beendigung oder Durchführung des Arbeitsverhältnisses nicht mehr erforderlich ist.

Nach der Rechtsprechung ist die Dauer der Verwirkung abhängig von der Schwere eines Verstoßes. Während die Abmahnung wegen einer einfachen Pflichtverletzung bereits nach 16 Monaten verwirken kann, beträgt diese Frist bei sehr schweren Pflichtverletzungen im Einzelfall zehn Jahre oder länger. Indiz für die Dauer ist insbesondere die Zerrüttung des Vertrauensverhältnisses zwischen Arbeitgeber und Arbeitnehmer sowie das Bestehen von vorherigen, gleichartigen Pflichtverletzungen.

In Anbetracht dieser vielfältigen Zeitspannen ist es wichtig, individuelle Regelungen im Unternehmen zu erarbeiten.

VII. Fazit

Mit dem am 01.01.2025 in Kraft getretenen Bürokratieentlastungsgesetz wurden einige Aufbewahrungsfristen verkürzt. Da die gesetzlichen Vorgaben sich im ständigen Wandel befinden, neue Datenarten entwickelt werden und zusätzliche Cyber-Bedrohungen entstehen, sollte auch ein Konzept zur Datenlöschung regelmäßig überprüft und angepasst werden.

Ein durchdachtes Löschkonzept für Personaldokumente bietet Rechtsklarheit, Effizienz und Datensicherheit. Unternehmen sollten daher frühzeitig handeln und Löschprozesse in ihre Personal- und IT-Systeme integrieren.

Wir unterstützen Sie gerne bei der Erarbeitung eines Löschkonzeptes für Ihr Unternehmen. Füllen Sie hierzu gerne unser Kontaktformular aus.