DSGVO: Arbeitnehmerdaten löschen oder aufbewahren?

Verlässt ein Mitarbeiter den Betrieb, kommt auch die Datenschutzgrundverordnung ins Spiel. Die DSGVO regelt unter anderem, welche Daten dann umgehend gelöscht werden müssen.

Dieser Artikel gehört zum Themen-Special Das aktuelle Datenschutzrecht

Die seit 25. Mai 2018 geltende Datenschutzgrundverordnung (DSGVO) betrifft Handwerksbetriebe nicht nur im Verhältnis zu ihren Kunden und Lieferanten. Die datenschutzrechtlichen Bestimmungen sind in besonderem Maße auch im Verhältnis zu den Arbeitnehmerinnen und Arbeitnehmern einzuhalten. Innerhalb eines Arbeitsverhältnisses gelten zum Teil erheblich strengere Anforderungen an den Datenschutz als in "normalen" Vertragsverhältnissen, da Betriebe hierin unter anderem auch gesundheitsbezogene Daten verarbeiten müssen.

Verlässt ein Arbeitnehmer, gleich aus welchem Grund, den Betrieb, stellt sich für den Arbeitgeber die Frage: Muss ich die Arbeitnehmerdaten, etwa die Personalakte oder Lohn- und Gehaltsunterlagen, jetzt löschen oder darf beziehungsweise muss ich die Daten noch weiter aufbewahren? Und wenn ja, wie lange?

Hintergrund

Die Datenschutzgrundverordnung wirft in der Praxis auch nach über einem Jahr Geltungsdauer noch eine Vielzahl von Fragen auf. Die DSGVO wurde zuletzt durch das zweite Datenschutzanpassungs- und Umsetzungsgesetz (2. DAnpUG) in Deutschland auf nationaler Ebene modifiziert. Geändert hat sich hierdurch beispielsweise das Formerfordernis der Einwilligungen von Mitarbeitern. In der Praxis hat die Verarbeitung von Arbeitnehmerdaten zwangsläufig zu erfolgen.

Dies ergibt sich bereits aus der monatlichen Lohnabrechnung. Zu den Arbeitnehmerdaten, die Firmen verarbeiten müssen, zählen unter anderem der Name und Vorname, die Anschrift, gegebenenfalls die Telefonnummer und Sozialversicherungsdaten.

Zwar gilt im Datenschutzrecht der Grundsatz des Verbotes mit Erlaubnisvorbehalt. Das heißt, eine Datenverarbeitung ist grundsätzlich verboten, es sei denn, es besteht hierfür eine Legitimationsgrundlage. Für die Datenverarbeitung im Zusammenhang mit der Durchführung und Erfüllung des Arbeitsvertrages besteht jedoch eine erforderliche Legitimationsgrundlage.

Gemäß der DSGVO und dem deutschen Bundesdatenschutzgesetz (BDSG) dürfen Betriebe die Daten ihrer Arbeitnehmer erheben, verarbeiten und speichern, wenn das für die Durchführung des Arbeitsverhältnisses erforderlich ist. Der Datenverarbeitungsvorgang (zum Beispiel die Lohnabrechnung) muss in jedem Fall im Verzeichnis der Verarbeitungstätigkeiten (Artikel 30 DSGVO) aufgeführt und erläutert werden.

Scheidet ein Arbeitnehmer, gleich aus welchem Grund, nun aus dem Betrieb aus, greift im Regelfall vorrangig die DSGVO. In diesem Fall ist die Datenverarbeitung zwar nicht (mehr) für die Durchführung des Arbeitsverhältnisses erforderlich. Gleichwohl können Betriebe die Verarbeitung der Daten des ehemaligen Arbeitnehmers dann aber unter Umständen über die Rechtsgrundlage berechtigtes Interesse gemäß Artikel 6 Absatz 1 Seite 1 lit. f DSGVO oder über die Erfüllung von gesetzlichen Pflichten gemäß Artikel 6 Absatz 1 Seite 1 lit. c DSGVO legitimieren.

Beispiel eins

Von einem berechtigten Interesse des Arbeitgebers kann man zum Beispiel ausgehen, wenn der ausgeschiedene Arbeitnehmer noch Ansprüche aus dem Arbeitsverhältnis hat und diese noch geltend machen kann. Hierzu zählt etwa die Zahlung einer Betriebsrente oder aber, wenn arbeitsrechtliche Streitigkeiten in Aussicht stehen. Darüber hinaus können auch Ansprüche des Arbeitnehmers für nicht genommenen Urlaub das berechtigte Interesse des Arbeitgebers an der (weiteren) Datenverarbeitung begründen.

In der Praxis müssen Arbeitgeber schlussendlich auch die gesetzlichen Aufbewahrungsfristen beachten, die eine weitere Datenverarbeitung in Form der Speicherung legitimieren können.

Kann die Datenspeicherung der Arbeitnehmerdaten nach dessen Ausscheiden nicht über das "berechtigte Interesse" des Arbeitgebers im Sinne der DSGVO legitimiert werden und bestehen auch keine gesetzlichen Aufbewahrungsfristen mehr, müssen die Daten des ausgeschiedenen Arbeitnehmers datenschutzkonform gelöscht werden.
Die Löschung der Arbeitnehmerdaten darf jedoch nicht pauschal und wahllos erfolgen. Denn abhängig von der Art und dem Inhalt der Unterlagen, können unterschiedliche Aufbewahrungsfristen gelten, die Arbeitgeber zwingend einzuhalten haben.

Beispiel zwei

Für Lohn- und Gehaltsunterlagen bestehen Aufbewahrungsfristen zwischen sechs und zehn Jahren. Die Sechs-Jahres-Frist ist zum Beispiel für Lohnkonten, Reisekostenabrechnungen und Fahrtenbücher maßgeblich. Sind die Lohnunterlagen hingegen auch für die Gewinnermittlung von Bedeutung, dürfen diese erst nach zehn Jahren gelöscht werden. Betriebe sollten hierzu unbedingt mit dem Steuerbüro Rücksprache halten. Schließlich bestehen auch Aufbewahrungsfristen bezüglich der Arbeitszeitdokumentation.

Nachweise über die Arbeitszeit müssen grundsätzlich sechs Jahre aufbewahrt werden. In Fällen von besonderen Arbeitszeitdokumentationen nach dem Arbeitszeit- und Mindestlohngesetz beläuft sich die Aufbewahrungspflicht sogar zwei Jahre rückwirkend. Das gilt übrigens auch für die Arbeitszeitdokumentation von Minijobbern.

Fazit

Rechtsanwältin Anna Rehfeldt, LL.M. Foto: © privat

Die Datenschutzgrundverordnung gilt jetzt seit anderthalb Jahren. Langsam aber sicher hält sie Einzug in die betriebliche Praxis.

Betriebe sollten die datenschutzrechtlichen Bestimmungen nicht auf die leichte Schulter nehmen. Früher oder später kann dies als Bumerang teuer zurückkommen.

Die Autorin Anna Rehfeldt ist Rechtsanwältin und LL.M. mit Sitz in Berlin