Recht auf Löschung nach DSGVO für Personalunterlagen: wie Sie Mitarbeiterdaten löschen und das nachweisen

Ein Löschantrag eines ehemaligen Mitarbeiters und eine gesetzliche Aufbewahrungspflicht weisen meist in entgegengesetzte Richtungen. Diesen Konflikt müssen Sie Unterlage für Unterlage auflösen, und Sie müssen Ihre Abwägung später darlegen können.

Die DSGVO gibt betroffenen Personen das Recht, ihre personenbezogenen Daten löschen zu lassen. Die Personalabteilung verwaltet einige der sensibelsten personenbezogenen Daten einer Organisation, und zugleich einige der am strengsten regulierten. Schickt ein ehemaliger Mitarbeiter einen Löschantrag, lautet die Antwort selten einfach Ja oder Nein. Ein Teil der Akte muss weg. Ein Teil muss bleiben. Und Sie brauchen einen Nachweis darüber, was wohin gehörte.

Die kurze Antwort

Sie müssen Mitarbeiterdaten löschen, wenn der Grund, aus dem Sie sie gespeichert haben, nicht mehr besteht, es sei denn, eine bestimmte Rechtsgrundlage verpflichtet Sie zur Aufbewahrung. Lohn-, Steuer- und Sozialversicherungsunterlagen fallen fast immer unter eine Aufbewahrungspflicht, die dem Löschantrag vorgeht. Die Bewerbungsakte eines abgelehnten Kandidaten in der Regel nicht. Die eigentliche Arbeit besteht darin, je Kategorie zu entscheiden, welche Regel Vorrang hat, und diese Entscheidung nachweisbar festzuhalten.

Was das Recht auf Löschung tatsächlich besagt

Das Recht auf Löschung steht in Artikel 17 DSGVO. Es gibt der betroffenen Person das Recht, die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen, wenn eine von mehreren Voraussetzungen erfüllt ist. Die beiden wichtigsten für HR sind:

• Die Daten sind für den Zweck, für den sie erhoben wurden, nicht mehr notwendig.
• Die Daten wurden auf Grundlage einer Einwilligung verarbeitet, und diese Einwilligung wurde widerrufen.

Ein Arbeitsverhältnis beruht in der Regel nicht auf Einwilligung. Es stützt sich auf den Arbeitsvertrag und auf gesetzliche Pflichten. Diese Unterscheidung ist wichtig, denn sie bestimmt, welche Löschgründe greifen und auf welche Ausnahmen Sie sich berufen können.

Wann Sie den Antrag ablehnen müssen

Artikel 17(3) zählt die Ausnahmen auf. Im HR-Bereich dominiert die Ausnahme zur Erfüllung einer rechtlichen Verpflichtung. Verlangt ein nationales Gesetz, dass Sie eine Unterlage aufbewahren, zwingt Sie das Recht auf Löschung nicht dazu, sie vorzeitig zu löschen.

Unter eine Aufbewahrungspflicht fallen die üblichen Kategorien: Lohn- und Lohnsteuerunterlagen, Arbeitsverträge und deren Änderungen sowie Unterlagen zu Arbeitsschutz und Arbeitsmedizin. Lohn- und Steuerunterlagen sind der eindeutigste Fall: Sie werden nach nationalem Steuerrecht jahrelang aufbewahrt, deshalb können Sie sie nicht auf Antrag löschen. Die genaue Frist je Kategorie finden Sie unter Aufbewahrungsfristen für Personaldaten in der EU.

Greift eine Ausnahme, löschen Sie nicht. Sie ignorieren den Antrag aber auch nicht einfach. Sie antworten, erläutern die Rechtsgrundlage für die Aufbewahrung der Daten und halten fest, dass Sie das getan haben. Eine Ablehnung, die Sie später nicht begründen können, sieht aus wie ein Verstoß.

Wann Sie löschen müssen

Wo weder eine Aufbewahrungspflicht noch eine andere Ausnahme greift, werden die Daten gelöscht. Häufige HR-Kategorien, die in der Regel gelöscht werden müssen, sobald ihr Zweck entfällt:

• Bewerbungsdaten abgelehnter Kandidaten. Sobald die Stelle besetzt ist und eine etwaige kurze Aufbewahrungsfrist für Diskriminierungsansprüche verstrichen ist, bleibt kein Zweck mehr. Ohne Einwilligung ist das Zeitfenster kurz, nach niederländischen Leitlinien etwa vier Wochen. Mit Einwilligung des Kandidaten ist bis zu einem Jahr üblich, damit Sie ihn für eine künftige Stelle ansprechen können.
• Bewerbungsdaten, die Sie mit Einwilligung aufbewahren durften, nachdem der Kandidat diese Einwilligung widerrufen hat.
• Leistungsnotizen und interne HR-Korrespondenz, die ihren Zweck überdauert haben und nicht Teil einer Unterlage sind, die Sie aufbewahren müssen.
• Zugangsdaten, Zutrittsprotokolle und IT-Kontodaten, sobald das Offboarding abgeschlossen und ein etwaiges Zeitfenster für Sicherheitsprüfungen geschlossen ist.

Speicherbegrenzung ist nicht nur reaktiv. Artikel 5(1)(e) verlangt, dass Sie personenbezogene Daten von vornherein nicht länger als nötig speichern. Das ist ein eigenständiger Grundsatz, getrennt von der Datenminimierung nach Artikel 5(1)(c), die begrenzt, wie viel Sie erheben. Ein Löschantrag ist oft nur der Moment, in dem Sie feststellen, dass Sie Daten gespeichert hatten, die Sie längst hätten entfernen müssen.

Was die meisten Teams falsch machen: der Nachweis

Die Daten zu löschen ist die halbe Pflicht. Nachweisen zu können, dass Sie sie gelöscht haben, ist die andere Hälfte, und genau diese Hälfte scheitert bei einer Prüfung.

Artikel 5(2) legt den Grundsatz der Rechenschaftspflicht fest. Sie müssen die Einhaltung nachweisen können, nicht nur behaupten. Für die Löschung heißt das, dass Sie für einen konkreten Antrag zeigen können sollten:

1. Was beantragt wurde und wann.
2. Welche Kategorien Sie gelöscht und welche Sie aufbewahrt haben.
3. Die Rechtsgrundlage für alles, was Sie behalten haben.
4. Wann die Löschung tatsächlich erfolgt ist.
5. Dass die gelöschten Daten wirklich weg sind und nicht in einem Backup liegen, das sie unbemerkt wiederherstellt.

Eine Aufsichtsbehörde wie die niederländische Autoriteit Persoonsgegevens oder die französische CNIL, die auf eine Beschwerde des ehemaligen Mitarbeiters hin tätig wird, fragt genau danach. “Wir haben es gelöscht” ist keine Antwort. Ein datierter, manipulationserkennbarer Nachweis der Entscheidung und der Handlung ist eine.

Das Backup-Problem

An Backups scheitern Löschbehauptungen. Löschen Sie einen Datensatz aus Ihrem Live-System, stellt ein nächtliches Backup ihn aber drei Wochen später wieder her, haben Sie nichts gelöscht. Aufsichtsbehörden akzeptieren, dass eine sofortige Löschung aus jedem Backup technisch nicht immer machbar ist, erwarten aber ein dokumentiertes Vorgehen: Die Daten werden jeder Nutzung entzogen, von Wiederherstellungen ausgeschlossen und bei der nächsten Backup-Rotation endgültig entfernt. Was sie nicht akzeptieren, ist Schweigen. Wenn Sie Ihren Löschprozess für Backups nicht beschreiben können, können Sie die Löschung nicht nachweisen.

Informieren Sie die anderen

Die Löschung endet nicht an Ihren eigenen Systemen. Artikel 19 verpflichtet Sie, die Löschung allen Empfängern mitzuteilen, denen die Daten offengelegt wurden, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden. Im HR-Bereich sind das in der Regel Ihr Lohnabrechnungsdienstleister, der Träger Ihrer betrieblichen Altersversorgung und jeder Auftragsverarbeiter, der die Unterlage erhalten hat. Ihre eigene Kopie zu löschen, während ein Auftragsverarbeiter seine behält, ist keine Löschung. Es ist eine Lücke, und zwar eine, die Sie schließen und dokumentieren müssen.

Ein belastbarer Löschablauf für HR

Ein Ablauf, der einer Prüfung standhält, sieht so aus:

1. Den Antrag protokollieren, bei Eingang mit Zeitstempel.
2. Die Akte nach Kategorien einteilen. Trennen Sie die Teile mit Aufbewahrungspflicht von den Teilen, die gelöscht werden müssen.
3. Die Entscheidung je Kategorie festhalten, einschließlich der Rechtsgrundlage für alles, was aufbewahrt wird.
4. Die Löschung durchführen für die Kategorien, die weg müssen, einschließlich des Umgangs mit Backups.
5. Den Nachweis sichern, dass die Löschung stattgefunden hat: was gelöscht wurde, wann und durch welchen Prozess.
6. Der Person antworten, innerhalb der Frist von einem Monat, die bei komplexen Anträgen um zwei Monate verlängert werden kann.

Das Ergebnis eines guten Ablaufs sind nicht nur gelöschte Daten. Es ist eine belastbare Akte, die Monate oder Jahre später zeigt, dass Sie aus dem richtigen Grund das Richtige getan haben. Das ist der Gedanke hinter der belastbaren Löschung: einer Vernichtung, die ihren eigenen Nachweis mitbringt.

Wie SealDoc die Löschung im HR-Bereich unterstützt

SealDoc weist jedem Dokument bei der Erstellung eine Aufbewahrungskategorie zu und zeichnet seinen Lebenszyklus in einem Hash-verketteten Audit-Trail auf, sodass jede nachträgliche Änderung an der Abfolge erkennbar ist. Die SealDoc-API verweigert das Löschen eines Dokuments innerhalb seiner Aufbewahrungsfrist.

Über die API löscht SealDoc die Daten eines Dokuments auf Anfrage, sobald seine Aufbewahrungsfrist dies zulässt, und protokolliert die Löschung im Audit-Trail. Der Eintrag entsteht im Moment der Löschung, also genau dann, wenn sich die Rechenschaftspflicht nach Artikel 5(2) am leichtesten erfüllen und im Nachhinein am schwersten rekonstruieren lässt.

Die Daten liegen auf Infrastruktur innerhalb der EU, ohne US-Hyperscaler dazwischen, sodass der Löschnachweis selbst kein neues Übermittlungsproblem schafft.