Digitale Personalakte 2026: Was Personalberatungen wirklich brauchen

Eine digitale Personalakte. Klingt erst mal nach HR-Abteilung, Betriebsrat und SAP-Infrastruktur. Aber wer als Personalberatung oder Recruiting-Agentur Kandidatendaten in Excel-Tabellen, E-Mail-Anhängen und freigegebenen Laufwerken verwaltet, hat de facto eine digitale Personalakte — nur eine sehr schlechte.

Der Unterschied zwischen einer strukturierten, DSGVO-konformen Lösung und dem typischen Chaos in kleinen Agenturen ist erheblich. Nicht nur rechtlich — sondern auch in der täglichen Arbeit. Dieser Artikel erklärt, was eine digitale Personalakte für externe Recruiter wirklich bedeutet, welche DSGVO-Anforderungen gelten, und warum ein modernes ATS/CRM in den meisten Fällen die bessere Wahl ist als klassische HR-Software wie Personio oder SAP.

Was ist eine digitale Personalakte — und wer braucht sie?

Die klassische Definition kommt aus dem Arbeitsrecht: Eine Personalakte enthält alle Dokumente, die das Beschäftigungsverhältnis eines Mitarbeiters betreffen — Arbeitsvertrag, Zeugnisse, Gehaltsabrechnungen, Abmahnungen, Beurteilungen. Sie ist ein Pflichtbestandteil der Arbeitgeberdokumentation.

Für Personalberatungen und Recruiting-Agenturen verschiebt sich der Begriff. Hier gibt es zwei separate Datenwelten:

1. Eigene Mitarbeiterakte — für das interne Team der Agentur. Hier gelten dieselben Anforderungen wie für jeden anderen Arbeitgeber.
2. Kandidatenakte — für Bewerber und Kandidaten im Vermittlungsprozess. Das ist der kritischere Fall, weil externe Daten unter strengeren DSGVO-Bedingungen stehen.

Viele Agenturen vermischen diese beiden Welten — oder denken beim Begriff "digitale Personalakte" nur an die interne HR-Funktion. Der eigentliche Engpass liegt aber bei Kandidatendaten. Dort passieren die Fehler, dort lauern die Bußgelder.

DSGVO und Personalakten: Was tatsächlich gilt

Seit Mai 2018 ist die DSGVO in Kraft. Trotzdem verwalten erstaunlich viele Recruiting-Agenturen Kandidatendaten ohne klare Rechtsgrundlage, ohne Löschfristen und ohne Auskunftsprozesse. Das ist kein Kavaliersdelikt.

Laut einer Erhebung des Europäischen Datenschutzausschusses (EDPB) aus 2024 gehören HR- und Recruiting-Daten zu den am häufigsten beanstandeten Bereichen bei DSGVO-Prüfungen. Bußgelder zwischen 10.000 und 100.000 Euro für kleine Unternehmen sind keine Seltenheit mehr.

Rechtsgrundlagen für Kandidatendaten

Wer Kandidatendaten speichert, braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für externe Personaldienstleister kommen zwei in Frage:

• Einwilligung (Art. 6 Abs. 1 lit. a): Der Kandidat stimmt aktiv zu, dass seine Daten gespeichert werden — idealerweise mit Angabe von Zweck und Dauer. Das ist die sicherste Grundlage, aber auch die, die aktives Management erfordert.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Gilt, wenn ein Kandidat sich aktiv bewirbt oder einer Kontaktaufnahme nicht widersprochen hat. Bei Sourcing über LinkedIn ist das teilweise anwendbar — aber nicht grenzenlos.

Was nicht funktioniert: Kandidatendaten "für spätere Mandatе" ohne Einwilligung speichern. Genau das passiert aber täglich in Recruiting-Agenturen. Die Logik "der könnte ja mal interessant sein" ist keine DSGVO-Grundlage.

Aufbewahrungsfristen: Was gelöscht werden muss und wann

Hier ist die ehrliche Antwort: Es gibt keine einheitliche gesetzliche Frist speziell für Kandidatendaten. Was es gibt, ist die DSGVO-Grundregel der Datensparsamkeit — Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist.

In der Praxis haben sich folgende Fristen etabliert und werden von Datenschutzbehörden als angemessen angesehen:

Das bedeutet in der Praxis: Wer 5.000 Kandidatenprofile in einer Datenbank hat und nicht weiß, wann welche gespeichert wurden oder ob Einwilligungen vorliegen, hat ein Problem. Kein theoretisches — ein echtes.

Auskunftsrecht, Löschanfragen, Datenportabilität

Drei DSGVO-Rechte, die Kandidaten jederzeit ausüben können — und auf die du als Agentur in der Regel innerhalb von 30 Tagen antworten musst:

Auskunftsrecht (Art. 15 DSGVO): Ein Kandidat fragt, welche Daten du über ihn gespeichert hast. Du musst das vollständig beantworten können. Klingt einfach. Ist es nicht, wenn Daten über drei verschiedene Systeme verteilt sind.

Löschrecht (Art. 17 DSGVO): "Lösch alles, was du über mich hast." Der Kandidat hat dieses Recht — es sei denn, du hast eine andere gesetzliche Grundlage für die Aufbewahrung (zum Beispiel laufende Vertragsbeziehung oder Steuerrecht). Die Löschung muss dokumentiert werden, nicht nur durchgeführt.

Datenportabilität (Art. 20 DSGVO): Kandidat will seine Daten in einem maschinenlesbaren Format. Selten angefragt, aber wenn — dann muss es funktionieren.

Wer keine saubere digitale Kandidatenakte führt, kann diese Anfragen schlicht nicht erfüllen. Das ist kein organisatorisches Problem — das ist Rechtsverstoß.

Digitale Personalakte für die eigene Belegschaft: Was externe Recruiter oft vergessen

Neben den Kandidatendaten haben Personalberatungen auch eigene Angestellte — oder zumindest freie Mitarbeiter. Für sie gelten die klassischen HR-Anforderungen an eine Personalakte.

Was in eine vollständige digitale Personalakte für interne Mitarbeiter gehört:

• Arbeitsvertrag und alle Nachträge
• Zeugnisse (Schul-, Ausbildungs-, Arbeitszeugnisse)
• Qualifikationsnachweise, Zertifikate
• Gehaltsabrechnungen (10 Jahre aufbewahrungspflichtig)
• Krankmeldungen und Urlaubsanträge (soweit relevant)
• Abmahnungen und Beurteilungen
• Kündigung und Aufhebungsvertrag

Mitarbeiter haben das Recht, ihre eigene Personalakte einzusehen — jederzeit, ohne Begründung. Das ist in § 83 BetrVG geregelt und gilt unabhängig von der DSGVO. Wenn du keine saubere digitale Akte führst und jemand Einsicht verlangt, kann das schnell unangenehm werden.

Klassische HR-Software vs. ATS: Der entscheidende Unterschied für Agenturen

Hier trennen sich die Wege. Viele Agenturen schauen sich Personio, d.vinci oder SAP SuccessFactors an — und kaufen am Ende eine Lösung, die für ihr eigentliches Problem nicht gebaut wurde.

Wofür klassische HR-Software gebaut ist

Personio, BambooHR, oder SAP SuccessFactors sind Systeme für Arbeitgeber, die eigene Mitarbeiter verwalten. Die Stärken liegen in: Lohnabrechnung-Integration, internem Onboarding, Urlaubsverwaltung, Leistungsbeurteilungen, Organigrammen.

Sie sind sehr gut darin, das Beschäftigungsverhältnis zwischen Unternehmen und Mitarbeiter zu dokumentieren. Wenn du als Agentur dein internes 10-Personen-Team verwalten willst, kann das sinnvoll sein.

Aber für das, was Recruiting-Agenturen täglich machen — Kandidaten sourcing, Bewerbungsprozesse für externe Mandanten steuern, Talent Pools aufbauen, Kandidaten platzieren — sind diese Systeme oft überentwickelt in der falschen Richtung und unterentwickelt in der richtigen. Ein Vergleich lohnt sich: Yena vs. Personio zeigt, wo die Unterschiede konkret liegen.

Was ein ATS/CRM für externe Recruiter besser macht

Ein modernes Applicant Tracking System mit integriertem Recruiting-CRM ist von Grund auf für externe Personalvermittler gebaut. Der strukturelle Unterschied:

SAP SuccessFactors ist noch weiter vom Agenturbedarf entfernt: Es ist für Konzerne mit Tausenden von Mitarbeitern gebaut, kostet entsprechend viel und erfordert Monate der Implementierung. Für eine Recruiting-Agentur mit 5 bis 50 Beratern ist das schlicht der falsche Ansatz — mehr dazu im Vergleich Yena vs. SAP SuccessFactors.

Was eine gute digitale Kandidatenakte leisten muss

Jetzt wird's praktisch. Wenn du als Personalberatung deine Kandidatendaten digital und DSGVO-konform verwalten willst, braucht die Lösung mindestens folgendes:

1. Einwilligungsmanagement mit Audit-Trail

Wann hat der Kandidat zugestimmt, dass du seine Daten speicherst? Wie? Über welchen Kanal? Das muss dokumentiert sein — nicht in deinem Kopf, nicht in einer E-Mail irgendwo. Im System, abrufbar, mit Zeitstempel.

2. Automatische Löschfristen

Das System erinnert dich, wenn eine Einwilligung abläuft oder eine Frist erreicht ist. Du kannst manuell verlängern (wenn der Kandidat zustimmt) — oder das System löscht automatisch. Kein "Ich schau's mir nächste Woche an".

3. Dokumentenmanagement mit Versionierung

Lebenslauf, Anschreiben, Zeugnisse, Interviewnotizen — alles an einem Ort, versioniert. Wenn ein Kandidat seinen CV in Version 3 schickt, muss Version 1 nicht verschwinden — aber du musst wissen, welche die aktuelle ist.

4. Strukturierte Zugriffsrechte

Nicht jeder Kollege braucht Zugriff auf alle Kandidatendaten. Ein Junior-Recruiter sollte keine sensitiven Vergütungsdaten oder interne Beurteilungen sehen können. Rollenbasierte Zugriffsrechte sind keine Luxus-Feature — sie sind DSGVO-Pflicht (Art. 25, Privacy by Design).

5. Auskunfts- und Exportfunktion

Wenn ein Kandidat eine Auskunftsanfrage stellt, musst du innerhalb von 30 Tagen antworten können. Das System sollte auf Knopfdruck einen vollständigen Bericht aller gespeicherten Daten zu einer Person generieren können.

6. Verschlüsselung und Datensicherheit

Kandidatendaten sind personenbezogene Daten — oft auch sensitive Daten (Gesundheit, Familienstand, Gehaltsvorstellungen). Die Speicherung muss verschlüsselt erfolgen, Zugriffe müssen geloggt werden. Eine Excel-Tabelle auf einem freigegebenen Laufwerk erfüllt das nicht.

Warum "irgendwas Digitales" nicht reicht

Google Drive mit einem Ordner pro Kandidat ist digital. Dropbox mit PDFs ist digital. Eine freigegebene Excel-Datei auf SharePoint ist digital. Keines davon ist eine DSGVO-konforme digitale Personalakte.

Das Problem liegt nicht in der Technologie — es liegt im fehlenden Prozess. Wer das Datenschutzproblem mit einem Cloud-Storage-Tool lösen will, hat das Datenschutzproblem noch nicht verstanden. Denn das Tool speichert Daten. Es verwaltet keine Einwilligungen, setzt keine Löschfristen, generiert keine Auskunftsberichte, kontrolliert keine Zugriffsrechte.

2024 verhängte die österreichische Datenschutzbehörde (DSB) Bußgelder in Höhe von insgesamt über 2 Millionen Euro gegen Unternehmen, die personenbezogene Daten ohne ausreichende Schutzmaßnahmen in Cloud-Diensten gespeichert hatten — darunter auch Recruiting-relevante Fälle. Der Präventionsaufwand ist ein Bruchteil dieser Summe.

Praktische Implementierung: Wie du heute anfängst

Du musst nicht von null starten. Drei Schritte bringen die meisten Agenturen sofort auf sicheres Terrain:

Schritt 1 — Bestandsaufnahme. Welche Kandidatendaten hast du wo gespeichert? E-Mail, Laufwerk, CRM, ATS, Excel? Mach eine Liste. Das ist unangenehm, aber notwendig. Nur was du kennst, kannst du ordnen.

Schritt 2 — Einwilligungen prüfen. Für welche der gespeicherten Kandidaten liegt eine dokumentierte Einwilligung vor? Wer kein aktives Bewerbungsverfahren hatte und keine Einwilligung gegeben hat, muss gelöscht werden. Das tut weh, wenn man 3.000 Profile hat. Es ist aber die richtige Maßnahme — und schützt dich vor Schlimmerem.

Schritt 3 — System wählen und migrieren. Ein modernes ATS/CRM bildet die digitale Kandidatenakte ab, inklusive aller DSGVO-Anforderungen. Die Migration ist in der Regel in wenigen Tagen abgeschlossen — kein monatelanges IT-Projekt.

Ehrlich gesagt: Der dritte Schritt ist der einfachste. Der erste ist der, den die meisten hinauszögern.

Die häufigsten Fehler bei der Einführung einer digitalen Personalakte

Vier Muster begegnen mir immer wieder, wenn Agenturen versuchen, ihre Datenverwaltung zu ordnen:

Zu viel auf einmal. Der Versuch, alles gleichzeitig zu migrieren, alle Prozesse gleichzeitig umzustellen und alle Mitarbeiter gleichzeitig zu schulen. Das funktioniert selten. Besser: Pilot mit einem Recruiter, einem Mandanten, einem Workflow.

Datenschutz als IT-Thema behandeln. DSGVO ist kein technisches Problem — es ist ein organisatorisches. Das beste System hilft nicht, wenn die Mitarbeiter weiterhin Kandidatendaten per WhatsApp verschicken oder auf privaten Laptops speichern.

Die falsche Software kaufen. HR-Software, die für interne Mitarbeiterverwaltung gebaut ist, in ein Kandidaten-CRM umzubiegen — das klappt nie wirklich. Personio kann kein Recruiting-CRM werden, egal wie viele Add-ons man dazukauft.

Datenschutz nach der Einführung vergessen. Ein System einführen und dann nie wieder anfassen. Einwilligungen laufen ab, Fristen werden nicht geprüft, neue Mitarbeiter werden nicht geschult. Eine digitale Personalakte ist kein Projekt — es ist ein Prozess.

Fazit: Digitale Personalakte ist kein HR-Luxus

Für Personalberatungen ist eine strukturierte, DSGVO-konforme Kandidatenverwaltung keine optionale Verbesserung — sie ist operative Notwendigkeit und rechtliche Pflicht. Wer das ignoriert, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden, wenn ein Kandidat oder eine Aufsichtsbehörde genauer hinschaut.

Die gute Nachricht: Der Aufwand ist überschaubar. Kein SAP-Projekt, kein monatelanger Rollout. Ein modernes ATS/CRM, das von Grund auf für externe Recruiter gebaut wurde, löst das Datenproblem und verbessert gleichzeitig die tägliche Arbeit. Kandidaten schneller finden, Mandate strukturierter abwickeln, Compliance automatisch sicherstellen.

Das ist kein schlechter Deal.