„Ein Gesetz, das die Führung oder Form der Personalakte vorschreibt, gibt es zwar nicht.“ Dies verdeutlicht der Geschäftsführer des Arbeitgeberverbandes Osthessen e.V. Weiterhin, so erläutert Manfred Baumann, seien grundsätzlich Papierordner und elektronische Systeme gleichermaßen zulässig. „Der Arbeitgeber bestimmt Form und System der Personalakte. Diese Gestaltungsfreiheit endet jedoch bald – zumindest im Beitragsrecht zur Sozialversicherung.“ Die genauen Details dazu hat der Jurist nachfolgend aufgeführt.

Nach der Beitragsverfahrensverordnung (BVV) sind Entgeltunterlagen für jeden Beschäftigten kalenderjahrbezogen und geordnet zu führen. Bereits heute müssen die in § 8 Abs. 2 BVV genannten Unterlagen elektronisch zu den Entgeltunterlagen genommen werden, etwa die Kopie des Arbeitsvertrages nach dem Nachweisgesetz. Die Befreiung von der elektronischen Führung ist nur noch bis zum 31. Dezember 2026 auf Antrag bei der Deutschen Rentenversicherung möglich. Grundsätzlich müssen die Unterlagen eine zügige Prüfung der formellen und sachlichen Richtigkeit der Entgelt-abrechnung ermöglichen; dafür sind geeignete Darstellungsprogramme, Lesegeräte und Personal bereitzustellen. Wer Entgeltunterlagen nicht ordnungsgemäß führt oder aufbewahrt, riskiert je nach Verstoß Bußgelder sowie eine Schätzung der Arbeitsentgelte nach § 28f Abs. 2 Satz 3 des Sozialgesetzbuch Viertes Buch (SGB IV).

Mit dem Auslaufen der Befreiungsmöglichkeit zum 31. Dezember 2026 müssen Arbeitgeber die Entgeltunterlagen nach § 8 der Beitragsverfahrensverordnung (BVV) ab dem 1. Januar 2027 ausnahmslos elektronisch und maschinell auswertbar führen. Eine allgemeine Pflicht zur vollständig digitalen Personalakte begründet dies zwar nicht, faktisch wird die digitale Aktenführung damit aber wohl zum Standard, denn eine saubere Trennung zwischen verpflichtend digitalen Entgeltunterlagen und weiterhin in Papierform geführten übrigen Personalunterlagen ist organisatorisch kaum darstellbar.

Die Einführung und Nutzung eines elektronischen Personalaktensystems unterliegt regelmäßig der Mitbestimmung des Betriebsrates (vgl. BAG, Beschluss vom 8. März 2022 – 1 ABR 20/21 –, BAGE 177, 237-246, LAG Köln, Beschluss vom 02.12.2022 – 9 TaBV 42/22). Denn es genügt die objektive Eignung einer technischen Einrichtung zur Verhaltens- oder Leistungskontrolle in Bezug auf die Mitarbeiter, eine Überwachungsabsicht ist nicht erforderlich. Auch Systemänderungen sind mitbestimmungspflichtig.

Das Landesarbeitsgericht (LAG) Düsseldorf vom 23.06.2020 (3 TaBV 65/19) hat bestätigt, dass bei der Regelung einer unternehmensweit einheitlichen elektronischen Personalaktenführung der Gesamtbetriebsrat nach § 50 Abs. 1 Satz 1 des Betriebsverfassungsgesetzes (BetrVG) originär zuständig ist. Der Grund hierfür ist ein objektiv zwingendes technisches Erfordernis, wenn Personaldaten aus verschiedenen Betrieben in einem System geführt werden. Dies setzt eine einheitliche Ausgestaltung von System und Zugriffsberechtigungen voraus.

Gleichzeitig schiebt das LAG Düsseldorf weitgehenden Einsichtsrechten des Betriebsrates einen Riegel vor. Ein permanentes, uneingeschränktes Einsichtsrecht örtlicher Betriebsratsvorsitzender in elektronische Personalakten verstößt gegen § 75 Abs. 2 BetrVG, weil es unverhältnismäßig in Persönlichkeitsrechte eingreift. Offenbart würden ohne Zustimmung der Betroffenen und ohne deren Kenntnis sämtliche Akteninhalte, einschließlich Stammdaten, Unterhaltspflichten, Pfändungen, vertraglicher Absprachen und Abmahnungen. Als zulässiges milderes Mittel bestehen jedoch Prüf- und Informationsrechte, soweit die Persönlichkeitsrechte gewahrt bleiben. Betriebsvereinbarungen sollten deshalb technisch begrenzte Berechtigungen vorsehen.

Auch bei der elektronischen Personalaktenführung bleibt das Einsichtsrecht des Arbeitnehmers einschließlich Hinzuziehung eines zur Verschwiegenheit verpflichteten Betriebsratsmitglieds bestehen. Aus § 83 Abs. 1 BetrVG ergibt sich zugleich die Trennlinie: Ohne Zustimmung des Arbeitnehmers ist eine Einsichtnahme des Betriebsrats in die Personalakte nicht vorgesehen – unabhängig davon, ob sie in Papierform oder elektronisch geführt wird.

Datenschutzrechtlich ist Folgendes zu beachten: An der Rechtsgrundlage der Verarbeitung ändert die Digitalisierung nichts. Ob die Beschäftigtendaten in der Papierakte oder im elektronischen System verarbeitet werden, ist für die Zulässigkeit unerheblich, maßgeblich bleiben die Rechtsgrundlagen in Art. 6 der Datenschutz-Grundverordnung (DSGVO) sowie die relevanten Regelungen im Bundesdatenschutzgesetz (vgl. § 26 Abs. 1, Abs. 4, Abs. 6 Bundesdatenschutzgesetz (BDSG)). Auch die Pflicht zu geeigneten technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO besteht unabhängig vom Medium; sie trifft den Arbeitgeber bei der Papierakte nicht anders als bei der digitalen Akte. Was sich ändert, ist die praktische Umsetzung: Wo bislang der abschließbare Aktenschrank und die räumliche Zugangskontrolle genügten, treten nun Serversicherheit, Verschlüsselung, rollenbasierte Berechtigungskonzepte und die revisionssichere Protokollierung von Zugriffen und Änderungen an deren Stelle. Entsprechendes gilt für die Löschung: Das Spannungsverhältnis zwischen gesetzlichen Aufbewahrungspflichten und dem Grundsatz der Speicherbegrenzung ist nicht neu, im digitalen System müssen die differenzierten, dokumententypbezogenen Lösch- und Sperrfristen jedoch technisch abgebildet werden. Bestehende Löschroutinen sind daher gegebenenfalls anzupassen und sollten bereits bei der Auswahl des Systems mitgedacht werden.

Eine Änderung gibt es aber an anderer Stelle: Mit der Digitalisierung geht in aller Regel die Nutzung von Software und Tools Dritter einher – sei es die HR-Software eines externen Anbieters, sei es eine Cloud-Lösung. Damit werden Beschäftigtendaten außerhalb der eigenen Sphäre des Arbeitgebers verarbeitet, was zusätzliche Maßnahmen erfordert. Erforderlich ist regelmäßig der Abschluss eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO; der Anbieter ist zuvor auf seine Zuverlässigkeit und sein Datenschutzniveau zu prüfen. Sitzt der Anbieter außerhalb der Europäischen Union oder greift er von dort auf die Daten zu, sind zusätzlich die Anforderungen an Drittlandübermittlungen nach Kapitel V der DSGVO zu wahren. Unberührt bleibt das Einsichtsrecht der Beschäftigten in ihre Personalakte, das durch Auskunfts- und Kopie-Ansprüche nach Art. 15 DSGVO ergänzt wird.

Grundsätzlich kann der Arbeitgeber die Form und das System selbst bestimmen. Einfach umsetzbar ist dies jedoch regelmäßig nicht. Beitragsrecht, Mitbestimmung und die zuvor dargestellten datenschutzrechtlichen Vorgaben führen vielmehr zu vier zentralen Anforderungen an das System.

Erstens müssen die Entgeltunterlagen so geführt werden, dass Formvorschriften eingehalten sind und der oder die Prüfende jederzeit ohne Verzögerung zugreifen kann. Dem genügt ein einfacher Dateiordner regelmäßig nicht, weil Vollständigkeit, personenunabhängige Bearbeitung und jederzeitige Einsicht nicht sichergestellt sind (vgl. zum übertragbaren Rechtsgedanken ordnungsgemäßer elektronischer Aktenführung VG Freiburg, Beschl. v. 13.11.2023 – 3 K 1381/23, dort zum beamtenrechtlichen Auswahlverfahren).

Zweitens muss nachvollziehbar sein, wer wann und in welchem Umfang Bearbeitungen vorgenommen hat. Der Zugriff ist auf Lese- und Schreibberechtigte zu begrenzen, und die Akte muss auf Datenträgern geführt werden, die unbefugte Änderungen oder Löschungen praktisch ausschließen. Ein Cloud-Ordner, der die lokale Festplatte spiegelt und Änderungen sowie Löschungen des Nutzers übernimmt, genügt dem nicht (vgl. § 9 Abs. 5 BVV).

Drittens verlangt das Betriebsverfassungsgesetz ein technisch abgebildetes Berechtigungskonzept, denn improvisierte Ordnerfreigaben sind mitbestimmungsrechtlich kaum verhandelbar (§ 87 Abs. 1 Nr. 6 BetrVG).

Viertens ist der Cloud-Betrieb – wie oben dargestellt – regelmäßig Auftragsverarbeitung mit Vertragspflicht nach Art. 28 Abs. 3 DSGVO und bei Serverstandorten außerhalb des Europäischen Wirtschaftsraums zusätzlich geeigneten Garantien.

Abschließend betont der AGV-Geschäftsführer: „Für die Praxis heißt das, dass datenschutzrechtlich mit der digitalen Personalakte kein neues Pflichtenprogramm beginnt, wohl aber eine neue Umsetzungsrealität. Arbeitgeber sollten die verbleibende Zeit nutzen, um bei der Systemauswahl Berechtigungs-, Protokollierungs- und Löschkonzepte von Anfang an mitzudenken, die Verträge mit Softwareanbietern datenschutzkonform auszugestalten und die Mitbestimmungsgremien frühzeitig einzubinden. “