Digitale Personalakte in SharePoint: Datenschutz, Berechtigungen und HR-Workflows

Kann eine digitale Personalakte in SharePoint datenschutzkonform und im Alltag zuverlässig betrieben werden? Technisch ist das möglich, wenn Personaldokumente in einem abgegrenzten Bereich liegen, Zugriffe konsequent über Rollen gesteuert werden und für jede Dokumentkategorie Zweck, Rechtsgrundlage, Aufbewahrung, Sperrung und Löschung festgelegt sind. SharePoint liefert Dokumentbibliotheken, Versionierung, Suche und Berechtigungen; Microsoft Purview kann Retention, Records Management und Audit ergänzen; Power Automate kann Fristen und Workflows steuern. Keiner dieser Bausteine ersetzt jedoch die arbeits- und datenschutzrechtliche Prüfung des konkreten Personalprozesses.

Eine digitale Personalakte SharePoint sollte deshalb nicht als gewöhnliche Teamablage mit einem Ordner pro Mitarbeitenden starten. Zuerst werden Datenkategorien, Rollen und Lebenszyklus festgelegt. Erst danach folgt die technische Struktur.

Rechtlicher Hinweis: Die folgenden Inhalte beschreiben technische Gestaltungsprinzipien und keine Rechtsberatung. Zulässige Dokumente, Rechtsgrundlagen, Beteiligungsrechte, Auskunftsverfahren und Aufbewahrungsfristen unterscheiden sich nach Land, Branche, Tarif- und Vertragslage. Sie müssen durch die zuständigen Datenschutz-, HR- und Rechtsfunktionen verbindlich festgelegt werden.

Was eine digitale Personalakte leisten muss

Eine Personalakte ist nicht nur ein Speicherort. Sie muss den gesamten kontrollierten Lebenszyklus personenbezogener Beschäftigtendaten unterstützen:

1. Dokument wird aus einer zulässigen Quelle übernommen.
2. Es wird einer Person und einer Dokumentkategorie eindeutig zugeordnet.
3. Nur berechtigte Rollen können es sehen oder bearbeiten.
4. Änderungen und fachliche Freigaben bleiben nachvollziehbar.
5. Fristen, Sperren und Löschereignisse werden regelbasiert behandelt.
6. Auskunfts-, Berichtigungs- und Prüfprozesse sind durchführbar.
7. Beim Austritt werden Inhalte nicht pauschal gelöscht oder unbegrenzt behalten, sondern nach Kategorie verarbeitet.

SharePoint erfüllt davon die technische Ablage, Metadatenverwaltung, rollenbasierte Freigabe und Versionierung. Purview kann Aufbewahrungsregeln und Audit-Funktionen bereitstellen. Ein vollständiges HRM-System umfasst zusätzlich oft Entgeltabrechnung, Zeitwirtschaft, Recruiting, Talentmanagement, Stellenpläne und gesetzliche Meldungen. Diese Funktionen entstehen nicht automatisch durch eine SharePoint-Bibliothek.

Dateninventar vor der Architektur

Vor dem Aufbau sollten alle Dokumentarten inventarisiert werden. Für jede Kategorie sind mindestens folgende Angaben nötig:

Eigenschaft: Zweck

Beispielhafte Frage: Warum wird das Dokument verarbeitet?

Eigenschaft: Rechtsgrundlage

Beispielhafte Frage: Auf welcher freigegebenen Grundlage beruht die Verarbeitung?

Eigenschaft: Verantwortliche Rolle

Beispielhafte Frage: Wer darf den Inhalt fachlich verwalten?

Eigenschaft: Leseberechtigung

Beispielhafte Frage: HR, Führungskraft, Payroll, Datenschutz, Beschäftigte?

Eigenschaft: Änderungsrecht

Beispielhafte Frage: Wer darf eine neue Fassung einstellen?

Eigenschaft: Aufbewahrung

Beispielhafte Frage: Welche Frist gilt ab welchem Ereignis?

Eigenschaft: Sperre

Beispielhafte Frage: Wann darf nur noch eingeschränkt verarbeitet werden?

Eigenschaft: Löschung

Beispielhafte Frage: Wer prüft und bestätigt die Löschung?

Eigenschaft: Herkunft

Beispielhafte Frage: HR-System, Upload, Scan, E-Mail, Workflow?

Eigenschaft: besondere Kategorie

Beispielhafte Frage: Enthält das Dokument besonders schützenswerte Daten?

Typische Kategorien können Vertrag, Nachtrag, Qualifikation, Bescheinigung, Beurteilung, Abwesenheitsnachweis oder Austrittsdokument sein. Die konkrete Einordnung darf nicht pauschal aus einem technischen Muster übernommen werden.

Datenminimierung sichtbar machen

Die DSGVO verlangt, dass personenbezogene Daten dem Zweck angemessen und auf das notwendige Maß beschränkt sind. Für SharePoint bedeutet das:

• keine privaten Notizen ohne definierten Zweck,
• keine Dokumentkopien in mehreren Sites,
• keine Volltext- oder Metadatenfelder, die für den Prozess nicht erforderlich sind,
• keine unbegrenzte Aufbewahrung „für alle Fälle“,
• keine unnötige Weitergabe an Führungskräfte oder Projektrollen.

Ein technisches Pflichtfeld sollte immer einer fachlichen Anforderung entsprechen.

Struktur: eine Site, Bibliotheken oder eine Site pro Mitarbeitenden?

Variante A: zentrale HR-Site mit Bibliotheken

Eine stark eingeschränkte HR-Site enthält eine oder mehrere Dokumentbibliotheken. Jede Datei erhält Metadaten wie Personal-ID, Dokumentkategorie, Gültigkeit und Aufbewahrungsklasse.

Vorteile:

• zentrale Administration,
• einheitliche Inhaltstypen und Ansichten,
• einfachere Suche und Berichterstattung für berechtigte HR-Rollen,
• weniger Sites und Owner.

Risiken:

• bei individuellen Berechtigungen pro Person entstehen viele eindeutige Berechtigungsbereiche,
• ein Konfigurationsfehler kann viele Akten betreffen,
• sehr große Bibliotheken erfordern gute Indizes, Ansichten und Betriebsregeln.

Variante B: Ordner oder Dokumentenmappen pro Person

Ein Ordner oder Document Set bündelt die Dokumente einer Person. Das ist für Navigation verständlich, darf aber nicht zur unkontrollierten Einzelberechtigungslandschaft werden.

Vorteile: zusammenhängende Akte, klare persönliche Referenz.

Risiken: unterbrochene Vererbung für jeden Ordner, schwer prüfbare Ausnahmen, versehentliche Freigabe oder Verschiebung.

Variante C: Site pro Person

Eine Site pro Beschäftigten erzeugt eine starke Isolation, aber sehr hohen Verwaltungsaufwand. Provisionierung, Owner, Aufbewahrung, Suche, Archivierung und Löschung müssten für jede Site funktionieren. Für normale Personalakten ist dieses Muster meist unverhältnismäßig; es kann nur bei besonderen organisatorischen oder regulatorischen Anforderungen sinnvoll sein.

Variante D: getrennte Bereiche nach Schutzbedarf

In vielen Fällen ist eine Kombination sinnvoll:

• allgemeine Personaldokumente in einer zentralen, stark beschränkten Bibliothek,
• besonders sensible Kategorien in einer separaten Site oder Bibliothek mit kleinerem Berechtigtenkreis,
• Dokumente zur Mitarbeiter-Selbstbedienung in einem kontrollierten Portal oder einer App,
• führende Stammdaten im HR-System statt in SharePoint.

So wird der Schutzbedarf nicht allein über hunderte individuelle Ordnerrechte abgebildet.

Empfohlenes Metadatenmodell

Eine Datei sollte nicht nur über ihren Dateinamen identifiziert werden. Geeignete Metadaten sind:

Feld: Personal-ID

Zweck: stabile Zuordnung zur Person

Feld: Dokument-ID

Zweck: eindeutige fachliche Kennung

Feld: Dokumentkategorie

Zweck: steuert Ansicht, Rechte und Aufbewahrung

Feld: Dokumentdatum

Zweck: Entstehungs- oder Gültigkeitsdatum

Feld: Gültig ab/bis

Zweck: Fristen für Qualifikationen oder Vereinbarungen

Feld: Status

Zweck: Entwurf, geprüft, gültig, abgelöst, gesperrt

Feld: Quelle

Zweck: HR-System, Upload, Scan, Workflow

Feld: verantwortliche HR-Rolle

Zweck: fachlicher Owner

Feld: Vertraulichkeitsklasse

Zweck: technische Schutzsteuerung

Feld: Aufbewahrungsklasse

Zweck: Referenz auf freigegebene Retention-Regel

Feld: Austrittsdatum

Zweck: nur, wenn fachlich erforderlich und aus führender Quelle

Verwenden Sie eine stabile Personal-ID statt Name oder E-Mail als Primärbezug. Namen können sich ändern, E-Mail-Adressen entfallen nach dem Austritt. Anzeigename und aktuelle Organisation können zusätzlich gespeichert oder zur Laufzeit aus einer führenden Quelle angezeigt werden.

Berechtigungskonzept: Wer darf was sehen und ändern?

Rollen vor Personen definieren

Ein mögliches Rollenmodell ist:

• HR-Aktenadministration: Dokumente anlegen, klassifizieren und korrigieren,
• HR-Fachbearbeitung: definierte Kategorien lesen und bearbeiten,
• Payroll: nur abrechnungsrelevante Kategorien,
• Führungskraft: nur ausdrücklich freigegebene Dokumente der zugeordneten Personen,
• Datenschutz/Revision: kontrollierter Prüfzugang,
• Beschäftigte: gegebenenfalls Zugriff auf ausgewählte eigene Dokumente,
• technische Administration: Plattformverwaltung, aber kein pauschaler fachlicher Zugriff als Prozessannahme.

Die tatsächliche Rollenverteilung muss organisationsspezifisch beschlossen werden.

Gruppenbasiert und kleinste Rechte

Berechtigungen sollten über Entra- oder SharePoint-Gruppen vergeben werden. Direkte Benutzerrechte sind schwerer zu prüfen. Jede Rolle erhält nur die nötigen Aktionen: Lesen, Hinzufügen, Bearbeiten, Löschen, Freigeben oder Berechtigungen verwalten.

Besonders kritisch sind Site Owners. Wer Owner ist, kann in der Regel Berechtigungen weitreichend ändern. Owner-Zugänge müssen daher auf wenige aktive Personen beschränkt, regelmäßig geprüft und möglichst mit starker Authentifizierung geschützt werden.

Führungskräftezugriff nicht aus Freitext ableiten

Wenn Führungskräfte bestimmte Akten sehen dürfen, muss die Zuordnung aus einer zuverlässigen Quelle stammen. Ein Freitextfeld Vorgesetzter in einer SharePoint-Liste ist ohne Synchronisation fehleranfällig. Besser ist eine kontrollierte Organisationsrelation aus dem HR-System oder Entra ID, ergänzt um einen Prozess für Matrixorganisation, Stellvertretung und historische Wechsel.

Such- und Vorschauzugriffe mitprüfen

Zugriffstests dürfen sich nicht auf das Öffnen eines Ordners beschränken. Prüfen Sie:

• SharePoint-Suche,
• Microsoft-365-Suche,
• Vorschauen,
• zuletzt verwendete Dateien,
• Freigabelinks,
• mobile Apps,
• Synchronisation mit OneDrive,
• Export- oder Downloadmöglichkeiten.

Security Trimming soll unberechtigte Ergebnisse verhindern, muss aber mit realen Rollen und Testdokumenten validiert werden.

DSGVO-Anforderungen technisch unterstützen

Zweckbindung und Transparenz

Dokumentieren Sie im Verzeichnis der Verarbeitungstätigkeiten, welche Daten in SharePoint verarbeitet werden. Nutzerinformationen, interne Richtlinien und Betriebsdokumentation müssen mit der tatsächlichen Konfiguration übereinstimmen.

Speicherbegrenzung

Aufbewahrung wird nicht mit einer einzigen globalen Frist gelöst. Unterschiedliche Dokumentkategorien können unterschiedliche Startpunkte und Pflichten haben. Ein Löschkonzept benötigt deshalb:

• freigegebene Kategorie,
• Frist,
• auslösendes Ereignis,
• mögliche Sperr- oder Rechtsstreitausnahme,
• Verantwortliche für Disposition,
• Nachweis der Durchführung.

Purview-Retention kann Inhalte für eine definierte Zeit aufbewahren oder nach Ablauf löschen. Das konkrete Verhalten bei Bearbeitung und Löschung hängt von Policy, Label und Record-Konfiguration ab und muss in einer Testumgebung verifiziert werden.

Rechte betroffener Personen

Für Auskunft, Berichtigung, Einschränkung und Löschung muss das System relevante Dokumente zuverlässig finden. Eine stabile Personal-ID, dokumentierte Datenquellen und klare Kategorien sind dafür wichtiger als ein schöner Ordnerbaum.

Bei einer Berichtigung sollte eine unrichtige Information nicht unkontrolliert überschrieben werden, wenn Nachweispflichten bestehen. Definieren Sie, ob eine neue Version, ein Korrekturdokument oder eine fachliche Sperre erforderlich ist.

Sicherheit der Verarbeitung

Angemessene Sicherheitsmaßnahmen können unter anderem starke Authentifizierung, Conditional Access, Gerätekontrollen, Sensitivity Labels, Verschlüsselung, Audit, begrenzte Downloads und regelmäßige Berechtigungsreviews umfassen. Welche Maßnahmen erforderlich sind, hängt vom Risiko ab.

HR-Workflows mit Power Automate

Automatisierung ist sinnvoll, wenn sie auf einem geklärten Datenmodell aufsetzt. Typische Flows sind:

• Dokumenteingang prüfen und klassifizieren,
• fehlende Pflichtmetadaten melden,
• Ablauf einer Qualifikation ankündigen,
• ausstehende Unterlagen im Onboarding verfolgen,
• Austrittsereignis in einen dokumentbezogenen Lebenszyklus überführen,
• Lösch- oder Dispositionsprüfung vorbereiten,
• Berechtigungsabweichungen an HR und IT melden.

Dokumenteingang als kontrollierter Prozess

Ein sicherer Upload-Ablauf kann so aussehen:

1. Datei landet in einer eingeschränkten Eingangsbibliothek.
2. Flow prüft Dateityp, Personal-ID und Pflichtmetadaten.
3. HR bestätigt Kategorie und fachliche Richtigkeit.
4. Datei wird in die Zielbibliothek verschoben.
5. Aufbewahrungsklasse und Status werden gesetzt.
6. Verarbeitung wird protokolliert.

Ein Flow sollte keine Personaldokumente ausschließlich anhand eines Dateinamens verschieben. Falsche Schreibweise oder doppelte Namen können sonst zu einer falschen Akte führen.

Onboarding und Offboarding anbinden

Onboarding-Workflows können erwartete Dokumente und Status liefern. Der Beitrag Mitarbeiter-Onboarding mit Power Platform und SharePoint beschreibt ein solches Prozessmuster. Für den Austritt ist Onboarding und Offboarding mit Power Automate, Entra und SharePoint relevant.

Wichtig ist die Systemgrenze: Der Onboarding-Flow steuert Aufgaben; die Personalakte bewahrt nur zulässige Dokumente. Nicht jedes Aufgabenprotokoll gehört dauerhaft in die Akte.

Typische Fehlerbilder und Rückfallwege

Fehler: HR-Site erbt unternehmensweite Besucher

Symptom: Die Site wurde aus einer allgemeinen Vorlage oder einem Hub übernommen und enthält zu breite Gruppen.

Test: Berechtigungen mit normalem Beschäftigtenkonto und Suche prüfen.

Rückfall: Zugriff sofort einschränken, externe und interne Freigaben inventarisieren, Audit prüfen und Datenschutzvorfallprozess bewerten.

Fehler: Jeder Personenordner hat eigene Direktberechtigungen

Symptom: Berechtigungsreviews sind kaum möglich; Verschiebungen brechen Zugriffe.

Korrektur: Rollen und Schutzklassen konsolidieren, besonders sensible Kategorien trennen.

Rückfall: Rechte schrittweise auf definierte Gruppen zurückführen; Migration mit Testkonten durchführen.

Fehler: Aufbewahrungsfrist ist nur ein Freitextfeld

Symptom: Dokumente werden nie oder uneinheitlich gelöscht.

Korrektur: freigegebene Kategorien mit technischen Retention-Regeln und Dispositionsprozess verbinden.

Rückfall: kontrollierte Bestandsprüfung; keine pauschale Massenlöschung ohne rechtliche Freigabe.

Fehler: Flow ordnet Dokument der falschen Person zu

Ursache: Name oder E-Mail statt stabiler Personal-ID, uneindeutige Dateinamen oder veraltete Stammdaten.

Rückfall: automatische Verarbeitung stoppen, betroffene Dokumente sperren, Audit und Zugriffe prüfen, Zuordnung durch zwei berechtigte Personen korrigieren.

Fehler: Synchronisation oder Download erzeugt lokale Kopien

Risiko: Entzogene Cloud-Rechte entfernen keine bereits heruntergeladene Datei.

Korrektur: Download- und Sync-Anforderungen nach Schutzklasse prüfen, Geräteverwaltung und Sensitivity Labels einbeziehen.

Testplan vor dem Produktivbetrieb

Berechtigungen

• HR-Admin, HR-Sachbearbeitung, Payroll, Führungskraft, Beschäftigter und unberechtigter Nutzer testen.
• Direkte Links, Suche, Vorschau, Download und Synchronisation prüfen.
• Owner- und Administratorrollen separat untersuchen.

Dokumentlebenszyklus

• Eingang, Klassifizierung, Änderung, Ablösung, Sperre und Löschprüfung durchspielen.
• falsche Personal-ID und fehlende Metadaten testen.
• Austritt mit mehreren Dokumentkategorien simulieren.

Retention und Audit

• Label oder Policy auf Testdokumente anwenden.
• Bearbeitungs- und Löschverhalten mit mehreren Rollen prüfen.
• Audit-Ereignisse suchen und Exportzugriff testen.
• Rechtsstreit- oder Sperrausnahme simulieren.

Auskunft und Berichtigung

• alle Dokumente einer Testperson über stabile ID finden,
• eine falsche Zuordnung berichtigen,
• Export auf Vollständigkeit und unzulässige Drittdaten prüfen,
• Vorgang dokumentieren.

Wiederanlauf

• Flow deaktivieren und manuellen Eingang verwenden,
• fehlerhafte Dokumente in Quarantäne halten,
• nach Wiederherstellung alle Zwischenfälle abgleichen,
• keine Datei ohne geprüfte Klassifizierung automatisch nachverarbeiten.

Grenzen von SharePoint als HRM-System

SharePoint kann eine dokumentenzentrierte Personalakte tragen, wenn Anforderungen, Rollen und Lebenszyklus beherrschbar sind. Ein spezialisiertes HR- oder Dokumentenmanagementsystem ist eher angezeigt, wenn komplexe gesetzliche Meldungen, Payroll, Stellenwirtschaft, Massendokumente, Self-Service, länderübergreifende Regelwerke oder zertifizierte Archivprozesse benötigt werden.

Die technische Entscheidung sollte anhand einer Anforderungsmatrix erfolgen. Der Artikel Revisionssichere Dokumentation in SharePoint vertieft Versionierung, Audit, Retention und elektronische Signaturen.

So bleibt die digitale Personalakte datenschutzkonform und im Betrieb handhabbar

Eine tragfähige digitale Personalakte beginnt mit einem freigegebenen Dateninventar und endet nicht beim Upload. Stabile Personal-IDs, wenige klare Schutzbereiche, gruppenbasierte Rollen, dokumentkategoriespezifische Aufbewahrung und getestete HR-Workflows halten die Ablage nachvollziehbar. SharePoint, Purview und Power Automate können diese Regeln technisch unterstützen; die zulässigen Zwecke, Fristen und Zugriffsrollen müssen jedoch außerhalb des Systems verbindlich entschieden und regelmäßig überprüft werden.