Stellenabbau und Werkschließung: Was mit Mitarbeiterdaten passieren muss

Zuletzt aktualisiert am 15. Oktober 2026

Sachsen erlebt gerade zwei große Restrukturierungen auf einmal: GSK will das Impfstoffwerk in Dresden mit rund 650 Beschäftigten bis 2028 schließen, Volkswagen hat für Zwickau das Produktionsende 2031 angekündigt, mit Folgen für tausende Zulieferer-Arbeitsplätze. Die arbeitsrechtliche Seite ist gut beleuchtet, etwa in den Beiträgen der Kanzlei Reichelt zur GSK-Schließung und zum VW-Werk Zwickau. Eine zweite Seite wird dabei regelmäßig übersehen: Jede Kündigung, jeder Aufhebungsvertrag und jeder Wechsel in eine Transfergesellschaft ist zugleich ein Datenschutzvorgang. Personalakten, E-Mail-Postfächer, Zugangsdaten, Gesundheitsdaten aus dem Betrieblichen Eingliederungsmanagement und die Kommunikation mit Behörden müssen nach klaren Regeln behandelt werden. Dieser Beitrag zeigt, was Arbeitgeber und Datenschutzbeauftragte bei Stellenabbau in den Griff bekommen müssen, unabhängig davon, ob 20 oder 2.000 Personen betroffen sind.

Der häufigste Fehler: Alles behalten oder alles löschen

Beide Reflexe sind falsch. Wer die Personalakten ausgeschiedener Beschäftigter pauschal weiter aufbewahrt, verstößt gegen die Speicherbegrenzung aus Art. 5 DSGVO. Wer dagegen nach dem letzten Arbeitstag Postfach, Akte und Abrechnungen sofort vernichtet, verletzt handels- und steuerrechtliche Aufbewahrungspflichten und nimmt sich die Beweismittel für Kündigungsschutz- und Sozialplanstreitigkeiten, die bei einer Werkschließung mit hoher Wahrscheinlichkeit folgen.

Die Lösung ist ein Löschkonzept mit drei Zeitachsen:

• Sofort nach Ausscheiden: Zugangsrechte, Chipkarten, VPN, Cloud-Konten, Firmenhandy. Der Entzug muss am Tag des Ausscheidens dokumentiert sein, das ist zugleich eine Anforderung aus Art. 32 DSGVO und aus ISO 27001.
• Nach Ende der Verjährungs- und Klagefristen: Unterlagen zu Kündigung, Abmahnungen, Zeugnis und Sozialauswahl. Drei Wochen Klagefrist reichen dafür nicht, weil Ansprüche aus dem Arbeitsverhältnis bis zu drei Jahre verjähren und tarifliche Ausschlussfristen abweichen können.
• Nach Ablauf gesetzlicher Aufbewahrungsfristen: Lohnkonten und Abrechnungen sechs Jahre, Buchungsbelege seit 2025 acht Jahre, Unterlagen zur betrieblichen Altersversorgung so lange, wie Ansprüche bestehen. Die Fristen im Überblick stehen auf unserem Datenschutz-Portal unter Aufbewahrungsfristen nach DSGVO.

Der Datenschutzbeauftragte sollte das Konzept schriftlich freigeben, bevor die erste Kündigungswelle läuft. Wer dann Löschläufe nach Datum und Kategorie automatisiert, spart sich Einzelfallentscheidungen unter Zeitdruck.

E-Mail-Postfächer und Weiterleitungen

Das Postfach eines ausgeschiedenen Mitarbeiters ist der Klassiker der Datenschutzbeschwerden. Erlaubt ist eine zeitlich begrenzte Abwesenheitsnotiz mit dem Hinweis auf den neuen Ansprechpartner. Nicht erlaubt ist das dauerhafte Weiterlesen durch Kollegen, wenn private Nutzung im Unternehmen geduldet war. Empfehlenswert ist ein festes Verfahren: Abwesenheitsnotiz für maximal drei Monate, Übergabe geschäftlicher Vorgänge noch vor dem letzten Arbeitstag gemeinsam mit dem Beschäftigten, danach Sperrung und Löschung nach dem Löschkonzept. Bei mehreren hundert Austritten in kurzer Zeit muss dieses Verfahren in der IT als Standardprozess hinterlegt sein, sonst entstehen Postfach-Friedhöfe, die Jahre später bei einem Audit auffallen.

Sozialauswahl, Alter, Schwerbehinderung: Besondere Daten im Kündigungsprozess

Für eine betriebsbedingte Kündigung muss der Arbeitgeber eine Sozialauswahl nach Betriebszugehörigkeit, Alter, Unterhaltspflichten und Schwerbehinderung treffen. Damit verarbeitet er zwangsläufig Daten, die nach Art. 9 DSGVO besonders geschützt sind, und teilt sie mit dem Betriebsrat, häufig auch mit externen Beratern und Anwälten. Drei Regeln halten das rechtssicher:

1. Zweckbindung dokumentieren: Die Auswahlliste dient ausschließlich der Sozialauswahl und dem anschließenden Verfahren. Sie gehört nicht in das allgemeine HR-Laufwerk.
2. Zugriff begrenzen: Nur die Personen, die an der Auswahl mitwirken, erhalten Zugriff. Bei externen Beratern braucht es je nach Rolle einen Vertrag nach Art. 28 DSGVO oder eine dokumentierte gemeinsame Verantwortlichkeit.
3. Verarbeitungsverzeichnis ergänzen: Ein Personalabbau ist eine neue Verarbeitungstätigkeit mit eigenem Zweck, eigenen Empfängern und eigener Löschfrist. Sie gehört in das Verzeichnis von Verarbeitungstätigkeiten, sonst fehlt im Ernstfall der Nachweis gegenüber der Aufsichtsbehörde.

Daten aus dem Betrieblichen Eingliederungsmanagement und Gesundheitsdaten aus Krankmeldungen dürfen für die Sozialauswahl nur insoweit herangezogen werden, wie das Gesetz es vorsieht. Wer hier zu viel in die Auswahlliste übernimmt, riskiert nicht nur ein Bußgeld, sondern macht die Kündigung angreifbar.

Transfergesellschaft, Betriebsübergang und Konzernumbau

Bei einer Werkschließung dieser Größenordnung folgt fast immer eine Transfergesellschaft. Für die Datenübermittlung an diese Gesellschaft gilt: Sie ist ein eigener Verantwortlicher, keine Auftragsverarbeiterin. Der bisherige Arbeitgeber darf nur die Daten übermitteln, die für den dreiseitigen Vertrag und die Transferleistungen erforderlich sind, und muss die Beschäftigten darüber informieren. Dasselbe gilt für Vermittlungsdienstleister und die Agentur für Arbeit im Rahmen der Massenentlassungsanzeige nach § 17 KSchG.

Beim Betriebsübergang nach § 613a BGB, etwa der angekündigten Eingliederung der Volkswagen Sachsen GmbH in die Volkswagen AG, gehen die Arbeitsverhältnisse und mit ihnen die Personaldaten auf den neuen Arbeitgeber über. Eine Einwilligung der Beschäftigten ist dafür nicht nötig, die Übermittlung ist zur Vertragsdurchführung erforderlich. Erforderlich ist aber ein Informationsschreiben, das neben den arbeitsrechtlichen Punkten auch den datenschutzrechtlichen Übergang beschreibt: neuer Verantwortlicher, neuer Datenschutzbeauftragter, geänderte Verarbeitungen. Wer beide Informationspflichten in einem Schreiben bündelt, erspart sich Rückfragen und Beschwerden.

Wer im Unternehmen dafür haftet

Verantwortlich ist das Unternehmen als solches, in der Praxis die Geschäftsführung. Ein benannter Datenschutzbeauftragter berät und überwacht, trägt aber nicht die Haftung. Ab 20 Personen, die ständig mit automatisierter Datenverarbeitung beschäftigt sind, ist die Benennung ohnehin Pflicht, bei Personaldienstleistern, Kliniken und Auskunfteien unabhängig von der Größe. Was genau gilt, steht unter Datenschutzbeauftragter Pflicht. Bei einer Schließung kommt eine Besonderheit hinzu: Ist der interne Datenschutzbeauftragte selbst vom Abbau betroffen, muss die Rolle bis zum letzten Löschlauf besetzt bleiben. Viele Unternehmen lösen das in dieser Phase über einen externen Datenschutzbeauftragten, der die Abwicklung bis zur letzten Aufbewahrungsfrist begleitet und nicht mit dem Werk verschwindet.

Checkliste für die Personalabteilung

• Löschkonzept mit den drei Zeitachsen schriftlich festlegen, Freigabe durch Datenschutzbeauftragten und Geschäftsführung.
• Austrittsprozess in der IT standardisieren: Rechteentzug am letzten Tag, Postfach-Regel, Gerätefreigabe, Protokoll.
• Sozialauswahl als eigene Verarbeitungstätigkeit ins Verzeichnis aufnehmen, Zugriff auf den Kreis der Beteiligten begrenzen, Verträge mit Beratern prüfen.
• Übermittlungen an Transfergesellschaft, Agentur für Arbeit und Betriebsrat auf das Erforderliche beschränken und dokumentieren.
• Informationsschreiben zu Betriebsübergang und Datenübermittlung vorbereiten, Betroffenenanfragen nach Art. 15 DSGVO mit Fristen von einem Monat einplanen, denn sie häufen sich in Kündigungsphasen.
• Zuständigkeit für die Nachlaufphase klären: Wer löscht in fünf Jahren die Lohnkonten des geschlossenen Werks?

Ein Personalabbau ist für die Betroffenen belastend genug. Ein sauber geführter Datenschutzprozess ist das Mindeste, was ein Unternehmen ihnen in dieser Phase schuldet, und schützt zugleich vor Beschwerden, Bußgeldern und Beweisnotstand in den Verfahren, die auf jede Werkschließung folgen. Wie sich der Datenschutz im laufenden Betrieb organisieren lässt, beschreibt die Übersicht Datenschutz im Unternehmen.

Sie stehen vor einem Personalabbau und brauchen ein Löschkonzept, eine Prüfung der Sozialauswahl-Verarbeitung oder einen Datenschutzbeauftragten für die Abwicklungsphase? Als externer Datenschutzbeauftragter begleiten wir Unternehmen in Dresden, Sachsen und bundesweit, kostenlose Erstberatung unter Kontakt.