Kündigung DSGVO: Welche Mitarbeiterdaten nach Austritt gelöscht werden müssen

Wenn Sie neue Mitarbeiter einstellen, bekommen Sie als Unternehmen zahlreiche Daten über Ihre Angestellten. Die Daten haben einen Zweck im Unternehmen:

• Kontaktaufnahme,
• Zugriff auf professionelle Tools,
• Gehaltsabrechnung,
• Einsatzplanung,
• Interne Kommunikation.

Alle diese Daten finden sich im System des Unternehmens.

Mit dem Austritt eines Mitarbeiters entfällt der ursprüngliche Zweck der Datenverarbeitung. Hier kommt die DSGVO ins Spiel.

Laut Art. 17 DSGVO (Recht auf Löschung) dürfen Daten nur so lange gespeichert werden, wie es einen rechtlichen oder betrieblichen Zweck dafür gibt. Im Abs. 3 desselben Artikels stehen auch Ausnahmefälle, wie gesetzliche Aufbewahrungspflichten. Wann und wie Beschäftigtendaten verarbeitet werden dürfen, regelt außerdem der § 26 des Bundesdatenschutzgesetzes (BDSG).

Rechtlich betrachtet müssen nach einer Kündigung nicht alle Daten unbedingt sofort gelöscht werden.

Wenn einer von Ihren Mitarbeitern kündigt, müssen Sie als Unternehmen wissen, wie Sie die Daten verarbeiten. Sie brauchen dafür eine klare Übersicht über die Daten. So unterscheiden Sie am besten,

• Welche Daten gelöscht oder zumindest deaktiviert werden sollen,
• Welche Daten gesetzlichen Aufbewahrungspflichten unterliegen oder für Rechtsansprüche benötigt werden und daher weiter gespeichert werden dürfen.

Die folgende Tabelle zeigt, welche Daten gelöscht werden sollten und welche aufbewahrt werden können.

Manche Daten dürfen gespeichert werden, wenn es einen guten Grund dafür gibt.

Erstellen Sie am besten eine Checkliste mit allen Daten, die bei einer Kündigung gelöscht oder aufbewahrt werden müssen. So gehen Sie auf Nummer sicher, dass nichts vergessen wird.

Daten, die oft zeitnah gelöscht oder deaktiviert werden sollten

Im Rahmen der DSGVO Löschung von Daten nach Kündigung sollten Unternehmen alle Daten prüfen, deren Zweck direkt mit dem Arbeitsverhältnis endet. Für eine effiziente Datenverwaltung sollten Personal- und IT-Abteilungen am besten zusammenarbeiten.

Typische Daten, die nach Kündigung gelöscht werden müssen, sind:

• Benutzerkonten. Zugänge zu professionellen E-Mails, HR-Software und Projekttools sollten sofort deaktiviert werden.
• Zugriffsrechte. Berechtigungen auf interne Systeme und sensible Daten müssen entzogen werden.
• Weiterleitungen. Automatische E-Mail-Weiterleitungen sollten entfernt oder datenschutzkonform angepasst werden.
• Kontaktlisten-Einträge. Interne Verzeichnisse, Organigramme oder Tools (z. B. Slack, Teams) sollten aktualisiert werden.
• Interne Tools. Profile in Tools für Zeiterfassung sowie Urlaubs- und Workforce-Management sollten bereinigt werden.
• Private Kontaktdaten. Telefonnummern und private E-Mails sollten gelöscht werden, wenn kein Zweck mehr besteht.

Daten, die wegen Aufbewahrungsfristen bleiben dürfen oder müssen

Nach einer Kündigung können verschiedene Daten noch behalten werden. Die im Art. 17 DSGVO erwähnten Aufbewahrungsfristen ergeben sich aus gesetzlichen Pflichten und praktischen Notwendigkeiten.

In diesem Artikel werden ein paar Ausnahmen zitiert. Daten dürfen behalten werden, wenn sie erforderlich sind. Das gilt zum Beispiel im Fall von:

• der Erfüllung rechtlicher Verpflichtungen,
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Denken Sie daran, die Daten zu prüfen, bevor Sie sie löschen. Im Fall, dass Daten gespeichert werden müssen, müssen Sie eine Dokumentation erstellen und zusätzliche Informationen eingeben:

• Grund: Warum sollen die Daten gespeichert werden.
• Dauer: Wie lange werden die Daten gespeichert.

Die DSGVO verlangt, dass alle Daten dokumentiert werden, damit Unternehmen beweisen können, dass sie sich an die Regeln halten. Eine Dokumentation hat mehrere Vorteile:

• Sie gibt eine Übersicht über die Daten. Dadurch werden Fehler vermieden.
• HR und IT können Prozesse standardisieren und Kündigungen einheitlich durchführen.
• Bei Anfragen von ehemaligen Mitarbeitern können Unternehmen sofort antworten.

Mithilfe von Dokumentationen wird die Arbeit von HR- und IT-Abteilungen erleichtert und effizienter gestaltet.

Der Art. 17 DSGVO regelt das Recht auf Löschung im Arbeitsverhältnis. Dieses Recht dient als Schutz für die Mitarbeiter. Das bedeutet: Die Mitarbeitenden eines Unternehmens können unter bestimmten Bedingungen verlangen, dass ihre Daten gelöscht werden, sobald der ursprüngliche Zweck der Verarbeitung entfällt.

Hier sind ein paar Gründe, warum Daten gelöscht werden dürfen:

• Der Zweck entfällt. Das betrifft zum Beispiel private Telefonnummern oder E-Mail-Adressen, die nur während der Beschäftigung benötigt wurden.
• Die Einwilligung wurde widerrufen. Wurde eine Einwilligung zur Datenverarbeitung gegeben (z. B. für Newsletter, Fotos, Mitarbeiterportale), kann diese jederzeit zurückgezogen werden.
• Die Verarbeitung war unrechtmäßig. Daten, die nie korrekt erhoben oder verarbeitet wurden, müssen gelöscht werden.

Es gibt aber auch ein paar Ausnahmen vom Recht auf Löschung:

• Rechtliche Verpflichtungen.
• Archiv- oder Statistikzwecke.
• Rechtsansprüche.

Personal- und IT-Abteilungen müssen die Daten prüfen, um festzulegen, in welche Kategorien die Daten fallen.

Die Prüfung von Mitarbeitfotos gehört auch zu den Maßnahmen nach einer Kündigung. Viele Unternehmen benutzen Fotos ihrer Mitarbeiter

• auf ihrer Website,
• im Intranet,
• auf Recruiting-Plattformen,
• auf Social Media.

Mitarbeiterfotos dürfen nur veröffentlicht werden, solange

• es eine rechtliche Grundlage gibt;
• die Mitarbeiter ihre Einwilligung gegeben haben.

In bestimmten Fällen kann eine Speicherung der Fotos weiterhin zulässig sein. Das gilt zum Beispiel für

• historische Dokumentation,
• internen Archiven.

Jede Ausnahme sollte dokumentiert und begründet werden.

Ein DSGVO-konformes Löschkonzept nach einer Kündigung dient dazu, Betroffenenrechte, Datensicherheit und Aufbewahrungsfristen systematisch umzusetzen. Als Unternehmen sollten Sie einen klaren Prozess verfolgen:

1. Ein Dateninventar gestalten. Dieser dient dazu, personenbezogene Daten zusammenzustellen. So können Personalabteilungen sehen, welche Daten existieren.
2. Kategorien und Rechtsgrundlagen prüfen. Hier gilt es, zu unterscheiden, welche Daten sofort gelöscht, aufbewahrt und nur eingeschränkt genutzt werden dürfen.
3. Zugänge entziehen. Der Zugriff auf IT-Accounts und E-Mail-Adressen sowie andere Freigaben sollte gesperrt werden.
4. Lösch- und Aufbewahrungsfristen zuordnen. Es sollten Steuer-, Handels- und arbeitsrechtliche Vorgaben berücksichtigt werden.
5. Eine Dokumentation erstellen. Diese gibt eine Übersicht über alle Daten und deren Verwaltung.
6. Zuständigkeiten klären. HR und IT müssen wissen, welche Abteilung sich um welche Daten kümmert.

Wenn Sie dieses Löschkonzept in Ihrem Unternehmen implementieren, gestalten Sie nicht nur einheitliche Kündigungsprozesse, sondern sichern sich auch damit ab.

HR, IT und Fachbereich: Wer macht was beim Löschen?

Für eine effiziente Verarbeitung der Daten spielen hauptsächlich HR- und IT-Abteilungen wichtige Rollen. Jede Abteilung übernimmt verschiedene Kategorien von Daten.

Die HR-Abteilung kümmert sich um alle personenbezogenen Daten, die direkt mit der Beschäftigung der Mitarbeiter zusammenhängen. Dazu gehören:

• Personalakte,
• Stammdaten,
• Arbeitsverträge,
• Bescheinigungen.

HR prüft, was mit den Daten geschieht.

Die IT-Abteilung ist verantwortlich für

• Zugänge,
• Benutzerkonten,
• E-Mail-Postfächer,
• Berechtigungen.

Sie sorgt dafür, dass ehemalige Mitarbeitende keinen Zugriff mehr auf interne Systeme, Tools und Dateien haben. Die Deaktivierungsprozedur wird dokumentiert, um die Sicherheits- und Nachweispflichten zu erfüllen.

Das Löschkonzept eines Unternehmens funktioniert am besten, wenn beide Abteilungen zusammenarbeiten. Stellen Sie sicher, dass jede Abteilung ihre Aufgaben kennt.

Löschen, sperren oder aufbewahren? Die richtige Reihenfolge

Schauen Sie sich die Liste Ihrer Daten an und sorgen Sie für einen systematischen Ablauf der Datenlöschung. So verwalten Sie Ihre Daten DSGVO-konform. Folgen Sie am besten diesen Schritten:

1. Zweckprüfung. Welche Daten werden noch benötigt?
2. Sperrung und Einschränkung der Nutzung. Daten, die nicht sofort gelöscht werden können, sollten zunächst gesperrt oder anonymisiert werden.
3. Aufbewahrung. Dieser Schritt ist nur für den gesetzlich oder rechtlich notwendigen Zeitraum nötig.
4. Löschung. Sobald keine rechtlichen oder betrieblichen Gründe mehr bestehen, erfolgt die endgültige Löschung.

Ein Datenschutzverstoß kann arbeitsrechtliche Konsequenzen bis hin zur fristlosen Kündigung haben.

Typische Situationen, die eine DSGVO fristlose Kündigung rechtfertigen könnten, sind:

• die unbefugte Weitergabe personenbezogener Daten an Dritte,
• das vorsätzliche Löschen wichtiger Mitarbeitendendaten,
• den Versand sensibler Daten an private E-Mail-Adressen.

Es gibt einen besonderen Kündigungsschutz für interne Datenschutzbeauftragte, die gesetzlich verpflichtend benannt sind. Es handelt sich dabei um Angestellte, die nicht wie andere Mitarbeitende gekündigt werden können.

Dieser Kündigungsschutz ist in § 38 Abs. 2 BDSG zusammen mit § 6 Abs. 4 BDSG rechtlich geregelt:

• Eine Kündigung ist nur aus wichtigem Grund erlaubt, zum Beispiel bei schwerwiegenden Verstößen.
• Nach dem Ende der Tätigkeit als Datenschutzbeauftragter gilt ein Nachwirkungsschutz von einem Jahr. In diesem Zeitraum darf der Arbeitgeber die Person nicht ohne triftigen Grund kündigen.

Für alle anderen Mitarbeitenden gelten die üblichen Regelungen zur DSGVO und zur fristlosen Kündigung.

Durch die Anzahl von Daten, die jeden Tag in eine Organisation einfließen, können Personal- und IT-Abteilungen leicht den Überblick verlieren. Damit HR und IT eine einheitliche, effiziente und DSGVO-konforme Kündigungsprozedur leisten können, sind transparente und strukturierte Daten nötig.

Mit modernen Tools wie Protime lassen sich Daten zentralisieren und nachvollziehbar steuern. Dies erlaubt:

• Eine schnelle Verwaltung von Zugriffsrechten und Mitarbeiterdaten,
• Eine einfache Dokumentation aller Schritte zur DSGVO-Kündigung.

Auf Dauer ermöglichen digitale Lösungen für HR-Abteilungen eine Reduktion von manuellen Fehlern. Dadurch profitieren Unternehmen von einer besseren Produktivität ihres Personals und steigern ihre Rentabilität.

Eine effiziente Kündigung DSGVO verlangt eine sorgfältige Datenprüfung. Ob Benutzerkonten, Fotos oder Berechtigungen: Unternehmen sollten systematisch die Daten von ehemaligen Mitarbeitern prüfen.

Suchen Sie nach einer einfachen Lösung, um Ihre DSGVO-Kündigungen erfolgreich zu verwalten? Möchten Sie Fristen einhalten und Risiken für Ihr Unternehmen minimieren?

Mithilfe von Protime werden alle Daten auf einer einzigen Plattform zentralisiert. Dies ermöglicht

• einen transparenten Überblick über alle Daten,
• eine einfache Prüfung der Daten,
• eine detaillierte Dokumentation von allen Daten, die entweder gelöscht oder aufbewahrt wurden.