Datenschutz Personalakte: nDSG im Personalwesen

Die Personalakte enthält die empfindlichsten Daten eines Betriebs: Lohn, Absenzen, Beurteilungen, oft auch Arztzeugnisse. Seit dem 1. September 2023 gilt das totalrevidierte Datenschutzgesetz (nDSG), und es gilt auch für das kleinste KMU. Dieser Ratgeber zum Datenschutz in der Personalakte zeigt, was Arbeitgeber tun müssen: informieren, Auskunft geben, Zugriffe begrenzen, Daten rechtzeitig löschen. Er trennt dabei, was im Gesetz steht, von dem, was bewährte Praxis ist.

Grundlage: Art. 328b OR und das DSG

Der Arbeitgeber darf Daten über Arbeitnehmende nur bearbeiten, soweit sie deren Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrags erforderlich sind; im Übrigen gilt das Datenschutzgesetz (Art. 328b OR). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Besonders schützenswert sind unter anderem Daten über die Gesundheit (Art. 5 Bst. a und c DSG). Das trifft Krankheitsabsenzen und Arztzeugnisse.

Die Grundsätze im Alltag

Art. 6 DSG nennt die Grundsätze: Personendaten müssen rechtmässig und nach Treu und Glauben bearbeitet werden, die Bearbeitung muss verhältnismässig sein, Daten dürfen nur zu einem bestimmten und erkennbaren Zweck beschafft werden, und sie werden vernichtet oder anonymisiert, sobald sie dafür nicht mehr erforderlich sind (Abs. 1 bis 4). Wer Daten bearbeitet, vergewissert sich über deren Richtigkeit (Abs. 5). Ist eine Einwilligung nötig, gilt sie nur, wenn sie nach angemessener Information freiwillig für bestimmte Bearbeitungen erteilt wird (Abs. 6); für besonders schützenswerte Personendaten muss sie ausdrücklich erfolgen (Abs. 7 Bst. a). Der EDÖB weist darauf hin, dass Mitarbeitende wegen ihrer untergeordneten Stellung nur sehr selten frei einwilligen, die Einwilligung verweigern oder widerrufen können. Stützen Sie sich deshalb nicht auf Einwilligungen, wenn der Vertrag oder das Gesetz die Bearbeitung ohnehin erlaubt.

Für die Personalakte heisst das: Nur ablegen, was für das Arbeitsverhältnis nötig ist. Der EDÖB hält schon im Leitfaden von 2014 fest, dass es keine «grauen» Zweitakten mit vertraulichen, der Person nicht zugänglichen Informationen geben darf, und empfiehlt, die Akte regelmässig zu bereinigen (in der Regel jedes zweite Jahr).

Informationspflicht

Wer Personendaten beschafft, informiert die betroffene Person angemessen. Mindestens mitzuteilen sind Identität und Kontaktdaten des Verantwortlichen, der Bearbeitungszweck und gegebenenfalls die Empfänger; werden Daten ins Ausland bekanntgegeben, auch Staat und Garantien (Art. 19 Abs. 1, 2 und 4 DSG). Praktisch ist das eine Datenschutzinformation für Mitarbeitende, die Sie beim Eintritt mitgeben, und ein Datenschutzhinweis im Bewerbungsformular. Die vorsätzliche Verletzung der Informationspflicht wird auf Antrag mit Busse bis CHF 250’000 bestraft (Art. 60 Abs. 1 DSG).

Auskunftsrecht der Mitarbeitenden

Jede Person kann vom Verantwortlichen Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden (Art. 25 Abs. 1 DSG). In jedem Fall erhält sie Identität und Kontaktdaten des Verantwortlichen, die bearbeiteten Personendaten als solche, den Zweck, die Aufbewahrungsdauer oder die Kriterien dafür, die verfügbare Herkunft der Daten und gegebenenfalls die Empfänger (Art. 25 Abs. 2 DSG). Die Regeln im Überblick:

Form: Das Begehren stellt die Person schriftlich; sind Sie einverstanden, geht es auch mündlich. Elektronisch ist erlaubt. Sie müssen angemessene Massnahmen zur Identifizierung treffen (Art. 16 DSV).
Frist: Die Auskunft wird in der Regel innert 30 Tagen seit Eingang des Begehrens erteilt (Art. 25 Abs. 7 DSG, Art. 18 Abs. 1 DSV). Geht das nicht, informieren Sie die Person und nennen die Frist, in der die Auskunft folgt (Art. 18 Abs. 2 DSV).
Kosten: Die Auskunft ist kostenlos; bei unverhältnismässigem Aufwand kann eine Kostenbeteiligung von höchstens CHF 300 verlangt werden, die Sie vorher mitteilen müssen (Art. 25 Abs. 6 DSG, Art. 19 DSV).
Kein Verzicht im Voraus: Auf das Auskunftsrecht kann niemand im Voraus verzichten (Art. 25 Abs. 5 DSG).
Einschränkungen: Sie können die Auskunft verweigern, einschränken oder aufschieben, etwa wegen überwiegender Interessen Dritter oder wenn das Begehren offensichtlich unbegründet ist; dann müssen Sie die Gründe angeben (Art. 26 Abs. 1 und 4 DSG).
Gesundheitsdaten: Sie können der Person mit ihrer Einwilligung durch eine von ihr bezeichnete Gesundheitsfachperson mitgeteilt werden (Art. 25 Abs. 3 DSG).

Das Auskunftsrecht besteht nach dem Austritt weiter. Falsche Daten sind auf Verlangen zu berichtigen (Art. 32 Abs. 1 DSG).

Zugriff, Sicherheit und Pannen

Verantwortliche müssen durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten (Art. 8 Abs. 1 DSG). Die Datenschutzverordnung nennt als Ziele Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit (Art. 2 DSV). Für die Personalakte besonders wichtig:

Zugriffskontrolle: Berechtigte Personen haben nur auf die Daten Zugriff, die sie für ihre Aufgaben brauchen (Art. 3 Abs. 1 Bst. a DSV). Die Lohnbuchhaltung braucht keine Arztzeugnisse, Vorgesetzte keine Lohndaten anderer Teams.
Eingabekontrolle: Es muss überprüfbar sein, welche Personendaten wann und von wem eingegeben oder verändert wurden (Art. 3 Abs. 3 Bst. a DSV).
Protokollierung: Eine ausdrückliche Pflicht, Zugriffe zu protokollieren, besteht für private Verantwortliche nur, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet und die präventiven Massnahmen den Datenschutz nicht gewährleisten; die Protokolle sind mindestens ein Jahr getrennt vom System aufzubewahren (Art. 4 Abs. 1 und 5 DSV).
Verzeichnis: Unternehmen mit weniger als 250 Mitarbeitenden am 1. Januar sind von der Pflicht befreit, ein Verzeichnis der Bearbeitungstätigkeiten zu führen, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch (Art. 12 Abs. 5 DSG, Art. 24 DSV). Was «in grossem Umfang» heisst, sagt das Gesetz nicht; führen Sie im Zweifel ein Verzeichnis (Praxis).
Panne melden: Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffene Person führt, melden Sie dem EDÖB so rasch als möglich (Art. 24 Abs. 1 DSG). Die Meldung erfolgt über das Online-Formular des EDÖB.

Aufbewahren und löschen

Ein Gesetz mit einer einzigen Frist für die Personalakte gibt es nicht. Massgebend sind je Unterlage unterschiedliche Fristen:

Unterlage	Frist	Fundstelle
Lohnabrechnungen und andere Buchungsbelege	10 Jahre ab Ablauf des Geschäftsjahres	Art. 958f Abs. 1 OR
Arbeitszeitunterlagen	mindestens 5 Jahre nach Ablauf der Gültigkeit	Art. 73 Abs. 2 ArGV 1
Verjährung von Forderungen aus dem Arbeitsverhältnis	5 Jahre	Art. 128 Ziff. 3 OR
Abgelehnte Bewerbungen	zurückgeben oder vernichten; Praxis: mindestens bis die Klagefrist von drei Monaten abgelaufen ist	EDÖB; Art. 8 Abs. 2 GlG
Talent-Pool	bis zum vereinbarten Datum, mit Einwilligung	EDÖB
Übrige Personalakte	je Datenart festlegen; der EDÖB nennt in der Regel 5 bis 10 Jahre, je nach gesetzlicher Vorgabe (Leitfaden 2014: Regel 5, ausnahmsweise 10)	EDÖB; Praxis, nicht gesetzlich

Der Leitfaden stammt aus der Zeit vor dem nDSG; die Grundsätze gelten weiter, aber legen Sie die Fristen je Datenart schriftlich fest und halten Sie sie ein. Nach Fristablauf löschen oder anonymisieren Sie die Daten (Art. 6 Abs. 4 DSG). Prüfen Sie vorher, ob ein Verfahren hängig ist oder ein Zeugnis verlangt werden könnte.

Praxisbeispiel: Muster Elektro AG

Die Muster Elektro AG ist ein erfundener Betrieb mit 45 Mitarbeitenden (Stand 1. Januar 2026). Weil sie Krankheitsabsenzen und Arztzeugnisse führt, hält sie vorsichtshalber ein Verzeichnis der Bearbeitungstätigkeiten.

Am Dienstag, 3. November 2026, verlangt eine frühere Mitarbeiterin schriftlich Auskunft. Die Antwort ist spätestens am Donnerstag, 3. Dezember 2026, fällig (30 Tage ab Eingang). Die Personalverantwortliche erstellt den Export am 10. November, prüft ihn auf Daten Dritter und schickt ihn am 12. November.

Bei der jährlichen Durchsicht der Löschliste erscheint Herr Roth, Austritt am 31. März 2016. Die Firma hat die Frist für Personalakten auf 10 Jahre gestellt, er ist seit dem 1. April 2026 in der Liste. Seine Lohnabrechnungen für 2016 sind aber Buchungsbelege: Die Frist beginnt mit Ablauf des Geschäftsjahres am 31. Dezember 2016 und läuft zehn Jahre, also bis zum 31. Dezember 2026 (Art. 958f Abs. 1 OR, bei Kalenderjahr als Geschäftsjahr). Die Personalverantwortliche löscht deshalb erst nach dem 31. Dezember 2026.

Checkliste

Datenschutzinformation für Mitarbeitende und Hinweis im Bewerbungsformular vorhanden
Nur Daten in der Akte, die für das Arbeitsverhältnis nötig sind; keine Zweitakten
Rollen und Zugriffe nach Aufgabe festgelegt; Gesundheitsdaten nur für wenige Personen
Verfahren für Auskunftsbegehren: Eingang notiert, Identität geprüft, Antwort innert 30 Tagen
Zugriffe werden protokolliert; die Protokolle werden mindestens ein Jahr aufbewahrt
Verzeichnis der Bearbeitungstätigkeiten geprüft
Ablauf für eine Datenpanne mit Meldung an den EDÖB bekannt
Aufbewahrungsfristen je Datenart schriftlich festgelegt
Abgelaufene Daten werden regelmässig gelöscht oder anonymisiert

So löst es KMU | base

HR | base unterstützt die technischen Teile. Die Entscheide, die Sie treffen müssen, nimmt Ihnen die Software nicht ab. Dazu gehören die Fristen, das Verzeichnis der Bearbeitungstätigkeiten, eine allfällige Datenschutz-Folgenabschätzung und die Meldung einer Panne an den EDÖB.

1. Auskunft. Öffnen Sie unter Personal › Mitarbeitende die Akte und wählen Sie im Menü Weitere Aktionen den Punkt Auskunft exportieren. Sie erhalten alle Personendaten der Person als ZIP mit einer strukturierten Datei, einer lesbaren Ansicht und den Originaldokumenten. Sensible Teile wie Lohn oder Gesundheit werden nur mit dem passenden Recht exportiert; was fehlt, steht im Export als «nicht exportiert». Für die Auskunft an die Person exportiert deshalb jemand mit allen nötigen Rechten. Der Abruf wird protokolliert. Ob Sie nach Art. 26 DSG etwas zurückhalten, entscheiden Sie; prüfen Sie den Export vor dem Versand. Bei Bewerbungen gibt es den gleichen Export in der Bewerbung.

2. Rollen und Zugriff. Es gibt vier Grundrollen (Administration, HR, Vorgesetzte, Mitarbeitende) und eigene Rollen mit Stufen je Bereich. Sensible Felder (Lohn, AHV, Bank, Gesundheit, Privat) und der Datenbereich (alle, Firmen, Abteilungen, Standorte, Team, selbst) lassen sich getrennt vergeben.

3. Zugriffsprotokoll. Unter Firmeneinstellungen › Zugriffsprotokoll sehen Sie, wer wann Personendaten angesehen oder geändert hat. Protokolliert werden auch Lesezugriffe (Akte, Verlauf, Dokumente, Downloads, Exporte) sowie Anmeldungen und Fehlversuche, mit IP und Kanal. Die Liste lässt sich nach Bereich, Person und Zeitraum filtern. Das Protokoll liegt im gleichen System; ob es die Anforderungen von Art. 4 DSV erfüllt (Aufbewahrung getrennt vom System), müssen Sie bei Bedarf selbst klären.

4. Löschfristen. Unter HR-Einstellungen › Daten › Löschfristen stellen Sie die Fristen ein: Stempelfotos (Vorgabe 30 Tage), Zugriffsprotokoll (Vorgabe 24 Monate, einstellbar ab 12 Monaten), Mailprotokoll (Vorgabe 12 Monate) und Personalakte (Vorgabe 10 Jahre nach Austritt). Ein täglicher Hintergrundjob löscht Stempelfotos sowie Zugriffs- und Mailprotokolle nach Ablauf der Frist. Personalakten werden nie automatisch gelöscht: Nach Ablauf erscheint die Person in der Liste «Zur Löschung fällig», und Sie löschen sie in der Akte selbst, nachdem Sie sie geprüft haben. Die Vorgaben sind Vorschläge von KMU | base und ersetzen keine Rechtsberatung. Lassen Sie sie intern oder juristisch freigeben, besonders für Unterlagen mit gesetzlicher Frist (Lohnbelege).

5. Bewerbungen. Unter HR-Einstellungen › Bewerbungen setzen Sie die Frist für abgeschlossene Bewerbungen (1 bis 24 Monate, voreingestellt 6) und wählen, ob nach Fristablauf gelöscht oder anonymisiert wird. Den Talent-Pool gibt es nur mit Einwilligung; die Dauer stellen Sie zwischen 6 und 36 Monaten ein, die Person kann jederzeit widerrufen.

Die Grundlagen zu Bewerbungsdaten finden Sie im Ratgeber zum Bewerbermanagement, zum Austritt im Ratgeber zur Austrittscheckliste. Zum Zeugnis siehe Arbeitszeugnis schreiben; zur Aufzeichnung der Arbeitszeit Arbeitszeiterfassung Pflicht. Möchten Sie es selbst ausprobieren, sehen Sie sich die Demo an oder eröffnen Sie ein Testkonto. Zu den Preisen informiert die Seite Preise. Bei Fragen helfen wir Ihnen über die Kontaktseite weiter.

Quellen

Bundesgesetz über den Datenschutz (DSG, SR 235.1), Art. 5, 6, 8, 12, 19, 24, 25, 26, 32, 60, Stand 7. Juli 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
Datenschutzverordnung (DSV, SR 235.11), Art. 2 bis 4, 16, 18, 19, 24, Stand 1. Dezember 2025: fedlex.admin.ch, abgerufen am 27.10.2026.
Obligationenrecht (OR, SR 220), Art. 128 Ziff. 3, 328b, 958f, Stand 1. Oktober 2026: fedlex.admin.ch, abgerufen am 27.10.2026.
Verordnung 1 zum Arbeitsgesetz (ArGV 1, SR 822.111), Art. 73 Abs. 2, Stand 1. September 2024: fedlex.admin.ch, abgerufen am 27.10.2026.
Gleichstellungsgesetz (GlG, SR 151.1), Art. 8 Abs. 2, Stand 1. Juli 2020: fedlex.admin.ch, abgerufen am 27.10.2026.
EDÖB, Datenbearbeitung durch den Arbeitgeber (Seite ohne Datumsangabe): edoeb.admin.ch, abgerufen am 27.10.2026; Verschiedene Phasen des Arbeitsverhältnisses: edoeb.admin.ch, abgerufen am 27.10.2026.
EDÖB, Leitfaden für die Bearbeitung von Personendaten im Arbeitsbereich, private Personen, Stand Oktober 2014, Ziff. 3.2.1 und 3.3.1 (noch zum früheren Datenschutzgesetz verfasst): edoeb.admin.ch, abgerufen am 27.10.2026.
EDÖB, Meldung von Verletzungen der Datensicherheit (Online-Formular): edoeb.admin.ch, abgerufen am 27.10.2026.