Datenschutz: Was gilt für die Personalakte? Einsicht, Kopie, Löschung

Datenschutz: Was gilt für die Personalakte? Das Wichtigste in Kürze

Die Personalakte ist ein Pflichtdokument mit klaren Grenzen. Hinein gehört nur, was für das Arbeitsverhältnis erforderlich ist (Art. 5 Abs. 1 Buchst. c DSGVO). Gesundheits- und BEM-Unterlagen führst du getrennt, Führungszeugnisse vermerkst du nur, und Meldungen aus dem Hinweisgeberverfahren gehören nicht in die Akte.

Beschäftigte dürfen ihre Akte einsehen, Erklärungen beifügen lassen und eine Kopie ihrer Daten verlangen. Das Bundesarbeitsgericht hat am 16.04.2026 (8 AZR 169/25) klargestellt: Die Kopie nach Art. 15 DSGVO bezieht sich grundsätzlich auf die personenbezogenen Daten, nicht auf ganze Dokumente.

Jede Unterlage hat ihre eigene Aufbewahrungsfrist, es gilt die längste einschlägige; danach ist zu löschen. Ab dem 01.01.2027 müssen Entgeltunterlagen ausnahmslos elektronisch geführt werden, und KI-Systeme, die Leistung oder Verhalten bewerten, werden ab dem 02.12.2027 zu Hochrisiko-KI.

Der Beitrag zeigt dir, was in die Akte gehört, wer was sehen darf, welche Fristen gelten und wie du Akte, Zugriffe und Löschregeln so aufsetzt, dass du Auskunftsanträge ohne Hektik beantworten kannst. Er ersetzt keine Rechtsberatung im Einzelfall.

Rechtsgrundlagen 2026: DSGVO, § 26 BDSG und Betriebsvereinbarung

Für Personalakten gilt seit dem 25.05.2018 die DSGVO. Die frühere Rechtslage nach § 28 und § 32 BDSG a. F. ist überholt. Maßgeblich sind heute:

• Art. 6 Abs. 1 Buchst. b DSGVO: Verarbeitung, die für die Durchführung des Arbeitsvertrags erforderlich ist (Stammdaten, Vergütung, Urlaub, Arbeitszeit).
• Art. 6 Abs. 1 Buchst. c DSGVO: Verarbeitung zur Erfüllung gesetzlicher Pflichten (Lohnsteuer, Sozialversicherung, Nachweisgesetz, Mindestlohn- und Arbeitszeitaufzeichnungen).
• Art. 6 Abs. 1 Buchst. f DSGVO: berechtigte Interessen, etwa die Dokumentation einer Abmahnung oder die Verteidigung gegen Ansprüche.
• Art. 9 Abs. 2 Buchst. b DSGVO: besondere Kategorien (Gesundheit, Religion, Gewerkschaft, Schwerbehinderung) nur, soweit erforderlich, um Rechte und Pflichten aus dem Arbeits- und Sozialrecht zu erfüllen.

Art. 88 DSGVO erlaubt spezifischere nationale Regeln. Den deutschen § 26 Abs. 1 BDSG hält der EuGH (C-34/21) insoweit nicht für eine solche spezifischere Regel; in der Praxis stützt du die Verarbeitung deshalb unmittelbar auf Art. 6 DSGVO.

Betriebsvereinbarungen bleiben als Rechtsgrundlage möglich, sind aber kein Freibrief. Nach dem EuGH (C-65/23, 19.12.2024) müssen sie die Grundsätze und Erforderlichkeitsanforderungen der DSGVO (Art. 5, 6 und 9) einhalten, und Gerichte prüfen das in vollem Umfang. Das BAG hat 2025 zudem entschieden: Wer bei der Einführung einer HR-Software mehr Daten überträgt, als die Betriebsvereinbarung erlaubt, verstößt gegen die DSGVO – der betroffenen Person wurden 200 Euro immaterieller Schadensersatz wegen Kontrollverlusts zugesprochen (BAG, 08.05.2025, 8 AZR 209/21).

Eine Einwilligung eignet sich im Arbeitsverhältnis nur ausnahmsweise, weil sie freiwillig und jederzeit widerruflich sein muss. Stütze Pflichtdaten nie „zusätzlich“ auf eine Einwilligung – bei einem Widerruf entstünde sonst ein Widerspruch.

Einsicht, Auskunft und Kopie

Beschäftigte haben zwei nebeneinander bestehende Rechte:

• Einsicht nach § 83 Abs. 1 BetrVG: Arbeitnehmerinnen und Arbeitnehmer dürfen in die über sie geführten Personalakten Einsicht nehmen und ein Betriebsratsmitglied hinzuziehen, das über den Inhalt Stillschweigen bewahren muss. Schwerbehinderte Menschen können die Schwerbehindertenvertretung hinzuziehen (§ 178 Abs. 3 SGB IX). Das Einsichtsrecht umfasst das Recht, auf eigene Kosten Kopien in angemessenem Umfang anzufertigen – nicht aber die gesamte Akte zu kopieren.
• Auskunft und Kopie nach Art. 15 DSGVO: Auskunft über alle verarbeiteten personenbezogenen Daten, Zwecke, Empfänger und Speicherdauer sowie eine unentgeltliche erste Kopie der Daten. Antwortfrist: ein Monat, bei Komplexität um zwei Monate verlängerbar (Art. 12 Abs. 3 DSGVO).

Das BAG hat am 16.04.2026 (8 AZR 169/25) die Reichweite der Kopie präzisiert: Art. 15 Abs. 3 DSGVO bezieht sich grundsätzlich nur auf die personenbezogenen Daten in einem Dokument, nicht auf das Dokument als solches. Ganze Dokumente oder Auszüge sind nur herauszugeben, wenn dies unerlässlich ist, etwa weil die Daten ohne Kontext nicht verständlich wären. Einen Anspruch auf Kopie eines vollständigen Compliance-Abschlussberichts – auch nicht teilgeschwärzt – verneinte das Gericht. Rechtliche Analysen in einem solchen Bericht sind keine personenbezogenen Daten der betroffenen Person.

Auch nach dem Ausscheiden bleiben Ansprüche bestehen: Ehemalige Beschäftigte können nach dem BAG aus ihrer nachvertraglichen Nebenpflicht und ihrem Recht auf informationelle Selbstbestimmung Einsicht und Kopien aus ihrer materiellen Personalakte verlangen (8 AZR 42/24). Art. 15 Abs. 4 DSGVO schützt zugleich die Rechte anderer: Namen von Hinweisgebern, Zeugen oder Kollegen sind zu schwärzen, soweit deren Interessen überwiegen.

Digitale Personalakte, Entgeltunterlagen und KI

Die meisten Unternehmen führen die Personalakte inzwischen ganz oder teilweise digital. Zwei Änderungen beschleunigen das:

• Nachweisgesetz: Seit dem 01.01.2025 können die wesentlichen Arbeitsbedingungen in Textform nachgewiesen werden, wenn das Dokument zugänglich ist, gespeichert und ausgedruckt werden kann und der Arbeitgeber zur Empfangsbestätigung auffordert. Ausgenommen sind die Branchen nach § 2a SchwarzArbG (unter anderem Bau, Gastronomie, Gebäudereinigung, Spedition); Beschäftigte können weiterhin die Schriftform verlangen.
• Elektronische Entgeltunterlagen: Die Befreiungsmöglichkeit nach § 8 Abs. 3 BVV endet am 31.12.2026. Ab dem 01.01.2027 müssen alle Arbeitgeber die begleitenden Entgeltunterlagen – etwa Nachweise zu Aufenthaltstitel und Versicherungsstatus, Nachweise nach dem Nachweisgesetz oder zur Elterneigenschaft – elektronisch führen. Eine Pflicht zur vollständig digitalen Personalakte folgt daraus nicht, und die übrige Akte darf weiter in Papier geführt werden.

Was die digitale Akte datenschutzrechtlich verlangt

• Rollen- und Rechtekonzept: Zugriff nur für Personen, die mit Personalangelegenheiten befasst sind; Führungskräfte nur auf das, was sie für ihre Aufgabe brauchen; gesonderte Rechte für Gesundheits- und BEM-Teilakten.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselung, Protokollierung von Zugriffen, Backup, Wiederherstellbarkeit.
• Auftragsverarbeitung bei Cloud-Software (Art. 28 DSGVO), bei Anbietern außerhalb der EU zusätzlich geeignete Garantien für die Übermittlung.
• Testdaten: Für Tests neuer HR-Software dürfen Echtdaten nur verwendet werden, wenn Dummy-Daten nicht ausreichen – und nur im vereinbarten Umfang.
• Mitbestimmung: HR-Software ist regelmäßig eine technische Einrichtung, die zur Überwachung von Leistung oder Verhalten geeignet ist (§ 87 Abs. 1 Nr. 6 BetrVG).

KI im Personalbereich

KI-Anwendungen berühren die Personalakte an drei Stellen:

• KI-Assistenten im Büroalltag: Assistenzsysteme, die auf E-Mails, Laufwerke und Dokumente zugreifen, finden auch Personaldaten, wenn die Berechtigungen zu weit gefasst sind. Prüfe vor dem Einsatz, ob HR-Laufwerke, Gehaltslisten und Abmahnungen wirklich nur für HR zugänglich sind.
• Auswertungen und Prognosen: KI für Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung, für die Aufgabenzuweisung nach Verhalten oder persönlichen Merkmalen sowie zur Beobachtung und Bewertung von Leistung und Verhalten ist nach Anhang III Nr. 4 Buchst. b KI-VO ab dem 02.12.2027 Hochrisiko-KI (Verordnung (EU) 2026/1744). Betreiber müssen dann unter anderem menschliche Aufsicht sicherstellen, Protokolle aufbewahren und die Beschäftigten informieren.
• Automatisierte Entscheidungen: Ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung – etwa über Abmahnung, Versetzung oder Kündigung – sind nach Art. 22 DSGVO grundsätzlich unzulässig.

Weitere Leitplanken: Emotionserkennung am Arbeitsplatz ist verboten (Art. 5 Abs. 1 Buchst. f KI-VO), Beschäftigte, die KI einsetzen, brauchen ausreichende KI-Kompetenz (Art. 4 KI-VO), und KI-Systeme mit Zugriff auf Beschäftigtendaten sind regelmäßig nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. KI-Ausgaben über Beschäftigte – etwa Zusammenfassungen oder Bewertungen – sind selbst personenbezogene Daten und können damit Gegenstand von Auskunftsanträgen sein.

Bewerberdaten: Übergang in die Personalakte und Löschung

Mit der Einstellung werden Bewerbungsunterlagen nicht pauschal Teil der Personalakte, sondern nur, soweit sie für das Arbeitsverhältnis erforderlich sind – etwa Qualifikationsnachweise. Interviewnotizen und Testergebnisse gehören in der Regel nicht dazu. Zum Fragerecht im Gespräch: Interviews mit Bewerbern.

Bei Absagen sind die Unterlagen zu löschen, sobald sie nicht mehr gebraucht werden. Weil Bewerbende Ansprüche nach dem AGG binnen zwei Monaten geltend machen (§ 15 Abs. 4 AGG) und danach binnen drei Monaten klagen können (§ 61b Abs. 1 ArbGG), hält der Bundesdatenschutzbeauftragte eine Aufbewahrung von höchstens sechs Monaten ab Absage für zulässig. Die früher häufig genannte Frist von zwei Monaten reicht nicht aus, um sich gegen Klagen zu verteidigen. Stimme die konkrete Frist mit der zuständigen Aufsichtsbehörde und deiner oder deinem Datenschutzbeauftragten ab.

Ein Talentpool ist nur mit Einwilligung zulässig; die Speicherdauer begrenzt du eng. Bei Recherchen im Internet gilt Zurückhaltung: Berufliche Netzwerke sind eher vertretbar als private Profile, und Bewerbende sind nach Art. 13 und 14 DSGVO über die Quellen zu informieren. Beim Thema Gehalt gilt künftig: Nach Umsetzung der Entgelttransparenzrichtlinie (EU) 2023/970 ist die Frage nach dem bisherigen Entgelt unzulässig (Art. 5 Abs. 2 der Richtlinie); die Umsetzungsfrist ist am 07.06.2026 abgelaufen, wie und wann das deutsche Recht angepasst wird, ist offen.

Pflichten nach Funktion

Zur Verantwortung der Geschäftsleitung im Datenschutz: Datenschutz: Pflichten des Geschäftsführers. Zur Bestellung der oder des Datenschutzbeauftragten: Wann ist ein Datenschutzbeauftragter zu bestellen?

Quick-Check: Ist deine Personalakte datenschutzfest?

Zwölf Fragen, je drei Stufen. Zu jeder Stufe erscheint eine Empfehlung. Die Auswahl wird nicht gespeichert und nicht übertragen.

Fazit mit Kernbotschaften

Zur Frage „Datenschutz: Was gilt für die Personalakte?“ lautet die Antwort: Die Akte enthält nur Erforderliches, wird sauber nach Teilakten getrennt geführt und folgt festen Regeln für Einsicht, Kopie, Aufbewahrung und Löschung. Wer 2027 die elektronischen Entgeltunterlagen einführt und KI-Systeme auf die Hochrisiko-Pflichten vorbereitet, ordnet Zugriffe, Löschregeln und Betriebsvereinbarungen am besten gleich mit.

• Hinein gehört nur, was für das Arbeitsverhältnis erforderlich ist; Gesundheitsdaten und BEM werden getrennt geführt, Führungszeugnisse nur vermerkt.
• Beschäftigte dürfen einsehen, Erklärungen beifügen und eine Kopie ihrer Daten verlangen – nach BAG 8 AZR 169/25 grundsätzlich nicht ganzer Dokumente.
• Jede Unterlage hat ihre eigene Frist; danach wird gelöscht.
• Ab dem 01.01.2027 gilt die Pflicht zu elektronischen Entgeltunterlagen, ab dem 02.12.2027 die Hochrisiko-Pflichten für KI im Personalbereich.

Wenn dir intern Kapazitäten fehlen, ist die Auslagerung der Datenschutzbeauftragten-Funktion eine Option; das ist ein Angebot der Schwesterunternehmen und nicht Gegenstand dieses Seminarbeitrags.

Quellenverzeichnis

Primärquellen zuerst, danach Behörden. Der EuGH-Entscheidung C-34/21 zu § 26 BDSG liegt kein hier verlinktes Dokument bei; sie ist im Text als Entscheidung genannt.

EU-Rechtsakte und Organe

• Verordnung (EU) 2016/679 (DSGVO) – Art. 5, 6, 9, 12, 15–17, 22, 28, 30, 32, 83, 88 – Rechtsrahmen für Verarbeitung, Auskunft, Kopie, Löschung und Bußgelder.
• EuGH, 19.12.2024, C-65/23 – Betriebsvereinbarungen und DSGVO – Betriebsvereinbarungen müssen Art. 5, 6 und 9 DSGVO einhalten und sind voll überprüfbar.
• Anhang III der KI-Verordnung (Hochrisiko-Systeme), Nr. 4 Beschäftigung – Einordnung von KI im Personalbereich als Hochrisiko-KI.
• Art. 5 der KI-Verordnung (verbotene Praktiken) – Verbot der Emotionserkennung am Arbeitsplatz.
• Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI) – Zeitpunkt der Anhang-III-Pflichten.
• Richtlinie (EU) 2023/970 (Entgelttransparenz) – Verbot der Frage nach dem bisherigen Entgelt; Umsetzungsfrist.
• Rat der EU, Pressemitteilung vom 21.10.2026 zum Digital-Omnibus – Verhandlungsmandat des Rates zur Änderung von DSGVO und weiteren Regeln.
• Europäisches Parlament, Legislative Train: Digitalpaket – Stand des Verfahrens im Parlament.

Bundesrecht und Bundesbehörden

• § 83 BetrVG – Einsicht in die Personalakten – Einsichtsrecht, Hinzuziehung, Erklärungen zur Akte.
• § 178 SGB IX – Aufgaben der Schwerbehindertenvertretung – Hinzuziehung bei Einsicht in die Personalakte (Abs. 3).
• § 53 BZRG – Offenbarungspflicht bei Verurteilungen – Wann sich Bewerbende als unbestraft bezeichnen dürfen.
• § 32 BZRG – Inhalt des Führungszeugnisses – Verurteilungen, die nicht in das Führungszeugnis aufgenommen werden.
• § 15 AGG – Entschädigung und Schadensersatz – Zwei-Monats-Frist zur Geltendmachung (Abs. 4).
• § 61b ArbGG – Klage wegen Benachteiligung – Dreimonatige Klagefrist.
• Bundesarchiv: In Rechts- und Verwaltungsvorschriften definierte Fristen (PDF) – Fristenübersicht, u. a. Wortlaut zu § 41 Abs. 1 EStG.
• Deutsche Rentenversicherung: Entgeltunterlagen – § 28f SGB IV und § 8 BVV; Befreiung bis 31.12.2026.
• Deutscher Bundestag, hib: Antrag zum Beschäftigtendatenschutz – Einordnung des Antrags BT-Drs. 21/8145.

Rechtsprechung

• BAG, 16.04.2026, 8 AZR 169/25 – Kopie nach Art. 15 DSGVO und § 83 BetrVG.
• BAG, 17.10.2024, 8 AZR 42/24 – Materieller Personalaktenbegriff.
• BAG, 08.05.2025, 8 AZR 209/21 – Schadensersatz bei Überschreiten der Betriebsvereinbarung.
• BAG, 19.07.2012, 2 AZR 782/11 – Entfernung von Abmahnungen aus der Personalakte.

Aufsichtsbehörden

• BfDI: FAQ Beschäftigtendatenschutz – Zugang zur Akte, Teilakten, Löschfrist für Bewerbungen.
• HmbBfDI, Pressemitteilung vom 01.10.2020 (PDF) – Bußgeld wegen Erfassung von Beschäftigtendaten.
• HmbBfDI, Tätigkeitsbericht Datenschutz 2023 – Bußgeld wegen Weitergabe von Krankmeldungen.
• LfD Niedersachsen: Aufbewahrungs- und Löschfristen von Bewerbungsunterlagen (PDF, Stand Juli 2026) – Einordnung der Fristen für Bewerbungsdaten.