Wir sind per Gesetz verpflichtet, verschiedene Dokumente für bestimmte Zeiten unveränderlich und unlöschbar aufzubewahren.
Personio biete dafür leider bisher keine Unterstützung, alle Dokumente in Personalakten können jederzeit gelöscht werden. Die neuen Aufbewahrungsregeln schlagen nur das Löschen abgelaufener Dokumente vor, verhindern aber nicht das vorherige Löschen.
Somit darf es kein Dokument geben, welches ausschließlich in Personio existiert und einer solchen gesetzlichen Aufbewahrungspflicht untersteht.
Dies bedeutet, dass man solche Dokumente peinlich genau aus Personio heraus an einen geschützten, revisionssicheren zusätzlichen Ablageort kopieren muss, wofür Personio aber leider keine sinnvolle Automation oder API anbietet.
Mich interessiert:
Welche Lösungen für die nicht durch Personio abgebildeten Compliance-Anforderungen für Dokumente der Personalakte nutzen andere Unternehmen und wie sind diese technisch angebunden?
Hier unser Anschreiben an den Support und die Antwort darauf zur Info:
Nach interner technischer und juristischer Prüfung möchten wir die Angelegenheit konkretisieren und um eine verbindliche Klärung bitten.
Nach § 257 HGB sowie § 147 AO besteht eine gesetzliche Pflicht zur unveränderten, vollständigen und jederzeitigen Verfügbarkeit aller aufbewahrungspflichtigen Unterlagen für Zeiträume von bis zu zehn Jahren. Dies schließt Personal-, Lohn- und steuerrelevante Dokumente ausdrücklich mit ein. Ergänzend verpflichtet Art. 5 Abs. 1 lit. e DSGVO dazu, personenbezogene Daten nicht vor Ablauf gesetzlicher Aufbewahrungspflichten zu löschen.
Zwar betreffen die Pflichten nach HGB und AO in erster Linie uns als Unternehmen. Sofern wir aber Personio-Funktionalität zur Erstellung und alleinigen Verwaltung solcher Dokumente einsetzen wollen, darf dadurch die Einhaltung dieser Anforderungen weder gefährdet noch verletzt werden.
Da Personio nach Ihrer Auskunft derzeit keine technische Sperre gegen das Löschen aufbewahrungspflichtiger Dokumente bietet und gelöschte Daten nicht unbegrenzt wiederhergestellt werden können, ist der Nachweis der Aufbewahrungspflicht aus Sicht des Verantwortlichen (§ 24 Abs. 1 BDSG, Art. 5 Abs. 2 DSGVO) aktuell nicht möglich.
Dessen ungeachtet verpflichtet Art. 32 Abs. 1 DSGVO auch den Auftragsdatenverarbeiter unmittelbar zur Umsetzung von „Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:
„die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen";
„die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;“
Gemäß Abs. 2 ist hierbei insbesondere der Aspekt des unbeabsichtigten Verlusts von Daten zu berücksichtigen.
Diesen Anforderungen genügen die von Ihnen beschriebenen Maßnahmen aus unserer Sicht nicht. Dies gilt auch und insbesondere für die Beschränkung einer Datenwiederherstellung auf einen Zeitraum von 30 Tagen nach Verlust, da diese Frist eben an den Zeitpunkt des Verlusts anknüpft und nicht, wie für den Fall des unbeabsichtigten Verlusts erforderlich und sinnvoll, an den Zeitpunkt, zu dem der Verlust bemerkt wird.
Antwort von Personio:
vielen Dank für Ihre ausführliche Darstellung. Wir nehmen Ihre Anliegen ernst und möchten Ihnen im Folgenden eine Einordnung geben, die sowohl die technischen Gegebenheiten unserer Plattform als auch die rechtliche Verantwortungsverteilung berücksichtigt. Vorab möchten wir auf einen wesentlichen Punkt hinweisen: Die Aufbewahrungspflichten nach § 257 HGB und § 147 AO treffen ausschließlich den Verpflichteten dieser steuer- und handelsrechtlichen Aufbewahrungspflichten – also Ihr Unternehmen. Dass eine langfristige Speicherung personenbezogener Daten aufgrund gesetzlicher Aufbewahrungspflichten zulässig sein kann, verschafft Ihnen als Verantwortlichem eine Rechtsgrundlage für diese Speicherung, führt aber nicht zu einem Verbot einer vorzeitigen Löschung. Personio ist als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig und verarbeitet personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen. Die Sicherstellung der Einhaltung handels- und steuerrechtlicher Aufbewahrungspflichten obliegt daher Ihrem Unternehmen, nicht dem Auftragsverarbeiter. Dies erkennen Sie in Ihrem Schreiben zutreffend an.
Zu Ihren dargestellten Vorschlägen nehmen wir nachfolgend Stellung.
Zu Option A (Systemseitige Revisionssicherheit)
Personio ist ein cloudbasiertes HR-Management-System für operative Personalverwaltungsprozesse. Personio stellt weder ein revisionssicheres Archivsystem im Sinne der GoBD noch ein Dokumentenmanagementsystem (DMS) mit entsprechender Zertifizierung dar. Die von Ihnen geforderten Funktionen - insbesondere technische Löschsperre basierend auf gesetzlichen Aufbewahrungsfristen, unbefristete Wiederherstellbarkeit gelöschter Dokumente, vollständige Revisionssicherheit mit Unveränderbarkeitsnachweis - sind typische Leistungsmerkmale dedizierter, GoBD-zertifizierter Archivierungslösungen und gehören nicht zum Funktionsumfang eines HR-SaaS-Systems.
Der aktuelle Funktionsumfang von Personio stellt sich in den relevanten Bereichen wie folgt dar:
- Zugriffssteuerung: Personio bietet ein abgestuftes Berechtigungskonzept (ansehen → vorschlagen → bearbeiten), wobei die Bearbeitungsberechtigung die Möglichkeit zur Löschung einschließt. Eine separate, granulare Löschberechtigung ist derzeit nicht vorgesehen. Dies ist auch sachgerecht, weil eine Bearbeitung einer Löschung gleichsteht.
- Datenlöschung und Wiederherstellung: Löschungen werden aus datenschutzrechtlichen Gründen als sogenannte Hard-Deletes durchgeführt, um den Anforderungen der DSGVO an die Datenlöschung (Art. 17 DSGVO) gerecht zu werden. Eine Wiederherstellung aus Backups ist im Rahmen unseres Notfallmanagements innerhalb von 30 Tagen nach dem Löschzeitpunkt möglich.
- Änderungsprotokollierung: Das Audit-Protokoll dokumentiert Änderungen an Unternehmens- und Mitarbeitendendaten. Es dient der operativen Nachvollziehbarkeit, erhebt jedoch keinen Anspruch auf Revisionssicherheit im Sinne der GoBD.
Zusammenfassend: Die beschriebene Systemarchitektur ist auf operative HR-Prozesse und datenschutzkonforme Verarbeitung ausgelegt. Sie erfüllt nicht die Anforderungen an eine revisionssichere Langzeitarchivierung nach GoBD-Kriterien (Unveränderbarkeit, lückenlose Nachvollziehbarkeit, dauerhafte Verfügbarkeit über die gesamte Aufbewahrungsfrist). Die Erfüllung der GoBD-Kriterien entspricht auch nicht dem vereinbarten Produktumfang von Personio. Option A kann daher im derzeitigen Produktumfang nicht erfüllt werden, und eine entsprechende Erweiterung ist derzeit nicht geplant.
Zu Option B - Externe Archivierung über Exportfunktionen und API
Personio stellt verschiedene technische Möglichkeiten zur Verfügung, die eine Integration mit externen Archivierungslösungen ermöglichen:
- Unternehmensexport: Über die Exportfunktion können Mitarbeitendendaten und Dokumente exportiert werden.
- API-Zugriff: Über unsere REST-API können Dokumentenmetadaten und -dateien programmatisch abgerufen werden. Darüber hinaus stehen Webhooks für dokumentenbezogene Ereignisse zur Verfügung, die eine ereignisgesteuerte Archivierung ermöglichen können. Die relevanten Endpunkte sind:
- List Document metadata: https://api.personio.de/v2/document-management/documents
- Download Document File: https://api.personio.de/v2/document-management/documents/{document_id}/download
- Webhooks für dokumentenbezogene Events https://developer.personio.de/reference/webhooks#document-webhooks
Wichtige Abgrenzung zur Verantwortungsverteilung:
Personio stellt die oben beschriebenen technischen Schnittstellen als Grundlage für eine externe Archivierungslösung bereit. Die Konzeption, Implementierung und der Betrieb einer GoBD-konformen Archivierungsarchitektur – einschließlich Versionierung, Prüfsummenbildung, Änderungsnachweisen und Löschschutz liegen jedoch in der Verantwortung des Kunden. Personio kann keine präskriptive Archivierungsarchitektur vorgeben, da die konkreten Anforderungen von den individuellen regulatorischen Rahmenbedingungen des jeweiligen Kunden abhängen.
Rechtliche Einordnung Ihrer Argumentation zu Art. 32 DSGVO
Wir möchten Ihre Auslegung von Art. 32 DSGVO differenziert einordnen. Art. 32 Abs. 1 DSGVO verpflichtet sowohl den Verantwortlichen als auch den Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die von Personio implementierten technischen und organisatorischen Maßnahmen (TOM) sind in der Auftragsverarbeitungsvereinbarung (AVV) dokumentiert, die in Ihrem Account unter Einstellungen → Datenschutzinformationen einsehbar ist und die Sie mit Personio vereinbart haben.
Zu Ihrem Argument bezüglich der 30-Tage-Wiederherstellungsfrist: Art. 32 Abs. 1 lit. c DSGVO fordert die Fähigkeit, die Verfügbarkeit personenbezogener Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Dies erfüllt die von Personio vorgesehene Wiederherstellbarkeit gelöschter Daten innerhalb von 30 Tagen. Eine revisionssichere Aufbewahrung verlangt die DSGVO gerade nicht. Im Gegenteil: Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO sieht eine umgehende Löschung vor, wenn der Zweck der Verarbeitung wegfällt. Als Auftragsverarbeiter ist Personio im Grundsatz daher sogar verpflichtet, personenbezogene Daten umgehend zu löschen, wenn der Verantwortliche eine Löschung anweist.
Abschließend möchten wir darauf hinweisen, dass die vorstehenden Ausführungen unsere technische und rechtliche Einschätzung als Auftragsverarbeiter darstellen. Sie ersetzen keine individuelle rechtliche Beratung Ihres Unternehmens hinsichtlich der Erfüllung Ihrer handels- und steuerrechtlichen Aufbewahrungspflichten.