Der Arbeitnehmerdatenschutz regelt den Schutz personenbezogener Daten von Beschäftigten im Arbeitsverhältnis. Arbeitgeber dürfen Mitarbeiterdaten nur verarbeiten, wenn hierfür eine rechtliche Grundlage besteht und die datenschutzrechtlichen Anforderungen eingehalten werden. Maßgeblich sind insbesondere die Datenschutz-Grundverordnung (DS-GVO) und die europarechtlichen Vorgaben für den Beschäftigtendatenschutz. Geschützt sind unter anderem Bewerbungsunterlagen, Gehaltsdaten, Gesundheitsinformationen und Angaben zur Arbeitsleistung.
Welche Daten schützt der Arbeitnehmerdatenschutz?
Der Arbeitnehmerdatenschutz erfasst personenbezogene Informationen, die im Zusammenhang mit der Bewerbung, der Durchführung oder der Beendigung eines Beschäftigungsverhältnisses verarbeitet werden.
Dazu gehören beispielsweise:
- Bewerbungsunterlagen und Lebensläufe
- Namen, Anschriften und Kontaktdaten
- Personalnummern und Gehaltsinformationen
- Arbeitszeiten und Fehlzeiten
- Leistungsbeurteilungen
- Krankheits- und Gesundheitsdaten
- Daten aus der betrieblichen IT-Nutzung
Auch dienstliche E-Mail-Adressen, Protokolldaten und Informationen über die Nutzung betrieblicher Systeme sind personenbezogene Daten, wenn sie einem Beschäftigten zugeordnet werden können.
Für Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten gelten nach Art. 9 DS-GVO zusätzliche Anforderungen.
Wann dürfen Arbeitgeber personenbezogene Daten verarbeiten?
Die Verarbeitung von Beschäftigtendaten setzt eine geeignete Rechtsgrundlage voraus. Art. 6 DS-GVO enthält hierfür verschiedene Erlaubnistatbestände.
Im Arbeitsverhältnis ist insbesondere die Verarbeitung zur Durchführung des Arbeitsvertrags nach Art. 6 Abs. 1 lit. b DS-GVO relevant. Dazu gehören beispielsweise die Berechnung und Auszahlung des Arbeitsentgelts.
Weitere Verarbeitungen sind zulässig, wenn eine andere Rechtsgrundlage vorliegt und deren Voraussetzungen erfüllt sind. Dies betrifft etwa die Erfüllung gesetzlicher Verpflichtungen oder die Wahrung berechtigter Interessen nach entsprechender Interessenabwägung.
Unabhängig von der Rechtsgrundlage müssen Arbeitgeber die Grundsätze des Art. 5 DS-GVO beachten. Dazu zählen insbesondere Zweckbindung, Datenminimierung und Speicherbegrenzung.
Welche Bedeutung hat § 26 BDSG für den Arbeitnehmerdatenschutz?
§ 26 Bundesdatenschutzgesetz (BDSG) enthält nationale Regelungen zur Verarbeitung personenbezogener Daten im Beschäftigungskontext. Ihre Anwendung wird jedoch durch die europarechtlichen Anforderungen des Art. 88 DS-GVO begrenzt.
Nach der Rechtsprechung des Bundesarbeitsgerichts erfüllt § 26 Abs. 1 Satz 1 BDSG nicht die Anforderungen an eine spezifischere nationale Vorschrift im Sinne von Art. 88 DS-GVO. Insbesondere fehlen die hierfür erforderlichen besonderen Schutzmaßnahmen.
Soweit keine unionsrechtskonformen spezielleren Vorschriften bestehen, richtet sich die Verarbeitung von Beschäftigtendaten unmittelbar nach den Bestimmungen der DS-GVO.
Diese Einordnung ergibt sich insbesondere aus dem Urteil des Bundesarbeitsgerichts vom 8. Mai 2025 (8 AZR 209/21).
Dürfen Arbeitgeber ihre Beschäftigten überwachen?
Die Überwachung von Beschäftigten ist nur unter Beachtung der datenschutzrechtlichen Anforderungen zulässig. Entscheidend sind insbesondere der Zweck der Maßnahme, ihre Erforderlichkeit und die Interessen der betroffenen Beschäftigten.
Dies betrifft beispielsweise:
- Videoüberwachung am Arbeitsplatz
- Kontrolle der dienstlichen Internet- und E-Mail-Nutzung
- Auswertung von Telefon- und Verbindungsdaten
- Erfassung und Analyse von Arbeitsleistungen
Eine anlasslose und umfassende Überwachung der Beschäftigten ist regelmäßig unverhältnismäßig. Arbeitgeber müssen für jede Kontrollmaßnahme prüfen, ob eine geeignete Rechtsgrundlage besteht und mildere Mittel zur Verfügung stehen.
Soweit Mitbestimmungsrechte des Betriebsrats bestehen, sind zusätzlich die betriebsverfassungsrechtlichen Vorgaben zu beachten.
Welche Rechte haben Arbeitnehmer beim Datenschutz?
Beschäftigte haben gegenüber ihrem Arbeitgeber grundsätzlich dieselben Betroffenenrechte wie andere Personen, deren Daten verarbeitet werden.
Dazu gehören insbesondere:
- Auskunft nach Art. 15 DS-GVO: Beschäftigte haben das Recht, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen.
- Berichtigung nach Art. 16 DS-GVO: Unrichtige personenbezogene Daten müssen berichtigt werden.
- Löschung nach Art. 17 DS-GVO: Unter den gesetzlichen Voraussetzungen besteht ein Anspruch auf Löschung personenbezogener Daten.
- Einschränkung der Verarbeitung nach Art. 18 DS-GVO: Beschäftigte können unter bestimmten Voraussetzungen eine Einschränkung der Datenverarbeitung verlangen.
Darüber hinaus bestehen Informationspflichten des Arbeitgebers nach Art. 13 und 14 DS-GVO.
Praxisbeispiel: Wann ist die Verarbeitung von Mitarbeiterdaten unzulässig?
Ein Unternehmen führt eine neue Personalverwaltungssoftware ein. Um deren Funktionen zu testen, überträgt es personenbezogene Mitarbeiterdaten in das neue System.
Die Übertragung umfasst neben Namen und Personalnummern auch private Anschriften, Gehaltsinformationen und weitere persönliche Angaben. Ein Teil dieser Daten ist für den vorgesehenen Test nicht erforderlich.
Eine Verarbeitung zu Testzwecken benötigt eine geeignete Rechtsgrundlage. Zudem muss das Unternehmen prüfen, welche personenbezogenen Daten für den konkreten Test tatsächlich notwendig sind. Reichen anonymisierte oder künstlich erzeugte Testdaten aus, ist die Verwendung echter Beschäftigtendaten nicht ohne Weiteres gerechtfertigt.
legal data Einschätzung: Unternehmen sollten vor der Einführung neuer Personalverwaltungs- oder Überwachungssysteme die datenschutzrechtliche Zulässigkeit jeder vorgesehenen Verarbeitung prüfen. Insbesondere müssen die verwendeten Daten auf den erforderlichen Umfang beschränkt bleiben. Auch eine Betriebsvereinbarung entbindet den Arbeitgeber nicht von der Einhaltung der Anforderungen der DS-GVO.
Rechtsgrundlagen
- Art. 5 DS-GVO
- Art. 6 DS-GVO
- Art. 9 DS-GVO
- Art. 13–18 DS-GVO
- Art. 88 DS-GVO
- § 26 BDSG
- Rechtsprechung: BAG, Urteil vom 8. Mai 2025 – 8 AZR 209/21
Häufige Fragen zum Arbeitnehmerdatenschutz
Dürfen Arbeitgeber Mitarbeiterdaten ohne Einwilligung verarbeiten?
Ja. Eine Einwilligung ist nicht für jede Verarbeitung erforderlich. Personenbezogene Daten dürfen beispielsweise verarbeitet werden, wenn dies zur Erfüllung des Arbeitsvertrags oder einer gesetzlichen Verpflichtung erforderlich ist und die Voraussetzungen der jeweiligen Rechtsgrundlage erfüllt sind.
Dürfen Arbeitgeber die dienstlichen E-Mails ihrer Mitarbeiter kontrollieren?
Die Kontrolle dienstlicher E-Mails ist nicht uneingeschränkt zulässig. Ob und in welchem Umfang eine Auswertung erfolgen darf, hängt insbesondere vom Verarbeitungszweck, der Rechtsgrundlage, der Erforderlichkeit und den betrieblichen Regelungen ab. Eine pauschale Erlaubnis zur Kontrolle sämtlicher E-Mails besteht nicht.
Wie lange dürfen Arbeitgeber personenbezogene Mitarbeiterdaten speichern?
Eine einheitliche Speicherdauer besteht nicht. Personenbezogene Daten dürfen grundsätzlich nur so lange gespeichert werden, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Anschließend sind sie nach Maßgabe der gesetzlichen Voraussetzungen zu löschen.
Dürfen Arbeitgeber Gesundheitsdaten ihrer Beschäftigten verarbeiten?
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DS-GVO. Ihre Verarbeitung ist nur zulässig, wenn neben einer geeigneten Rechtsgrundlage die besonderen Voraussetzungen des Art. 9 Abs. 2 DS-GVO erfüllt sind.
Gilt der Arbeitnehmerdatenschutz auch für Bewerber?
Ja. Auch Bewerberdaten unterliegen dem Datenschutz. Arbeitgeber dürfen personenbezogene Informationen aus Bewerbungen nur auf einer geeigneten Rechtsgrundlage und unter Beachtung der datenschutzrechtlichen Grundsätze verarbeiten.
Verwandte Begriffe.
Einwilligung Die Einwilligung ist eine der gesetzlichen Rechtsgrundlagen für die Verarbeitung personenbezogener Daten nach der Datenschutz-Grundverordnung (DS-GVO). Sie ermöglicht es betroffenen Personen, selbst darüber zu entscheiden, ob ihre personenbezogenen Daten für bestimmte Zwecke verarbeitet werden dürfen. Damit eine Einwilligung wirksam ist, muss sie freiwillig, informiert, für einen bestimmten Zweck und durch eine eindeutige bestätigende Handlung erfolgen. Die rechtlichen Grundlagen ergeben sich insbesondere aus Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a und Art. 7 DS-GVO. Art. 4 Nr. 11 DS-GVO Videoüberwachung Videoüberwachung ist die Beobachtung von Räumen oder Flächen mit optisch-elektronischen Einrichtungen und datenschutzrechtlich zulässig, wenn sie erforderlich und verhältnismäßig ist. Art. 6 Abs. 1 lit. f DSGVO Rechtsgrundlage der Verarbeitung Die Rechtsgrundlage ist die gesetzliche Erlaubnis, auf die sich jede Verarbeitung personenbezogener Daten stützen muss, um rechtmäßig zu sein. Art. 6 Abs. 1 DSGVO 