--- title: "Personalakte und Art. 15 DSGVO schwärzen: Prüfschema für Arbeitgeber" description: "Was Arbeitgeber bei einer Art.-15-Auskunft an ehemalige Mitarbeitende schwärzen dürfen und prüfen müssen: Personalakte, E-Mails, Drittdaten, Vermerke und Geschäftsgeheimnisse." author: "Martin Meng" canonical: "https://veronto.de/wissen/art-15-personalakte-schwaerzen" --- # Personalakte und Art. 15 DSGVO schwärzen: Prüfschema für Arbeitgeber Bei einer Auskunft nach Art. 15 DSGVO müssen Arbeitgeber personenbezogene Daten der anfragenden Person herausgeben. Zugleich schützt Art. 15 Abs. 4 DSGVO die Rechte und Freiheiten anderer Personen. Deshalb werden Daten Dritter, private Kontaktdaten, Aussagen anderer Mitarbeitender, Gesundheitsdaten Dritter, Geschäftsgeheimnisse und irrelevante Kontextinformationen vor der Herausgabe geprüft und bei Bedarf geschwärzt. Entscheidend ist ein dokumentierter Prüfschritt vor der Freigabe. Eine Auskunft nach Art. 15 DSGVO im Arbeitgeberkontext endet selten bei Stammdaten. Personalakten, E-Mail-Threads, Chatverläufe, Tickets und interne Vermerke enthalten fast immer Informationen über weitere Personen. Vor der Herausgabe braucht jede Unterlage einen Review: Welche Daten betreffen die anfragende Person, welche Daten betreffen andere, und welcher Kontext ist für eine verständliche Kopie erforderlich? Die praktische Leitfrage lautet: Was muss die anfragende Person sehen, damit ihre personenbezogenen Daten verständlich reproduziert werden, und was würde unnötig Rechte Dritter offenlegen? ## Welche Inhalte typischerweise geschwärzt werden Typische Schwärzstellen im Arbeitgeberkontext sind Namen, private Kontaktdaten, Aussagen, Bewertungen und Gesundheitsdaten anderer Personen. Auch interne Gesprächsteile ohne Bezug zur anfragenden Person, Geschäftsgeheimnisse und Sicherheitsinformationen können vor der Herausgabe zu prüfen sein. | Inhalt | Typischer Fundort | Prüffrage | |---|---|---| | Namen anderer Mitarbeitender | E-Mail, Chat, Vermerk, Ticket | Ist der Name für das Verständnis der Daten der anfragenden Person erforderlich? | | private Kontaktdaten | Personalakte, Mailanhang, Formular | Betrifft die Angabe eine andere Person? | | Aussagen Dritter | Vorgesetztennotiz, Compliance-Hinweis, Beschwerde | Kann die Aussage ohne Offenlegung der Quelle verständlich wiedergegeben werden? | | Gesundheitsdaten Dritter | Fehlzeiten, BEM, Unfallakte | Enthält die Unterlage besonders geschützte Daten anderer Personen? | | Geschäftsgeheimnisse | Projektunterlagen, Vergütungsmodelle, Kundeninformationen | Ist der Kontext für die personenbezogenen Daten erforderlich? | | Sicherheitsinformationen | IAM, Logs, Security-Tickets | Gefährdet die Herausgabe Schutzmaßnahmen oder Systeme? | ## Prüfschema vor der Herausgabe Ein belastbarer Review folgt immer derselben Reihenfolge. 1. **Dokumenttyp bestimmen.** Personalakte, E-Mail, Chat, Ticket, DMS-Datei, Log oder Export. 2. **Personenbezug markieren.** Welche Stellen betreffen die anfragende Person direkt oder indirekt? 3. **Drittdaten markieren.** Welche Stellen betreffen andere Mitarbeitende, Kunden, Bewerber oder Ansprechpartner? 4. **Kontextbedarf prüfen.** Braucht die anfragende Person diesen Kontext, damit die eigenen Daten verständlich sind? 5. **Grenzen dokumentieren.** Art. 15 Abs. 4 DSGVO, Geschäftsgeheimnis, Sicherheitsinteresse oder irrelevanter Kontext. 6. **Schwärzung anwenden.** Dauerhaft im Dokument, mit technischer Prüfung gegen kopierbare Reste. 7. **Freigabe protokollieren.** Wer hat wann entschieden, und welcher Grund wurde gesetzt? ## Personalakte: Daten der Person und Daten Dritter trennen Die Personalakte ist der dichteste Datenraum. Arbeitsvertrag, Abmahnung, Zeugnis, Gehaltsunterlagen, Vermerke und Kommunikation können personenbezogene Daten der anfragenden Person enthalten. Gleichzeitig stehen darin Namen, Einschätzungen und private Angaben anderer Personen. | Dokument in der Personalakte | Herausgabe-Risiko | Typischer Review | |---|---|---| | Arbeitsvertrag | gering bis mittel | Vertragsdaten prüfen, Daten Dritter selten relevant | | Abmahnung | mittel | Zeugen, Vorgesetzte, Gesprächsnotizen prüfen | | Leistungsbeurteilung | hoch | Bewertungen, Vergleichsgruppen und Verfasser prüfen | | BEM-Unterlagen | sehr hoch | Gesundheitsdaten, Beteiligte und Zweckbindung prüfen | | Gehaltsunterlagen | hoch | Steuer-, Sozial- und Bankdaten prüfen | | interne Vermerke | hoch | Personenbezug und rechtliche Bewertung trennen | Bei internen Vermerken kommt es auf den Inhalt an. Ein Vermerk über Verhalten, Leistung oder Konflikte enthält regelmäßig personenbezogene Daten. Die rechtliche Bewertung oder taktische Einschätzung kann getrennt zu betrachten sein. Deshalb hilft ein Review-Feld je Fundstelle: Datenpunkt, Kontext, Grenze, Entscheidung. ## E-Mail, Chat und Tickets E-Mail-Postfächer und Chatverläufe sind im DSAR-Fall gefährlich, weil sie ungefilterte Sprache enthalten. Eine Suche nach dem Namen der anfragenden Person produziert Treffer mit Bezügen zu Projekten, Beschwerden, Führungskräften, Kunden und anderen Mitarbeitenden. Ein sinnvoller Suchplan legt vorab fest: - welche Postfächer oder Archive durchsucht werden, - welche Suchbegriffe genutzt werden, - wer Treffer vorsortiert, - wer Drittdaten prüft, - wie Auszüge gebildet werden, - welche Entscheidung im Audit-Trail landet. Bei langen Threads ist häufig der relevante Ausschnitt aussagekräftiger als die gesamte Unterhaltung. Die Kopie muss verständlich bleiben. Unbeteiligte Gesprächsteile erhöhen das Risiko und bringen der anfragenden Person oft keinen zusätzlichen Erkenntniswert. ## Schwärzung technisch prüfen Eine sichtbare schwarze Fläche reicht technisch nur, wenn der darunterliegende Text entfernt oder zuverlässig unlesbar ist. In PDFs können Textlayer, Kommentare, Metadaten und Anhänge weiter personenbezogene Daten enthalten. Deshalb braucht die Freigabe mindestens diese Prüfung: | Prüfpunk | Warum er zählt | |---|---| | Text unter Balken | kopierbarer Text darf nach der Schwärzung nicht erhalten bleiben | | Kommentare und Markups | Review-Kommentare können neue Daten offenlegen | | Metadaten | Autor, Dateipfad oder Versionshistorie können Personenbezug enthalten | | Anhänge | eingebettete Dateien werden leicht übersehen | | OCR-Schicht | gescannte Dokumente können durchsuchbaren Text enthalten | Das Browser-Werkzeug [PDF schwärzen](https://veronto.de/pdf-schwaerzen) hilft bei einfachen Dokumenten. Für wiederkehrende Art.-15-Vorgänge gehört die Schwärzung in den Prozess: Fundstelle erkennen, Entscheidung treffen, Ausgabe prüfen, Freigabe dokumentieren. ## Wie veronto den Review unterstützt veronto requests hält den Vorgang zusammen: Eingang, Frist, Zuständigkeiten, Suchplan, Review und Freigabe. veronto redact übernimmt die technische Schwärzung und prüft Dokumente auf personenbezogene Daten. alias kann Beteiligte in KI-Schritten konsistent als Platzhalter führen, damit Klardaten während der Bearbeitung geschützt bleiben. ## Quellen und Stand Stand: 14. August 2026. Diese Seite ist eine allgemeine Prozess- und Orientierungshilfe, keine Rechtsberatung. - [Art. 15 DSGVO](https://dejure.org/gesetze/DSGVO/15.html): Auskunftsrecht, Kopie, Rechte und Freiheiten anderer Personen. - [Art. 12 DSGVO](https://dejure.org/gesetze/DSGVO/12.html): Frist, Identitätsprüfung, Unterrichtung. - [EDPB Guidelines 01/2022 on data subject rights, right of access](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en). - [§ 83 BetrVG](https://www.gesetze-im-internet.de/betrvg/__83.html): Einsicht in die Personalakte.