Einsicht in das Personaldossier: Das Auskunftsrecht nach Datenschutzgesetz

In der Praxis bestehen im Zusammenhang mit dem Personaldossier häufig Unsicherheiten: Welche Mitarbeiterdaten dürfen bearbeitet werden? Welche Daten gehören in ein Personaldossier? Wie lange dürfen die Daten aufbewahrt werden? Welche Ansprüche haben Mitarbeitende? Auf diese Fragen gehen wir nachfolgend näher ein und schauen, ob und wie sich das Auskunftsrecht unter dem revidierten Datenschutzgesetz (rDSG) ändert.

Welche Daten gehören in ein Personaldossier?

Der Arbeitgeber darf Daten über einen Mitarbeitenden nur bearbeiten, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind (Art. 328b OR). Darüber hinaus verweist die Bestimmung auf das Datenschutzgesetz (DSG).

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftrage (EDÖB) führt in seinem Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich die wichtigsten Daten auf, die typischerweise in einem Personaldossier angelegt werden. Letztlich gehören zum Personaldossier alle Daten, die über einen Mitarbeitenden von der Bewerbung bis zur Beendigung des Arbeitsverhältnisses aufgezeichnet werden.

Das Auskunftsrecht der Mitarbeitenden nach geltendem Recht (Art. 8 DSG)

Mitarbeitende haben jederzeit ein Recht auf Auskunft über den Inhalt ihres Personaldossiers. Häufig machen Mitarbeitende erst nach Beendigung des Arbeitsverhältnisses von diesem Recht Gebrauch. Dabei muss der Mitarbeitende weder ein schützenswertes Interesse noch eine Persönlichkeitsverletzung glaubhaft machen und das Auskunftsbegehren grundsätzlich auch nicht begründen. Mitarbeitende können gestützt auf Art. 8 DSG bei der Arbeitgeberin die Mitteilung aller über sie in der Datensammlung vorhandenen Daten einschliesslich der verfügbaren Angaben über die Herkunft der Daten verlangen.

Das Auskunftsrecht umfasst alle physisch und/oder elektronisch abgespeicherten Daten über einen bestimmten Mitarbeitenden. Die Daten müssen personenbezogen sein oder dem Mitarbeitenden zugeordnet werden können. Dabei spielt es keine Rolle, ob es sich um Tatsachenfeststellungen oder um Werturteile handelt. Das Auskunftsrecht umfasst in jedem Fall alle Daten eines Mitarbeitenden, die in einem Personaldossier geführt werden. Ausgenommen vom Auskunftsrecht sind persönliche Notizen des Vorgesetzten, die nicht an Dritte bekanntgegeben werden, wie z.B. Gedächtnisstützen für Mitarbeitergespräche oder interne Akten zur Willensbildung.

Die Auskunft ist von der Arbeitgeberin in der Regel schriftlich, durch Herausgabe von Kopien, und kostenlos zu gewähren. Die Parteien können auch eine Einsichtnahme vor Ort oder eine mündliche Auskunftserteilung vereinbaren. Die Auskunft hat innert 30 Tagen seit Eingang des Auskunftsbegehren zu erfolgen.

Die Arbeitgeberin kann die Auskunft ausnahmsweise einschränken, verweigern oder aufschieben, wenn:

ein Gesetz dies vorsieht (Art. 9 Abs. 1 lit. a DSG);
es wegen überwiegender Interessen Dritter erforderlich ist (Art. 9 Abs. 2 lit. b DSG) oder
eigene überwiegende Interessen der Arbeitgeberin dies erfordern (Art. 9 Abs. 4 DSG).

Sofern die Arbeitgeberin die Auskunftserteilung einschränkt, muss sie darüber informieren und ihren Entscheid begründen. Eine Einschränkung muss stets im konkreten Fall verhältnismässig sein. Wenn Daten im Personaldossier nicht nur Personendaten des Mitarbeitenden, sondern auch Informationen zu Drittpersonen (z.B. Daten aus einer internen Untersuchung) betreffen oder Geheimhaltungsinteressen der Arbeitgeberin tangieren, wird die Arbeitgeberin regelmässig nur eingeschränkt Auskunft erteilen, indem sie die entsprechenden Daten schwärzt.

Die Arbeitgeberin kann die Auskunft schliesslich auch dann verweigern, wenn das Auskunftsbegehren rechtsmissbräuchlich ist. In der Praxis werden Auskunftsbegehren oft bei einem sich anbahnenden Rechtsstreit im Zusammenhang mit einer Arbeitgeberkündigung gestellt. Wenn es den Mitarbeitenden ausschliesslich darum geht, Beweise für einen Zivilprozess zu beschaffen oder die Prozessaussichten auszuloten, ist das Auskunftsbegehren rechtsmissbräuchlich (s. 4A_277/2020 E. 5.3).

Das Auskunftsrecht der Mitarbeitenden nach revidiertem Recht (Art. 25 rDSG)

Im Zuge der Revision der Datenschutzgesetzgebung erfährt auch das Auskunftsrecht eine Anpassung, wobei die Grundsätze der Datenbearbeitung gleichbleiben. Art. 25 rDSG enthält im Unterschied zur geltenden Norm eine erweiterte Liste an Mindestinformationen, die vom Verantwortlichen herausgegeben werden müssen:

die Identität und die Kontaktdaten der verantwortlichen Person innerhalb des Arbeitgebers, die über den Zweck und die Mittel der Bearbeitung entscheidet;
die bearbeiteten Personendaten also solche;
der Bearbeitungszweck;
die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
die verfügbaren Angaben über die Herkunft der Personendaten, soweit sie nicht bei der betroffenen Person beschafft wurden;
gegebenenfalls das Vorliegen einer automatisierten Einzelentscheidung sowie die Logik, auf der die Entscheidung beruht;
gegebenenfalls die Empfänger oder die Kategorien von Empfänger, denen Personendaten bekanntgegeben werden.

Kern einer jeden Auskunft werden die bearbeiteten Personendaten sein. Das rDSG fügt neu die Einschränkung «als solche» hinzu. Damit soll verdeutlicht werden, dass der Auskunftsanspruch nur Personendaten und nicht etwa ganze Unterlagenbestände und Dokumente (wie heute in der Gerichtspraxis üblich) erfasst. Dies dürfte v.a. bei Daten mit höchstens oberflächlichem Bezug zur Person des Mitarbeitenden relevant sein, wie bspw. ein vom Mitarbeitenden im Namen des Arbeitgebers unterzeichneter Vertrag oder ein E-Mail im Rahmen der üblichen Geschäftskorrespondenz. Allein eine Unterschrift macht nicht das ganze Dokument zum Personendatum. Hinzu kommt, dass in solchen Fällen das integrale Dokument für die Geltendmachung der Datenschutzrechte auch nicht erforderlich ist. Analog zum geltenden Recht, ist die Auskunft innert 30 Tagen zu erteilen (Art. 25 Abs. 7 rDSG und Art. 18 rDSV).

Die Auflistung in Art. 25 Abs. 2 rDSG macht deutlich, dass die Arbeitgeberin zukünftig mehr Informationen liefern muss, als dies aktuell der Fall ist. Dazu gehören insb. die Angaben über die Aufbewahrungsdauer, Informationen zu automatisierten Einzelentscheidungen sowie zur Bekanntgabe von Personendaten. In der Praxis dürften v.a. Zusatzangaben zur Aufbewahrungsdauer eine Herausforderung darstellen, weil dies voraussetzt, dass die Arbeitgeberin die Rechte und Pflichten im Zusammenhang mit der Aufbewahrungsdauer von Mitarbeiterdaten im Griff hat.

Pro Memoria: Eine Übersicht der wichtigsten Aufbewahrungsfristen

Bewerberdaten: Bei einer Nichtanstellung müssen die Bewerbungsunterlagen zurückgegeben und allfällige Kopien vernichtet werden. Nur mit der Zustimmung der Bewerbenden dürfen Unterlagen für eine bestimmte, im Voraus festgelegte Dauer aufbewahrt werden.
Arbeitszeugnis: Der Anspruch auf Ausstellung und Berichtigung eines Arbeitszeugnisses verjährt nach bundesgerichtlicher Rechtsprechung 10 Jahre nach Beendigung des Arbeitsverhältnisses. D.h. so lange müssen die dafür benötigten Daten aufbewahrt werden. Relevant für die Erstellung eines Arbeitszeugnisses sind i.d.R. nur die letzten zwei Mitarbeiterbeurteilungen. Frühere Beurteilungen sind regelmässig aus dem Personaldossier zu entfernen.
Lohndaten: Wer zur Führung von Geschäftsbüchern verpflichtet ist, hat diese, die Geschäftskorrespondenz und die Buchungsbelege während 10 Jahren aufzubewahren.
Daten i.Z.m. finanziellen Ansprüchen der Mitarbeitenden: Nach Beendigung des Arbeitsverhältnisses sind Unterlagen, die in einem Rechtstreit betr. Lohnforderungen verwendet werden könnten (z.B. Zeiterfassung) während 5 Jahren aufzubewahren.
Quellensteuer: Steuerrelevante Mitarbeiterdaten, aus welchen die Lohnhöhe ersichtlich ist, sind während 15 Jahren nach Ablauf der Steuerperiode aufzubewahren.

Generell empfiehlt der EDÖB das Personaldossier einer regelmässigen Triage zu unterziehen und nicht mehr benötigte Unterlagen zu entfernen. Eine solche Prüfung sollte in der Regel alle zwei Jahre erfolgen.

Das rDSG trägt der Problematik zweckfremder Auskunftsbegehren Rechnung. Neu wird ausdrücklich festgehalten, dass das Auskunftsrecht verweigert, eingeschränkt oder aufgehoben werden kann, wenn das Auskunftsgesuch offensichtlich unbegründet ist. Dies ist der Fall, wenn das Begehren einen datenschutzwidrigen Zweck (z.B. Abklären von Prozessaussichten) oder querulatorisch ist.

Im rDSG ist für die Verletzung des Auskunftsrechts eine Busse bis zu CHF 250’000 angedroht (aktuell max. CHF 10’000). Die Verletzung des Auskunftsrechts wird nur auf Antrag und bei vorsätzlich falscher oder unvollständiger Auskunft bestraft. Gebüsst wird grundsätzlich die verantwortliche natürliche Person. Neu kann aber auch das Unternehmen selbst mit bis zu CHF 50’000 gebüsst werden, wenn die Ermittlung der strafbaren natürlichen Person innerhalb des Unternehmens einen unverhältnismässigen Untersuchungsaufwand zur Folge hätte.

Fazit

Die Grundsätze bei der Bearbeitung von Mitarbeiterdaten im Arbeitsverhältnis ändern sich mit dem rDSG nicht. Das Auskunftsrecht wurde einerseits um gewisse herauszugebende Informationen erweitert und andererseits in Bezug auf zweckfremde Auskunftsbegehren und Personendaten «als solche» eingeschränkt. Mit der Erweiterung könnten sich die Unsicherheiten i.Z.m. der Aufbewahrungsdauer von Mitarbeiterdaten akzentuieren, da Mitarbeitende diesbezüglich Auskunft verlangen können. Schliesslich wird das Datenschutzrecht zum Nebenstrafrecht.