Ein Mitarbeiter verlässt Ihr Unternehmen. Die Übergabe ist abgeschlossen, das Abschiedsgeschenk überreicht. Doch während der operative Teil des Abschieds beendet ist, beginnt ein entscheidender, oft vernachlässigter Prozess: die korrekte Löschung der personenbezogenen Mitarbeiterdaten. Dies ist keine optionale Aufgabe, sondern eine zwingende rechtliche Verpflichtung aus der DSGVO.
Viele Unternehmen unterschätzen die Komplexität und die Risiken, die mit diesem Thema verbunden sind. Ein falscher Klick oder das Ignorieren von Fristen kann zu empfindlichen Bußgeldern führen. Ziel muss es sein, Rechtssicherheit zu erlangen und den Datenschutzprozess lückenlos zu gestalten. Dieser Artikel zeigt Ihnen, wie Sie die Datenlöschung von Mitarbeitern systematisch und gesetzeskonform meistern.
[ads_custom_box title=“Auf einen Blick“ color_border=“#000000″]- Grundsatz: Personenbezogene Daten von Mitarbeitern müssen gelöscht werden, sobald der Zweck für ihre Speicherung entfällt (Zweckentfall).
- Ausnahme: Gesetzliche Aufbewahrungsfristen aus dem Steuer- oder Handelsrecht haben Vorrang vor der sofortigen Löschpflicht der DSGVO.
- Pflicht: Ein dokumentiertes Löschkonzept ist für jedes Unternehmen unerlässlich, um die Compliance nachweisen zu können.
- Risiko: Fehler bei der Löschung oder die Missachtung von Fristen stellen einen Datenschutzverstoß dar und können hohe Bußgelder nach sich ziehen.
Der Grundsatz: Das Recht auf Vergessenwerden im Arbeitsverhältnis
Die Grundlage für die Löschpflicht bildet Artikel 17 der Datenschutz-Grundverordnung (DSGVO) – das „Recht auf Löschung“ oder „Recht auf Vergessenwerden“. Für das Arbeitsverhältnis bedeutet dies: Endet der Arbeitsvertrag, entfällt die primäre Rechtsgrundlage für die Verarbeitung der meisten personenbezogenen Daten. Der Zweck, nämlich die Durchführung des Beschäftigungsverhältnisses, ist nicht mehr gegeben.
Ab diesem Zeitpunkt sind Sie als Arbeitgeber grundsätzlich verpflichtet, die nicht mehr benötigten Daten zu löschen. Dieser Prozess ist ein zentraler Baustein für einen umfassenden Mitarbeiterdatenschutz und demonstriert einen verantwortungsvollen Umgang mit sensiblen Informationen. Die Herausforderung liegt jedoch im Detail, denn nicht alle Daten dürfen sofort gelöscht werden.
Welche Mitarbeiterdaten sind betroffen?
Im Laufe eines Arbeitslebens sammelt sich eine Vielzahl von Daten an. Um eine korrekte Löschung zu gewährleisten, müssen Sie zunächst wissen, welche Datenkategorien überhaupt existieren. Typischerweise fallen darunter:
- Stammdaten: Name, Anschrift, Geburtsdatum, Bankverbindung.
- Vertragsdaten: Arbeitsvertrag, Gehaltsinformationen, Positionsbeschreibungen.
- Leistungs- und Verhaltensdaten: Beurteilungen, Zielvereinbarungen, Abmahnungen.
- Kommunikationsdaten: Geschäftliche E-Mails, Chatverläufe.
- Organisatorische Daten: Urlaubsanträge, Arbeitszeiterfassung, Krankmeldungen.
- Sonstige Daten: Informationen aus dem Bewerbungsprozess, Weiterbildungszertifikate.
Diese Informationen befinden sich oft an unterschiedlichen Speicherorten – von der HR-Software über Serverlaufwerke bis hin zur digitalen Personalakte. Eine genaue Inventur ist der erste Schritt zu einem sauberen Löschprozess.
Die entscheidende Frage: Wann wird was gelöscht?
Die pauschale Antwort „sofort“ ist falsch und gefährlich. Die Kunst besteht darin, die Löschpflicht der DSGVO mit den gesetzlichen Aufbewahrungsfristen in Einklang zu bringen. Hierfür ist eine Differenzierung nach Datenarten und deren rechtlicher Relevanz notwendig.
Daten, die sofort (oder sehr zeitnah) gelöscht werden müssen
Alle Daten, die keinem legitimen Nachfolgezweck dienen und keiner gesetzlichen Aufbewahrungsfrist unterliegen, müssen nach dem Austritt unverzüglich gelöscht werden. Dazu gehören zum Beispiel:
- Private Notizen von Vorgesetzten, die nie Teil der offiziellen Personalakte waren.
- Informelle Leistungsbeurteilungen oder Feedback-Gespräche ohne formellen Charakter.
- Anträge auf Sonderurlaub für private Anlässe, die bereits abgewickelt sind.
Aus meiner Sicht ist dies ein Punkt, der oft unterschätzt wird. Informelle Notizen auf dem Server können schnell zu einem Datenschutzproblem werden, wenn sie nicht proaktiv entfernt werden. Sie unterliegen keiner Aufbewahrungsfrist und ihr Zweck ist mit dem Austritt definitiv erloschen.
Die Ausnahme: Gesetzliche Aufbewahrungsfristen
Hier liegt der Kern der Komplexität: Zahlreiche Gesetze verpflichten Sie, bestimmte Dokumente und Daten für einen festgelegten Zeitraum aufzubewahren. Diese Pflichten haben Vorrang vor dem Löschanspruch der DSGVO. Erst nach Ablauf dieser Fristen dürfen die Daten endgültig gelöscht werden.
So müssen beispielsweise lohnsteuerrechtlich relevante Unterlagen für sechs Jahre aufbewahrt werden, während für Buchungsbelege sogar eine Frist von zehn Jahren gilt, wie es verschiedene Handels- und Steuergesetze vorschreiben. Die wichtigsten Fristen im Überblick:
- 10 Jahre: Buchungsbelege (z.B. Gehaltsabrechnungen, Reisekostenabrechnungen), Lohnsteuerunterlagen, Dokumente zur betrieblichen Altersvorsorge.
- 6 Jahre: Geschäftsbriefe (dazu kann auch die geschäftliche E-Mail-Kommunikation zählen), Lohnkonten.
- 3 Jahre: Daten, die zur Abwehr von Ansprüchen des ehemaligen Mitarbeiters relevant sein könnten (z.B. Arbeitszeugnisse, Abmahnungen). Hier gilt die regelmäßige Verjährungsfrist nach dem BGB.
- Bis zu 2 Jahre: Pfändungsunterlagen.
Auch spezielle Dokumente wie der Umgang mit Krankmeldungen kann Daten erzeugen, die für die Lohnfortzahlung relevant sind und daher aufbewahrt werden müssen.
Sonderfall: Bewerberdaten
Um den Prozess sauber abzugrenzen, lohnt ein kurzer Blick auf den Bewerberdatenschutz. Die Daten von abgelehnten Bewerbern müssen deutlich früher gelöscht werden. In der Regel hat sich hier eine Frist von maximal sechs Monaten nach Abschluss des Bewerbungsverfahrens etabliert, um eventuelle Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) abwehren zu können.
Die praktische Umsetzung: Ein Löschkonzept entwickeln
Theorie ist gut, Praxis ist besser. Ein abstraktes Wissen über Fristen reicht nicht aus. Sie benötigen einen handfesten, dokumentierten Prozess – ein sogenanntes Löschkonzept. Dieses dient nicht nur der internen Organisation, sondern auch als Nachweis gegenüber Aufsichtsbehörden.
Schritt 1: Dateninventur durchführen
Wo liegen welche Daten? Erstellen Sie eine Übersicht aller Systeme und Speicherorte, an denen Mitarbeiterdaten verarbeitet werden. Denken Sie dabei an:
- Personalverwaltungssoftware (HR-System)
- Datei-Server und Cloud-Speicher
- E-Mail-Server und Archive
- Systeme zur Zeiterfassung
- Physische Personalakten
Schritt 2: Regeln und Fristen definieren
Weisen Sie jeder Datenart eine konkrete Löschfrist zu. Erstellen Sie eine Richtlinie, die genau festlegt, welche Daten nach welchem Zeitraum gelöscht (oder bis dahin gesperrt) werden. Dieses Regelwerk ist das Herzstück Ihres Löschkonzepts. In der Praxis hat sich immer wieder gezeigt, dass ein schriftlich fixiertes Löschkonzept im Falle einer Prüfung durch die Aufsichtsbehörde Gold wert ist. Es demonstriert, dass Sie sich strukturiert mit dem Thema auseinandergesetzt haben.
Schritt 3: Technische und organisatorische Umsetzung
Definieren Sie, wie die Löschung technisch erfolgt und wer dafür verantwortlich ist. Oftmals ist es sinnvoll, Daten nach dem Austritt zunächst zu „sperren“ – also den Zugriff stark einzuschränken – und sie erst nach Ablauf der Aufbewahrungsfrist endgültig zu löschen. Automatisierte Erinnerungen oder Workflows können hier Fehler minimieren. Diese Regeln können auch in einer Betriebsvereinbarung zum Datenschutz festgehalten werden, um für alle Seiten Transparenz zu schaffen.
Fazit: Ein Prozess für Sicherheit und Vertrauen
Die korrekte Löschung von Mitarbeiterdaten ist kein lästiges Übel, sondern ein Zeichen von Professionalität und Rechtsbewusstsein. Ein sauberer Datenabschied ist kein Hexenwerk. Er erfordert Bewusstsein für die Thematik, einen klaren Prozess in Form eines Löschkonzepts und die richtigen Werkzeuge zur Umsetzung. So schützen Sie nicht nur die Rechte Ihrer ehemaligen Mitarbeiter, sondern vor allem Ihr Unternehmen vor rechtlichen Konsequenzen.
Häufig gestellte Fragen (FAQ)
Was ist mit dem E-Mail-Postfach des ehemaligen Mitarbeiters?
Das E-Mail-Postfach sollte unmittelbar nach dem Austritt gesperrt werden. Richten Sie eine Abwesenheitsnotiz mit Hinweis auf einen neuen Ansprechpartner ein. Nach einer kurzen Übergangsfrist, in der geschäftsrelevante E-Mails gesichert werden, muss das Postfach gelöscht werden, insbesondere wenn eine private Nutzung erlaubt war.
Muss ich Daten löschen, auch wenn der Mitarbeiter nicht danach fragt?
Ja, die Löschpflicht nach Art. 17 DSGVO ist eine proaktive Pflicht des Unternehmens. Sie müssen die Daten nach Zweckentfall und Ablauf der Aufbewahrungsfristen von sich aus löschen, unabhängig von einer Aufforderung des ehemaligen Mitarbeiters.
Was passiert mit Daten auf Sicherungsbändern (Backups)?
Daten in Backups müssen nicht sofort aufwendig gelöscht werden. Sie müssen jedoch als „zu löschen“ gekennzeichnet und bei einer eventuellen Rücksicherung des Backups sofort entfernt werden. Mit der Zeit werden diese Daten durch neue Backups überschrieben.
Gibt es einen Unterschied zwischen „Löschen“ und „Sperren“?
Ja. Das Sperren von Daten schränkt den Zugriff darauf stark ein, die Daten bleiben aber für die Dauer der Aufbewahrungsfrist gespeichert. Das Löschen ist die endgültige, unwiderrufliche Entfernung der Daten von den Systemen.
Wer ist im Unternehmen für die Datenlöschung verantwortlich?
Die oberste Verantwortung liegt bei der Geschäftsführung als „Verantwortlichem“ im Sinne der DSGVO. Operativ wird die Aufgabe meist an die Personalabteilung (HR) und die IT-Abteilung delegiert, idealerweise unter Aufsicht eines Datenschutzbeauftragten.
