Beschäftigtendatenschutz regelt den Umgang mit personenbezogenen Daten von Beschäftigten nach DSGVO und BDSG, von der Bewerbung bis zur Beendigung. Zentrale nationale Norm war § 26 BDSG, dessen Tragfähigkeit als eigenständige Rechtsgrundlage seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) unsicher ist. Ein eigenes Beschäftigtendatengesetz ist als Entwurf vorgelegt, bis August 2026 aber nicht in Kraft.
Auf einen Blick
- Rechtsrahmen: DSGVO als vorrangiges Unionsrecht, ergänzt durch nationale Regeln im BDSG
- § 26 BDSG war die Kernnorm für das Beschäftigungsverhältnis, ist nach dem EuGH-Urteil aber nur eingeschränkt als eigenständige Rechtsgrundlage tragfähig
- Grundsätze: Rechtmäßigkeit, Erforderlichkeit, Zweckbindung, Datenminimierung und Transparenz
- Betroffenenrechte, insbesondere Auskunft, Berichtigung, Löschung und Widerspruch
- Mitbestimmung des Betriebsrats bei technischen Einrichtungen zur Verhaltens- oder Leistungskontrolle (§ 87 BetrVG)
- Löschung, sobald der Zweck entfällt; Aufbewahrung nur, soweit gesetzliche Pflichten dies verlangen
Rechtslage im Umbruch
- Der EuGH hat entschieden, dass § 26 BDSG keine über die DSGVO hinausgehenden, spezifischen Schutzregeln enthält und deshalb als eigenständige Erlaubnisnorm nicht genügt; Verarbeitungen sind unmittelbar an der DSGVO zu messen
- Ein eigenes Beschäftigtendatengesetz (BeschDG) wurde als Referentenentwurf vorgelegt (Oktober 2024), ist bis August 2026 aber nicht in Kraft getreten
- Konservative Praxis: jede Verarbeitung doppelt absichern, über eine tragfähige DSGVO-Rechtsgrundlage und, soweit einschlägig, § 26 BDSG
Häufige Fragen
Auf welcher Rechtsgrundlage dürfen Beschäftigtendaten verarbeitet werden?
Vorrangig auf Grundlage der DSGVO, insbesondere soweit die Verarbeitung für die Durchführung des Arbeitsverhältnisses erforderlich ist. § 26 BDSG kann ergänzend herangezogen werden, sollte nach dem EuGH-Urteil aber nicht als alleinige Grundlage dienen.
Was bedeutet das EuGH-Urteil C-34/21 praktisch?
Der EuGH hält § 26 BDSG für unionsrechtlich problematisch, weil die Norm keine zusätzlichen, über die DSGVO hinausgehenden Schutzregeln enthält. Unternehmen sollten Verarbeitungen unmittelbar an den Vorgaben der DSGVO ausrichten und sauber dokumentieren.
Haben Beschäftigte ein Auskunftsrecht über ihre Daten?
Ja. Nach der DSGVO können sie Auskunft über die verarbeiteten Daten, die Zwecke, Empfänger und die Speicherdauer verlangen sowie eine Kopie erhalten.
Wann muss der Betriebsrat beteiligt werden?
Bei der Einführung und Anwendung technischer Einrichtungen, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen, besteht ein Mitbestimmungsrecht nach § 87 BetrVG.
Stand: August 2026
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.
