Eine Personalakte darf digital und in der Cloud geführt werden. Kein Gesetz verlangt Papier, und kein Gesetz verlangt überhaupt eine Personalakte. Entscheidend ist, dass Rechtsgrundlage, Auftragsverarbeitung, Zugriffsrechte, Löschfristen und gegebenenfalls die Mitbestimmung des Betriebsrats geklärt sind.
Für viele Unternehmen kommt der Anlass jetzt von selbst. Ab dem 1. Januar 2027 entfällt die Möglichkeit, sich von der elektronischen Führung der Entgeltunterlagen befreien zu lassen. Dieser Beitrag zeigt, was für die digitale Personalakte gilt, welche Fristen welche Dokumente haben und wo in der Praxis die meisten Lücken liegen.
Den Begriff „Personalakte“ definiert kein Gesetz für private Arbeitgeber. Das Bundesarbeitsgericht versteht darunter alle Unterlagen über ein Arbeitsverhältnis, unabhängig davon, wo sie liegen. Diese materielle Personalakte umfasst also auch Dokumente in einem anderen Ordner oder System.
Eine Pflicht, eine Personalakte zu führen, gibt es nicht. Es gibt aber einzelne Dokumentations- und Aufbewahrungspflichten: das Lohnkonto nach § 41 EStG, die Entgeltunterlagen nach § 28f SGB IV, die Arbeitszeitnachweise, der Nachweis der wesentlichen Vertragsbedingungen nach dem Nachweisgesetz und die steuerlichen Aufbewahrungspflichten. In der Praxis landet all das in der Personalakte.
Nach § 8 Abs. 2 der Beitragsverfahrensverordnung sind bestimmte Unterlagen elektronisch zu den Entgeltunterlagen zu nehmen, etwa Daten der Meldungen, Arbeitserlaubnisse und Erklärungen geringfügig Beschäftigter. Bisher konnten sich Arbeitgeber auf Antrag beim Prüfdienst der Deutschen Rentenversicherung davon befreien lassen. Diese Möglichkeit besteht nur „bis zum 31. Dezember 2026“.
Das ist keine Pflicht, die ganze Personalakte zu digitalisieren. Es betrifft die Entgeltunterlagen. Wer diesen Teil ohnehin umstellen muss, kann die übrige Akte im selben Schritt mitnehmen.
Lange galt § 26 BDSG als Grundlage für die Verarbeitung von Beschäftigtendaten. Der Europäische Gerichtshof hat 2023 zu einer gleich lautenden hessischen Regelung entschieden, dass sie nicht angewendet werden darf, wenn sie die Anforderungen von Art. 88 DSGVO nicht erfüllt. Das Bundesarbeitsgericht hat am 8. Mai 2025 (8 AZR 209/21) daraus gefolgert: § 26 Abs. 1 BDSG hat unangewendet zu bleiben. Die Vorschrift steht zwar noch im Gesetz, Arbeitgeber stützen die Verarbeitung aber direkt auf Art. 6 DSGVO.
Für die Personalakte bedeutet das, dass alles, was zur Durchführung des Arbeitsvertrags nötig ist, unter Art. 6 Abs. 1 lit. b DSGVO fällt. Daten, mit denen der Arbeitgeber gesetzliche Pflichten erfüllt, etwa für Lohnsteuer und Sozialversicherung, fallen unter lit. c. Für alles Weitere braucht es ein berechtigtes Interesse mit Abwägung oder eine Einwilligung, die im Arbeitsverhältnis nur selten wirklich freiwillig ist. Ein eigenes Beschäftigtendatengesetz gibt es noch nicht. Der Entwurf von Oktober 2024 wurde vor dem Ende der damaligen Koalition nicht mehr beschlossen, ein neuer Entwurf ist bisher nicht veröffentlicht.
Die DSGVO verbietet keine Cloud. Wer Personalakten bei einem Anbieter speichert, braucht einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO und eine Übersicht der Unterauftragnehmer. Bei Anbietern außerhalb der EU kommt die Frage der Drittlandübermittlung hinzu.
Das EU-US Data Privacy Framework ist gültig, das Gericht der EU hat es im September 2025 bestätigt. Gegen das Urteil läuft aber ein Rechtsmittel. Bei einem Anbieter mit Sitz und Rechenzentren in Deutschland und Unterauftragnehmern in der EU stellt sich diese Frage nicht.
Wie genau Gerichte hinschauen, zeigt das Urteil vom Mai 2025. Ein Konzern hatte echte Personaldaten in ein cloudbasiertes HR-System übertragen, um es zu testen, und zwar mehr als die Betriebsvereinbarung erlaubte. Das Bundesarbeitsgericht sprach dem Mitarbeiter 200 Euro Schadenersatz zu. Tests mit echten Daten sind nur erlaubt, wenn Testdaten ohne Personenbezug nicht ausreichen.
Krankmeldungen, Unterlagen zum betrieblichen Eingliederungsmanagement oder arbeitsmedizinische Bescheinigungen sind Gesundheitsdaten nach Art. 9 DSGVO. Das Bundesarbeitsgericht hat schon 2006 entschieden, dass solche Daten in der Personalakte besonders geschützt aufbewahrt werden, damals im verschlossenen Umschlag. Digital bedeutet das einen eigenen Bereich, auf den nur wenige Personen zugreifen können und dessen Zugriffe protokolliert sind.
| Bereich der Akte | Typischer Zugriff |
|---|---|
| Vertrag, Stammdaten, Zeugnisse | Personalabteilung, Personalleitung |
| Entgelt und Sozialversicherung | Personalabteilung, Lohnbüro oder Steuerberatung |
| Gesundheit, BEM | nur benannte Personen, Zugriffe protokolliert |
| Abmahnungen, Beurteilungen | Personalleitung, bei Bedarf die Führungskraft |
| Gehaltsabrechnungen des Mitarbeiters | Personalabteilung und der Mitarbeiter selbst |
Führungskräfte brauchen selten die ganze Akte. Je feiner die Rechte pro Ordner vergeben werden, desto leichter lässt sich jeder Zugriff begründen.
Eine einheitliche Frist für die Personalakte gibt es nicht. Die Fristen hängen am einzelnen Dokument. Die Tabelle zeigt die häufigsten.
| Unterlage | Frist | Grundlage |
|---|---|---|
| Lohnkonto | bis Ende des sechsten Kalenderjahres nach der letzten Lohnzahlung | § 41 Abs. 1 EStG |
| Buchungsbelege, etwa Lohnabrechnungen als Beleg | acht Jahre | § 147 Abs. 3 AO |
| Bücher und Jahresabschlüsse | zehn Jahre | § 147 Abs. 3 AO |
| Entgeltunterlagen | bis Ablauf des Kalenderjahres nach der letzten Betriebsprüfung | § 28f Abs. 1 SGB IV |
| Nachweise über Mehrarbeit | mindestens zwei Jahre | § 16 Abs. 2 ArbZG |
| Unterlagen abgelehnter Bewerber | keine gesetzliche Frist, Praxis der Aufsichtsbehörden rund sechs Monate | § 15 Abs. 4 AGG, § 61b ArbGG |
Seit dem 1. Januar 2025 gilt für Buchungsbelege acht statt zehn Jahre. Das betrifft auch ältere Belege, deren alte Frist Ende 2024 noch nicht abgelaufen war. Bücher und Jahresabschlüsse bleiben bei zehn Jahren. Nach dem Austritt eines Mitarbeiters gehört alles gelöscht, was keine dieser Fristen mehr trägt. Ein Löschkonzept legt fest, wann welcher Ordner geprüft wird.
Gibt es einen Betriebsrat, hat er bei der Einführung einer digitalen Personalakte in aller Regel mitzubestimmen. Nach § 87 Abs. 1 Nr. 6 BetrVG genügt es, dass ein System objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Ob der Arbeitgeber das vorhat, spielt keine Rolle. Zugriffsprotokolle oder Auswertungen reichen dafür aus.
Der übliche Weg ist eine Betriebsvereinbarung. Sie regelt Zugriffsrechte, Protokolle und Löschfristen. Sie muss aber selbst der DSGVO entsprechen und kann deren Schutz nicht absenken, wie der Europäische Gerichtshof im Dezember 2024 entschieden hat.
Nach § 83 BetrVG dürfen Beschäftigte ihre Personalakte einsehen und dazu ein Mitglied des Betriebsrats hinzuziehen. Sie können Erklärungen zur Akte geben, die beigefügt werden müssen.
Daneben besteht das Auskunftsrecht nach Art. 15 DSGVO. Das Bundesarbeitsgericht hat am 16. April 2026 (8 AZR 169/25) klargestellt, dass sich die Kopie grundsätzlich auf die personenbezogenen Daten bezieht und nicht auf das gesamte Dokument. Eine gut geordnete digitale Akte macht beide Rechte leichter erfüllbar, weil die Unterlagen eines Mitarbeiters an einer Stelle liegen.
Für steuerliche Unterlagen erlaubt § 147 Abs. 2 AO die Aufbewahrung als Scan, wenn das den Grundsätzen ordnungsmäßiger Buchführung entspricht und die Wiedergabe mit dem Original übereinstimmt. Jahresabschlüsse und die Eröffnungsbilanz sind davon ausgenommen. In der Praxis gehört dazu eine Verfahrensdokumentation des Scanvorgangs. Die Technische Richtlinie RESISCAN des BSI beschreibt, wie das sicher geht. Sie ist für Unternehmen nicht verpflichtend, aber ein guter Maßstab.
Einige Originale sollten trotzdem im Papierarchiv bleiben, weil ihre Wirksamkeit oder Beweiskraft an der Unterschrift hängt.
Erleichtert hat sich dagegen der Nachweis der Vertragsbedingungen. Seit 2025 darf er in Textform elektronisch übermittelt werden, wenn der Arbeitgeber zugleich einen Empfangsnachweis anfordert. Für einige Branchen nach dem Schwarzarbeitsbekämpfungsgesetz gilt das nicht, und Beschäftigte können weiterhin die schriftliche Fassung verlangen. Mehr zu den Stufen der Signatur steht in unserem Beitrag Elektronische Signatur: wann EES, FES oder QES rechtssicher ist.
Fast jedes mittelständische Unternehmen schickt regelmäßig Personalunterlagen nach außen, etwa Lohnänderungen an das Lohnbüro, Bescheinigungen an die Steuerberatung, Unterlagen an Versicherungen. Oft geschieht das per E-Mail-Anhang. Damit liegen Gesundheits- oder Gehaltsdaten unverschlüsselt in mehreren Postfächern, und niemand kann später sagen, wer welche Datei noch hat.
Sicherer ist ein Freigabe-Link auf einen Ordner, der nur die nötigen Dateien enthält, mit Passwort und Ablaufdatum. Der Empfänger lädt die Datei herunter oder bearbeitet sie im Browser, der Zugriff ist protokolliert, und nach Ablauf ist der Link wertlos. Mit dem Lohnbüro gehört zusätzlich ein Vertrag zur Auftragsverarbeitung dazu.
SecureCloud ist keine Lohnabrechnung und kein HR-System mit Workflows. Es ist der Ort, an dem die Dokumente der Personalakte liegen und geteilt werden. Personalabteilungen legen pro Mitarbeiter einen Ordner an und vergeben Lese- und Schreibrechte je Ordner. Versionen jeder Datei bleiben nachvollziehbar, Freigaben an das Lohnbüro oder die Steuerberatung laufen über Links mit Passwort und Ablaufdatum.
Die Daten liegen in ausschließlich deutschen Rechenzentren. SecureCloud ist nach ISO/IEC 27001 zertifiziert (TÜV Rheinland), BSI C5 testiert und DSGVO-konform. Verträge, für die das Gesetz keine Papierform verlangt, lassen sich mit SecureSign elektronisch unterschreiben, auf Wunsch mit qualifizierter Signatur. Mehr zum Einsatz in der Personalabteilung steht auf der Seite SecureCloud für HR.
Wenn Sie die Struktur Ihrer Personalakte ausprobieren möchten, können Sie SecureCloud 14 Tage kostenlos testen.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Stand: Oktober 2026.
Ja. Nötig sind ein Vertrag zur Auftragsverarbeitung, angemessene Schutzmaßnahmen, klare Zugriffsrechte und bei Anbietern außerhalb der EU eine Grundlage für die Drittlandübermittlung.
Nein. Kein Gesetz schreibt eine Personalakte vor. Es gibt aber einzelne Pflichten, etwa für Lohnkonto, Entgeltunterlagen und Arbeitszeitnachweise, die in der Praxis in der Personalakte landen.
Das hängt vom Dokument ab. Das Lohnkonto bis Ende des sechsten Jahres nach der letzten Lohnzahlung, Buchungsbelege acht Jahre, Entgeltunterlagen bis zum Jahr nach der letzten Betriebsprüfung.
In der Regel ja. Nach § 87 Abs. 1 Nr. 6 BetrVG genügt es, dass das System objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Üblich ist eine Betriebsvereinbarung.
Viele ja, wenn der Scanprozess dokumentiert ist. Kündigungen, Aufhebungsverträge und unterschriebene Befristungen sollten im Original bleiben, weil ihre Wirksamkeit an der Schriftform hängt.
Sie dürfen die Akte einsehen. Die Kopie nach Art. 15 DSGVO umfasst laut BAG vom 16. April 2026 grundsätzlich die personenbezogenen Daten, nicht das gesamte Dokument.
Die Befreiung von der elektronischen Führung nach § 8 Abs. 3 BVV endet am 31. Dezember 2026. Ab 2027 sind die dort genannten Entgeltunterlagen elektronisch zu führen.
Über einen geschützten Freigabe-Link statt per E-Mail-Anhang, mit Passwort, Ablaufdatum und Protokoll, und mit einem Vertrag zur Auftragsverarbeitung mit dem Lohnbüro.