Zugriff auf die Personalakte – Was Sie dürfen und was nicht

Es geht hier, wie immer im Datenschutz, um die allgemeinen Persönlichkeitsrechte der betroffenen Personen. Eine Datenverarbeitung (hier der Zugriff auf die Personalakte) ist nur erlaubt, wenn dadurch keine Persönlichkeitsrechte beeinträchtigt werden.

Als erstes stellt sich daher immer die Frage, ob die Datenverarbeitung überhaupt erlaubt ist:

Dazu schauen wir uns den Artikel 88 der Datenschutzgrundverordnung DSGVO an [3]:

• Datenverarbeitung im Beschäftigungskontext

(1) Die Mitgliedstaaten können durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere
Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener
Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags
einschließlich der Erfüllung von durch Rechtsvorschriften oder durch Kollektivvereinbarung en festgelegten Pflichten, des
Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der
Gesundheit und Sicherheit am Arbeitsplatz, des Schutzes des Eigentums der Arbeitgeber oder der Kunden sowie für
Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte
und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses vorsehen.

(2) Diese Vorschriften umfassen angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der
berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der
Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von
Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.

Daraus ergibt sich der §26 des BDSG, hier ist nur Absatz 1 von Bedeutung [4]:

• 26 Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
  (1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet
  werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach
  Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung
  oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung
  (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich
  ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet
  werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene
  Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich
  ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht
  überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Für die Kommunen in Hessen gilt das HDSIG, dort findet sich der nahezu identische Wortlaut im §23 [5]. Somit ist die Datenverarbeitung grundsätzlich erlaubt.

Dazu sind, wie bei jeder Datenverarbeitung, die „Grundsätze für die Verarbeitung personenbezogener Daten“ aus Artikel 5 der DSGVO [6] zu beachten, dort speziell

Art. 5 Abs. 1 lif c:
Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).

Art. 5 Abs. 1 lif f:
Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).