Phase zwei: Personalakte, Zugriff und Daten im Konzern

Die Personalakte ist eine Ablage mit Zweck, kein Sammelordner. Wer hineinsehen darf, richtet sich nach der Aufgabe — nicht nach der Stellung. Und eine Weitergabe an die Konzernmutter ist eine Übermittlung, die eine eigene Grundlage braucht.

Warum das wichtig ist

In die Akte gehört, was für die Durchführung des Arbeitsverhältnisses erforderlich ist: Vertrag und Änderungen, Lohndaten, Qualifikationen, Urlaubs- und Fehlzeiten, Schulungsnachweise, Abmahnungen. Nicht hinein gehören Diagnosen, Notizen über das Privatleben, Einschätzungen zum Charakter und Gerüchte.

Und es gibt sie nicht: die zweite, inoffizielle Akte beim Vorgesetzten. Liegen dort Beschäftigtendaten, ist das eine Personalakte — mit allen Rechten, auch dem auf Auskunft. Dasselbe gilt für Beurteilungen: Sie sind erlaubt, aber nicht geheim. Ein guter Prüfstein beim Schreiben ist, ob man sie der Person vorlesen könnte.

Beim Konzern liegt ein verbreiteter Irrtum: Im Konzern seien alle eine Familie. Nein — jede Gesellschaft ist eine eigene Stelle. Art. 88 Abs. 2 DSGVO nennt die Übermittlung innerhalb einer Unternehmensgruppe ausdrücklich als Punkt, der besondere Maßnahmen braucht. Die Prüffrage: Welche Aufgabe der anderen Gesellschaft scheitert ohne dieses Datum?

Was das Gesetz sagt

Art. 32 Abs. 1 DSGVO

„treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten"

Art. 88 Abs. 2 DSGVO

„Diese Vorschriften umfassen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe … und die Überwachungssysteme am Arbeitsplatz."

§ 26 Abs. 4 BDSG

„Die Verarbeitung personenbezogener Daten … ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner Artikel 88 Absatz 2 der Verordnung (EU) 2016/679 zu beachten."

So macht man es richtig

1. Zugriff nach Aufgabe vergeben, nicht nach Stellung — und in festem Abstand durchsehen.
2. Keine zweite Akte beim Vorgesetzten führen.
3. Beurteilungen so schreiben, dass Sie sie der Person vorlesen könnten.
4. Vor jeder Weitergabe in den Konzern die Prüffrage stellen — und die Antwort aufschreiben.
5. Wenn es eine Betriebsvereinbarung zu einem System gibt, sie lesen: dort steht oft Genaueres als im Gesetz.

Stand: 11.10.2026