Inhalt & Orientierung
Beschäftigtendaten dürfen nicht allein deshalb beliebig verarbeitet werden, weil der Arbeitgeber sie technisch erfassen kann. Entscheidend sind Zweck, Rechtsgrundlage, Erforderlichkeit und die Rechte der betroffenen Personen.
Rechtsgrundlage für jede Verarbeitung
Die DSGVO regelt insbesondere in Art. 5 und 6 die Grundsätze und Rechtmäßigkeit der Verarbeitung. Für Beschäftigtendaten ist daneben § 26 BDSG zu prüfen; nationale Regeln sind im Rahmen des Unionsrechts anzuwenden. Eine pauschale Berufung auf das Arbeitsverhältnis ersetzt keine Prüfung des konkreten Zwecks. Gesundheitsdaten verlangen zusätzlich die Beachtung von Art. 9 DSGVO. Verordnung – 2016/679 – EN – Datenschutz Grundverordnung – EUR-Lex Log in English § 26 BDSG
Datenmenge und Zugriff begrenzen
Bewerbung, Lohnabrechnung, Einsatzplanung und Krankheitsverwaltung brauchen unterschiedliche Informationen. Es sollten nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden. Berechtigungen, Aufbewahrungsfristen und Löschung gehören zur Organisation des Verfahrens. Dass Personalabteilung oder Vorgesetzte bestimmte Angaben interessant finden, begründet noch keine uneingeschränkte Einsicht in sämtliche Unterlagen. Verordnung – 2016/679 – EN – Datenschutz Grundverordnung – EUR-Lex Log in English § 26 BDSG
Einwilligung ist kein pauschaler Ausweg
§ 26 Abs. 2 BDSG verlangt bei Einwilligungen im Beschäftigungsverhältnis die Berücksichtigung der Abhängigkeit und der konkreten Umstände. Art. 7 DSGVO enthält zusätzliche Anforderungen. Freiwilligkeit, Verständlichkeit und Widerrufsmöglichkeit müssen gewährleistet sein. Eine Unterschrift unter eine allgemeine Datenschutzklausel legitimiert deshalb nicht automatisch jede spätere Überwachung oder Datenweitergabe. § 26 BDSG Verordnung – 2016/679 – EN – Datenschutz Grundverordnung – EUR-Lex Log in English
Überwachung muss verhältnismäßig sein
BAG vom 27.07.2017 – 2 AZR 681/16 – beanstandete einen umfassenden Keylogger-Einsatz ohne hinreichenden konkreten Anlass nach damaligem Datenschutzrecht. Der Fall verdeutlicht die Eingriffstiefe lückenloser Kontrolle. Für heutige Maßnahmen sind die aktuellen Rechtsgrundlagen, mildere Mittel und gegebenenfalls die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu prüfen. 2 AZR 681/16 Verordnung – 2016/679 – EN – Datenschutz Grundverordnung – EUR-Lex Log in English § 87 BetrVG
Betriebsvereinbarung und Auskunft
Eine Betriebsvereinbarung muss die Anforderungen des Datenschutzrechts wahren; Art. 88 DSGVO verlangt besondere Schutzmaßnahmen im Beschäftigungskontext. Art. 15 eröffnet ein Auskunftsrecht, dessen Umfang und Grenzen konkret zu prüfen sind. Informationen über Zwecke, Empfänger und verarbeitete Daten sind von einem pauschalen Anspruch auf jede vollständige Unternehmensakte zu unterscheiden. Rechte anderer Personen bleiben relevant. Verordnung – 2016/679 – EN – Datenschutz Grundverordnung – EUR-Lex Log in English § 26 BDSG
Beschwerde, Löschung und Schadensersatz
Betroffene können je nach Sachlage Berichtigung, Löschung, Einschränkung oder eine Beschwerde bei der Aufsicht verlangen. Art. 82 DSGVO sieht Schadensersatz unter seinen Voraussetzungen vor; ein Verstoß ist nicht automatisch mit einer beliebigen Geldsumme gleichzusetzen. Für die Prüfung sollten Verarbeitungsvorgang, Zeitraum, Anfragen und konkrete Folgen dokumentiert werden. Eine gerichtliche Beweisverwertung ist eine zusätzliche Frage. Verordnung – 2016/679 – EN – Datenschutz Grundverordnung – EUR-Lex Log in English 2 AZR 681/16
Gesetze und Entscheidungen
Rechtsgrundlagen und Entscheidungen · Quellenstand: 30. September 2026
Passende Arbeitshilfen und Rechtsprechung
Stand: 30. September 2026. Die Einordnung eines konkreten Falls hängt von den Unterlagen und tatsächlichen Umständen ab.