Wissen Schwärzen & Anonymisieren

Personalakte und Art. 15 DSGVO schwärzen: Prüfschema für Arbeitgeber

Martin Meng 5 Min Lesezeit

Eine Auskunft nach Art. 15 DSGVO im Arbeitgeberkontext endet selten bei Stammdaten. Personalakten, E-Mail-Threads, Chatverläufe, Tickets und interne Vermerke enthalten fast immer Informationen über weitere Personen. Vor der Herausgabe braucht jede Unterlage einen Review: Welche Daten betreffen die anfragende Person, welche Daten betreffen andere, und welcher Kontext ist für eine verständliche Kopie erforderlich?

Die praktische Leitfrage lautet: Was muss die anfragende Person sehen, damit ihre personenbezogenen Daten verständlich reproduziert werden, und was würde unnötig Rechte Dritter offenlegen?

Welche Inhalte typischerweise geschwärzt werden

Typische Schwärzstellen im Arbeitgeberkontext sind Namen, private Kontaktdaten, Aussagen, Bewertungen und Gesundheitsdaten anderer Personen. Auch interne Gesprächsteile ohne Bezug zur anfragenden Person, Geschäftsgeheimnisse und Sicherheitsinformationen können vor der Herausgabe zu prüfen sein.

Inhalt Typischer Fundort Prüffrage
Namen anderer Mitarbeitender E-Mail, Chat, Vermerk, Ticket Ist der Name für das Verständnis der Daten der anfragenden Person erforderlich?
private Kontaktdaten Personalakte, Mailanhang, Formular Betrifft die Angabe eine andere Person?
Aussagen Dritter Vorgesetztennotiz, Compliance-Hinweis, Beschwerde Kann die Aussage ohne Offenlegung der Quelle verständlich wiedergegeben werden?
Gesundheitsdaten Dritter Fehlzeiten, BEM, Unfallakte Enthält die Unterlage besonders geschützte Daten anderer Personen?
Geschäftsgeheimnisse Projektunterlagen, Vergütungsmodelle, Kundeninformationen Ist der Kontext für die personenbezogenen Daten erforderlich?
Sicherheitsinformationen IAM, Logs, Security-Tickets Gefährdet die Herausgabe Schutzmaßnahmen oder Systeme?

Prüfschema vor der Herausgabe

Ein belastbarer Review folgt immer derselben Reihenfolge.

  1. Dokumenttyp bestimmen. Personalakte, E-Mail, Chat, Ticket, DMS-Datei, Log oder Export.
  2. Personenbezug markieren. Welche Stellen betreffen die anfragende Person direkt oder indirekt?
  3. Drittdaten markieren. Welche Stellen betreffen andere Mitarbeitende, Kunden, Bewerber oder Ansprechpartner?
  4. Kontextbedarf prüfen. Braucht die anfragende Person diesen Kontext, damit die eigenen Daten verständlich sind?
  5. Grenzen dokumentieren. Art. 15 Abs. 4 DSGVO, Geschäftsgeheimnis, Sicherheitsinteresse oder irrelevanter Kontext.
  6. Schwärzung anwenden. Dauerhaft im Dokument, mit technischer Prüfung gegen kopierbare Reste.
  7. Freigabe protokollieren. Wer hat wann entschieden, und welcher Grund wurde gesetzt?

Personalakte: Daten der Person und Daten Dritter trennen

Die Personalakte ist der dichteste Datenraum. Arbeitsvertrag, Abmahnung, Zeugnis, Gehaltsunterlagen, Vermerke und Kommunikation können personenbezogene Daten der anfragenden Person enthalten. Gleichzeitig stehen darin Namen, Einschätzungen und private Angaben anderer Personen.

Dokument in der Personalakte Herausgabe-Risiko Typischer Review
Arbeitsvertrag gering bis mittel Vertragsdaten prüfen, Daten Dritter selten relevant
Abmahnung mittel Zeugen, Vorgesetzte, Gesprächsnotizen prüfen
Leistungsbeurteilung hoch Bewertungen, Vergleichsgruppen und Verfasser prüfen
BEM-Unterlagen sehr hoch Gesundheitsdaten, Beteiligte und Zweckbindung prüfen
Gehaltsunterlagen hoch Steuer-, Sozial- und Bankdaten prüfen
interne Vermerke hoch Personenbezug und rechtliche Bewertung trennen

Bei internen Vermerken kommt es auf den Inhalt an. Ein Vermerk über Verhalten, Leistung oder Konflikte enthält regelmäßig personenbezogene Daten. Die rechtliche Bewertung oder taktische Einschätzung kann getrennt zu betrachten sein. Deshalb hilft ein Review-Feld je Fundstelle: Datenpunkt, Kontext, Grenze, Entscheidung.

E-Mail, Chat und Tickets

E-Mail-Postfächer und Chatverläufe sind im DSAR-Fall gefährlich, weil sie ungefilterte Sprache enthalten. Eine Suche nach dem Namen der anfragenden Person produziert Treffer mit Bezügen zu Projekten, Beschwerden, Führungskräften, Kunden und anderen Mitarbeitenden.

Ein sinnvoller Suchplan legt vorab fest:

  • welche Postfächer oder Archive durchsucht werden,
  • welche Suchbegriffe genutzt werden,
  • wer Treffer vorsortiert,
  • wer Drittdaten prüft,
  • wie Auszüge gebildet werden,
  • welche Entscheidung im Audit-Trail landet.

Bei langen Threads ist häufig der relevante Ausschnitt aussagekräftiger als die gesamte Unterhaltung. Die Kopie muss verständlich bleiben. Unbeteiligte Gesprächsteile erhöhen das Risiko und bringen der anfragenden Person oft keinen zusätzlichen Erkenntniswert.

Schwärzung technisch prüfen

Eine sichtbare schwarze Fläche reicht technisch nur, wenn der darunterliegende Text entfernt oder zuverlässig unlesbar ist. In PDFs können Textlayer, Kommentare, Metadaten und Anhänge weiter personenbezogene Daten enthalten. Deshalb braucht die Freigabe mindestens diese Prüfung:

Prüfpunk Warum er zählt
Text unter Balken kopierbarer Text darf nach der Schwärzung nicht erhalten bleiben
Kommentare und Markups Review-Kommentare können neue Daten offenlegen
Metadaten Autor, Dateipfad oder Versionshistorie können Personenbezug enthalten
Anhänge eingebettete Dateien werden leicht übersehen
OCR-Schicht gescannte Dokumente können durchsuchbaren Text enthalten

Das Browser-Werkzeug PDF schwärzen hilft bei einfachen Dokumenten. Für wiederkehrende Art.-15-Vorgänge gehört die Schwärzung in den Prozess: Fundstelle erkennen, Entscheidung treffen, Ausgabe prüfen, Freigabe dokumentieren.

Wie veronto den Review unterstützt

veronto requests hält den Vorgang zusammen: Eingang, Frist, Zuständigkeiten, Suchplan, Review und Freigabe. veronto redact übernimmt die technische Schwärzung und prüft Dokumente auf personenbezogene Daten. alias kann Beteiligte in KI-Schritten konsistent als Platzhalter führen, damit Klardaten während der Bearbeitung geschützt bleiben.

Quellen und Stand

Stand: 14. August 2026. Diese Seite ist eine allgemeine Prozess- und Orientierungshilfe, keine Rechtsberatung.

Vertiefungen zu Schwärzen & Anonymisieren

In der Praxis

veronto redact schwärzt und pseudonymisiert personenbezogene Daten in Dokumenten, bevor sie das Haus verlassen. Ein zweiter Egress-Scan prüft jede Ausgabe gegen Klardaten-Lecks.

veronto redact ansehen
In KI öffnen ChatGPT Perplexity Google AI-Modus Grok

Häufige Fragen.

Dürfen Arbeitgeber Namen anderer Mitarbeitender schwärzen?

Ja, wenn die Namen, Aussagen oder Kontaktdaten Rechte und Freiheiten anderer Personen berühren. Art. 15 Abs. 4 DSGVO verlangt eine Abwägung vor der Herausgabe. Die Schwärzung muss nachvollziehbar dokumentiert werden.

Muss die komplette Personalakte herausgegeben werden?

Geschuldet ist eine verständliche Kopie der personenbezogenen Daten der anfragenden Person. Ganze Dokumente oder Auszüge können erforderlich sein, wenn die Daten sonst unverständlich wären. Vor der Herausgabe werden Drittdaten und andere geschützte Inhalte geprüft.

Fallen interne Vermerke unter das Auskunftsrecht?

Interne Vermerke können personenbezogene Daten enthalten und dann vom Auskunftsrecht erfasst sein. Die rechtliche Bewertung selbst ist keine Information über die Person. In der Praxis braucht jeder Vermerk eine kurze Inhalts- und Kontextprüfung.

Wie werden E-Mail-Threads geprüft?

E-Mail-Threads werden auf personenbezogene Daten der anfragenden Person, Daten Dritter, Geschäftsgeheimnisse und irrelevante Gesprächsteile geprüft. Häufig reicht ein Auszug oder eine geschwärzte Kopie, wenn der relevante Personenbezug erhalten bleibt.

Wer sollte die Schwärzung freigeben?

HR und IT liefern die Unterlagen, Legal oder Datenschutz bewertet Umfang und Grenzen, ein verantwortlicher Mensch gibt die Antwort frei. Die technische Schwärzung ersetzt die Freigabeentscheidung nicht.

Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.