Digitale Personalakte 2026: Leitfaden für DACH

In einer mittelgroßen Hamburger Personalberatung stapelten sich bis 2023 die Ordner. Zehn laufende Regalmeter Papier pro Mitarbeiter. Dann kam eine DSGVO-Anfrage: Ein ehemaliger Kandidat wollte wissen, welche Daten über ihn gespeichert sind — und wann sie gelöscht werden. Die Antwort dauerte drei Wochen, kostete zwei Vollzeitkräfte und führte zu einer internen Revision. Das Ergebnis: Die Kanzlei digitalisierte innerhalb von sechs Monaten komplett.

Diese Geschichte ist keine Ausnahme. Sie ist der Grund, warum die digitale Personalakte 2026 kein Komfort-Feature mehr ist — sondern operative Notwendigkeit. Für HR-Abteilungen, Personalvermittler und Recruiting-Teams gleichermaßen.

Was gehört eigentlich in eine Personalakte?

Bevor man digitalisiert, muss man wissen, was man digitalisiert. Das klingt banal — ist es aber nicht. In der Praxis landen in Personalakten häufig Dinge, die dort rechtlich gar nichts zu suchen haben.

Was hineingehört:

• Bewerbungsunterlagen und Arbeitsvertrag (samt Änderungen)
• Gehaltsabrechnungen und Lohnsteuerunterlagen
• Zeugnisse, Zertifikate und Qualifikationsnachweise
• Abmahnungen — sofern nicht verjährt (in der Regel nach 2–3 Jahren zu entfernen)
• Urlaubsanträge und Krankheitszeiten (Attest ja, Diagnose nein)
• Beendigungsdokumente: Kündigung, Aufhebungsvertrag, Zeugnis

Was nicht hineingehört — und trotzdem regelmäßig darin landet:

• Diagnosen oder Arztberichte (nur der Zeitraum der Arbeitsunfähigkeit ist relevant)
• Privat-E-Mails oder inoffizielle Notizen des Vorgesetzten
• Gewerkschaftszugehörigkeit, politische Ansichten, religiöse Überzeugungen
• Veraltete Abmahnungen, die nach geltendem Recht zu löschen wären

Das Bundesdatenschutzgesetz (BDSG) und die DSGVO sind hier eindeutig: Personaldaten dürfen nur erhoben werden, wenn sie für das Beschäftigungsverhältnis erforderlich sind. Alles andere ist eine Datenschutzverletzung — auch in der analogen Akte.

GoBD und DSGVO: Die zwei Rechtsrahmen, die du kennen musst

Zwei Regelwerke bestimmen, wie digitale Personalakten geführt werden dürfen. Sie stammen aus unterschiedlichen Welten — Steuerrecht auf der einen, Datenschutzrecht auf der anderen — und müssen gemeinsam gedacht werden.

GoBD: Grundsätze zur ordnungsmäßigen Buchführung

Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) regeln, wie Belege digital revisionssicher aufzubewahren sind. Das betrifft insbesondere steuerlich relevante Dokumente: Gehaltsabrechnungen, Lohnsteueranmeldungen, Sozialversicherungsnachweise.

Konkret bedeutet GoBD-Konformität:

• Dokumente müssen unveränderbar gespeichert werden — keine nachträgliche Bearbeitung ohne Protokoll
• Versionierung ist Pflicht: Wer hat was wann geändert?
• Digitale Dokumente müssen maschinell auswertbar sein (kein reines Bild-PDF bei Belegen)
• Zugriffsrechte müssen dokumentiert und eingeschränkt sein

Wichtig: Die GoBD-Anforderungen gelten nicht für alle Personalakten-Dokumente, sondern nur für die steuerrelevanten. Ein Zeugnis ist kein Buchführungsbeleg. Eine Gehaltsabrechnung schon.

DSGVO: Datenschutz als Design-Anforderung

Die DSGVO fügt eine zweite Dimension hinzu: Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO). Das ist kein juristisches Kleingedrucktes — es bedeutet, dass dein System von Anfang an so gebaut sein muss, dass Datenschutz kein Nachgedanke ist.

Für digitale Personalakten heißt das praktisch:

• Rollenbasierte Zugriffskontrolle: Der Recruiter sieht Bewerbungsunterlagen, aber keine Gehaltsdetails. Die Buchhaltung sieht Lohnabrechnungen, aber kein Zeugnis.
• Automatische Löschroutinen: Kandidaten, die nicht eingestellt wurden, müssen nach 6 Monaten gelöscht werden — es sei denn, sie haben explizit zugestimmt, länger im Talent Pool zu bleiben.
• Auskunftsfähigkeit: Auf Anfrage muss innerhalb von 30 Tagen vollständig Auskunft erteilt werden (Art. 15 DSGVO).
• Datenminimierung: Nur was wirklich gebraucht wird, darf gespeichert sein.

Die Kombination aus GoBD und DSGVO klingt komplex — ist sie auch. Aber moderne HR-Software löst das in der Praxis, indem sie beide Anforderungen automatisch abbildet.

Aufbewahrungsfristen: Was wie lange gespeichert werden muss

Das ist der Bereich, in dem die meisten Fehler passieren — sowohl durch zu langes als auch durch zu kurzes Aufbewahren. Hier die wichtigsten Fristen im Überblick:

Entscheidend: Die Aufbewahrungspflicht und das Recht auf Löschung (Art. 17 DSGVO) stehen in einem Spannungsverhältnis. GoBD verlangt 10 Jahre für Buchführungsbelege — DSGVO fordert Löschung, wenn kein berechtigtes Interesse mehr besteht. Die Lösung ist differenzierte Datenhaltung: Steuerrelevante Dokumente werden 10 Jahre archiviert, nicht-steuerliche Dokumente entsprechend kürzer.

Der Betriebsrat: Mitbestimmungsrecht nicht unterschätzen

In Unternehmen mit einem Betriebsrat hat die Einführung digitaler Personalakten eine weitere Dimension. Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen.

Das bedeutet konkret: Du kannst kein neues HR-System einführen, ohne vorher eine Betriebsvereinbarung abzuschließen. Diese Vereinbarung muss regeln:

• Welche Daten erhoben und gespeichert werden
• Wer Zugriff auf welche Daten hat
• Wie lange Daten aufbewahrt werden
• Ob und wie Nutzungsdaten (Logins, Zeitstempel) ausgewertet werden dürfen

Viele Unternehmen unterschätzen diesen Schritt und landen dann in monatelangen Verhandlungen, die die geplante Einführung verzögern. Mein Rat: Hol den Betriebsrat früh ins Boot — idealerweise schon bei der Auswahl des Systems, nicht erst bei der Implementierung. Das spart Nerven und Zeit.

Der Datenschutzbeauftragte (DSB) ist ein weiterer wichtiger Stakeholder. In Unternehmen ab 20 Personen, die personenbezogene Daten automatisiert verarbeiten, ist er verpflichtend. Seine Einbindung bei der Einführung einer digitalen Personalakte ist nicht optional — sie ist gesetzlich vorgeschrieben.

Vorteile der Digitalisierung: Was HR-Teams wirklich gewinnen

Jenseits der Compliance-Argumente — die ja eher Risikominimierung als echter Gewinn sind — gibt es handfeste operative Vorteile.

Zugriffsgeschwindigkeit

Ein Teamleiter fragt um 16:45 Uhr nach dem Urlaubssaldo eines Mitarbeiters. Im analogen System: 20 Minuten Suche, vielleicht ein Anruf bei HR, möglicherweise der falsche Ordner. Digital: 15 Sekunden. Klingt trivial. Über ein Jahr mit 50 Mitarbeitern und dutzenden Anfragen summiert sich das auf Hunderte von Arbeitsstunden.

Standortunabhängigkeit

Homeoffice und verteilte Teams sind 2026 die Norm, nicht die Ausnahme. Physische Akten können nicht aus dem Homeoffice aufgerufen werden. Digitale schon — sofern Zugriffsrechte korrekt eingerichtet sind.

Durchsuchbarkeit und Auswertbarkeit

Wann laufen Probezeiten aus? Welche Mitarbeiter haben ihre Zertifikate seit mehr als drei Jahren nicht erneuert? Wie entwickeln sich Gehaltsstrukturen in einer Abteilung? Mit einer digitalen Personalakte sind das Fragen, die in Sekunden beantwortet werden können — statt Stunden zu dauern.

Katastrophenschutz

Überschwemmung, Feuer, Diebstahl. Papierdokumente sind physisch gefährdet. Eine gut konfigurierte digitale Lösung mit Cloud-Backup ist es nicht. Für Unternehmen mit langen Aufbewahrungspflichten (10 Jahre!) ist das kein akademisches Argument.

Implementierung: Die 6 Schritte zur digitalen Personalakte

Wie geht man das Projekt an? Hier ist ein Ablauf, der in der Praxis funktioniert — basierend auf Erfahrungen aus DACH-Unternehmen unterschiedlicher Größe.

Schritt 1: Bestandsaufnahme

Was liegt aktuell in den Personalakten? Wo sind sie gelagert? Wer hat Zugriff? Oft stellt man dabei fest, dass Daten verteilt über Ordner, E-Mail-Postfächer und Excel-Tabellen liegen. Diese Bestandsaufnahme ist die Basis für alles Weitere.

Schritt 2: Stakeholder einbinden

Betriebsrat, Datenschutzbeauftragter, IT, Buchhaltung, Geschäftsführung. Alle früh informieren, nicht nur HR. Die Betriebsvereinbarung braucht Zeit — plant mindestens 4–8 Wochen für die Verhandlung ein.

Schritt 3: Systemauswahl

Welche Software passt zu eurem Use Case? Für Personalberatungen und Recruiting-Teams ist ein ATS mit integriertem Dokumentenmanagement sinnvoller als ein klassisches HRIS. Wichtige Kriterien bei der Auswahl:

• DSGVO-Konformität und Datenhaltung in der EU (idealerweise in Deutschland)
• GoBD-konforme Archivierung für steuerrelevante Dokumente
• Rollenbasierte Zugriffskontrolle mit Audit-Log
• Automatische Erinnerungen für Aufbewahrungsfristen und Löschpflichten
• API-Anbindung an vorhandene Systeme (DATEV, Lohnbuchhaltung)
• Zertifizierungen: ISO 27001, SOC 2 Type II oder vergleichbar

Schritt 4: Datenmigration planen

Nicht alles, was in der Papierakte liegt, muss digitalisiert werden. Dokumente, die ohnehin gelöscht werden müssten (veraltete Abmahnungen, abgelaufene Aufbewahrungsfristen), sollten jetzt ausgesondert werden — nicht einfach blind gescannt. Das spart Aufwand und vermeidet DSGVO-Risiken.

Schritt 5: Pilotphase

Starte mit einer Abteilung oder einem begrenzten Benutzerkreis. Finde Probleme, bevor sie sich im ganzen Unternehmen auswirken. Plane 4–6 Wochen für die Pilotphase ein.

Schritt 6: Schulung und Change Management

Das ist der am häufigsten unterschätzte Schritt. Das beste System nützt nichts, wenn es nicht genutzt wird. Plane echte Schulungen — keine 30-Minuten-Webinare, die niemand ernst nimmt. Und benenne interne Champions, die ihre Kollegen bei Fragen unterstützen.

Software-Auswahlkriterien für Recruiting-Teams

Personalberatungen und Recruiting-Agenturen haben andere Anforderungen als klassische HR-Abteilungen. Sie verwalten nicht nur Mitarbeiterakten, sondern hunderte oder tausende Kandidatenprofile — mit eigenen Datenschutzpflichten.

Für Recruiting-Teams sind folgende Punkte besonders relevant:

• Kandidaten-spezifische Aufbewahrungsfristen: 6 Monate für nicht platzierte Kandidaten — automatisch, nicht manuell
• Einwilligungsmanagement: Talent Pool nur mit expliziter Zustimmung; Opt-out-Option jederzeit
• Mandantenspezifische Zugriffskontrolle: Kandidatenprofile dürfen nicht zwischen Mandaten vermischt werden
• Auditierbarkeit: Wer hat wann auf welches Profil zugegriffen?

Ein modernes ATS löst diese Anforderungen — anders als generische Dokumentenmanagementsysteme, die ursprünglich für andere Branchen gebaut wurden. Den ATS-Vergleich für Personalberater im deutschen Markt haben wir separat zusammengestellt.

Häufige Fehler — und wie man sie vermeidet

Zum Abschluss die fünf Fehler, die in der Praxis am häufigsten vorkommen:

1. Alles einfach scannen. Wer Papierakten blind digitalisiert, digitalisiert auch alle vorhandenen Fehler: falsche Daten, längst veraltete Dokumente, Informationen, die nie hätten gespeichert werden dürfen. Vor der Migration muss eine Bereinigung stehen.

2. Betriebsrat übergehen. "Wir implementieren erstmal, dann informieren wir." Das geht juristisch nicht gut aus. Mitbestimmungsrecht ist kein Hindernis, sondern eine gesetzliche Realität. Wer den Betriebsrat früh einbezieht, hat ihn als Partner statt als Gegner.

3. Aufbewahrungsfristen ignorieren. Zu langes Speichern ist genauso ein Verstoß wie zu kurzes. Automatische Löschroutinen sind kein Nice-to-have — sie sind DSGVO-Pflicht.

4. Zugriffsrechte nicht granular genug einrichten. "Alle HR-Mitarbeiter sehen alle Personalakten" ist eine häufige Fehlkonfiguration. Datenschutz-Grundverordnung und GoBD fordern Nachvollziehbarkeit — wer hat wann auf was zugegriffen.

5. Datenhaltung außerhalb der EU. Viele günstige SaaS-Lösungen speichern Daten in US-Rechenzentren. Seit dem Schrems-II-Urteil ist das rechtlich heikel. Achte auf EU-Datenhaltung, idealerweise in Deutschland.

Das Wichtigste in Kürze

Die digitale Personalakte ist 2026 kein Projekt der Zukunft mehr — sie ist längst Gegenwart. GoBD verlangt revisionssichere Archivierung, DSGVO fordert Datenschutz durch Design, und der Betriebsrat hat ein Mitbestimmungsrecht. Wer das ignoriert, zahlt: mit Bußgeldern, mit Zeitverlust, mit Reputationsschäden.

Gleichzeitig: Wer es richtig macht, gewinnt. Weniger Suchaufwand, bessere Auskunftsfähigkeit, standortunabhängiges Arbeiten. Die Frage ist nicht mehr ob — sondern wie gut die Umsetzung gelingt.

Für Personalberatungen und Recruiting-Teams lohnt es sich, auf ein spezialisiertes System zu setzen, das Kandidatendatenmanagement, Compliance und Workflows aus einer Hand abdeckt — statt allgemeine HRIS-Software zu nutzen, die für andere Anwendungsfälle gebaut wurde.