Beschäftigtendatenschutz nach den EuGH-Urteilen

Beschäftigtendatenschutz in Deutschland nach dem EuGH: die kurze Antwort

Der Beschäftigtendatenschutz in Deutschland hat sich inhaltlich verändert, obwohl der Gesetzestext gleich aussieht. § 26 Bundesdatenschutzgesetz (BDSG) ist nach wie vor in Kraft, doch der Gerichtshof der Europäischen Union hat klargestellt, dass eine nationale Vorschrift, die lediglich die allgemeinen Voraussetzungen der DSGVO wiederholt, keine „spezifischere Vorschrift“ im Sinne von Art. 88 DSGVO ist. Arbeitgeber können § 26 Abs. 1 BDSG deshalb nicht mehr als eigenständige Rechtsgrundlage für Datenverarbeitungen im Personalbereich behandeln. Sie müssen jeden Verarbeitungsvorgang unmittelbar nach Art. 6 DSGVO (und für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO) rechtfertigen und, soweit sie sich auf Betriebsvereinbarungen stützen, sicherstellen, dass diese den vollen DSGVO-Standard erfüllen.

Für Personal-, IT- und Compliance-Abteilungen bedeutet das, Verzeichnisse von Verarbeitungstätigkeiten, Datenschutzhinweise für Beschäftigte, Betriebsvereinbarungen zu IT-Systemen und Überwachungsrichtlinien zu überprüfen. Die praktischen Folgen sind beherrschbar, doch die Begründung muss sauber dokumentiert sein, denn Schadensersatzansprüche nach Art. 82 DSGVO gehören inzwischen zum festen Repertoire arbeitsrechtlicher Auseinandersetzungen. Wer die Rechtsgrundlage für eine Verarbeitung erst im Prozess sucht, hat in der Regel bereits einen Nachteil.

Die beiden EuGH-Urteile, die den Rahmen verändert haben

Hauptpersonalrat der Lehrerinnen und Lehrer (C-34/21)

Mit Urteil vom 30.3.2023 – C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer) prüfte der EuGH eine Vorschrift des hessischen Landesdatenschutzrechts, die nahezu wortgleich mit § 26 Abs. 1 S. 1 BDSG formuliert war. Es ging um das Livestreaming von Schulunterricht während der Pandemie. Der Gerichtshof entschied, dass eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Vorschrift besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten enthalten muss, wie es Art. 88 Abs. 2 DSGVO verlangt. Eine Vorschrift, die die Verarbeitung schlicht erlaubt, wenn sie für das Beschäftigungsverhältnis „erforderlich“ ist, wiederholt nur Art. 6 Abs. 1 lit. b DSGVO und fügt nichts hinzu. Eine solche Regelung ist unangewendet zu lassen, sofern sie nicht als Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO taugt.

MK gegen K GmbH (C-65/23)

Auf Vorlage des Bundesarbeitsgerichts entschied der EuGH am 19.12.2024 in der Rechtssache C-65/23 (K GmbH), dass Betriebsvereinbarungen spezifischere Vorschriften im Sinne von Art. 88 DSGVO sein können, dabei aber Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO einhalten müssen. Die Betriebsparteien haben keinen Spielraum, das Schutzniveau der DSGVO abzusenken, und die Arbeitsgerichte dürfen in vollem Umfang prüfen, ob eine Verarbeitung auf Grundlage einer Betriebsvereinbarung tatsächlich erforderlich ist. Die Vorstellung, Arbeitgeber und Betriebsrat könnten die Erforderlichkeit abschließend festlegen und Gerichte dies nur eingeschränkt kontrollieren, hat diese Entscheidung nicht überstanden.

Wie das Bundesarbeitsgericht die Urteile umgesetzt hat

Das BAG entschied den Ausgangsfall mit Urteil vom 8.5.2025 – 8 AZR 209/21. Eine Konzerngesellschaft hatte personenbezogene Daten von Beschäftigten, darunter Gehaltsangaben, Privatanschrift, Sozialversicherungsnummer und Steuer-ID, auf eine Plattform der Muttergesellschaft in den Vereinigten Staaten hochgeladen, um ein neues cloudbasiertes Personalsystem zu testen. Eine „Duldungs“-Betriebsvereinbarung legte fest, welche Datenfelder für den Test übermittelt werden durften. Der Arbeitgeber übermittelte mehr als diese Felder.

Das BAG entschied, dass § 26 Abs. 1 BDSG für die streitige Verarbeitung keine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO bot, sodass die DSGVO unmittelbar anzuwenden war. Das Testen neuer Personalsoftware mit Echtdaten kann nach Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt sein, allerdings nur, wenn anonymisierte Testdaten für den Testzweck nicht ausreichen. Das Gericht sprach dem Arbeitnehmer für die Übermittlung von Daten über die Betriebsvereinbarung hinaus 200 Euro immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO zu. Der Betrag ist gering; der Multiplikatoreffekt über eine ganze Belegschaft hinweg und die Prozesskosten sind es nicht. Hinzu kommt, dass solche Verfahren häufig mit weiteren arbeitsrechtlichen Streitigkeiten verbunden werden.

Rechtsgrundlagen für den Beschäftigtendatenschutz nach Art. 6 DSGVO

Da § 26 Abs. 1 BDSG für die meisten Zwecke ausfällt, stützt sich der Beschäftigtendatenschutz auf die bekannten Erlaubnistatbestände der DSGVO. Die Tabelle zeigt, wie sie sich typischen Verarbeitungen im Personalbereich zuordnen lassen.

Zwei Regelungen des § 26 BDSG bleiben praktisch bedeutsam. § 26 Abs. 1 S. 2 BDSG stellt strenge Voraussetzungen für Verarbeitungen zur Aufdeckung von Straftaten auf: dokumentierte tatsächliche Anhaltspunkte für einen Verdacht, Erforderlichkeit und Verhältnismäßigkeit. Auch wenn die Vorschrift selbst nach C-34/21 angreifbar ist, spiegeln ihre Kriterien wider, was Gerichte nach Art. 6 Abs. 1 lit. f DSGVO verlangen werden. § 26 Abs. 3 BDSG erlaubt die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses und der sozialen Sicherheit und wird überwiegend als von der Öffnungsklausel des Art. 9 Abs. 2 lit. b DSGVO gedeckt angesehen.

Einwilligung im Beschäftigungsverhältnis

Die Einwilligung ist selten das richtige Instrument. § 26 Abs. 2 BDSG spiegelt das Problem wider: Bei der Beurteilung der Freiwilligkeit ist die Abhängigkeit der beschäftigten Person zu berücksichtigen. Freiwilligkeit kann vorliegen, wenn die beschäftigte Person einen rechtlichen oder wirtschaftlichen Vorteil erlangt oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen – etwa bei einem freiwilligen betrieblichen Gesundheitsprogramm, der privaten Nutzung eines Dienstwagens oder einem Foto im Intranet. Der Arbeitgeber muss die beschäftigte Person in Textform über den Zweck und über ihr Widerrufsrecht nach Art. 7 Abs. 3 DSGVO aufklären.

Weil eine Einwilligung jederzeit widerrufen werden kann, eignet sie sich nicht für zentrale Personalprozesse. Würde der Widerruf ein System unbrauchbar machen, benötigt der Arbeitgeber von Anfang an eine andere Rechtsgrundlage. Ein guter Test lautet: Würde der Arbeitgeber die Verarbeitung nach einer Verweigerung ohnehin fortsetzen, ist die Einwilligung die falsche Grundlage. Für solche Verarbeitungen sollte der Arbeitgeber vielmehr prüfen, ob ein Vertrag, eine rechtliche Pflicht oder ein berechtigtes Interesse die Verarbeitung trägt.

Überwachung, interne Ermittlungen und Betriebsvereinbarungen

Bei der Überwachung treffen Beschäftigtendatenschutz und kollektives Arbeitsrecht aufeinander. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die objektiv geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen – das erfasst nahezu jedes moderne Personal-, Kollaborations- und Sicherheitswerkzeug. In der Praxis sind Betriebsvereinbarungen daher unvermeidlich, und nach C-65/23 müssen sie nach DSGVO-Maßstäben gestaltet werden.

Eine belastbare Betriebsvereinbarung zu einem IT-System sollte die Zwecke und Datenkategorien festlegen, Leistungs- und Verhaltenskontrollen ausschließen oder eng regeln, Zugriffsrechte und Speicherfristen bestimmen, Übermittlungen im Konzern und in Drittländer behandeln und ein Verfahren für Ermittlungen auf Grundlage eines dokumentierten Verdachts vorsehen. Sie sollte nicht vorgeben, Befugnisse zu schaffen, die die DSGVO nicht zulässt. Videoüberwachung, Keylogging und verdeckte Überwachung bleiben Hochrisikomaßnahmen, die eine konkrete, dokumentierte Rechtfertigung erfordern und als Dauermaßnahme selten verhältnismäßig sind.

Bei internen Ermittlungen sollte der Arbeitgeber die verdachtsbegründenden Tatsachen festhalten, bevor er E-Mail-Postfächer oder Endgeräte durchsucht, die am wenigsten eingreifende Methode wählen, den Datenschutzbeauftragten einbinden und eine bestehende Betriebsvereinbarung beachten. Unter Verstoß gegen das Datenschutzrecht erlangte Beweise sind vor deutschen Arbeitsgerichten nicht automatisch unverwertbar, doch das Risiko eines Verwertungsverbots und von Schadensersatzansprüchen steigt mit der Intensität des Eingriffs deutlich an.

Auskunftsersuchen und Aufbewahrung

Art. 15 DSGVO gibt allen Beschäftigten ein Recht auf Auskunft über die personenbezogenen Daten, die der Arbeitgeber über sie verarbeitet, einschließlich einer Kopie. In der Praxis werden Auskunftsersuchen häufig parallel zu Kündigungsschutzklagen oder Abfindungsverhandlungen gestellt, weil ihre Beantwortung zeitaufwendig ist und jedes Versäumnis einen eigenen Schadensersatzanspruch stützen kann. Arbeitgeber sollten einen erprobten Prozess vorhalten: die Systeme identifizieren, in denen Personaldaten gespeichert sind, Suchbegriffe für E-Mails festlegen, die Ausnahmen für Geschäftsgeheimnisse und Daten Dritter sorgfältig anwenden und innerhalb eines Monats antworten – verlängerbar nur in den Fällen, die Art. 12 Abs. 3 DSGVO zulässt.

Die Aufbewahrung ist die andere wiederkehrende Schwachstelle im Beschäftigtendatenschutz. Personalakten enthalten oft Abmahnungen, Gesundheitsinformationen und Bewerberdaten noch lange, nachdem jeder Zweck entfallen ist. Ein Löschkonzept, das an die gesetzlichen Fristen des Steuer- und Sozialversicherungsrechts, an die Verjährungsfristen für Ansprüche und an die Geltendmachungsfrist des Allgemeinen Gleichbehandlungsgesetzes (AGG) für abgelehnte Bewerber anknüpft, verkleinert sowohl die Angriffsfläche als auch den Aufwand für die Beantwortung von Auskunftsersuchen. Löschroutinen sollten technisch durchgesetzt und nicht einzelnen Führungskräften überlassen werden.

Das geplante Beschäftigtendatengesetz und was jetzt zu tun ist

In Deutschland wird seit vielen Jahren über ein eigenes Gesetz zum Beschäftigtendatenschutz diskutiert. Die Ministerien legten im Herbst 2024 einen Entwurf für ein Beschäftigtendatengesetz vor, der § 26 BDSG durch detaillierte Regeln zu Überwachung, Profiling und KI am Arbeitsplatz ersetzt hätte; er wurde jedoch vor dem Ende der letzten Legislaturperiode nicht verabschiedet. Zum Zeitpunkt dieses Beitrags ist kein neues Gesetz in Kraft getreten, und § 26 BDSG steht weiterhin im konsolidierten Gesetzestext. Jedes neue Gesetz müsste seinerseits Art. 88 Abs. 2 DSGVO in der Auslegung von C-34/21 genügen.

Beim Beschäftigtendatenschutz sollten Arbeitgeber nicht abwarten. Die Prioritäten für 2026 sind: Verzeichnisse von Verarbeitungstätigkeiten und Datenschutzhinweise für Beschäftigte so aktualisieren, dass sie Rechtsgrundlagen nach Art. 6 DSGVO nennen; bestehende Betriebsvereinbarungen auf Regelungen prüfen, die über die DSGVO hinausgehen; sich auf Auskunftsersuchen als Prozessinstrument vorbereiten; und KI- sowie Analytics-Projekte mit der KI-Verordnung und den Mitbestimmungsrechten in Einklang bringen, wie in unserem Beitrag zu KI in Recruiting und Personalwesen erörtert. Unser Überblick zu DSGVO und Datenschutz in Deutschland behandelt den weiteren regulatorischen Rahmen einschließlich Bußgeldern und der Rolle der Aufsichtsbehörden.

So unterstützt TRW & Co beim Beschäftigtendatenschutz

Wir beraten Arbeitgeber zum Beschäftigtendatenschutz über den gesamten Lebenszyklus des Arbeitsverhältnisses: Zuordnung der Rechtsgrundlagen, Datenschutzhinweise für Beschäftigte, Einführung von Personalsystemen und Datenübermittlungen im Konzern. Wir entwerfen und verhandeln Betriebsvereinbarungen zu IT-Systemen so, dass sie den Maßstäben von C-65/23 standhalten, und vertreten Arbeitgeber vor Einigungsstellen sowie in Verfahren über Schadensersatz nach Art. 82 DSGVO und in Streitigkeiten über Auskunftsersuchen vor den Arbeitsgerichten. Bei internen Ermittlungen strukturieren wir die Datenerhebung so, dass Beweise verwertbar bleiben. Für Arbeitgeber mit Betriebsrat koordinieren wir Datenschutz und Mitbestimmung in einem Prozess, wie auf unserer Seite zu Betriebsräten beschrieben. Wenn Sie ein Vorhaben besprechen möchten, kontaktieren Sie uns. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung.