Datenschutz im Arbeitsverhältnis: Worauf es für Arbeitgeber und Arbeitnehmer ankommt

Kaum ein Rechtsgebiet ist im Arbeitsalltag so präsent wie der Datenschutz – und kaum eines wird so oft unterschätzt. Vom ersten Bewerbungsschreiben über die Gehaltsabrechnung bis zum Arbeitszeugnis verarbeitet ein Arbeitgeber laufend personenbezogene Daten seiner Beschäftigten. Hinzu kommen Zeiterfassungssysteme, E-Mail-Postfächer, Videokameras, Dienstwagen mit GPS und zunehmend KI-gestützte HR-Software.

Für Arbeitgeber geht es um Rechtssicherheit, Bußgeldrisiken und Schadensersatzforderungen. Für Arbeitnehmer geht es um ihre Privatsphäre und um handfeste Rechte, die sie gegenüber dem Arbeitgeber geltend machen können. Hinzu kommt: Die Rechtslage hat sich in den letzten Jahren durch Urteile des Europäischen Gerichtshofs (EuGH) und des Bundesarbeitsgerichts (BAG) spürbar verschoben.

Dieser Beitrag gibt einen kompakten Überblick über den aktuellen Stand – für beide Seiten des Arbeitsvertrags.

Der rechtliche Rahmen: DSGVO, BDSG und ein Gesetz, das noch fehlt

Maßgeblich ist in erster Linie die Datenschutz-Grundverordnung (DSGVO). Sie gilt unmittelbar in jedem Arbeitsverhältnis, unabhängig von der Betriebsgröße. Art. 88 DSGVO erlaubt den Mitgliedstaaten jedoch, für den Beschäftigtenkontext „spezifischere Vorschriften“ zu erlassen. Deutschland hat davon mit § 26 Bundesdatenschutzgesetz (BDSG) Gebrauch gemacht.

Genau diese Vorschrift ist inzwischen stark entwertet. Der EuGH hat am 30. März 2023 (C-34/21) entschieden, dass eine nationale Regelung, die lediglich die allgemeinen Grundsätze der DSGVO wiederholt, keine „spezifischere Vorschrift“ im Sinne von Art. 88 DSGVO ist. Das BAG hat daraus mit Urteil vom 8. Mai 2025 (8 AZR 209/21) die Konsequenz gezogen: Die zentrale Erlaubnisnorm des § 26 Abs. 1 Satz 1 BDSG bleibt unangewendet. Datenverarbeitungen im Arbeitsverhältnis sind seither unmittelbar an der DSGVO zu messen.

In der Praxis stützen Arbeitgeber die Verarbeitung von Beschäftigtendaten daher vor allem auf folgende Grundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Arbeitsvertrags (z. B. Lohnabrechnung, Urlaubsverwaltung, Einsatzplanung)
• Art. 6 Abs. 1 lit. c DSGVO – gesetzliche Pflichten (z. B. Steuer- und Sozialversicherungsrecht, Arbeitszeiterfassung)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen des Arbeitgebers, die nach einer Abwägung die Interessen des Beschäftigten überwiegen
• Art. 9 Abs. 2 lit. b DSGVO – besondere Kategorien wie Gesundheitsdaten, soweit arbeits- oder sozialrechtlich erforderlich

Ein eigenständiges Beschäftigtendatenschutzgesetz gibt es weiterhin nicht. Das Bundesarbeitsministerium hat im Oktober 2024 einen Referentenentwurf vorgelegt, der nach dem Ende der Ampel-Koalition nicht mehr verabschiedet wurde. Ob und wann ein neuer Anlauf gelingt, ist derzeit offen.

Für Arbeitgeber bedeutet das: Wer Verfahrensverzeichnisse, Datenschutzhinweise und Betriebsvereinbarungen noch pauschal auf „§ 26 BDSG“ stützt, sollte sie überarbeiten. Die Rechtsgrundlage muss für jede Verarbeitung konkret aus der DSGVO benannt werden.

Von der Bewerbung bis zur Personalakte: Welche Daten Arbeitgeber erheben dürfen

Der Datenschutz beginnt nicht erst mit dem Arbeitsvertrag, sondern mit dem Eingang der Bewerbung. Auch Bewerberinnen und Bewerber gelten datenschutzrechtlich als Beschäftigte.

Bewerbungsverfahren. Arbeitgeber dürfen nur Daten erheben, die für die Entscheidung über die Einstellung erforderlich sind. Das deckt sich weitgehend mit dem arbeitsrechtlichen Fragerecht: Fragen nach Qualifikation, Berufserfahrung oder einschlägigen Vorstrafen (bei entsprechender Tätigkeit) sind zulässig. Fragen nach Schwangerschaft, Familienplanung, Religion oder Gewerkschaftszugehörigkeit sind dagegen grundsätzlich tabu. Auf eine unzulässige Frage darf der Bewerber sogar wahrheitswidrig antworten, ohne arbeitsrechtliche Nachteile befürchten zu müssen.

Eine umfassende Internet-Recherche zu Bewerbern ist heikel. Berufliche Netzwerke wie LinkedIn oder Xing dürfen in der Regel eingesehen werden, private Social-Media-Profile dagegen nicht ohne Weiteres. Wird ein Bewerber abgelehnt, sind seine Unterlagen zu löschen, sobald keine Rechtsansprüche mehr drohen. Wegen der Fristen des Allgemeinen Gleichbehandlungsgesetzes (§ 15 Abs. 4 AGG, § 61b ArbGG) hat sich in der Praxis eine Aufbewahrung von etwa sechs Monaten etabliert. Für eine längere Speicherung im „Talent-Pool“ ist eine Einwilligung erforderlich.

Personalakte. Im laufenden Arbeitsverhältnis darf der Arbeitgeber alle Daten speichern, die er für die Durchführung des Vertrags oder zur Erfüllung gesetzlicher Pflichten benötigt: Stammdaten, Bankverbindung, Steuer- und Sozialversicherungsdaten, Arbeitszeiten, Urlaub, Abmahnungen. Die Personalakte muss richtig und vollständig sein. Arbeitnehmer haben neben dem datenschutzrechtlichen Auskunftsanspruch ein eigenes Einsichtsrecht (§ 83 BetrVG) und können eine Gegendarstellung beifügen lassen.

Gesundheitsdaten. Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien des Art. 9 DSGVO. Der Arbeitgeber erfährt bei einer Arbeitsunfähigkeit grundsätzlich nur deren Beginn und voraussichtliche Dauer, nicht die Diagnose. Mit der elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) ruft er diese Angaben bei der Krankenkasse ab. Daten aus dem betrieblichen Eingliederungsmanagement (§ 167 Abs. 2 SGB IX) gehören nicht in die allgemeine Personalakte, sondern sind gesondert und mit eingeschränktem Zugriff aufzubewahren.

Nach dem Ende des Arbeitsverhältnisses gilt: Daten, die nicht mehr benötigt werden, sind zu löschen. Steuer- und sozialversicherungsrechtliche Aufbewahrungsfristen von sechs bis zehn Jahren gehen jedoch vor.

Überwachung am Arbeitsplatz: Kameras, E-Mails, GPS und KI

Das größte Konfliktpotenzial liegt bei der Kontrolle von Beschäftigten. Grundsätzlich gilt: Eine Überwachung muss einem legitimen Zweck dienen, erforderlich sein und darf nicht unverhältnismäßig in das Persönlichkeitsrecht eingreifen. Eine anlasslose Totalüberwachung ist unzulässig.

Videoüberwachung. Eine offene, gekennzeichnete Videoüberwachung kann zulässig sein, etwa zum Schutz vor Diebstahl in Verkaufs- oder Lagerräumen. Sanitär-, Umkleide- und Pausenräume sind tabu. Verdeckte Aufnahmen kommen nur in Ausnahmefällen in Betracht: bei einem konkreten, dokumentierten Verdacht einer Straftat und wenn mildere Mittel ausgeschöpft sind. Bemerkenswert ist ein Urteil des BAG vom 29. Juni 2023 (2 AZR 296/22): Aufnahmen einer offenen Videoüberwachung können im Kündigungsschutzprozess zum Nachweis vorsätzlichen Fehlverhaltens verwertet werden, selbst wenn die Überwachung nicht in jeder Hinsicht datenschutzkonform war.

E-Mail und Internet. Entscheidend ist, ob der Arbeitgeber die private Nutzung erlaubt hat. Ist nur die dienstliche Nutzung gestattet, darf er geschäftliche E-Mails im erforderlichen Umfang einsehen, etwa bei Abwesenheit des Mitarbeiters. Ist die Privatnutzung erlaubt oder wird sie geduldet, wird die Kontrolle deutlich schwieriger, weil private und dienstliche Inhalte vermischt sind. Arbeitgebern ist daher eine klare schriftliche Regelung dringend zu empfehlen. Der Einsatz von Keyloggern, die jeden Tastenanschlag protokollieren, ist ohne konkreten Verdacht einer Straftat oder schweren Pflichtverletzung unzulässig (BAG, 27. Juli 2017 – 2 AZR 681/16).

GPS und Zeiterfassung. Die Ortung von Dienstfahrzeugen kann zur Tourenplanung oder zum Diebstahlschutz zulässig sein. Eine dauerhafte Bewegungsüberwachung während der gesamten Arbeitszeit oder gar in der Freizeit ist es nicht. Die Arbeitszeiterfassung ist seit dem Beschluss des BAG vom 13. September 2022 (1 ABR 22/21) Pflicht. Sie rechtfertigt aber nur die Daten, die für die Erfassung von Beginn, Ende und Dauer der Arbeitszeit nötig sind – nicht eine minutengenaue Leistungskontrolle.

Künstliche Intelligenz. Immer mehr HR-Prozesse laufen über KI-gestützte Software: Vorauswahl von Bewerbungen, Leistungsauswertungen, Schichtplanung. Neben der DSGVO greift hier die europäische KI-Verordnung. Systeme zur Emotionserkennung am Arbeitsplatz sind bereits seit Februar 2025 grundsätzlich verboten. KI-Systeme für Einstellung, Beförderung, Kündigung oder Leistungsbewertung gelten als Hochrisiko-Systeme (Anhang III Nr. 4). Die zugehörigen Betreiberpflichten – etwa menschliche Aufsicht und Information der Beschäftigten – wurden durch den sogenannten KI-Omnibus auf den 2. Dezember 2027 verschoben. Unabhängig davon verbietet Art. 22 DSGVO schon heute, Beschäftigte allein auf Grundlage einer automatisierten Entscheidung zu benachteiligen; am Ende muss ein Mensch entscheiden.

Einwilligung, Betriebsvereinbarung und die Rolle des Betriebsrats

Die Einwilligung – kein Allheilmittel. Viele Arbeitgeber greifen reflexhaft zur Einwilligung, wenn sie unsicher sind. Im Arbeitsverhältnis ist das aber oft die schwächste Grundlage. Wegen des Abhängigkeitsverhältnisses ist stets kritisch zu prüfen, ob die Einwilligung wirklich freiwillig erteilt wurde. Freiwilligkeit liegt vor allem dann nahe, wenn der Beschäftigte einen eigenen Vorteil erhält oder Arbeitgeber und Arbeitnehmer gleichgelagerte Interessen verfolgen – etwa bei Mitarbeiterfotos auf der Website, der privaten Nutzung eines Dienstwagens oder einem freiwilligen Gesundheitsangebot. Die Einwilligung sollte schriftlich oder elektronisch erteilt werden, und der Beschäftigte ist über den Zweck und sein jederzeitiges Widerrufsrecht aufzuklären. Nach einem Widerruf darf die Verarbeitung nicht fortgesetzt werden; einen Nachteil darf der Arbeitnehmer dadurch nicht erleiden.

Mitbestimmung des Betriebsrats. In Betrieben mit Betriebsrat ist § 87 Abs. 1 Nr. 6 BetrVG von zentraler Bedeutung. Danach hat der Betriebsrat mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Auf eine tatsächliche Überwachungsabsicht kommt es nicht an. Erfasst sind damit praktisch alle modernen Softwaresysteme: Microsoft 365, Ticketsysteme, CRM-Software, Telefonanlagen, Zeiterfassung und KI-Anwendungen. Führt der Arbeitgeber ein solches System ohne Zustimmung des Betriebsrats ein, kann dieser die Unterlassung verlangen.

Betriebsvereinbarungen. Betriebsvereinbarungen können eine eigene Rechtsgrundlage für die Datenverarbeitung bilden. Der EuGH hat jedoch am 19. Dezember 2024 (C-65/23) klargestellt, dass sie die Vorgaben der DSGVO nicht unterlaufen dürfen. Die Arbeitsgerichte können voll überprüfen, ob die vereinbarte Verarbeitung tatsächlich erforderlich ist. Ein „Durchwinken“ durch die Betriebsparteien schafft also keine Rechtssicherheit. Wie wichtig eine saubere Umsetzung ist, zeigt der Fall hinter dem BAG-Urteil vom 8. Mai 2025: Der Arbeitgeber hatte echte Beschäftigtendaten in die Testumgebung einer neuen HR-Software übertragen – mehr als die Betriebsvereinbarung erlaubte. Das BAG sprach dem Arbeitnehmer Schadensersatz zu.

Auch der Betriebsrat selbst ist an den Datenschutz gebunden. Nach § 79a BetrVG ist der Arbeitgeber datenschutzrechtlich Verantwortlicher für die Verarbeitung durch den Betriebsrat; beide müssen sich gegenseitig unterstützen.

Rechte der Arbeitnehmer: Auskunft, Löschung und Schadensersatz

Die DSGVO gibt Beschäftigten ein wirksames Instrumentarium an die Hand. Gerade in Trennungssituationen spielt es eine wachsende Rolle.

Auskunftsanspruch (Art. 15 DSGVO). Arbeitnehmer können jederzeit Auskunft darüber verlangen, welche Daten der Arbeitgeber über sie verarbeitet, zu welchen Zwecken, an wen sie weitergegeben werden und wie lange sie gespeichert bleiben. Zusätzlich besteht ein Anspruch auf eine Kopie der Daten; die erste Kopie ist kostenlos. Der Arbeitgeber muss grundsätzlich innerhalb eines Monats antworten. In Kündigungsschutzverfahren und Abfindungsverhandlungen wird der Auskunftsanspruch häufig taktisch eingesetzt. Er kann auch ein Druckmittel sein, weil vollständige Auskünfte für Arbeitgeber aufwendig sind. Wer im Prozess die Herausgabe von E-Mail-Kopien einklagen will, muss die gewünschten Dokumente allerdings hinreichend genau bezeichnen (BAG, 27. April 2021 – 2 AZR 342/20).

Berichtigung und Löschung (Art. 16, 17 DSGVO). Unrichtige Daten sind zu berichtigen. Daten, die für ihren Zweck nicht mehr benötigt werden, sind zu löschen – etwa erledigte Abmahnungen nach angemessener Zeit oder Bewerbungsunterlagen nach Abschluss des Verfahrens. Gesetzliche Aufbewahrungspflichten gehen dem Löschanspruch vor.

Schadensersatz (Art. 82 DSGVO). Bei Datenschutzverstößen können Beschäftigte Ersatz materieller und immaterieller Schäden verlangen. Nach der Rechtsprechung des EuGH (4. Mai 2023 – C-300/21) gibt es keine Erheblichkeitsschwelle; schon ein kurzzeitiger Kontrollverlust über die eigenen Daten kann genügen. Der Arbeitnehmer muss einen Schaden aber konkret darlegen. Die Beträge, die deutsche Arbeitsgerichte zusprechen, bewegen sich meist im niedrigen bis mittleren dreistelligen Bereich. Bei verspäteter oder unvollständiger Auskunft, unzulässiger Überwachung oder der Weitergabe sensibler Daten können sie auch höher ausfallen.

Beschwerde bei der Aufsichtsbehörde. Unabhängig von einer Klage können sich Arbeitnehmer an die Datenschutzaufsicht wenden. Für private Arbeitgeber in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach zuständig. Die Behörde kann Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen (Art. 83 DSGVO).

Praxistipps und Fazit: So sind beide Seiten auf der sicheren Seite

Checkliste für Arbeitgeber

• Verzeichnis der Verarbeitungstätigkeiten anlegen bzw. aktualisieren und jede Verarbeitung einer konkreten DSGVO-Rechtsgrundlage zuordnen – nicht mehr pauschal § 26 BDSG.
• Beschäftigte und Bewerber transparent nach Art. 13 DSGVO informieren, z. B. mit einem Datenschutzhinweis zum Arbeitsvertrag.
• Einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).
• Klare Regeln zur privaten Nutzung von E-Mail, Internet und Diensthandy aufstellen.
• Vor Einführung neuer Software den Betriebsrat beteiligen und prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.
• Lösch- und Berechtigungskonzepte festlegen: Wer darf welche Personaldaten sehen, und wann werden sie gelöscht?
• KI-Tools in der Personalarbeit inventarisieren und die Anforderungen der KI-Verordnung frühzeitig einplanen.
• Für Auskunftsersuchen einen internen Ablauf definieren, damit die Monatsfrist sicher eingehalten wird.

Tipps für Arbeitnehmer

• Prüfen Sie, welche Datenschutzhinweise und Nutzungsregeln Sie erhalten haben, und bewahren Sie diese auf.
• Nutzen Sie Ihr Auskunftsrecht, wenn Sie wissen möchten, welche Daten über Sie gespeichert sind – insbesondere vor oder während einer arbeitsrechtlichen Auseinandersetzung.
• Erteilen Sie Einwilligungen bewusst; Sie dürfen sie ablehnen oder später widerrufen.
• Wenden Sie sich bei Verdacht auf unzulässige Überwachung zunächst an den Betriebsrat oder den Datenschutzbeauftragten.
• Beachten Sie bei Schadensersatzansprüchen die arbeitsvertraglichen und tarifvertraglichen Ausschlussfristen.

Fazit

Der Beschäftigtendatenschutz ist durch die Rechtsprechung von EuGH und BAG strenger und zugleich komplexer geworden. Arbeitgeber können sich nicht mehr auf die bequeme Generalklausel des § 26 BDSG zurückziehen, sondern müssen jede Verarbeitung sauber begründen und dokumentieren. Mit der KI-Verordnung kommt eine weitere Regelungsebene hinzu. Arbeitnehmer wiederum verfügen über wirksame Rechte, die sie gezielt einsetzen können.

Für beide Seiten lohnt sich eine frühzeitige fachkundige Beratung – bevor aus einer Unsicherheit ein Rechtsstreit wird.