Beschäftigtendatenschutz – Mitarbeiterdaten, Betriebsvereinbarung, Überwachung

Personalakten, Zeiterfassung, E-Mail-Postfächer, Videokonferenzen, HR-Software, KI-gestützte Bewerberauswahl: Im Arbeitsverhältnis werden besonders viele und besonders sensible Daten verarbeitet. Fehler führen schnell zu Auskunftsverlangen, Schadensersatzforderungen und Konflikten mit dem Betriebsrat. Wir beraten Arbeitgeber und Betriebsräte bei der rechtssicheren Gestaltung und unterstützen Beschäftigte dabei, ihre Rechte durchzusetzen.

Die Rechtsgrundlagen nach dem EuGH-Urteil von 2023

Art. 88 DSGVO erlaubt den Mitgliedstaaten „spezifischere Vorschriften“ für den Beschäftigtenkontext. Deutschland hat davon in § 26 BDSG Gebrauch gemacht. Der EuGH hat jedoch mit Urteil vom 30. März 2023 (C-34/21) zu einer nahezu wortgleichen hessischen Regelung entschieden, dass eine Norm, die lediglich die allgemeinen Erlaubnistatbestände der DSGVO wiederholt, keine solche spezifischere Vorschrift ist. Seitdem wird die Generalklausel des § 26 Abs. 1 Satz 1 BDSG überwiegend als nicht mehr anwendbar angesehen.

Für die Praxis bedeutet das: Maßgeblich sind unmittelbar die Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO – insbesondere die Erforderlichkeit für die Durchführung des Arbeitsvertrags (lit. b), die Erfüllung rechtlicher Pflichten etwa im Steuer- und Sozialversicherungsrecht (lit. c) und berechtigte Interessen (lit. f). Für Gesundheitsdaten und andere besondere Kategorien gilt Art. 9 DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Einwilligungen von Beschäftigten sind wegen des Abhängigkeitsverhältnisses nur eingeschränkt tauglich (§ 26 Abs. 2 BDSG). Ein eigenständiges Beschäftigtendatenschutzgesetz wird seit Langem diskutiert; die Grundsätze ergeben sich derzeit aus DSGVO, BDSG und Rechtsprechung.

Betriebsvereinbarungen als Rechtsgrundlage

Kollektivvereinbarungen – Tarifverträge und Betriebsvereinbarungen – können nach Art. 88 DSGVO selbst Rechtsgrundlage sein. Der EuGH hat aber klargestellt, dass eine Betriebsvereinbarung die Vorgaben der DSGVO nicht unterschreiten darf: Sie muss mit Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO in Einklang stehen, und die Gerichte können das vollständig überprüfen (Urteil vom 19. Dezember 2024, C-65/23). Eine Betriebsvereinbarung „legalisiert“ also keine Verarbeitung, die nicht erforderlich ist.

Unabhängig davon hat der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das betrifft praktisch jede HR-, Kollaborations- oder Ticketsoftware.

Typische Themen im Arbeitsverhältnis

• Bewerbungsverfahren: Informationspflichten, Speicherdauer abgelehnter Bewerbungen, Hintergrundprüfungen, Social-Media-Recherche.
• Arbeitszeiterfassung: Nach dem BAG (Beschluss vom 13. September 2022, 1 ABR 22/21) besteht eine Pflicht zur Erfassung – die Daten dürfen aber nur zweckgebunden genutzt werden.
• E-Mail und Internet: Zugriffsrechte bei Abwesenheit, Ausscheiden und bei Verdacht auf Pflichtverletzungen – abhängig davon, ob private Nutzung erlaubt ist.
• Überwachung: Videoüberwachung, GPS-Ortung von Dienstfahrzeugen, Keylogger (regelmäßig unzulässig), interne Ermittlungen – siehe auch Videoüberwachung.
• Gesundheitsdaten: Krankmeldungen, betriebliches Eingliederungsmanagement, Arbeitsschutz.
• Konzernweite HR-Systeme und Übermittlungen in Drittländer.
• KI im Personalbereich: KI-Systeme für Einstellung, Beförderung oder Leistungsbewertung gelten nach der KI-Verordnung als Hochrisiko-Systeme; Art. 22 DSGVO begrenzt automatisierte Entscheidungen – mehr unter KI und Datenschutz.

Konflikte: Auskunft, Schadensersatz, Beweisverwertung

In Kündigungsschutzverfahren verlangen Beschäftigte zunehmend Auskunft nach Art. 15 DSGVO – einschließlich Kopien von E-Mails und Vermerken. Verstöße können Schadensersatzansprüche auslösen, etwa bei Weitergabe von Personaldaten an Dritte oder unzulässiger Überwachung. Ob rechtswidrig erlangte Daten im Prozess verwertet werden dürfen, ist eine Frage des Einzelfalls. Wir beraten früh, damit Datenschutz nicht zum taktischen Nachteil wird.

Unser Angebot

• Prüfung und Verhandlung von IT- und Datenschutz-Betriebsvereinbarungen (für Arbeitgeber oder Betriebsrat),
• Rahmen-Betriebsvereinbarung für IT-Systeme mit modularen Anlagen,
• Datenschutzhinweise für Beschäftigte und Bewerber, Löschkonzept für Personaldaten,
• Begleitung interner Untersuchungen,
• Beantwortung oder Durchsetzung von Auskunftsersuchen im Arbeitsverhältnis.

Häufige Fragen

Darf der Arbeitgeber dienstliche E-Mails lesen?

Grundsätzlich ja, soweit es für dienstliche Zwecke erforderlich ist – etwa zur Vertretung. Ist private Nutzung erlaubt oder geduldet, gelten strengere Grenzen. Klare Regeln in einer Richtlinie oder Betriebsvereinbarung schaffen Rechtssicherheit.

Reicht eine Einwilligung der Beschäftigten?

Nur in Ausnahmefällen, etwa wenn der Beschäftigte einen eigenen Vorteil erhält (z. B. private Nutzung eines Dienstwagens mit Ortung). Die Einwilligung muss freiwillig sein und bedarf grundsätzlich der Schrift- oder elektronischen Form (§ 26 Abs. 2 BDSG).