Das Ablaufdatum der Beschäftigung: Umgang mit den neuen HR-Datenspeicherungsregeln der CNIL

Wissen Sie, was mit Ihrem Lebenslauf passiert, nachdem Sie für eine Stelle abgelehnt wurden, oder wohin Ihre Gehaltsabrechnungen gehen, wenn Sie zu einem neuen Unternehmen gewechselt sind? Jahrelang war die Antwort oft ein digitaler Dachboden – eine ungeordnete Sammlung von Ordnern und Servern, auf denen persönliche Informationen Staub ansetzten und weitgehend vergessen wurden, bis eine Datenpanne diesen Staub in einen Feuersturm verwandelte. In den Augen der französischen Datenschutzbehörde CNIL ist diese „Alles-für-immer-behalten“-Mentalität nicht mehr nur mangelnde Hygiene; sie ist ein regulatorisches Haftungsrisiko.

Kürzlich hat die CNIL einen umfassenden Referenzrahmen speziell für die Aufbewahrung von HR-bezogenen personenbezogenen Daten veröffentlicht. Dies ist nicht nur eine weitere trockene Checkliste für die Rechtsabteilung. Es handelt sich um einen grundlegenden Wandel in der Art und Weise, wie Organisationen den Lebenszyklus ihres sensibelsten Gutes betrachten müssen: die Menschen, die das Unternehmen antreiben. Aus Sicht der Compliance ist die Botschaft klar: Personenbezogene Daten sind wie ein toxischer Vermögenswert. Sie sind unglaublich wertvoll, wenn man sie braucht, aber je länger man sie über ihr Ablaufdatum hinaus behält, desto gefährlicher werden sie im Falle eines Lecks.

Der dreistufige Lebenszyklus von HR-Daten

Unter diesem Rahmen führt die CNIL einen strukturierten Ansatz für das Altern von Daten ein. Anders ausgedrückt: Daten sollten nicht einfach in einem riesigen Topf existieren. Stattdessen durchlaufen sie drei verschiedene Phasen eines Lebenszyklus.

Erstens gibt es die aktive Datenbank. Dies sind die Informationen, die die Personalabteilung für das Tagesgeschäft benötigt – Ihre aktuelle Adresse für die nächste Gehaltsabrechnung oder Ihre Leistungsbeurteilungen für eine anstehende Beförderung. Sobald der unmittelbare Bedarf entfällt, sollten die Daten nicht unbedingt gelöscht werden, aber sie müssen in die Zwischenarchivierung überführt werden. Dies ist eine separate Zone mit eingeschränktem Zugriff, in der Daten nur aufbewahrt werden, weil das Gesetz es erfordert (z. B. für Steuerprüfungen) oder weil sie für einen Rechtsstreit benötigt werden könnten.

Sobald diese gesetzlichen Fristen abgelaufen sind, müssen die Daten schließlich ihren Bestimmungsort erreichen: die endgültige Löschung oder ein digitales Zeugenschutzprogramm, auch bekannt als Anonymisierung. In diesem Zustand werden die Daten von allen identifizierenden Merkmalen befreit, sodass sie nicht mehr auf eine Einzelperson zurückgeführt werden können. Dies ermöglicht es dem Unternehmen, statistische Trends beizubehalten, ohne die Privatsphäre zu verletzen.

Die Rekrutierungsuhr: Zwei Jahre und Schluss

Einer der nuanciertesten Bereiche der neuen Leitlinien betrifft Stellenbewerber. Wenn ich untersuche, wie Unternehmen mit der Rekrutierung umgehen, finde ich oft „Geisterprofile“ von Kandidaten, die sich vor fünf Jahren auf eine Stelle beworben haben und nie wieder kontaktiert wurden.

In der Praxis schlägt die CNIL vor, dass die Daten eines Kandidaten in der Regel nicht länger als zwei Jahre nach dem letzten Kontakt mit dem Bewerber aufbewahrt werden sollten. Dies gibt dem Unternehmen ein angemessenes Zeitfenster, um einen Kandidaten für eine zukünftige Rolle erneut in Betracht zu ziehen, während gleichzeitig das Recht des Einzelnen respektiert wird, weiterzuziehen. Interessanterweise muss das Unternehmen den Kandidaten informieren und ihm die Möglichkeit geben, die Löschung zu verlangen, wenn es die Daten für den vollen Zeitraum von zwei Jahren behalten möchte. Transparenz ist das Fundament dieses Hauses; ohne sie bricht das gesamte Vertrauensgerüst zusammen.

Das „Nachleben“ eines Arbeitsvertrags verwalten

Was passiert, wenn ein Mitarbeiter zum letzten Mal zur Tür hinausgeht? Die Beziehung mag beendet sein, aber die Datenspur bleibt. Der Rahmen der CNIL bietet einen Fahrplan für diesen Übergang. Während Gehaltsabrechnungen oft fünf Jahre lang aufbewahrt werden müssen, um dem französischen Arbeitsgesetzbuch zu entsprechen, haben andere Dokumente, wie Disziplinarakten, eine viel kürzere Haltbarkeit.

Folglich müssen Organisationen zu akribischen Editoren werden. Als digitaler Detektiv suche ich oft nach Inkonsistenzen bei der Bereinigung dieser Dateien. Eine häufige Falle ist die Aufbewahrung einer Kopie des Ausweisfotos eines Mitarbeiters oder seiner Notfallkontaktdaten lange nach seinem Ausscheiden. Dies sind unnötige Brotkrumen, die nach Beendigung des Vertrags keinem rechtlichen Zweck mehr dienen. Das Prinzip der Datenminimierung schreibt vor: Wenn Sie es nicht zur Erfüllung einer rechtlichen Verpflichtung benötigen, sollten Sie es nicht haben.

Arbeitsplatzüberwachung und die Grenze zum Übergriffigen

Die Arbeitsplatzüberwachung – von der Videoüberwachung in der Lobby bis hin zu Software, die Tastenanschläge verfolgt – ist vielleicht der heikelste Bereich des HR-Datenmanagements. Die CNIL ist hier besonders streng. Daten, die durch Überwachung erhoben werden, müssen in einem angemessenen Verhältnis zum Ziel stehen. Wenn ein Unternehmen beispielsweise ein Ausweissystem verwendet, um den Gebäudezugang zu verfolgen, ist die monatelange Aufbewahrung dieser Protokolle selten gerechtfertigt.

In der Regel reicht eine Aufbewahrungsfrist von wenigen Wochen für Sicherheitszwecke aus. Eine längere Aufbewahrung dieser Daten schafft ein systemisches Risiko, bei dem ein Arbeitgeber historische Daten nutzen könnte, um jede Bewegung eines Mitarbeiters zu rekonstruieren, wodurch ein Sicherheitswerkzeug zu einem aufdringlichen Überwachungsmechanismus wird. Compliance fungiert hier als Kompass und stellt sicher, dass das Sicherheitsbedürfnis des Unternehmens nicht in eine Verletzung grundlegender Menschenrechte abdriftet.

Praktische Schritte für eine datenschutzfreundliche Personalabteilung

Das Navigieren durch dieses regulatorische Labyrinth erfordert mehr als nur eine Aktualisierung der Richtlinien; es erfordert einen Kulturwandel. So können Organisationen beginnen, sich an den Erwartungen der CNIL auszurichten:

• Den Dachboden ausmisten: Führen Sie eine detaillierte Überprüfung aller derzeit gespeicherten HR-Daten durch. Identifizieren Sie, was sich in der aktiven Datenbank befindet und was schon vor Jahren hätte archiviert oder gelöscht werden müssen.
• Klare Zeitpläne definieren: Erstellen Sie einen formalen Aufbewahrungsplan, der zwischen verschiedenen Datentypen unterscheidet (z. B. Rekrutierung, Gehaltsabrechnung, Gesundheitsdaten, Überwachungsprotokolle).
• Die Löschung automatisieren: Verlassen Sie sich nicht auf das menschliche Gedächtnis, um Dateien zu löschen. Nutzen Sie Softwaretools, die Daten automatisch markieren oder löschen, sobald sie ihre Aufbewahrungsfrist erreicht haben.
• Die Betroffenen informieren: Aktualisieren Sie Ihre Datenschutzhinweise. Mitarbeiter und Bewerber sollten genau wissen, wie lange ihre Daten aufbewahrt werden und, was noch wichtiger ist, warum.
• Die Rechtfertigung dokumentieren: Wenn Sie sich entscheiden, Daten länger als von der CNIL empfohlen aufzubewahren, müssen Sie Ihr spezifisches berechtigtes Interesse oder die gesetzliche Anforderung dokumentieren, die dies rechtfertigt.

Zusammenfassende Tabelle: Gängige Aufbewahrungs-Benchmarks

Letztendlich geht es bei der Einhaltung dieser Aufbewahrungsfristen darum, zu erkennen, dass Informationen nicht nur ein Vermögenswert, sondern auch eine Belastung sind. Indem wir unsere digitalen Fußabdrücke bereinigen, schützen wir nicht nur das Unternehmen vor regulatorischen Bußgeldern, sondern auch die Personen, deren Leben in diesen Dateien abgebildet ist.

Quellen:

• CNIL: Reference framework for the processing of personal data for the purpose of HR management.
• GDPR Article 5(1)(e): Storage Limitation Principle.
• GDPR Article 17: Right to Erasure ('Right to be Forgotten').
• French Labor Code (Code du travail).

Haftungsausschluss: Dieser Artikel dient nur zu Informations- und journalistischen Zwecken und stellt keine formelle Rechtsberatung dar. Datenschutzgesetze sind komplex und unterliegen Änderungen; bitte konsultieren Sie einen qualifizierten Rechtsexperten bezüglich Ihrer spezifischen Compliance-Anforderungen.