Der Beschäftigtendatenschutz regelt, welche Daten Arbeitgeber über Bewerber, Beschäftigte und ehemalige Beschäftigte verarbeiten dürfen. Grundlage sind die DSGVO und § 26 BDSG, der die Öffnungsklausel des Art. 88 DSGVO nutzt. Erlaubt ist, was für Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Einwilligungen sind nur eingeschränkt tauglich, Betriebsvereinbarungen können eine eigene Grundlage sein.
Die Grundregel
Personenbezogene Daten von Beschäftigten dürfen verarbeitet werden, wenn das für die Entscheidung über die Begründung, für die Durchführung oder Beendigung des Beschäftigungsverhältnisses oder für die Rechte und Pflichten der Interessenvertretung erforderlich ist (§ 26 Abs. 1 Satz 1 BDSG). Der Maßstab ist streng: Verarbeitet werden darf nur, was für den konkreten Zweck wirklich gebraucht wird.
Wichtig seit 2023: Der EuGH hat am 30.03.2023 entschieden, dass nationale Regeln zum Beschäftigtendatenschutz nur dann eine eigene Rechtsgrundlage sein können, wenn sie die strengen Anforderungen des Art. 88 Abs. 2 DSGVO erfüllen (C-34/21). Seitdem ist umstritten, ob § 26 Abs. 1 Satz 1 BDSG das tut. Stützen Sie Verarbeitungen im Arbeitsverhältnis deshalb zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag) oder lit. c (gesetzliche Pflicht, etwa Steuer- und Sozialversicherungsrecht). Ein eigenes Beschäftigtendatenschutzgesetz ist angekündigt, aber noch nicht beschlossen. § 26 BDSG gilt unverändert.
Wer ist Beschäftigter?
Der Begriff ist weit (§ 26 Abs. 8 BDSG): Arbeitnehmer, Leiharbeitnehmer im Verhältnis zum Entleiher, Auszubildende, Praktikanten, Freiwilligendienstleistende, arbeitnehmerähnliche Personen, Heimarbeiter, Beamte und Soldaten. Auch Bewerber und ehemalige Beschäftigte gelten als Beschäftigte.
Aufdeckung von Straftaten
Zur Aufdeckung von Straftaten dürfen Daten nur verarbeitet werden, wenn dokumentierte tatsächliche Anhaltspunkte den Verdacht begründen, die Verarbeitung erforderlich ist und das schutzwürdige Interesse der Beschäftigten nicht überwiegt (§ 26 Abs. 1 Satz 2 BDSG). Anlasslose Überwachung aller Beschäftigten oder Datensammlungen auf Vorrat sind unzulässig.
Einwilligung im Arbeitsverhältnis
Wegen der Abhängigkeit vom Arbeitgeber ist die Freiwilligkeit einer Einwilligung besonders zu prüfen. Sie liegt insbesondere vor, wenn Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erlangen oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen (§ 26 Abs. 2 BDSG). Beispiele sind die Privatnutzung eines Dienstwagens, betriebliches Gesundheitsmanagement oder Fotos auf der Website. Die Einwilligung erfolgt schriftlich oder elektronisch, soweit nicht besondere Umstände eine andere Form rechtfertigen. Der Arbeitgeber muss über den Zweck und das Widerrufsrecht informieren.
Sensible Daten
Gesundheitsdaten, Religionszugehörigkeit oder Gewerkschaftszugehörigkeit dürfen verarbeitet werden, wenn das zur Ausübung von Rechten oder zur Erfüllung von Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein überwiegendes schutzwürdiges Interesse entgegensteht (§ 26 Abs. 3 BDSG, Art. 9 Abs. 2 lit. b DSGVO). Beispiele sind Arbeitsunfähigkeitszeiten, der Schwerbehindertenstatus und die Konfession für die Kirchensteuer. Angemessene Schutzmaßnahmen nach § 22 Abs. 2 BDSG sind Pflicht.
Betriebsvereinbarungen
Kollektivvereinbarungen, also Betriebsvereinbarungen und Tarifverträge, können die Verarbeitung von Beschäftigtendaten regeln (§ 26 Abs. 4 BDSG). Sie müssen angemessene und besondere Maßnahmen zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten enthalten (Art. 88 Abs. 2 DSGVO). Die Beteiligungsrechte des Betriebsrats bleiben unberührt (§ 26 Abs. 6 BDSG). Bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können, hat er mitzubestimmen (§ 87 Abs. 1 Nr. 6 BetrVG).
Typische Themen im Unternehmen
| Thema | Worauf es ankommt |
|---|---|
| Bewerbung | nur Fragen mit Bezug zur Stelle, Löschung nach Abschluss |
| Personalakte | Zugriff nur für Berechtigte, Auskunftsrecht der Beschäftigten |
| Zeiterfassung | Pflicht zur Erfassung, aber keine Leistungsprofile |
| Videoüberwachung | nur mit konkretem Anlass, nie in Sozialräumen |
| E-Mail und Internet | Regelung der Privatnutzung entscheidet über Kontrollmöglichkeiten |
| Microsoft 365 und andere Software | Auswertungen zu Aktivität und Leistung begrenzen, Betriebsrat beteiligen |
Pflichten des Arbeitgebers
- Informieren Sie Beschäftigte und Bewerber über die Verarbeitung ihrer Daten (Art. 13 DSGVO).
- Führen Sie ein Verzeichnis der Verarbeitungstätigkeiten auch für Personaldaten.
- Verpflichten und schulen Sie die Beschäftigten, die mit Personaldaten arbeiten.
- Löschen Sie Daten, wenn der Zweck entfällt und keine Aufbewahrungspflicht besteht.
- Beantworten Sie Auskunftsersuchen von Beschäftigten innerhalb eines Monats.