Ja. Auch nicht automatisierte, verarbeitete Daten unterliegen der DSGVO. Sobald Sie Daten in irgendeiner Weise sortiert haben, unterliegen diese der DSGVO.
Das heißt, dass die Betroffenen ein Recht auf Auskunft haben. Die Ordner müssen angemessen gesichert sein und Daten, die nicht mehr benötigt werden, müssen entsorgt werden.
Angemessen bedeutet, dass zB Personalakten mit Religionszugehörigkeit oder Gewerkschaftsmitgliedschaft versperrt sein sollten.