Die elektronische Erfassung von Dokumenten stellt auch einen Bestandteil der digitalen Agenda der Bundesregierung Deutschland dar. Aus datenschutzrechtlicher Sicht ist dies ein hochaktuelles Thema, denn bei der Verarbeitung von personenbezogenen Daten – mittels automatisierten Verfahren in Datenverarbeitungsanlagen – ist das Bundesdatenschutzgesetz anzuwenden.

Im Vorfeld an eine Digitalisierung ist der Prozess grundsätzlich auf Datenschutzkonformität durch zu überprüfen. Insbesondere bei der Einbeziehung von besonders sensiblen Daten z. B. in Personalakten mit Daten zu Einstellung, Vertrag, Gehalt, Beurteilungen und Weiterbildungen ist ein hoher Schutzumfang mit Vertraulichkeit und Zweckbindung zu gewährleisten.

Das Oberverwaltungsgericht in Schleswig-Holstein hat sich mit dem Thema Digitalisierung von Personalakten nach dem Beamtenrecht mit dem Beschluss vom 27. Juni. 2016 (Az.: 2 MB 11/16) befasst und klargestellt, dass in diesem Fall eine Ausführung durch einen privaten Unterauftragnehmer nicht gesetzeskonform ist. Im Einzelnen stellte das Gericht auf die fehlende Rechtsgrundlage im Beamtenrecht ab, welche eine Weitergabe von Personalakten an externe Stellen erlaubt.

Externe Dienstleister, welche derartige Scanvorgänge durchführen gehören nicht zu dem begrenzten Personenkreis gemäß § 50 Beamtenstatusgesetz bzw. § 85 Landesbeamtengesetz. Dementsprechend darf kein Zugang zu den personenbezogenen Daten in die Personalakte gewährt werden. Eine Anwendung des § 17 Landesdatenschutzgesetz zur Verarbeitung von personenbezogenen Daten im Auftrag ist somit nicht anwendbar. In diesem Beschluss wurde zwar nicht darüber entschieden, ob die Regelungen auch für den allgemeinen öffentlichen Bereich gelten, aber es ist naheliegend.

Diese Regelungen sind nicht nur im öffentlichen Bereich relevant, sondern auch im privatwirtschaftlichen Bereich zu beachten. Es ist anzunehmen, dass auch da eine gesetzliche Grundlage zur Digitalisierung von Personalakten nicht per se gegeben ist. Im Einzelfall bestimmt werden, inwieweit das eingesetzte Verfahren aus datenschutzrechtlicher Sicht konform ist. Die automatisierte Datenverarbeitung ist regelmäßig in Form einer Vorabkontrolle bzw. im Rahmen der ab 2018 gültigen Datenschutzgrundverordnung einer Datenschutzfolgenabschätzung zu unterziehen, wenn sich Gefahren für die Betroffenenrechte ergeben.

Teilweise wird eine Ermächtigungsgrundlage in § 32 Abs. 1 S. 1 BDSG gesehen, wenn die Bekanntgabe des Inhalts für die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist. Diesbezüglich ist eine Interessenabwägung durchzuführen und gegebenenfalls auch den Personal- oder Betriebsrat einzubeziehen.