Beschäftigtendatenschutz

Start › IT-Recht › Datenschutz › Beschäftigtendatenschutz

Bewerbermanagement, Zeiterfassung, Videoüberwachung, Kontrolle von E-Mails, HR-Software in der Cloud: Arbeitgeber verarbeiten täglich Beschäftigtendaten. Wir beraten Unternehmen und Betriebsräte zu Rechtsgrundlagen, Betriebsvereinbarungen und Kontrollmaßnahmen und vertreten in Streitigkeiten über Auskunft und Schadensersatz.

§ 26 BDSG nach dem EuGH-Urteil C-34/21

Der EuGH hat am 30. März 2023 entschieden, dass eine nationale Regelung, die lediglich die allgemeinen Vorgaben der DSGVO wiederholt, keine „spezifischere Vorschrift“ im Sinne von Art. 88 DSGVO ist (C-34/21). Das betraf die hessische Vorschrift für Beamte, gilt aber nach ganz herrschender Auffassung auch für den wortgleichen § 26 Abs. 1 Satz 1 BDSG. Diese Generalklausel ist deshalb nicht mehr als eigenständige Rechtsgrundlage anzuwenden.

Arbeitgeber stützen die Verarbeitung seither unmittelbar auf die DSGVO:

• Art. 6 Abs. 1 lit. b für Daten, die zur Durchführung des Arbeitsverhältnisses erforderlich sind, etwa Lohnabrechnung;
• Art. 6 Abs. 1 lit. c für gesetzliche Pflichten, etwa Sozialversicherung, Steuer, Arbeitszeiterfassung;
• Art. 6 Abs. 1 lit. f für berechtigte Interessen, etwa IT-Sicherheit oder Konzernverwaltung, mit dokumentierter Abwägung;
• Art. 9 Abs. 2 lit. b in Verbindung mit § 26 Abs. 3 BDSG für Gesundheitsdaten und andere besondere Kategorien.

Ob die übrigen Absätze des § 26 BDSG, etwa zur Einwilligung (Abs. 2) und zu Kollektivvereinbarungen (Abs. 4), anwendbar bleiben, ist nicht abschließend geklärt; überwiegend wird das bejaht. Datenschutzhinweise und Verzeichnisse, die noch pauschal auf § 26 Abs. 1 BDSG verweisen, sollten angepasst werden.

Beschäftigtendatengesetz: Stand des Gesetzgebungsverfahrens

Das Bundesarbeits- und das Bundesinnenministerium haben im Oktober 2024 einen Referentenentwurf für ein Beschäftigtendatengesetz vorgelegt, mit Regeln zu Bewerbungsverfahren, Überwachung, Profiling und KI. Das Gesetz ist Stand November 2026 nicht beschlossen. Die Bundesregierung hat einen neuen Anlauf angekündigt. Bis dahin bleibt es bei DSGVO, Rest-BDSG und der Rechtsprechung der Arbeitsgerichte.

Betriebsvereinbarungen als Rechtsgrundlage

Betriebsvereinbarungen können Datenverarbeitungen regeln. Der EuGH hat am 19. Dezember 2024 aber klargestellt, dass sie die Vorgaben der DSGVO nicht unterschreiten dürfen und von den Gerichten voll auf Erforderlichkeit und Einhaltung der Grundsätze überprüft werden (C-65/23). Eine Betriebsvereinbarung ersetzt also keine saubere Prüfung. Das BAG hat einem Arbeitnehmer im Mai 2025 Schadensersatz zugesprochen, weil der Arbeitgeber zum Test einer cloudbasierten HR-Software mehr Echtdaten an die Konzernmutter übermittelt hatte, als die Betriebsvereinbarung erlaubte (8 AZR 209/21).

Typische Konfliktfelder

Mitarbeiterüberwachung und Kontrolle

Verdeckte Überwachung ist nur bei konkretem Verdacht einer Straftat oder schweren Pflichtverletzung zulässig und muss verhältnismäßig sein. Offene Videoüberwachung, Keylogger, GPS-Ortung oder Auswertung von Logdateien brauchen einen klaren Zweck, eine Abwägung und meist eine Betriebsvereinbarung. Unzulässig erhobene Beweise können im Kündigungsschutzprozess unverwertbar sein.

E-Mail und Internet am Arbeitsplatz

Ob der Arbeitgeber bei erlaubter Privatnutzung an das Fernmeldegeheimnis gebunden ist, ist seit Inkrafttreten des TDDDG umstritten und wird überwiegend verneint. Eine klare Nutzungsrichtlinie, die Privatnutzung ausschließt oder Zugriffe regelt, bleibt die sicherste Lösung.

Auskunftsansprüche nach Art. 15 DSGVO

Im Kündigungsstreit wird der Auskunftsanspruch häufig als Druckmittel eingesetzt, verbunden mit Schadensersatzforderungen wegen verspäteter oder unvollständiger Auskunft. Wir prüfen Umfang, Fristen, Einschränkungen zum Schutz Dritter und die Grenzen bei Rechtsmissbrauch, die der EuGH im März 2026 präzisiert hat.

KI im Personalbereich

KI-Systeme für Bewerberauswahl, Beförderung oder Leistungsbewertung gelten nach Anhang III der KI-Verordnung als Hochrisiko-Systeme. Hinzu kommen Art. 22 DSGVO zu automatisierten Einzelentscheidungen und die Mitbestimmung des Betriebsrats.

So unterstützen wir

• Prüfung und Entwurf von Betriebsvereinbarungen zu IT-Systemen, Microsoft 365, Videoüberwachung und KI.
• Datenschutzhinweise für Bewerber und Beschäftigte, Löschkonzept für Personalakten.
• Begleitung interner Ermittlungen unter Wahrung des Datenschutzes.
• Abwehr von Auskunfts- und Schadensersatzansprüchen.

Häufige Fragen

Ist eine Einwilligung von Beschäftigten wirksam?

Nur, wenn sie wirklich freiwillig ist, etwa weil der Beschäftigte einen Vorteil erhält oder gleichgelagerte Interessen bestehen. Für Kernprozesse des Arbeitsverhältnisses taugt sie nicht.

Wie lange dürfen Bewerberdaten gespeichert werden?

In der Regel bis zu sechs Monate nach Absage, um Ansprüche nach dem AGG abwehren zu können. Für einen Talentpool braucht es eine Einwilligung.

Darf der Arbeitgeber Personaldaten an die Konzernmutter übermitteln?

Ein Konzernprivileg gibt es nicht. Jede Übermittlung braucht eine eigene Rechtsgrundlage und bei Drittstaaten zusätzlich ein Transferinstrument.

Verwandte Themen

• KI im Personalbereich
• Microsoft 365 und Copilot
• DSFA, Löschkonzept und Verzeichnis
• Bußgeld und Schadensersatz
• Compliance