Datenschutz & DSGVO

Wie kann eine digitale Personalakte bei der Einhaltung von Datenschutzgesetzen unterstützen?

Elektronische Personalakten enthalten eine Fülle von Daten über Mitarbeitende. Dazu gehören auch sensible Angaben, etwa Daten zur Gesundheit und Religion. Deshalb ist das Einhalten der datenschutzrechtlichen Vorgaben unbedingt erforderlich.

Die Einführung einer intelligenten HR Software zur Umsetzung der EU-DSGVO im HR-Bereich gilt als unverzichtbar. Mit der elektronischen Personalakte lassen sich personenbezogene Daten viel einfacher verwalten und pflegen. Es werden Dokumentations- und Rechenschaftspflichten in jeden HR-Prozess miteinbezogen. Gleichzeitig müssen sich HR-Fachkräfte keine Gedanken mehr machen, inwieweit die die Daten rechtmäßig, transparent und nach Treu und Glauben verarbeitet werden. Dasselbe gilt für die Zweckbindung oder ob die Daten- und Aufbewahrungsdauerbegrenzungen eingehalten werden. All das kann das System ohne ein weiteres To-do für HR übernehmen.

Betroffenenrechte / Mitarbeiterrechte

Betroffene natürliche Personen müssen bei der Erhebung ihrer Daten informiert werden. Sie haben ein Auskunftsrecht, das Recht auf Widerspruch und Berichtigung, das Recht auf Löschung (Recht auf „Vergessenwerden“) sowie das Recht auf Datenübertragung. Laut EU-DSGVO und BDSG müssen Daten gelöscht werden, wenn der Zweck für die Nutzung entfällt. Mit einer digitalen Personalakte können bereits bei der Einführung Löschfristen voreingestellt werden, wodurch zuverlässig Dokumente automatisch entfernt werden können. Welche Dokumente wie lange aufbewahrt werden sollten, hängt von der Art des Dokuments und einer Vielzahl gesetzlicher Fristen ab.

Um den Informationspflichten bzw. Auskunftsrechten gemäß § 15 Abs.3 DSGVO nachzukommen, können Mitarbeitende mit der digitalen Personalakte jederzeit ortsunabhängig auf ihre Akte und ihre Unterlagen zugreifen. Alle gespeicherten Informationen können jederzeit unverzüglich mit unverändertem Inhalt und Index wiedergegeben werden.

Zugriffschutz und Beschränkung des Personenkreises

In der Regel greifen Mitarbeitende, HR-Sachbearbeitende und Führungskräfte auf die Personalakten zu. Bei der elektronischen Version ist ein differenzierter Zugriffsschutz gewährleistet, der nur berechtigte Personen befugt, auf die für sie zugelassenen Dokumente und Akten zuzugreifen. Eine granulare Rechte- und Rollenverteilung verhindert dabei das Einsehen sensibler Personaldaten unberechtigter Dritter. Festlegung der verschiedenen Rollen im Unternehmen, die zugreifen können, und Berechtigungen für die verschiedenen Rollen, um den Zugriff zu regeln. Wird über die Berechtigungslogik festgelegt, welcher Personenkreis (z.B.HR-Sachbearbeiter) auf welchen Aktenkreis (z.B. alle Mitarbeiter von A-M) Zugriff hat, so wird bei der Rolle festgelegt, was der Berechtigte in der Akte tun darf: Nur lesen? Lesen und bearbeiten? Gehört zum Bearbeiten ggf. auch ein Löschrecht?

Datenverschlüsselung

Ein Ineinandergreifen unter anderem von Identifikation und Datenverschlüsselung gewährt höchste Sicherheit.

Transparenz

Die EU-DSGVO schützt die persönlichen Daten von natürlichen Personen. Jede Verarbeitung und Speicherung muss transparent gemacht werden und (in aller Regel) das Einverständnis eingeholt werden. Eine digitale Version der Akte ermöglicht die Nachvollziehbarkeit aller Änderungen, denn jede Verarbeitung und Speicherung kann protokolliert werden.

Rechts- und revisionssichere Archivierung

Archiviert werden kann zum Beispiel mit einem unveränderbarem Format wie PDF/A und mit einem sicherem Speichermedium, damit die Unveränderbarkeit der Dokumente gewährleistet ist.

Verfahrensdokumentation

Die Verfahrensdokumentation über technische und organisatorische Maßnahmen muss um das Verzeichnis der Verarbeitungstätigkeiten und die Datenschutzfolgeabschätzung ergänzt werden. Prozesse werden in der digitalen Personalakte genau beschrieben. Sie umfasst die Prüfung sowohl des internen Kontrollsystems als auch der sachlogischen Lösung und gilt als Garant für Rechtssicherheit.

Privacy by Design and Default

Die Software muss so konzipiert sein, dass datenschutzrechtliche Belange bereits bei der Entwicklung berücksichtigt werden (Privacy by Design). Diese Systeme müssen so voreingestellt sein, dass ein Höchstmaß an Datenschutz gewährt wird (Privacy by Default).

Use Case – Einsicht in eine digitale Personalakte

Die Datenschutzgrundverordnung (DSGVO) und Bundesdatenschutzgesetz (BDSG) enthalten Vorschriften zur Einsichtnahme in die Personalakte und Regeln so den Schutz personenbezogener Daten. Grundsätzlich sehen beide Gesetze vor, den Zugriff auf personenbezogene Daten auf ein Mindestmaß zu beschränken. Das bedeutet, dass die Einsicht in eine digitale Personalakte nur denjenigen Personen gewährt wird, die diese Informationen benötigen, um ihre beruflichen Aufgaben zu erfüllen oder wenn Mitarbeitende ihre Einwilligung erteilen. Mitarbeitende haben gemäß § 83 Betriebsverfassungsgesetz jedoch das Recht, Einsicht in Ihre Personalakte zu nehmen, ohne Gründe anzugeben. Zudem können Sie Kopien anfordern. In Ausnahmefällen können Personalakten vor Gericht als Beweismittel herangezogen werden. Die Gültigkeit dessen, regelt das Arbeitsgerichtsgesetz (ArbGG).

Datenschutz im Homeoffice

In den letzten Jahren erlangte auch das Thema Datensicherheit im Homeoffice große Bedeutung – nicht zuletzt durch die Corona-Krise. In unserem Blog-Beitrag informiert Sabine Rüffer, zertifizierte Datenschutzexpertin, über die Herausforderungen bei der datenschutzkonformen HR-Arbeit im Homeoffice.

Mehr im Blog-Beitrag lesen

ISO Zertifizierung und ISMS

Die ISO 27001-Zertifizierung attestiert einer Firma, dass sie sämtliche Informationssicherheits-Anforderungen erfüllt und diese mit Hilfe eines Informationssicherheits-Managementsystems (ISMS) in die Wege leitet.

Weitere Kapitel zum Thema Digitale Personalakte:

• Digitale Personalakte: Definition, rechtliche Grundlagen, Inhalt und Aufbau
• So gelingt die erfolgreiche Einführung der digitalen Personalakte
• Kostenbeispiel: So viel können Sie mit einer digitalen Personalakte einsparen
• Studie: So steht es um die HR-Digitalisierung in deutschen Personalabteilungen 2023 (Whitepaper)