Wissen Schwärzen & Anonymisieren

Personalakte und Art. 15 DSGVO schwärzen: Prüfschema für Arbeitgeber

Martin Meng 6 Min Lesezeit

Bei einer Art.-15-Auskunft werden Angaben anderer Personen nicht automatisch geschwärzt. Arbeitgeber bestimmen zuerst die personenbezogenen Daten der anfragenden Person, prüfen den nötigen Kontext und wägen dann die Rechte und Freiheiten anderer Personen ab. Jede Schwärzung braucht eine Fundstelle, einen Grund und eine technische Kontrolle.

Die wichtigsten Punkte
  • Zuerst werden die Daten der anfragenden Person und der nötige Kontext bestimmt.
  • Art. 15 Abs. 4 DSGVO verlangt eine Abwägung je Fundstelle.
  • Der Anspruch betrifft grundsätzlich Daten im Dokument, nicht automatisch das vollständige Dokument.
  • Schwärzung und technische Kontrolle sind zwei getrennte Schritte.
  • Grund, Fundstelle und Freigabe gehören in das Schwärzungsprotokoll.

Personalakten enthalten selten nur Daten einer Person. In einer Abmahnung stehen Zeugen, in einer Leistungsbeurteilung Vergleichsgruppen und in einem Compliance-Vermerk Aussagen von Hinweisgebern. Für eine Auskunft nach Art. 15 DSGVO müssen Arbeitgeber beides schützen: die vollständige und verständliche Auskunft an die anfragende Person sowie die Rechte und Freiheiten anderer Personen.

Die Kernfrage lautet deshalb: Welcher Inhalt ist ein personenbezogenes Datum der anfragenden Person, welcher Kontext wird zum Verständnis gebraucht und welche Offenlegung würde eine andere Person beeinträchtigen?

Eine Aussage bleibt im Auszug lesbar. Nur eine nach Abwägung entbehrliche private Kontaktangabe wird entfernt.
Der Balken folgt der Abwägung, nicht umgekehrt. Die Grafik zeigt eine einzelne Fundstelle, keine pauschale Regel für Zeugenangaben.

Wenn Sie noch den Eingang, die Vollmacht oder die Suche organisieren, beginnt der Ablauf beim Auskunftsersuchen ehemaliger Mitarbeiter. Hier geht es um die anschließende Bearbeitung der gefundenen Inhalte.

Was verlangt die Rechtslage?

Art. 15 Abs. 3 DSGVO gewährt eine Kopie der verarbeiteten personenbezogenen Daten. Sie muss vollständig, originalgetreu und verständlich sein. Dokumentauszüge oder ganze Dokumente sind einzubeziehen, wenn dieser Kontext für eine wirksame Rechtsausübung unerlässlich ist. Der EuGH bestätigt diese Linie aus C-487/21 in seinem Urteil C-307/22, Randnummern 71 bis 75.

Art. 15 Abs. 4 DSGVO schützt zugleich die Rechte und Freiheiten anderer Personen. Diese Grenze verlangt eine Abwägung. Sie erlaubt nicht, alle Unterlagen mit Drittbezug vollständig zurückzuhalten. Die EDPB-Leitlinien zum Auskunftsrecht, Randnummern 168 bis 173, unterscheiden die konkrete Beeinträchtigung, die Abwägung und mögliche Maßnahmen, die beide Seiten schützen.

Das Bundesarbeitsgericht hat 2026 klargestellt, dass sich der Anspruch grundsätzlich auf die personenbezogenen Daten in einem Dokument bezieht und nicht auf das gesamte Dokument. Ein Compliance-Abschlussbericht mit rechtlichen Ausführungen und Mandantenhinweisen musste nicht vollständig kopiert werden (BAG, 16.04.2026, 8 AZR 169/25).

Prüfschema für jede Fundstelle

  1. Dokument und Stelle benennen. Erfassen Sie Datei, Seite, Absatz oder Datenfeld.
  2. Daten der anfragenden Person bestimmen. Markieren Sie Tatsachen, Bewertungen und Vorgänge mit direktem oder indirektem Personenbezug.
  3. Erforderlichen Kontext bestimmen. Prüfen Sie, welche Sätze, Spalten oder Gesprächsteile die Information verständlich machen.
  4. Rechte anderer Personen bestimmen. Ermitteln Sie Namen, private Daten, Aussagen, Gesundheitsdaten und schutzwürdige Rollen Dritter.
  5. Mildestes Mittel wählen. Prüfen Sie, ob eine enge Schwärzung, Pseudonymisierung oder ein Auszug den Konflikt löst.
  6. Entscheidung dokumentieren. Halten Sie Fundstelle, Ergebnis, Grund, Rechtsgrundlage und Freigabe fest.
  7. Ausgabedatei technisch kontrollieren. Prüfen Sie Textlayer, OCR, Kommentare, Metadaten und Anhänge.

Eine gute Entscheidung lautet nicht nur „Drittdaten“. Sie erklärt, wessen Rechte betroffen sind, warum die konkrete Offenlegung beeinträchtigen würde und wie der nötige Kontext erhalten bleibt.

Welche Inhalte brauchen typischerweise eine Prüfung?

Inhalt Typischer Fundort Konkrete Prüffrage
Name einer Kollegin Beschwerde, E-Mail oder Abmahnung Ist ihre Identität für das Verständnis oder die Rechtsausübung erforderlich?
Aussage eines Hinweisgebers Compliance-Vermerk Kann der Inhalt ohne identifizierende Angaben verständlich wiedergegeben werden?
private Kontaktangabe Formular oder Anhang Betrifft sie eine andere Person und ist sie für die Auskunft entbehrlich?
Gesundheitsinformation eines Dritten BEM- oder Unfallunterlage Kann der Bezug vollständig entfernt werden, ohne Daten der anfragenden Person zu verlieren?
Vergleichsgruppe Leistungs- oder Vergütungsauswertung Welche Werte betreffen die anfragende Person, welche machen andere Personen identifizierbar?
rechtliche Analyse Untersuchungsbericht Enthält sie Daten über die Person oder eine von diesen Daten trennbare rechtliche Bewertung?
Sicherheitsdetail IAM- oder Security-Ticket Bleibt der relevante Zugriffs- oder Ereignisnachweis ohne Offenlegung der Schutzmaßnahme verständlich?

Subjektive Aussagen und Bewertungen können personenbezogene Daten sein. Inhalt, Zweck oder Auswirkungen können den Bezug zur Person herstellen. Eine rechtliche Analyse als solche ist dagegen nicht schon deshalb ein personenbezogenes Datum, weil sie in derselben Datei steht. Diese Unterscheidung greift das BAG in 8 AZR 169/25, Randnummern 24 und 25, unter Bezug auf die Rechtsprechung des EuGH und BGH auf.

Wann darf der Name einer beschäftigten Person sichtbar bleiben?

Ein Name wird nicht allein deshalb entfernt, weil er zu einem Beschäftigten gehört. Für Zugriffsprotokolle hat der EuGH entschieden, dass die anfragende Person Zeitpunkt und Zweck eines Zugriffs erfahren kann. Bei Beschäftigten, die unter der Aufsicht und im Einklang mit den Weisungen des Verantwortlichen handeln, ist die Identität grundsätzlich nur mitzuteilen, wenn sie für die wirksame Ausübung der Rechte unerlässlich ist. Zugleich sind deren Rechte und Freiheiten zu berücksichtigen. So erläutert es die EuGH-Pressemitteilung zu C-579/21; sie ist eine Zusammenfassung, nicht der verbindliche Urteilstext.

Für andere Dokumente bleibt dieselbe Denkfolge hilfreich:

  • Braucht die Person die Identität, um die sie betreffenden Daten zu verstehen oder ihre Rechte auszuüben?
  • Hat die andere Person ein besonderes Schutzinteresse, etwa als Hinweisgeberin oder wegen privater Angaben?
  • Kann eine Rollenbezeichnung den nötigen Kontext erhalten?
  • Würde eine Schwärzung den Sinn der verbleibenden Aussage verfälschen?

Das Ergebnis kann je Fundstelle unterschiedlich sein.

Wie bilden Sie verständliche Auszüge?

Bei E-Mails, Chats und Tickets ist die einzelne Trefferzeile oft zu knapp, der gesamte Verlauf oft zu breit. Ein verständlicher Auszug kann Betreff, Datum, Rollen der Beteiligten, die relevante Aussage und unmittelbar nötige Vor- oder Folgesätze enthalten.

Die technische Suche selbst behandelt der IT-Suchplan für E-Mail, Teams und Tickets. Auf dieser Seite geht es erst ab dem geprüften Treffer weiter: Kontext festlegen, Rechte Dritter abwägen, schwärzen und freigeben.

Was gehört in das Schwärzungsprotokoll?

Feld Beispiel
Fundstelle Personalakte, Abmahnung vom 12.02.2025, Seite 2, Absatz 3
Entscheidung Private Mobilnummer geschwärzt, Name und Aussage sichtbar
Grund Offenlegung der privaten Nummer ermöglicht unerwünschte Kontaktaufnahme; Name und Aussage geben den nötigen Kontext bereits wieder
Rechtsgrundlage Art. 15 Abs. 4 DSGVO
technische Prüfung Textkopie, Suche und Metadaten ohne Treffer
Freigabe zuständige Rolle, Name und Datum

Das Beispiel ist synthetisch. Ein Protokoll soll die Entscheidung nachvollziehbar machen, ohne unnötig weitere personenbezogene Daten zu vervielfältigen.

Wie prüfen Sie die geschwärzte PDF?

Eine schwarze Fläche ist noch keine sichere Schwärzung. Vor der Freigabe prüfen Sie:

Prüfpunkt Kontrolle
Text unter der Fläche markieren, kopieren und nach dem verdeckten Begriff suchen
OCR-Schicht durchsuchbaren Text aus Scans kontrollieren
Kommentare und Markups Anmerkungen und Änderungsspuren entfernen oder gesondert prüfen
Metadaten Autor, Dateipfad, Titel und weitere Eigenschaften prüfen
Anhänge eingebettete Dateien und Anlagen öffnen und bewerten
sichtbarer Kontext kontrollieren, ob die verbleibende Aussage noch richtig und verständlich ist

Für die Bearbeitung einzelner Fundstellen ist redact der passende Produktweg. Die dortige Browserdemo veranschaulicht die Dokumentbearbeitung. Ob eine konkrete Schwärzung zulässig und der Export vollständig bereinigt ist, bleibt Teil Ihrer fachlichen und technischen Prüfung.

Quellen und Stand

Redaktioneller Stand: 8. September 2026. Die DSGVO-Verweise führen zur amtlichen Wiedergabe der BfDI, Stand März 2026. Gerichtliche Pressemitteilungen sind als solche gekennzeichnet.

Vertiefungen zu Schwärzen & Anonymisieren

Produktstand

Die Browserdemo von veronto redact zeigt eine begrenzte Erkennungsvorarbeit an Beispieldaten. Für beliebige Dokumente und einen vollständigen produktiven Ablauf ist das noch kein Nachweis.

veronto redact ansehen

Häufige Fragen.

Dürfen Namen anderer Mitarbeitender immer geschwärzt werden?

Nein. Art. 15 Abs. 4 DSGVO verlangt eine Abwägung. Entscheidend ist, ob die Offenlegung Rechte und Freiheiten der anderen Person beeinträchtigt und ob deren Identität für die verständliche Auskunft erforderlich ist.

Muss die gesamte Personalakte als Kopie herausgegeben werden?

Nicht automatisch. Geschuldet ist eine vollständige und verständliche Kopie der personenbezogenen Daten. Ein Dokumentauszug oder ein ganzes Dokument kann erforderlich sein, wenn der nötige Kontext anders fehlt.

Fallen interne Bewertungen unter die Auskunft?

Subjektive Einschätzungen können personenbezogene Daten sein, wenn sie sich inhaltlich, durch ihren Zweck oder ihre Auswirkungen auf die Person beziehen. Eine rechtliche Analyse als solche ist dagegen nicht automatisch ein personenbezogenes Datum.

Was muss technisch geprüft werden?

Unter dem Balken darf kein kopierbarer oder durchsuchbarer Text bleiben. Zusätzlich sind OCR-Schicht, Kommentare, Metadaten und eingebettete Anhänge zu prüfen.

Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.