Eine digitale Personalakte ist im Mittelstand 2026 Standard, aber die DSGVO-orientierte Strukturierung wird häufig unterschätzt. Wer zu viel digitalisiert, riskiert DSGVO-Verstöße. Wer zu wenig erfasst, verletzt arbeitsrechtliche Aufbewahrungspflichten.
Aufbewahrungspflichtige Kern-Unterlagen
- Arbeitsvertrag mit allen Nachträgen
- Sozialversicherungs-Anmeldung und SV-Nummer
- Lohnsteuer-Karte bzw. ELStAM-Daten
- Lohnabrechnungen der letzten 6 Jahre
- Krankheits- und Urlaubsstatistik (ohne Diagnose-Details, nur Tage)
- Abmahnungen und Disziplinar-Maßnahmen (bis Tilgung)
- Zeugnisse und Beurteilungen
- Schulungs-Nachweise bei berufsrechtlich relevanten Schulungen
Wunsch-Inhalte mit Einwilligung
- Foto des Mitarbeiters für interne Telefonliste
- Notfallkontakt mit Telefonnummer
- Geburtstag für Geburtstagsgrüße im Team
- Bankverbindung für Reisekosten (über Pflichtdaten hinaus)
Pflicht-Hinweis: jede Wunsch-Erhebung mit dokumentierter Einwilligung. Widerruf jederzeit möglich.
Was nicht in die Personalakte gehört
Die DSGVO ordnet bestimmte Datenkategorien als „besonders schutzbedürftig" ein (Art. 9 DSGVO), unter anderem:
- Gesundheits-Daten ohne arbeitsrechtlichen Anlass
- Religion ohne lohnsteuerlichen Anlass (Kirchensteuer)
- Politische Meinung des Mitarbeiters
- Sexuelle Orientierung
- Gewerkschafts-Zugehörigkeit (außer bei besonders berechtigten Anlässen)
- Strafregister-Auszüge ohne Bezug zur Stellen-Anforderung
Im Zweifel: nicht erfassen.
Aufbewahrungsfristen pro Dokument-Klasse
| Dokument-Klasse | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Arbeitsvertrag (nach Ende) | 3 Jahre | BGB §§ 195, 199 |
| Lohnabrechnungen (Lohnkonto) | 6 Jahre | EStG § 41 |
| Lohnunterlagen als Buchungsbelege | 8 Jahre | AO § 147 |
| Sozialversicherungs-Entgeltunterlagen | bis Ablauf des Jahres nach der letzten SV-Prüfung | SGB IV § 28f |
| Urlaubsanträge | 1 Jahr nach Genehmigung | Praktische Regel |
| Reisekosten-Belege | 8 Jahre (Buchungsbeleg) | AO § 147 |
| Unterlagen zur betrieblichen Altersversorgung | bis zu 30 Jahre | Praxis-Regel (Verjährung BetrAVG § 18a) |
| Abmahnungen | bis Tilgung (2–3 Jahre) | Praxis-Regel, Einzelfall-Rechtsprechung |
Berechtigungs-Konzept: Wer darf was sehen?
Rolle 1: Personal-Sachbearbeiter. Sieht alle laufenden Pflicht-Dokumente. Keine Disziplinar-Maßnahmen, keine BEM-Unterlagen.
Rolle 2: Personal-Leiter. Volle Sicht inkl. Disziplinar-Maßnahmen, BEM-Unterlagen, Schwerbehinderung.
Rolle 3: Mitarbeiter (Self-Service). Sieht eigene Lohnabrechnungen, Urlaubsantrag-Status, Schulungs-Übersicht.
Rolle 4: Vorgesetzter (Linien-Manager). Sieht Mitarbeiter-Stammdaten, Urlaubsanträge. Keine Lohnabrechnung, keine BEM-Daten.
Plus: jede Aktion im Audit-Trail. Wer hat wann welches Dokument geöffnet oder heruntergeladen.
FAQ
Wie lange muss ich Arbeitsverträge nach Ausscheiden aufbewahren? Die regelmäßige Verjährungsfrist ist 3 Jahre nach Beendigung (Praxis-Regel). Bei steuerlich relevanten Unterlagen gelten die längeren steuerlichen Fristen.
Dürfen wir Bewerbungsunterlagen aufbewahren? Nach der Absage dürfen sie wegen möglicher AGG-Ansprüche noch einige Monate aufbewahrt werden (Praxis-Regel: etwa 4 bis 6, abgeleitet aus § 15 Abs. 4 AGG und § 61b ArbGG). Danach sind sie ohne Einwilligung zu löschen.
Kann ich die Personalakte vom Mitarbeiter einsehen lassen? Ja, Mitarbeitende haben ein Einsichtsrecht (§ 83 BetrVG), daneben den Auskunftsanspruch aus Art. 15 DSGVO. Self-Service-Zugang über das DMS erfüllt das pragmatisch.
Fazit
Die digitale Personalakte erfordert Disziplin. Aufbewahrungspflichtiges klar geführt, Freiwilliges mit Einwilligung, verbotene Daten gar nicht erfassen. Rollen-Konzept und Aufbewahrungsfristen pro Klasse pflegen, Audit-Trail aktiv. Stand: September 2026
Dieser Beitrag informiert allgemein über rechtliche Anforderungen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.
Weiterführende Artikel
Digitale Akten mit OXS.eco
Alle Dokumente zu einem Mitarbeiter, Kunden oder Vorgang an einem Ort, mit Zugriff nach Rollen.