Digitale Personalakte: Inhalt, Aufbewahrungsfristen und DSGVO

Was eine Personalakte ist – und warum es kein Gesetz dazu gibt

Für Beamtinnen und Beamte regelt das Gesetz die Personalakte ausführlich, auf Bundesebene etwa in § 106 des Bundesbeamtengesetzes. Für Arbeitsverhältnisse in der Privatwirtschaft fehlt eine vergleichbare Vorschrift. Das Betriebsverfassungsgesetz setzt die Personalakte in § 83 voraus, definiert sie aber nicht. Die Lücke füllt das Bundesarbeitsgericht: Personalakten sind danach „eine Sammlung von Urkunden und Vorgängen, die die persönlichen und dienstlichen Verhältnisse eines Mitarbeiters betreffen“ und in innerem Zusammenhang mit dem Arbeitsverhältnis stehen (BAG, Urteil vom 19. Juli 2012 – 2 AZR 782/11, Rn. 18).

Aus dieser Formel folgen zwei Dinge, die für die digitale Umsetzung wichtig sind. Erstens kommt es auf den Inhalt an, nicht auf den Ablageort: Eine Abmahnung, die nur im E-Mail-Postfach der Teamleitung liegt, ist Teil der Personalakte im materiellen Sinn, auch wenn sie nie in den Ordner mit der Aufschrift „Personalakte“ gelangt. Wer auf ein digitales System umstellt, sollte deshalb Nebenablagen in Postfächern, Netzlaufwerken und Tabellen einsammeln, statt sie parallel weiterzuführen. Zweitens soll die Akte ein möglichst vollständiges und zutreffendes Bild geben. Der Arbeitgeber darf nicht nach Belieben Unterlagen entfernen, er darf aber auch nicht Unzutreffendes stehen lassen.

Eine Pflicht, überhaupt eine Personalakte zu führen, besteht außerhalb des öffentlichen Dienstes nicht. Faktisch führen sie dennoch fast alle Betriebe, weil zahlreiche Einzelvorschriften Nachweise verlangen – vom Nachweisgesetz über das Lohnkonto bis zu den Arbeitszeitaufzeichnungen.

Inhalt der Personalakte: was hinein gehört und was nicht

Maßstab ist die Erforderlichkeit für das Arbeitsverhältnis. Die folgende Übersicht ist keine abschließende Liste, bildet aber die übliche Gliederung einer digitalen Akte ab.

Besonders heikel sind Gesundheitsdaten. Sie gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. § 26 Abs. 3 BDSG erlaubt ihre Verarbeitung im Beschäftigungsverhältnis nur, soweit sie für Rechte und Pflichten aus dem Arbeits- und Sozialrecht erforderlich ist und keine überwiegenden Interessen der betroffenen Person entgegenstehen. Das Bundesarbeitsgericht hat schon 2006 entschieden, dass zulässig aufbewahrte Gesundheitsdaten nicht offen in der Akte liegen dürfen, sondern gegen zufällige Kenntnisnahme zu sichern sind – in der Papierwelt etwa durch einen verschlossenen Umschlag (BAG, 12. September 2006 – 9 AZR 271/06). Digital entspricht dem eine eigene Dokumentenkategorie mit gesonderter Berechtigung und protokolliertem Zugriff.

Seit 2023 erhalten Arbeitgeber gesetzlich Versicherter die Arbeitsunfähigkeitsdaten im Regelfall elektronisch von der Krankenkasse (§ 109 SGB IV). Diese Meldung enthält Beginn und voraussichtliches Ende der Arbeitsunfähigkeit, aber keine Diagnose. Für die Personalakte bedeutet das: Die Fehlzeit gehört hinein, der Grund nicht.

DSGVO: Rechtsgrundlage, Zugriffskonzept und Protokoll

Jede Personalakte ist eine Verarbeitung personenbezogener Daten. Als Rechtsgrundlage wurde lange § 26 Abs. 1 BDSG herangezogen. Der Europäische Gerichtshof hat jedoch am 30. März 2023 (C-34/21) zu einer gleichlautenden hessischen Vorschrift entschieden, dass eine nationale Regel, die nur die allgemeinen Anforderungen der DSGVO wiederholt, keine eigenständige „spezifischere Vorschrift“ im Sinne von Art. 88 DSGVO ist. Seither stützen Aufsichtsbehörden und Praxis die Verarbeitung überwiegend unmittelbar auf Art. 6 Abs. 1 Buchst. b DSGVO (Durchführung des Arbeitsvertrags) und Buchst. c (rechtliche Verpflichtung, etwa aus Steuer- und Sozialversicherungsrecht). Am Ergebnis für die Personalakte ändert das wenig: Verarbeitet werden darf, was für das Arbeitsverhältnis oder eine gesetzliche Pflicht erforderlich ist.

Wie datenschutzkonform eine digitale Akte ist, entscheidet in der Praxis das Zugriffskonzept. Bewährt hat sich eine Staffelung nach Rollen:

Neben dem Rollenmodell verlangt Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen, etwa Verschlüsselung, Protokollierung von Zugriffen und Änderungen sowie ein Wiederherstellungskonzept. Läuft die Akte als Cloud-Dienst, ist mit dem Anbieter ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zu schließen. Wird ein System eingeführt, das Verhalten oder Leistung überwachen kann, hat ein vorhandener Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen. Wie diese Grundsätze speziell bei Arbeitszeitdaten greifen, beschreibt der Beitrag Digitale Zeiterfassung und DSGVO.

Einsichtsrecht, Auskunft und Gegendarstellung

Beschäftigte haben zwei voneinander unabhängige Wege, ihre Akte kennenzulernen. Das betriebsverfassungsrechtliche Einsichtsrecht nach § 83 Abs. 1 BetrVG gilt in jedem Betrieb, auch ohne Betriebsrat. Die beschäftigte Person darf ein Betriebsratsmitglied hinzuziehen, das über den Inhalt Stillschweigen zu bewahren hat. Der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO reicht weiter: Er umfasst neben den Daten selbst die Verarbeitungszwecke, Empfänger und die geplante Speicherdauer. Die erste Kopie ist kostenlos (Art. 15 Abs. 3 DSGVO), die Antwort muss grundsätzlich innerhalb eines Monats erfolgen, mit Verlängerungsmöglichkeit um zwei weitere Monate bei komplexen Anträgen (Art. 12 Abs. 3 DSGVO). Wer den Anspruch gerichtlich durchsetzen will, muss nach dem BAG allerdings hinreichend bestimmt benennen, welche Daten oder Kopien verlangt werden; ein bloßes Wiederholen des Gesetzeswortlauts genügt nicht (BAG, 16. Dezember 2021 – 2 AZR 235/21).

Das Einsichtsrecht endet nicht mit dem Arbeitsverhältnis. Ehemalige Beschäftigte können ihre Akte auch später einsehen, ohne ein besonderes Interesse darlegen zu müssen; das BAG leitet das aus der nachvertraglichen Rücksichtnahmepflicht und dem Persönlichkeitsrecht ab (BAG, 16. November 2010 – 9 AZR 573/09).

Aufbewahrungsfristen der Personalakte im Überblick

Die Frage nach den Aufbewahrungsfristen der Personalakte hat keine Einzelantwort, weil die Akte aus Unterlagen mit ganz unterschiedlichen Rechtsgrundlagen besteht. Entscheidend ist die Funktion des einzelnen Dokuments – und das Ereignis, mit dem seine Frist beginnt.

Zwei Punkte sind in dieser Tabelle besonders fehleranfällig. Die Verkürzung der Frist für Buchungsbelege von zehn auf acht Jahre durch das Vierte Bürokratieentlastungsgesetz gilt seit dem 1. Januar 2025, während Jahresabschlüsse und Handelsbücher bei zehn Jahren bleiben; zudem läuft die steuerliche Frist nach § 147 Abs. 3 AO nicht ab, solange die Festsetzungsfrist für die betreffende Steuer noch offen ist. Und die sozialversicherungsrechtliche Frist hängt nicht am Kalender, sondern an der nächsten Betriebsprüfung durch die Rentenversicherung. Ein Löschkonzept, das beides mit festen Jahreszahlen abbildet, löscht im Zweifel zu früh.

Bei Bewerbungsunterlagen ist die Lage umgekehrt: Wer sie ohne Einwilligung „für künftige Stellen“ jahrelang behält, verstößt gegen den Grundsatz der Speicherbegrenzung. Die übliche Praxisfrist von rund sechs Monaten ergibt sich aus der zweimonatigen Frist zur Geltendmachung von AGG-Ansprüchen und der anschließenden dreimonatigen Klagefrist; einzelne Aufsichtsbehörden nennen keine feste Zahl, sondern stellen auf das Ende möglicher Rechtsstreitigkeiten ab. Wie die Fristen speziell für Stundenzettel und Zeiterfassungsdaten laufen, vertieft der Beitrag Aufbewahrungsfristen für Arbeitszeitnachweise.

Ersetzendes Scannen: wann das Papier weg darf

Wer von Papier auf eine digitale Personalakte umstellt, will die Ordner in der Regel nicht doppelt lagern. Steuerlich ist das zulässig: § 147 Abs. 2 AO erlaubt die Aufbewahrung als Wiedergabe auf einem Bild- oder Datenträger, wenn sie den Grundsätzen ordnungsmäßiger Buchführung entspricht, bildlich mit dem Original übereinstimmt und während der gesamten Frist lesbar gemacht werden kann. Die GoBD der Finanzverwaltung konkretisieren das: Nach der bildlichen Erfassung dürfen Papierdokumente vernichtet werden, soweit sie nicht nach steuerlichen oder außersteuerlichen Vorschriften im Original aufzubewahren sind (GoBD, Rz. 140). Voraussetzung ist eine Verfahrensdokumentation, die beschreibt, wer wann was scannt, wie die Vollständigkeit geprüft wird und wie Scans gegen Veränderung geschützt sind.

Für die Ausgestaltung dieses Prozesses hat das Bundesamt für Sicherheit in der Informationstechnik die Technische Richtlinie TR-03138 „Ersetzendes Scannen“ (TR-RESISCAN) veröffentlicht. Sie ist nicht verpflichtend und regelt ausdrücklich nicht, ob ersetzendes Scannen im Einzelfall zulässig ist, beschreibt aber einen anerkannten Standard für Organisation, Technik und Sicherheit des Scanprozesses. Wer sich daran orientiert, kann im Streit besser darlegen, dass der Scan dem Original entspricht.

Die entscheidende Einschränkung liegt im Arbeitsrecht. Einige Erklärungen sind nur mit eigenhändiger Unterschrift wirksam, und im Prozess ist die unterschriebene Urkunde das stärkere Beweismittel als ihr Abbild. Für diese Dokumente empfiehlt es sich, das Original zusätzlich aufzubewahren:

Beim Nachweisgesetz lohnt ein genauer Blick. Seit dem 1. Januar 2025 darf die Niederschrift der wesentlichen Vertragsbedingungen in Textform elektronisch übermittelt werden, wenn das Dokument für die beschäftigte Person zugänglich ist, gespeichert und ausgedruckt werden kann und der Arbeitgeber zu einem Empfangsnachweis auffordert. Für Beschäftigte in den Wirtschaftszweigen nach § 2a Schwarzarbeitsbekämpfungsgesetz – etwa Bau, Gastronomie, Gebäudereinigung oder Logistik – gilt die Erleichterung nicht; dort bleibt die unterschriebene Niederschrift Pflicht.

Elektronische Entgeltunterlagen: Frist endet am 31. Dezember 2026

Ein Teil der Personalakte ist bereits heute zwingend digital: die Entgeltunterlagen für die Sozialversicherung. § 8 Abs. 2 der Beitragsverfahrensverordnung zählt Unterlagen auf, die „in elektronischer Form“ zu den Entgeltunterlagen zu nehmen sind – unter anderem eine Kopie der Niederschrift nach dem Nachweisgesetz, Erklärungen von Minijobbern zum Verzicht auf die Rentenversicherungsfreiheit, Nachweise der Elterneigenschaft für den Pflegeversicherungsbeitrag und die Arbeitszeitaufzeichnungen nach § 17 Abs. 1 MiLoG. Nach § 8 Abs. 3 BeitrVV können sich Arbeitgeber von dieser Pflicht auf Antrag beim Prüfdienst der Deutschen Rentenversicherung befreien lassen, allerdings nur bis zum 31. Dezember 2026.

Für Betriebe, die ihre Akten noch auf Papier führen, ist das der naheliegende Anlass für die Umstellung: Spätestens für Prüfzeiträume ab 2027 müssen diese Unterlagen elektronisch vorliegen. Wer ohnehin scannt, sollte den Entgeltbereich zuerst digitalisieren und dabei die Arbeitszeitaufzeichnungen einbeziehen.

Löschkonzept: Fristen nach Ereignis statt nach Ordner

Die DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 Buchst. e DSGVO), und gibt Beschäftigten einen Löschanspruch nach Art. 17. Für die Personalakte heißt das: Nach dem Austritt wird nicht die ganze Akte gleichzeitig gelöscht, sondern jede Dokumentenart nach ihrer eigenen Frist. Ein tragfähiges Löschkonzept beantwortet für jede Kategorie vier Fragen:

1. Welche Frist gilt? Zum Beispiel sechs Jahre für das Lohnkonto, zwei Jahre für reine Arbeitszeitprotokolle.
2. Welches Ereignis startet sie? Letzte Lohnzahlung, Jahresende, Betriebsprüfung, Zugang der Absage.
3. Was hält sie an? Laufende Rechtsstreitigkeiten, Betriebsprüfungen oder offene steuerliche Festsetzungsfristen.
4. Wer löst die Löschung aus und dokumentiert sie? Idealerweise das System mit Freigabe durch die Personalabteilung.

Digitale Systeme haben hier einen echten Vorteil gegenüber Papier: Sie können jedem Dokument beim Ablegen eine Kategorie und damit eine Frist zuordnen und fällige Löschungen zur Freigabe vorlegen. Pauschale Automatismen („alles nach zwei Jahren löschen“) sind dagegen riskant, weil sie steuerliche und sozialversicherungsrechtliche Fristen verletzen können.

Personalakte und digitale Zeiterfassung

Die meisten laufenden Einträge einer Personalakte entstehen nicht im Personalbüro, sondern im Arbeitsalltag: Arbeitszeiten, Überstunden, Urlaub und Krankheitstage. Seit dem Beschluss des Bundesarbeitsgerichts vom 13. September 2022 (1 ABR 22/21) sind Arbeitgeber verpflichtet, Beginn, Ende und Dauer der Arbeitszeit zu erfassen. Diese Daten fließen an drei Stellen in die Akte:

Praktisch bewährt sich, Zeitdaten nicht als monatliche PDF-Kopie in die Akte zu legen, sondern im Zeiterfassungssystem zu belassen und der Akte über die Person zuzuordnen. So bleibt eine einzige Datenquelle, Korrekturen sind protokolliert, und Beschäftigte sehen ihre eigenen Zeiten ohnehin in der App. Wie sich Mehrstunden sauber verbuchen lassen, beschreibt der Beitrag Überstunden und Stundenkonto digital führen; den Weg dorthin zeigt der Leitfaden zur Einführung.

Einige Zeiterfassungs- und Dienstplanlösungen bringen eine einfache Personalakte gleich mit. Aplano etwa führt im Pro-Tarif (4,50 € je Mitarbeiter und Monat zzgl. MwSt., Stand Juli 2026) Personalakten neben Zeiterfassung, Abwesenheiten und Urlaubskonten; der Anbieter nennt 256-Bit-Verschlüsselung und DSGVO-konforme Verarbeitung. Der Tarif lässt sich 14 Tage ohne Kreditkarte testen. Auf Capterra bewerten Nutzer das Tool mit 4,8 von 5 bei 113 Bewertungen, auf OMR Reviews mit 4,7 von 5 bei 206 Bewertungen (Stand Juli 2026). Ein umfassendes Dokumentenmanagement mit Scan-Verfahrensdokumentation ersetzt eine solche Lösung nicht; welche Systeme welche Schwerpunkte setzen, zeigt der Systemvergleich.

← Alle Blog-Artikel · Aufbewahrungsfristen für Arbeitszeitnachweise · Digitale Zeiterfassung und DSGVO · Rechtslage · Glossar