Datenschutz am Arbeitsplatz: Rechtsgrundlagen, Überwachung und Rechte der Beschäftigten

Datenschutz am Arbeitsplatz betrifft sämtliche Phasen eines Beschäftigungsverhältnisses: die Bewerbung, die Personalverwaltung, den betrieblichen Alltag und die Zeit nach dem Ausscheiden. Arbeitgeber benötigen personenbezogene Informationen, um Arbeitsverträge durchzuführen, Entgelt abzurechnen und gesetzliche Pflichten zu erfüllen. Zugleich können digitale Arbeitsmittel weitreichende Einblicke in Verhalten, Leistung, Gesundheit und persönliche Lebensumstände ermöglichen. Rechtlich entscheidend ist deshalb nicht allein, ob eine Datenverarbeitung betrieblich nützlich erscheint. Sie muss auf einer tragfähigen Rechtsgrundlage beruhen und die weiteren datenschutzrechtlichen Anforderungen erfüllen.

Das deutsche Beschäftigtendatenschutzrecht beruht auf europäischen Vorgaben, nationalen Datenschutzbestimmungen und arbeitsrechtlichen Schutzmechanismen. Hinzu kommen Mitbestimmungsrechte sowie gerichtliche Maßstäbe zur Verhältnismäßigkeit und zur Verwendung rechtswidrig erlangter Informationen. Für öffentliche Arbeitgeber, bestimmte Berufsgruppen und besondere Verarbeitungssituationen können zusätzliche Regelungen gelten. Der folgende Beitrag erläutert den allgemeinen Rahmen, typische Konfliktfelder und die Handlungsmöglichkeiten der Beteiligten.

Begriff und Schutzbereich des Beschäftigtendatenschutzes

Welche Informationen geschützt sind

Personenbezogene Daten sind nach Art. 4 Nr. 1 Datenschutz-Grundverordnung (DSGVO) Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im Arbeitsverhältnis zählen dazu nicht nur Name, Anschrift und Bankverbindung. Auch Arbeitszeiten, Leistungsbewertungen, E-Mail-Metadaten, Standortinformationen, personalisierte Benutzerkennungen und dokumentierte Fehlzeiten können personenbezogene Daten sein. Ebenso können subjektive Einschätzungen über eine Person unter den Begriff fallen.

Eine Verarbeitung liegt nach Art. 4 Nr. 2 DSGVO insbesondere beim Erheben, Speichern, Auswerten, Übermitteln oder Löschen solcher Informationen vor. Der Schutz beschränkt sich daher nicht auf die Personalakte. Er erfasst bei Vorliegen der gesetzlichen Anwendungsvoraussetzungen auch Tabellen der Führungskräfte, digitale Ticketsysteme, Kommunikationsplattformen und Aufzeichnungen betrieblicher Sicherheitsanlagen.

Pseudonymisierte Informationen sind nicht schon deshalb anonym, weil der Name durch eine Kennnummer ersetzt wurde. Entscheidend ist, ob eine Identifizierung unter Berücksichtigung der vernünftigerweise einsetzbaren Mittel möglich bleibt. Erst eine wirksame Anonymisierung lässt den Personenbezug entfallen. Tätigkeitsprofile, Standortverläufe oder seltene Merkmalskombinationen können auch ohne Namensangabe eine Zuordnung ermöglichen.

Welche Personen und Verarbeitungsvorgänge erfasst werden

Der Beschäftigtenbegriff des § 26 Abs. 8 Bundesdatenschutzgesetz (BDSG) reicht über Arbeitnehmer im engeren Sinne hinaus. Er umfasst unter anderem zu ihrer Berufsbildung Beschäftigte, Bewerber und Personen, deren Beschäftigungsverhältnis beendet ist. Bestimmte wirtschaftlich unselbstständige, arbeitnehmerähnliche Personen werden ebenfalls erfasst. Bei selbstständig Tätigen außerhalb dieses Beschäftigtenbegriffs gelten jedenfalls die allgemeinen Vorschriften der DSGVO, soweit deren Anwendungsbereich eröffnet ist.

Die DSGVO gilt nach Art. 2 Abs. 1 DSGVO insbesondere für automatisierte Verarbeitungen sowie für nicht automatisierte Verarbeitungen von Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. § 26 Abs. 7 BDSG erstreckt die dortigen Beschäftigtendatenschutzregelungen auch auf Verarbeitungen außerhalb eines solchen Dateisystems.

Der persönliche und sachliche Anwendungsbereich ist jeweils gesondert zu prüfen. Bei öffentlichen Arbeitgebern können insbesondere landesrechtliche oder beamtenrechtliche Vorschriften hinzutreten.

Die arbeitsvertragliche Weisungsbefugnis begründet kein allgemeines Recht, private Lebensverhältnisse auszuleuchten. Auch Informationen, die dem Arbeitgeber tatsächlich bekannt geworden sind, dürfen nicht ohne weitere Prüfung für beliebige betriebliche Zwecke verwendet werden.

Rechtlicher Rahmen und einschlägige Normen

Grundsätze der DSGVO

Den Ausgangspunkt bilden die Verarbeitungsgrundsätze des Art. 5 DSGVO. Personenbezogene Daten müssen rechtmäßig, transparent und nach Treu und Glauben verarbeitet werden. Sie dürfen grundsätzlich nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit begrenzen den weiteren Umgang.

Diese Anforderungen wirken zusammen. Eine zulässige Erhebung rechtfertigt keine unbegrenzte Speicherung. Ebenso erlaubt der Besitz vorhandener Daten nicht automatisch ihre Nutzung für einen anderen Zweck. Sollen ursprünglich zur IT-Sicherheit angelegte Protokolle später zur individuellen Leistungskontrolle ausgewertet werden, müssen insbesondere die Zulässigkeit der Weiterverarbeitung, die Rechtsgrundlage und etwaige Informationspflichten geprüft werden. Art. 6 Abs. 4 DSGVO enthält hierfür unter bestimmten Voraussetzungen Maßstäbe zur Vereinbarkeit unterschiedlicher Zwecke.

Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können. Erforderlich sind deshalb nachvollziehbare Entscheidungen und angemessene Dokumentation. Eine bloße Erklärung, Datenschutz werde beachtet, genügt nicht. Umgekehrt ersetzt eine ausführliche Dokumentation keine materiell rechtmäßige Verarbeitung.

Beschäftigtendaten nach § 26 BDSG

§ 26 Abs. 1 Satz 1 BDSG erlaubt seinem Wortlaut nach die Verarbeitung von Beschäftigtendaten insbesondere, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder für dessen Durchführung beziehungsweise Beendigung erforderlich ist. Erfasst ist außerdem die Ausübung oder Erfüllung gesetzlich beziehungsweise kollektivrechtlich begründeter Rechte und Pflichten der Interessenvertretungen.

Erforderlichkeit bedeutet mehr als Zweckmäßigkeit. Zu untersuchen ist, ob das konkrete Ziel mit gleich geeigneten, weniger eingriffsintensiven Mitteln erreichbar ist. Außerdem muss die Verarbeitung unter Berücksichtigung der betroffenen Rechte verhältnismäßig sein. Die bloße Möglichkeit einer besonders detaillierten Datenerhebung begründet noch keinen rechtlichen Bedarf.

Für die Aufdeckung von Straftaten enthält § 26 Abs. 1 Satz 2 BDSG besondere Voraussetzungen. Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat. Die Verarbeitung muss zur Aufdeckung erforderlich sein. Das schutzwürdige Interesse der beschäftigten Person am Ausschluss der Verarbeitung darf nicht überwiegen; insbesondere dürfen Art und Ausmaß der Maßnahme im Hinblick auf den Anlass nicht unverhältnismäßig sein.

Die unionsrechtliche Tragfähigkeit der einzelnen Regelungen ist allerdings gesondert zu beurteilen. § 26 BDSG darf nicht unabhängig von Art. 6, Art. 9 und Art. 88 DSGVO als abschließende Erlaubnis verstanden werden.

Allgemeine Rechtsgrundlagen und besondere Datenkategorien

Je nach Verarbeitung kommen insbesondere Art. 6 Abs. 1 Buchst. b DSGVO für vertraglich erforderliche Vorgänge und Art. 6 Abs. 1 Buchst. c DSGVO zur Erfüllung rechtlicher Verpflichtungen in Betracht. Bei privaten Arbeitgebern kann unter bestimmten Voraussetzungen auch Art. 6 Abs. 1 Buchst. f DSGVO einschlägig sein. Ein berechtigtes Interesse ersetzt jedoch weder die Erforderlichkeitsprüfung noch die Abwägung mit den Interessen und Grundrechten der Beschäftigten.

Die Aufnahme einer Datenverarbeitung in den Arbeitsvertrag macht sie nicht automatisch für die Vertragserfüllung erforderlich. Ebenso muss bei einer Berufung auf gesetzliche Pflichten bestimmt werden können, welche Verpflichtung die konkrete Verarbeitung trägt.

Gesundheitsdaten, Angaben zur Gewerkschaftszugehörigkeit und biometrische Daten zur eindeutigen Identifizierung unterliegen zusätzlich Art. 9 DSGVO. Nicht jedes Foto ist deshalb bereits ein besonderes biometrisches Datum im Sinne dieser Vorschrift. Entscheidend sind auch die technische Verarbeitung und der Identifizierungszweck.

Die Verarbeitung besonderer Datenkategorien ist grundsätzlich untersagt, sofern keine Ausnahme nach Art. 9 Abs. 2 DSGVO eingreift. Im Beschäftigungskontext sind insbesondere Art. 9 Abs. 2 Buchst. b DSGVO und § 26 Abs. 3 BDSG relevant. Neben einer solchen Ausnahme müssen die sonstigen Voraussetzungen rechtmäßiger Verarbeitung erfüllt sein.

Einwilligung und Kollektivvereinbarungen

Eine Einwilligung kann unter den Voraussetzungen der DSGVO und des § 26 Abs. 2 BDSG eine Verarbeitung legitimieren. Wegen des Abhängigkeitsverhältnisses ist ihre Freiwilligkeit besonders sorgfältig zu prüfen. Eine echte Wahlmöglichkeit ohne unangemessene Nachteile spricht dafür. Die Annahme, jede Einwilligung im Arbeitsverhältnis sei unwirksam, wäre allerdings ebenfalls zu pauschal.

Die Erklärung muss informiert, auf bestimmte Zwecke bezogen und unmissverständlich sein. Bei besonderen Datenkategorien kann eine ausdrückliche Einwilligung erforderlich sein. Nach § 26 Abs. 2 BDSG erfolgt die Einwilligung grundsätzlich schriftlich oder elektronisch, soweit nicht besondere Umstände eine andere Form angemessen erscheinen lassen. Die Vorschrift enthält außerdem besondere Informationsanforderungen.

Der Widerruf muss nach Art. 7 Abs. 3 DSGVO jederzeit möglich und so einfach wie die Erteilung sein. Er berührt die Rechtmäßigkeit der bis dahin auf die Einwilligung gestützten Verarbeitung nicht. Eine andere, tatsächlich einschlägige Rechtsgrundlage kann eine weitere Verarbeitung rechtfertigen; sie darf jedoch nicht lediglich vorgeschoben werden.

Betriebsvereinbarungen können nach § 26 Abs. 4 BDSG datenschutzrechtliche Regelungen enthalten. Sie müssen insbesondere Art. 88 Abs. 2 DSGVO und die sonstigen einschlägigen Anforderungen der DSGVO beachten. Die Zustimmung des Betriebsrats macht eine unverhältnismäßige Überwachung nicht zulässig.

Prägende Rechtsprechungslinien

Unionsrechtliche Anforderungen an nationale Vorschriften

Der Europäische Gerichtshof hat mit Urteil vom 30. März 2023, C-34/21, die Anforderungen an nationale Vorschriften nach Art. 88 DSGVO konkretisiert. Die Entscheidung betraf hessische Regelungen zur Beschäftigtendatenverarbeitung. Nationale Vorschriften müssen die Voraussetzungen spezifischerer Regelungen erfüllen und insbesondere die von Art. 88 Abs. 2 DSGVO verlangten Schutzmaßnahmen enthalten.

Daraus folgt nicht, dass der Gerichtshof § 26 BDSG insgesamt ausdrücklich für unwirksam erklärt hätte. Die Entscheidung begründet aber erhebliche Anforderungen an die Prüfung vergleichbarer Vorschriften. Nationale Regelungen, die den unionsrechtlichen Voraussetzungen nicht genügen, können nicht unverändert als Erlaubnisgrundlage herangezogen werden. Ob eine Verarbeitung unmittelbar auf eine allgemeine Rechtsgrundlage der DSGVO gestützt werden kann, ist anschließend eigenständig zu prüfen.

Für Kollektivvereinbarungen hat der Europäische Gerichtshof mit Urteil vom 19. Dezember 2024, C-65/23, zusätzlich klargestellt, dass insbesondere die Anforderungen der Art. 5, Art. 6 und Art. 9 DSGVO zu beachten sind. Die Erforderlichkeit einer kollektivrechtlich geregelten Datenverarbeitung unterliegt gerichtlicher Kontrolle. Ein bloßer Wechsel der Normbezeichnung oder der Abschluss einer Betriebsvereinbarung beseitigt daher keine materiellen Rechtmäßigkeitsprobleme.

Grenzen verdeckter Überwachung

Im Urteil vom 27. Juli 2017, 2 AZR 681/16, befasste sich das Bundesarbeitsgericht mit dem Einsatz eines Keyloggers. Die Software zeichnete Tastatureingaben auf und fertigte Bildschirmaufnahmen an. Eine derart weitreichende Kontrolle ohne durch konkrete Tatsachen begründeten Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung erkannte das Gericht im entschiedenen Fall nicht als zulässig an. Die daraus gewonnenen Erkenntnisse durften im Kündigungsschutzverfahren nicht verwertet werden.

Die Entscheidung erging zum früheren Datenschutzrecht. Sie ist deshalb nicht ohne Prüfung auf jede heutige technische Kontrolle übertragbar. Ihre grundrechtliche Aussage bleibt jedoch bedeutsam: Eine umfassende, anlasslose Erfassung des Computernutzungsverhaltens kann nicht allein mit dem allgemeinen Interesse an der Kontrolle arbeitsvertraglicher Pflichten gerechtfertigt werden.

Bei verdeckten Maßnahmen kommen zusätzliche Belastungen durch die fehlende Erkennbarkeit hinzu. Heimlichkeit, Dauer, Erfassungsumfang und mögliche Einblicke in private Inhalte erhöhen die Eingriffsintensität. Auch ein konkreter Verdacht rechtfertigt nicht automatisch jede technische Ermittlungsmaßnahme.

Datenschutzverstoß und gerichtliche Beweisverwertung

Anders gelagert war das Urteil des Bundesarbeitsgerichts vom 29. Juni 2023, 2 AZR 296/22. Bei Aufzeichnungen einer offenen Videoüberwachung, die vorsätzlich vertragswidriges Verhalten belegen sollen, folgt ein gerichtliches Verwertungsverbot nicht ohne Weiteres daraus, dass die Überwachung datenschutzrechtlichen Anforderungen nicht vollständig entsprach.

Diese Aussage betrifft die gerichtliche Verwertung unter den Umständen des jeweiligen Verfahrens. Sie enthält keine allgemeine Erlaubnis, Beschäftigte rechtswidrig zu überwachen. Auch lässt sich daraus nicht ableiten, dass offen erhobene Informationen ausnahmslos verwertbar wären.

Datenerhebung und prozessuale Beweisverwertung sind unterschiedliche Prüfungsgegenstände. Maßgeblich sind unter anderem die betroffenen Grundrechte, die Eingriffsschwere und die konkrete Funktion der gerichtlichen Verwertung. Eine mögliche Verwertung legalisiert die ursprüngliche Verarbeitung nicht rückwirkend. Aufsichtsrechtliche Maßnahmen oder Schadensersatzansprüche können unabhängig davon in Betracht kommen, sofern deren Voraussetzungen erfüllt sind.

Typische Fallkonstellationen im Arbeitsalltag

Bewerbung und Personalauswahl

Im Bewerbungsverfahren dürfen grundsätzlich Informationen verarbeitet werden, die für die konkrete Einstellungsentscheidung erforderlich sind. Berufliche Qualifikation und einschlägige Erfahrung sind regelmäßig relevant. Fragen nach privaten Lebensumständen bedürfen dagegen eines hinreichenden, rechtlich zulässigen Bezugs zur vorgesehenen Tätigkeit. Zusätzlich sind insbesondere die Benachteiligungsverbote des Allgemeinen Gleichbehandlungsgesetzes zu beachten.

Auch öffentlich zugängliche Informationen dürfen nicht beliebig gesammelt werden. Zwischen einem beruflich ausgerichteten Profil und erkennbar privaten Veröffentlichungen bestehen Unterschiede, die bei der Zulässigkeitsprüfung berücksichtigt werden müssen. Öffentlich auffindbar bedeutet nicht datenschutzrechtlich frei verwendbar. Bei der Erhebung aus anderen Quellen können Informationspflichten nach Art. 14 DSGVO entstehen.

Nach Abschluss des Auswahlverfahrens dürfen Bewerbungsunterlagen nicht ohne tragfähigen Grund dauerhaft gespeichert werden. Eine zeitlich begrenzte Aufbewahrung kann zur Abwehr möglicher Rechtsansprüche erforderlich sein. Eine allgemeine gesetzliche Aufbewahrungsfrist für sämtliche Bewerbungsunterlagen besteht jedoch nicht. Die Dauer ist anhand der relevanten Ansprüche und des konkreten Verfahrens zu bestimmen.

Für einen längerfristigen Bewerberpool ist eine eigenständige Grundlage erforderlich, häufig eine wirksame Einwilligung. Zweck und Speicherdauer müssen dabei hinreichend bestimmt sein.

Personalakte und interne Zugriffsrechte

Die Personalakte soll Informationen enthalten, deren Verarbeitung für das Beschäftigungsverhältnis rechtlich gerechtfertigt ist. Unbelegte Verdächtigungen, sachfremde private Angaben und unzutreffende Bewertungen können Persönlichkeitsrechte verletzen. Ob einzelne Dokumente berichtigt, entfernt oder weiterhin aufbewahrt werden dürfen, hängt von ihrem Inhalt und dem fortbestehenden Verarbeitungszweck ab.

Nicht jede Führungskraft darf allein aufgrund ihrer Stellung auf sämtliche Personaldaten zugreifen. Entscheidend ist, welche Informationen sie zur Erfüllung ihrer konkreten Aufgaben benötigt. Gehaltsdaten, Abmahnungen und Gesundheitsinformationen verlangen regelmäßig differenzierte Berechtigungen. Zugriffe sollten insbesondere bei sensiblen Daten organisatorisch und technisch begrenzt werden.

§ 83 BetrVG gewährt Arbeitnehmern im Anwendungsbereich des Betriebsverfassungsgesetzes ein Recht auf Einsicht in die über sie geführten Personalakten. Sie können hierzu ein Betriebsratsmitglied hinzuziehen. Auf Verlangen sind ihre Erklärungen zum Inhalt der Personalakte beizufügen.

Dieses arbeitsrechtliche Einsichtsrecht besteht neben den datenschutzrechtlichen Betroffenenrechten. Es ist weder mit dem Auskunftsanspruch nach Art. 15 DSGVO identisch noch beschränkt es diesen auf Unterlagen, die der Arbeitgeber ausdrücklich als Personalakte bezeichnet.

E-Mail, Internetnutzung und Kommunikationsplattformen

Bei dienstlichen Kommunikationssystemen sollten zulässige Nutzung und mögliche Kontrollen eindeutig geregelt sein. Die Erlaubnis privater Nutzung erhöht die Wahrscheinlichkeit, dass Arbeitgeber auf private Inhalte und Daten außenstehender Personen stoßen. Ein Verbot privater Nutzung beseitigt umgekehrt nicht sämtliche Datenschutzanforderungen.

Ob zusätzlich besondere telekommunikationsrechtliche Pflichten eingreifen, hängt insbesondere von der rechtlichen Einordnung des angebotenen Dienstes und der konkreten Ausgestaltung ab. Pauschale Aussagen, Arbeitgeber unterlägen bei erlaubter Privatnutzung stets oder niemals dem Fernmeldegeheimnis, sind daher zu vermeiden. Unabhängig davon bleiben Datenschutzrecht, Persönlichkeitsschutz und arbeitsrechtliche Verhältnismäßigkeit maßgeblich.

Ein umfassender Zugriff auf Nachrichteninhalte ist regelmäßig eingriffsintensiver als eine begrenzte technische Prüfung. Allerdings können auch Metadaten weitreichende Rückschlüsse auf Kontakte, Arbeitsverhalten und persönliche Angelegenheiten ermöglichen.

Für Abwesenheit und Ausscheiden sollten Verfahren vorgesehen werden, die betriebliche Erreichbarkeit sichern, ohne private Kommunikation pauschal offenzulegen. Funktionspostfächer, geregelte Vertretungsrechte und abgestufte Zugriffsmöglichkeiten können dazu beitragen. Welche Lösung zulässig ist, hängt von Nutzungskonzept, Zweck und technischen Möglichkeiten ab.

Videoüberwachung, Standortdaten und Leistungskontrolle

Offene Videoüberwachung kann beispielsweise dem Schutz von Personen oder Eigentum dienen. Ihre Zulässigkeit hängt unter anderem von Aufnahmebereich, Zweck, Alternativen, Speicherdauer und tatsächlichem Überwachungsdruck ab. Ein Hinweisschild erfüllt für sich genommen weder sämtliche Informationspflichten noch ersetzt es eine Rechtsgrundlage.

Die dauerhafte Beobachtung einzelner Arbeitsplätze ist besonders rechtfertigungsbedürftig. In Toiletten, Duschen und vergleichbaren intimen Bereichen steht der besonders gewichtige Persönlichkeitsschutz einer Überwachung grundsätzlich entgegen. Eine allgemein verbindliche Speicherdauer für sämtliche betrieblichen Videoaufzeichnungen lässt sich nicht angeben. Aufnahmen sind zu löschen, sobald ihre weitere Speicherung nicht mehr rechtmäßig erforderlich ist.

GPS-Systeme in Dienstfahrzeugen können für Disposition oder Diebstahlschutz geeignet sein. Daraus folgt keine allgemeine Befugnis zur lückenlosen Bewegungsanalyse. Bei erlaubter Privatnutzung und außerhalb der Arbeitszeit sind wirksame Begrenzungen besonders wichtig.

Software zur Produktivitätsmessung ist danach zu beurteilen, welche personenbezogenen Schlüsse sie ermöglicht. Bildschirmaktivität, Kommunikationshäufigkeit oder Mausbewegungen bilden die tatsächliche Arbeitsleistung nicht ohne Weiteres zuverlässig ab. Je umfassender das entstehende Verhaltensprofil ist, desto gewichtiger müssen Rechtfertigung und Schutzmaßnahmen sein. Fehlende Aussagekraft kann außerdem gegen die Eignung und Erforderlichkeit der Verarbeitung sprechen.

Gesundheitsdaten und betriebliches Eingliederungsmanagement

Arbeitgeber dürfen im gesetzlich vorgesehenen Umfang Informationen über Arbeitsunfähigkeit und deren voraussichtliche Dauer erhalten. Daraus folgt grundsätzlich kein allgemeiner Anspruch auf Mitteilung der Diagnose. Besondere Umstände oder spezielle gesetzliche Pflichten können zusätzliche Angaben erforderlich machen; sie müssen gesondert geprüft werden.

Auch elektronische Übermittlungsverfahren erweitern den zulässigen Informationsumfang nicht beliebig. Betriebsärztliche Untersuchungen begründen ebenfalls kein allgemeines Recht des Arbeitgebers auf Einsicht in medizinische Befunde. Ärztliche Verschwiegenheit und datenschutzrechtliche Zweckbegrenzung bleiben zu beachten.

Das betriebliche Eingliederungsmanagement nach § 167 Abs. 2 Sozialgesetzbuch IX betrifft Beschäftigte, die innerhalb eines Jahres länger als sechs Wochen ununterbrochen oder wiederholt arbeitsunfähig sind. Maßgeblich ist nicht notwendig das Kalenderjahr. Das Verfahren setzt die Zustimmung und Beteiligung der betroffenen Person voraus. Vorab ist insbesondere über die Ziele sowie Art und Umfang der hierfür erhobenen und verwendeten Daten zu informieren.

Die Zustimmung zum Verfahren ist nicht als pauschale Freigabe sämtlicher Gesundheitsdaten zu verstehen. Umfang, Empfängerkreis und weitere Verwendung müssen begrenzt bleiben. Eine getrennte, besonders geschützte Ablage gesundheitsbezogener Verfahrensunterlagen kann hierfür ein wesentliches organisatorisches Mittel sein. In der allgemeinen Personalverwaltung sollten nur die Informationen verfügbar sein, die dort rechtmäßig benötigt werden.

Verantwortlichkeit, Mitbestimmung und externe Dienstleister

Pflichten des Arbeitgebers und Stellung des Betriebsrats

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist regelmäßig der Arbeitgeber, der über Zwecke und Mittel der Verarbeitung entscheidet. Er muss insbesondere Rechtsgrundlagen prüfen, Informationspflichten erfüllen und angemessene Sicherheitsmaßnahmen nach Art. 32 DSGVO gewährleisten. Dabei sind unter anderem Risiken, Stand der Technik und Art der verarbeiteten Daten zu berücksichtigen.

Bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung ist § 87 Abs. 1 Nr. 6 BetrVG zu beachten. Nach der arbeitsgerichtlichen Auslegung ist grundsätzlich die objektive Eignung zur entsprechenden Überwachung maßgeblich; eine ausdrücklich erklärte Überwachungsabsicht ist nicht erforderlich. Ob das Mitbestimmungsrecht im Einzelfall eingreift, hängt von Funktion und Einsatz der Einrichtung ab. Der gesetzliche Vorbehalt bereits bestehender gesetzlicher oder tariflicher Regelungen bleibt zu beachten.

§ 79a BetrVG verpflichtet den Betriebsrat zur Einhaltung der Datenschutzvorschriften. Soweit er zur Erfüllung seiner Aufgaben personenbezogene Daten verarbeitet, ist der Arbeitgeber datenschutzrechtlich verantwortlich. Beide Seiten müssen sich bei der Einhaltung des Datenschutzes unterstützen. Daraus folgt jedoch kein uneingeschränktes Einsichtsrecht des Arbeitgebers in vertrauliche Betriebsratsangelegenheiten.

Für Personalvertretungen im öffentlichen Dienst gelten eigene Beteiligungsregelungen.

Datenschutzbeauftragte und Auftragsverarbeitung

Die Pflicht zur Benennung eines Datenschutzbeauftragten richtet sich nach Art. 37 DSGVO und ergänzend § 38 BDSG. Bei nichtöffentlichen Stellen ist insbesondere die Schwelle von in der Regel mindestens 20 Personen relevant, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Gemeint ist nicht lediglich die Zahl der Beschäftigten in der IT-Abteilung. Weitere Benennungspflichten können unabhängig von dieser Schwelle bestehen, etwa bei Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen.

Der Datenschutzbeauftragte berät und überwacht im Rahmen seiner gesetzlichen Aufgaben. Seine Benennung verlagert die Verantwortung für rechtmäßige Verarbeitung nicht vom Arbeitgeber auf ihn.

Werden externe Anbieter für Personalverwaltung, Lohnabrechnung oder Kommunikationsdienste eingesetzt, muss die tatsächliche Rollenverteilung geklärt werden. Bei Auftragsverarbeitung verlangt Art. 28 DSGVO insbesondere eine vertragliche oder sonstige unionsrechtlich beziehungsweise mitgliedstaatlich anerkannte rechtliche Bindung mit den vorgeschriebenen Inhalten sowie hinreichende Garantien des Anbieters. Nicht jeder externe Dienstleister ist automatisch Auftragsverarbeiter.

Auch innerhalb eines Konzerns besteht keine allgemeine Befreiung von Datenschutzanforderungen. Konzerninterne Übermittlungen benötigen eine tragfähige Grundlage. Bei Drittlandübermittlungen sind zusätzlich Art. 44 ff. DSGVO zu beachten. Je nach Gestaltung können auch Zugriffe aus einem Drittland relevant sein.

Rechte der Beschäftigten

Information, Auskunft und Kopie

Nach Art. 13 und Art. 14 DSGVO müssen Beschäftigte grundsätzlich über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Welche Vorschrift einschlägig ist, richtet sich danach, ob die Daten bei ihnen selbst oder aus anderen Quellen erhoben werden. Zu den erforderlichen Angaben gehören insbesondere Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger oder Empfängerkategorien sowie Speicherdauer beziehungsweise deren Bestimmungskriterien. Gesetzliche Ausnahmen sind im Einzelfall zu prüfen.

Art. 15 DSGVO eröffnet ein Auskunftsrecht über die Verarbeitung und grundsätzlich einen Anspruch auf eine Kopie der verarbeiteten personenbezogenen Daten. Dieser Anspruch ist nicht auf die Personalakte beschränkt. Er bedeutet aber auch keinen voraussetzungslosen Anspruch auf sämtliche vollständigen betrieblichen Dokumente.

Der Europäische Gerichtshof hat mit Urteil vom 4. Mai 2023, C-487/21, klargestellt, dass die Kopie eine originalgetreue und verständliche Reproduktion der personenbezogenen Daten ermöglichen muss. Dokumentauszüge oder vollständige Dokumente können erforderlich sein, wenn die Daten andernfalls nicht verständlich oder die Rechte nicht wirksam ausübbar wären.

Rechte und Freiheiten anderer Personen sind nach Art. 15 Abs. 4 DSGVO zu berücksichtigen. Sie rechtfertigen keine schematische Gesamtverweigerung. Häufig ist zunächst zu prüfen, ob Schwärzungen oder andere Begrenzungen einen angemessenen Ausgleich ermöglichen.

Berichtigung, Löschung, Einschränkung und Widerspruch

Unrichtige personenbezogene Daten können nach Art. 16 DSGVO berichtigt werden. Unter Berücksichtigung der Verarbeitungszwecke kann auch die Vervollständigung unvollständiger Daten verlangt werden. Bei Werturteilen ist allerdings zwischen einer unrichtigen Tatsachengrundlage und einer lediglich unerwünschten Bewertung zu unterscheiden.

Art. 17 DSGVO sieht unter bestimmten Voraussetzungen eine Löschung vor, etwa wenn die Daten für den zulässigen Zweck nicht mehr erforderlich sind. Gesetzliche Aufbewahrungspflichten oder die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können einer sofortigen Löschung entgegenstehen. Solche Gründe rechtfertigen jedoch nicht automatisch jede weitere Nutzung.

Art. 18 DSGVO ermöglicht in bestimmten Fällen eine Einschränkung der Verarbeitung, beispielsweise für die Dauer der Überprüfung bestrittener Datenrichtigkeit. Eingeschränkte Daten dürfen abgesehen von ihrer Speicherung grundsätzlich nur unter den in Art. 18 Abs. 2 DSGVO genannten Voraussetzungen weiterverarbeitet werden.

Das Widerspruchsrecht nach Art. 21 DSGVO betrifft insbesondere Verarbeitungen auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f DSGVO. Es ist kein allgemeines Vetorecht gegen erforderliche Personalverwaltung. Bei einem Widerspruch aus Gründen der besonderen Situation muss der Verantwortliche die gesetzlichen Voraussetzungen einer Fortsetzung prüfen. Bei einwilligungsbasierten Verarbeitungen steht dagegen der Widerruf im Vordergrund.

Rechtsfolgen und Risiken von Datenschutzverstößen

Aufsichtsmaßnahmen und Geldbußen

Datenschutzaufsichtsbehörden verfügen nach Art. 58 DSGVO über Untersuchungs- und Abhilfebefugnisse. Sie können unter anderem Auskünfte verlangen, Verwarnungen aussprechen und die Berichtigung, Löschung oder Einschränkung von Verarbeitungen anordnen. Auch vorübergehende oder endgültige Verarbeitungsverbote sind möglich. Welche Maßnahme zulässig und angemessen ist, hängt vom konkreten Verstoß ab.

Art. 83 DSGVO unterscheidet mehrere Bußgeldrahmen. Für bestimmte Verstöße beträgt der Höchstrahmen bis zu 20 Millionen Euro oder bei Unternehmen bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Für andere Verstöße sieht die Vorschrift einen niedrigeren Höchstrahmen vor.

Diese Obergrenzen sind keine Regelsanktionen. Die konkrete Bemessung berücksichtigt insbesondere Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, getroffene Abhilfemaßnahmen und weitere gesetzliche Kriterien. Nicht jede Beschwerde führt zu einer Geldbuße.

Für öffentliche Stellen gelten besondere Regelungen. So enthält § 43 Abs. 3 BDSG für die dort erfassten öffentlichen Stellen einen Ausschluss von Geldbußen. Die Einordnung öffentlicher Unternehmen und die landesrechtliche Rechtslage müssen gesondert geprüft werden.

Schadensersatz und arbeitsrechtliche Konsequenzen

Art. 82 DSGVO ermöglicht den Ersatz materieller und immaterieller Schäden unter den gesetzlichen Voraussetzungen. Nach dem Urteil des Europäischen Gerichtshofs vom 4. Mai 2023, C-300/21, genügt der bloße Verstoß gegen die DSGVO nicht allein. Erforderlich sind außerdem ein Schaden und ein ursächlicher Zusammenhang. Eine zusätzliche Erheblichkeitsschwelle für immaterielle Schäden darf dagegen nicht verlangt werden.

Ein Schaden muss somit nicht besonders schwer sein, darf aber auch nicht allein aus dem Normverstoß abgeleitet werden. Ob etwa ein Kontrollverlust oder eine begründete Befürchtung nachteiliger Verwendung einen ersatzfähigen Schaden darstellt, hängt von den festgestellten Umständen ab. Feste Entschädigungssätze lassen sich daraus nicht ableiten.

Arbeitsrechtlich können Unterlassungs-, Beseitigungs- oder weitere Schutzansprüche in Betracht kommen. Ob ein Beweis verwertbar ist oder eine Kündigung Bestand hat, richtet sich nach eigenständigen Maßstäben.

Auch Beschäftigte müssen rechtmäßige Datenschutz- und Vertraulichkeitsvorgaben beachten. Unbefugte Zugriffe auf Personalinformationen oder unzulässige Weitergaben können arbeitsrechtliche Maßnahmen auslösen. Ob eine Abmahnung oder Kündigung gerechtfertigt ist, hängt insbesondere von Pflichtverletzung, Verschulden, Umständen und Verhältnismäßigkeit ab.

Verfahren, Zuständigkeiten und Fristen

Bearbeitung von Betroffenenanträgen

Anträge auf Auskunft, Berichtigung oder Löschung richten sich grundsätzlich an den Verantwortlichen. Eine konkrete Beschreibung der beanstandeten Verarbeitung erleichtert die Bearbeitung. Die Verwendung bestimmter Formulare oder die ausdrückliche Nennung einer Norm ist jedoch nicht generell Voraussetzung eines wirksamen Antrags.

Nach Art. 12 Abs. 3 DSGVO muss der Verantwortliche unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags, Informationen über die ergriffenen Maßnahmen bereitstellen. Soweit dies unter Berücksichtigung der Komplexität und Anzahl der Anträge erforderlich ist, kann die Frist um zwei weitere Monate verlängert werden. Über Verlängerung und Gründe muss innerhalb des ersten Monats informiert werden.

Wird der Verantwortliche nicht tätig, muss er nach Art. 12 Abs. 4 DSGVO ebenfalls spätestens innerhalb eines Monats die Gründe sowie die Möglichkeiten einer Beschwerde und eines gerichtlichen Rechtsbehelfs mitteilen. Die Monatsfrist ist keine allgemeine Erlaubnis, einfach zu bearbeitende Anträge unnötig liegen zu lassen.

Bei begründeten Zweifeln an der Identität dürfen nach Art. 12 Abs. 6 DSGVO erforderliche zusätzliche Informationen verlangt werden. Eine routinemäßige Anforderung umfangreicher Identitätsunterlagen ohne entsprechenden Anlass kann unverhältnismäßig sein.

Beschwerde, Klage und parallele Fristen

Beschäftigte können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Für private Arbeitgeber sind regelmäßig Landesaufsichtsbehörden zuständig; Sonderzuständigkeiten bleiben möglich. Eine vorherige interne Beschwerde ist keine allgemeine Voraussetzung.

Für privatrechtliche Streitigkeiten zwischen Arbeitnehmern und Arbeitgebern aus dem Arbeitsverhältnis sind grundsätzlich die Arbeitsgerichte zuständig. Bei Beamtenverhältnissen oder Rechtsbehelfen gegen Aufsichtsbehörden können andere Rechtswege einschlägig sein.

Datenschutzrechtliche Schritte hemmen arbeitsrechtliche Fristen nicht automatisch. Eine Kündigungsschutzklage muss grundsätzlich innerhalb von drei Wochen nach Zugang der schriftlichen Kündigung erhoben werden, § 4 Kündigungsschutzgesetz (KSchG). Gesetzliche Sonderregelungen und die engen Voraussetzungen einer nachträglichen Zulassung bleiben unberührt.

Ansprüche nach § 15 Abs. 1 und 2 Allgemeines Gleichbehandlungsgesetz (AGG) sind nach § 15 Abs. 4 AGG grundsätzlich innerhalb von zwei Monaten schriftlich geltend zu machen, sofern tarifvertraglich nichts anderes vereinbart ist. Der Fristbeginn unterscheidet sich: Bei Bewerbung oder beruflichem Aufstieg ist grundsätzlich der Zugang der Ablehnung maßgeblich, in sonstigen Fällen die Kenntnis von der Benachteiligung. Eine Entschädigungsklage muss nach § 61b Abs. 1 Arbeitsgerichtsgesetz (ArbGG) innerhalb von drei Monaten nach der schriftlichen Geltendmachung erhoben werden.

Für zahlreiche zivilrechtliche Ansprüche beträgt die regelmäßige Verjährungsfrist nach § 195 Bürgerliches Gesetzbuch (BGB) drei Jahre. Ihr Beginn richtet sich grundsätzlich nach § 199 BGB. Ob Verjährungsvorschriften oder vertragliche beziehungsweise tarifliche Ausschlussfristen einen bestimmten Datenschutzanspruch erfassen und unionsrechtlich wirksam begrenzen, bedarf einer gesonderten Prüfung.

Praktische Handlungsschritte

Systematische Datenschutzorganisation im Betrieb

Ein tragfähiges Datenschutzkonzept muss die tatsächlich eingesetzten Systeme und Arbeitsabläufe abbilden. Dazu gehören insbesondere:

• Verarbeitungsvorgänge, Datenquellen und Empfänger erfassen;
• Zwecke und Rechtsgrundlagen nachvollziehbar bestimmen;
• Zugriffe nach dem tatsächlichen Aufgabenbedarf begrenzen;
• Informationspflichten und Betroffenenanträge organisatorisch absichern;
• Speicher- und Löschregeln anhand konkreter Zwecke und Pflichten festlegen;
• technische Kontrollmöglichkeiten und Mitbestimmungsrechte vor der Einführung prüfen.

Soweit die gesetzlichen Voraussetzungen vorliegen, ist ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO zu führen. Ausnahmen für kleinere Einrichtungen sind nicht pauschal auf jede regelmäßig stattfindende Personalverarbeitung anwendbar.

Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Umfangreiche Überwachungs- oder Bewertungssysteme können diese Pflicht auslösen. Eine Produktbeschreibung des Anbieters ersetzt die eigene Prüfung nicht.

Verletzungen des Schutzes personenbezogener Daten können Vertraulichkeit, Integrität oder Verfügbarkeit betreffen. Nach Art. 33 DSGVO ist grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Eine spätere Meldung erfordert eine Begründung der Verzögerung.

Bei voraussichtlich hohem Risiko ist grundsätzlich zusätzlich eine unverzügliche Benachrichtigung der Betroffenen nach Art. 34 DSGVO erforderlich. Die dort vorgesehenen Ausnahmen sind gesondert zu prüfen.

Vorgehen bei vermuteten Verstößen

Bei einem vermuteten Verstoß ist zunächst eine sachliche Eingrenzung hilfreich: Welche Daten werden verarbeitet, durch wen, zu welchem erkennbaren Zweck und mit welchen möglichen Folgen? Rechtmäßig zugängliche Datenschutzhinweise, eigene Korrespondenz und eine nachvollziehbare Dokumentation beobachteter Vorgänge können die Klärung erleichtern.

Als interne Ansprechpartner kommen je nach Organisation Personalabteilung, Datenschutzbeauftragter und Betriebsrat in Betracht. Auskunft, Berichtigung oder Einschränkung der Verarbeitung können geeignete Instrumente sein. Bei drohenden schwerwiegenden oder fortdauernden Eingriffen kann zusätzlich gerichtlicher Rechtsschutz zu prüfen sein.

Die eigene Beweissicherung unterliegt ihrerseits rechtlichen Grenzen. Eigenmächtige Zugriffe auf fremde Konten, heimliche Tonaufnahmen oder das undifferenzierte Kopieren betrieblicher Unterlagen sind keine verlässlichen Mittel der Rechtsdurchsetzung. Sie können Persönlichkeitsrechte, Datenschutzvorgaben, Verschwiegenheitspflichten oder strafrechtliche Vorschriften verletzen. Auch bei einem berechtigten Anliegen ist daher zwischen erforderlicher Dokumentation und unzulässiger Beschaffung oder Weitergabe fremder Daten zu unterscheiden.

Offene Streitfragen und technische Entwicklungen

Reichweite nationaler Beschäftigtendatenschutzregeln

Die Auslegung des § 26 BDSG im Verhältnis zu Art. 88 DSGVO bleibt ein zentraler rechtlicher Diskussionspunkt. Zu unterscheiden ist zwischen den einzelnen gesetzlichen Verarbeitungstatbeständen, besonderen Schutzvorschriften und kollektivrechtlichen Regelungen. Eine pauschale Aussage über die vollständige Anwendbarkeit oder Unanwendbarkeit des gesamten Paragrafen würde diese Unterschiede vernachlässigen.

Soweit eine nationale Vorschrift die unionsrechtlichen Anforderungen nicht erfüllt, entsteht keine datenschutzfreie Übergangszone. Vielmehr ist zu prüfen, ob unmittelbar anwendbare Regelungen der DSGVO die Verarbeitung tragen. Dabei bleiben insbesondere Erforderlichkeit, Transparenz, Zweckbindung und angemessene Schutzmaßnahmen verbindlich.

Für Arbeitgeber bedeutet dies, dass die bloße Angabe „§ 26 BDSG“ in einem Formular keine belastbare rechtliche Prüfung ersetzt. Für Beschäftigte folgt daraus umgekehrt nicht, dass jede übliche Personalverarbeitung ohne Rechtsgrundlage wäre. Maßgeblich bleiben der konkrete Vorgang und die einschlägigen europäischen sowie nationalen Vorschriften.

Künstliche Intelligenz und automatisierte Bewertungen

KI-gestützte Auswahlverfahren und Leistungsbewertungen verschärfen Fragen nach Datenqualität, Nachvollziehbarkeit und Diskriminierung. Art. 22 DSGVO schützt unter seinen Voraussetzungen davor, einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder die betroffene Person ähnlich erheblich beeinträchtigt.

Die Vorschrift enthält Ausnahmen, die an besondere Voraussetzungen und Schutzmechanismen gebunden sind. Die bloße organisatorische Entlastung des Arbeitgebers rechtfertigt eine Ausnahme nicht automatisch. Bei besonderen Datenkategorien enthält Art. 22 Abs. 4 DSGVO zusätzliche Beschränkungen.

Nicht jede softwaregestützte Entscheidung fällt unter Art. 22 DSGVO. Eine nur formale menschliche Bestätigung genügt allerdings nicht ohne Weiteres, um eine tatsächlich automatisierte Entscheidung als eigenständige menschliche Bewertung einzuordnen. Entscheidend sind der wirkliche Ablauf und der Einfluss der prüfenden Person.

Auch außerhalb des Art. 22 DSGVO gelten Datenschutzgrundsätze, Mitbestimmungsrechte und Benachteiligungsverbote. Zusätzlich können Anforderungen der europäischen KI-Verordnung, Verordnung (EU) 2024/1689, einschlägig sein. Deren sachlicher Anwendungsbereich und gestaffelte Geltungsbeginnregelungen müssen gesondert berücksichtigt werden.

Die Weiterverwendung von Beschäftigtendaten zum Training von Modellen benötigt ebenfalls eine eigenständige rechtliche Prüfung. Ein ursprünglicher Personalverwaltungszweck legitimiert diese zusätzliche Nutzung nicht automatisch. Besonders problematisch können umfassende Datenübernahmen, unklare Empfängerkreise und fehlende Möglichkeiten zur Umsetzung von Betroffenenrechten sein.

Zusammenfassung

Datenschutz am Arbeitsplatz begrenzt die Erhebung und Nutzung personenbezogener Informationen durch Anforderungen an Rechtsgrundlage, Zweck, Erforderlichkeit, Transparenz und Sicherheit. Maßgeblich sind insbesondere die DSGVO, die unter unionsrechtlichen Vorbehalten zu prüfenden Regelungen des § 26 BDSG und ergänzende arbeitsrechtliche Vorschriften. Besonders gewichtige Schutzinteressen bestehen bei Gesundheitsdaten, verdeckter Kontrolle und umfassender Leistungs- oder Verhaltensüberwachung.

Arbeitgeber müssen nicht nur eine Rechtsgrundlage benennen, sondern auch Zugriffe, Speicherdauer, Datensicherheit und Betroffenenrechte wirksam organisieren. Betriebsvereinbarungen und Einwilligungen ersetzen die Prüfung der gesetzlichen Voraussetzungen nicht. Beschäftigte können insbesondere Information, Auskunft und Berichtigung sowie unter bestimmten Voraussetzungen Löschung, Einschränkung oder Widerspruch geltend machen.

Datenschutzwidrigkeit, Schadensersatz und gerichtliche Beweisverwertung sind getrennt zu beurteilen. Ebenso müssen datenschutzrechtliche Verfahren und arbeitsrechtliche Fristen auseinandergehalten werden. Tragfähige Lösungen beruhen auf klaren Zwecken, begrenzten Datenbeständen, angemessenen Schutzmaßnahmen und einer nachvollziehbaren Bewertung der betroffenen Interessen und Rechte.