Rückruf vereinbaren

Kaum ein Arbeitsverhältnis kommt ohne die Verarbeitung personenbezogener Daten aus. Das beginnt bei der Bewerbung, setzt sich über Lohnabrechnung, Zeiterfassung und Personalakte fort und endet erst lange nach dem Ausscheiden. Hinzu kommen Daten, die durch digitale Arbeit entstehen: E-Mail und Messenger, Kollaborationstools wie Microsoft Teams, Homeoffice-Zugänge, dienstliche Smartphones, Social Media wie LinkedIn oder Instagram und zunehmend KI-Anwendungen.

Seit Geltung der Datenschutz-Grundverordnung (DSGVO) im Mai 2018 sind die Anforderungen deutlich gestiegen. Das gilt auch für die Folgen von Verstößen: Bußgelder der Aufsichtsbehörden, Schadensersatzansprüche von Beschäftigten und Beweisverwertungsverbote im Kündigungsschutzprozess.

Typische Fragen aus der Praxis

Private Nutzung und Kontrolle

• Darf der Arbeitnehmer Internet, E-Mail oder Messenger am Arbeitsplatz privat nutzen, und in welchem Umfang?
• Darf der Arbeitgeber dienstliche E-Mail-Postfächer, Browserverläufe oder Chatnachrichten einsehen?
• Ist der Einsatz von Überwachungssoftware zulässig, etwa Keylogger, Screenshot-Tools oder Produktivitätsmessung?

Geräte, Homeoffice und mobiles Arbeiten

• Was gilt bei der Nutzung privater Geräte für dienstliche Zwecke (Bring Your Own Device)?
• Wie lässt sich Datenschutz im Homeoffice rechtssicher regeln?
• Darf der Arbeitgeber Dienstfahrzeuge oder Diensthandys per GPS orten?

Videoüberwachung, Personalakte und sensible Daten

• Wann ist eine Videoüberwachung am Arbeitsplatz erlaubt, und wie lange dürfen Aufnahmen gespeichert werden?
• Welche Informationen dürfen in die Personalakte, und wer darf sie einsehen?
• Wie sind Gesundheitsdaten, etwa Krankmeldungen oder BEM-Unterlagen, zu behandeln?

Neue Themen

• Was ist beim Einsatz von KI im Recruiting oder in der Personalverwaltung zu beachten?
• Wie reagiert man auf einen Auskunftsantrag nach Art. 15 DSGVO, der häufig im Kündigungsstreit gestellt wird?

Die Rechtslage: DSGVO, BDSG und Rechtsprechung

Im Beschäftigungsverhältnis trifft das Informationsinteresse des Arbeitgebers auf das Persönlichkeitsrecht der Beschäftigten. Ein eigenes, umfassendes Beschäftigtendatenschutzgesetz gibt es in Deutschland weiterhin nicht. Maßgeblich sind:

• DSGVO: Sie gilt unmittelbar. Jede Verarbeitung braucht eine Rechtsgrundlage, in der Praxis vor allem Art. 6 Abs. 1 lit. b, c und f DSGVO. Für Gesundheitsdaten und andere besondere Kategorien gilt zusätzlich Art. 9 DSGVO.
• § 26 BDSG: Die nationale Regelung zum Beschäftigtendatenschutz stützt sich auf die Öffnungsklausel des Art. 88 DSGVO. Nach dem Urteil des EuGH vom 30.03.2023 (C-34/21) ist sie als alleinige Rechtsgrundlage jedoch nicht mehr tragfähig. Verarbeitungen sollten deshalb unmittelbar an der DSGVO gemessen werden.
• Betriebsvereinbarungen: Sie bleiben ein wichtiges Gestaltungsmittel. Nach dem EuGH (Urteil vom 19.12.2024, C-65/23) müssen sie aber die Vorgaben der DSGVO vollständig einhalten und sind gerichtlich voll überprüfbar.
• Betriebsverfassungsrecht: Bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen. Das umfasst praktisch jede moderne Software, von Microsoft 365 bis zum KI-Tool.
• Rechtsprechung: Arbeitsgerichte und Bundesarbeitsgericht prägen die Grenzen im Einzelfall. Eine verdeckte Totalüberwachung per Keylogger ohne konkreten Verdacht ist unzulässig, die Erkenntnisse sind nicht verwertbar (BAG, 27.07.2017 – 2 AZR 681/16). Aufnahmen einer offenen Videoüberwachung können dagegen im Kündigungsschutzprozess auch dann verwertbar sein, wenn die Überwachung nicht in jeder Hinsicht datenschutzkonform war (BAG, 29.06.2023 – 2 AZR 296/22). Wer Beschäftigtendaten über das Erlaubte hinaus verarbeitet, riskiert Schadensersatz nach Art. 82 DSGVO (BAG, 08.05.2025 – 8 AZR 209/21).
• KI-Verordnung (AI Act): KI-Systeme für Personalauswahl, Beförderung oder Leistungsbewertung gelten in der Regel als Hochrisiko-Systeme. Die zentralen Pflichten greifen ab dem 2. Dezember 2027. Transparenzpflichten und die Pflicht, für KI-Kompetenz der Beschäftigten zu sorgen, gelten schon heute.

Ein Beschäftigtendatengesetz ist seit Herbst 2024 als Referentenentwurf in Vorbereitung, aber noch nicht verabschiedet. Über neue Entwicklungen informieren wir Sie hier.

So unterstützen wir Sie

Wir beraten Arbeitgeber, Geschäftsführer und Beschäftigte an der Schnittstelle von Arbeitsrecht und Datenschutz, außergerichtlich und vor Gericht:

Beschäftigtendatenschutz

• Datenschutz-Check von HR-Prozessen, vom Bewerbungsverfahren über Lohn- und Gehaltsabrechnung bis zur Löschung nach dem Ausscheiden
• Datenschutzinformationen für Beschäftigte und Bewerber (Art. 13 DSGVO)
• Richtlinien zur Nutzung von Internet, E-Mail, Social Media, BYOD, Homeoffice und KI-Tools
• Gestaltung und Prüfung von Betriebsvereinbarungen, etwa zu Microsoft 365, Videoüberwachung oder KI-Einsatz
• Datenschutz-Folgenabschätzungen bei Überwachungs- und KI-Systemen
• Interne Ermittlungen und Compliance-Untersuchungen unter Wahrung des Datenschutzes
• Bearbeitung und Abwehr von Auskunftsansprüchen nach Art. 15 DSGVO sowie von Schadensersatzforderungen

Datenschutz im Unternehmen

• Rechtliche Analyse und Datenschutzaudit Ihres Unternehmens
• Beratung zur korrekten Umsetzung von DSGVO und BDSG, einschließlich des Verzeichnisses von Verarbeitungstätigkeiten
• Umgang mit personenbezogenen Daten in Abrechnungsabläufen, im Marketing und bei Werbesendungen
• Datenschutzerklärungen für Website und App, als Standard oder individuell auf Ihr Unternehmen zugeschnitten
• Vertretung gegenüber Datenschutzaufsichtsbehörden
• Tätigkeit als externer Datenschutzbeauftragter (TÜV-zertifiziert)
• Aus- und Fortbildung betrieblicher Datenschutzbeauftragter sowie Schulung von Mitarbeitenden
• Abmahnung von Wettbewerbern wegen Datenschutzverstößen und Abwehr erhaltener Abmahnunge

Verstößt ein Arbeitnehmer gegen datenschutzrechtliche Pflichten, kommen arbeitsrechtliche Maßnahmen bis hin zu Abmahnung oder Kündigung in Betracht. Ob und wie Sie im Einzelfall reagieren sollten, besprechen unsere Rechtsanwälte gerne mit Ihnen.

Häufige Fragen

Darf der Arbeitgeber dienstliche E-Mails lesen?
Ist die private Nutzung verboten, ist ein Zugriff bei berechtigtem Anlass und unter Wahrung der Verhältnismäßigkeit grundsätzlich möglich. Ist die private Nutzung erlaubt oder geduldet, sind die Hürden deutlich höher. Eine klare Nutzungsrichtlinie schafft hier Rechtssicherheit für beide Seiten.

Kann eine Einwilligung der Beschäftigten die Datenverarbeitung rechtfertigen?
Nur eingeschränkt. Wegen des Abhängigkeitsverhältnisses ist die Freiwilligkeit genau zu prüfen. Die Einwilligung muss grundsätzlich schriftlich oder elektronisch erfolgen und ist jederzeit widerruflich. Für Kernprozesse ist sie daher selten die richtige Grundlage.

Was droht bei Datenschutzverstößen im Arbeitsverhältnis?
Bußgelder der Aufsichtsbehörden, Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO und unter Umständen die Unverwertbarkeit von Beweismitteln im Kündigungsschutzprozess.

Brauchen wir für Microsoft 365 oder KI-Tools eine Betriebsvereinbarung?
Besteht ein Betriebsrat, ist dessen Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG in aller Regel berührt. Eine Betriebsvereinbarung ist dann der übliche und rechtssicherste Weg.