Datenschutz der Beschäftigten: Grundsätze, Rechtsgrundlagen, Betroffenenrechte

Modul 3 von 615 MinutenArt. 5, 6, 9, 15 DSGVO u. a.Stand 27.10.2026

IT und Digitalisierung · IT-System bewerten · Betriebsvereinbarung verhandeln

Szene im Musterwerk. Alle Personen auf brklar sind erfunden.

Lernziele

Grundsätze des Art. 5 Abs. 1 DSGVO (Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität) und Rechenschaftspflicht nach Abs. 2
Rechtsgrundlagen nach Art. 6 Abs. 1 Buchst. b, c und f DSGVO und die Öffnungsklauseln Art. 9 Abs. 2 Buchst. b und Art. 88 DSGVO für Beschäftigtendaten
Wirkung von EuGH C-34/21 auf § 26 BDSG nach der Rechtsprechung des Bundesarbeitsgerichts und die Grenze für gesetzliche Rechte der Interessenvertretung
Betroffenenrechte nach Art. 15, 17 und 21 DSGVO mit den Ausnahmen der §§ 34 und 35 BDSG, Schadenersatz nach Art. 82 DSGVO und Beschwerde und Klage nach Art. 77 und 79 DSGVO

Jede Verarbeitung personenbezogener Daten von Beschäftigten braucht eine Rechtsgrundlage und muss die Grundsätze des Art. 5 Abs. 1 DSGVO einhalten; der Verantwortliche muss dies „nachweisen können“ (Art. 5 Abs. 2 DSGVO). Das Bundesarbeitsgericht hat das EuGH-Urteil zu hessischem Recht (C-34/21) auf § 26 Abs. 1 Satz 1 BDSG übertragen, mit einer Grenze für gesetzliche Rechte der Interessenvertretung.

Welche Grundsätze gelten für jede Verarbeitung?

Es gelten insbesondere die Zweckbindung (Art. 5 Abs. 1 Buchst. b: Erhebung „für festgelegte, eindeutige und legitime Zwecke“, keine unvereinbare Weiterverarbeitung), die Datenminimierung (Buchst. c: „auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“), die Speicherbegrenzung (Buchst. e: Identifizierung nur so lange, wie es für die Zwecke „erforderlich ist“) sowie Integrität und Vertraulichkeit (Buchst. f: „angemessene Sicherheit“).

Ausnahmen bestehen nur für „im öffentlichen Interesse liegende Archivzwecke“, Forschungs- und statistische Zwecke (Art. 89 Abs. 1); längere Speicherung setzt voraus, dass die Daten „ausschließlich“ dafür und mit geeigneten Schutzmaßnahmen verarbeitet werden.

Welche Rechtsgrundlagen kommen für Beschäftigtendaten in Betracht?

Was nennt die DSGVO selbst?

Rechtmäßig ist die Verarbeitung nur, wenn eine Bedingung des Art. 6 Abs. 1 erfüllt ist; hier jeweils mit Erforderlichkeit: Vertrag mit der betroffenen Person oder vorvertragliche Maßnahmen (Buchst. b); rechtliche Verpflichtung des Verantwortlichen (Buchst. c); berechtigte Interessen des Verantwortlichen oder eines Dritten, „sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person … überwiegen“ (Buchst. f), nicht für Behörden in Erfüllung ihrer Aufgaben.

Besondere Kategorien von Daten dürfen nach Art. 9 Abs. 1 nicht verarbeitet werden. Art. 9 Abs. 2 Buchst. b ist eine Öffnungsklausel (1 ABR 14/22, Rn. 56) und nimmt die Verarbeitung aus, die „erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht … erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann“, soweit dies nach Unionsrecht, dem Recht der Mitgliedstaaten „oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien“ vorsieht, „zulässig ist“.

Was bleibt von § 26 BDSG nach dem EuGH?

Art. 88 Abs. 1 DSGVO erlaubt als Öffnungsklausel „durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften“ für Beschäftigtendaten mit „geeigneten und besonderen Maßnahmen“ (Abs. 2).

Der EuGH hat über hessische Vorschriften entschieden, nicht über § 26 BDSG (C-34/21). Eine nationale Vorschrift, die Abs. 2 nicht erfüllt, ist keine „spezifischere Vorschrift“ (Tenor 1) und bleibt unangewendet, „es sei denn, sie stellen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO dar“, die den Anforderungen der Verordnung genügt (Tenor 2).

Das Bundesarbeitsgericht hat das übertragen: § 26 Abs. 1 Satz 1 BDSG erfüllt Art. 88 Abs. 2 nicht, weil Schutzmaßnahmen fehlen (1 ABR 14/22, Rn. 63 f.), und hat für die entschiedene Verarbeitung „unangewendet zu bleiben“ (8 AZR 209/21, Rn. 16 bis 18).

Die Grenze: Soweit die Verarbeitung zur Erfüllung eines gesetzlichen Rechts der Interessenvertretung erforderlich ist, bleibt § 26 Abs. 1 Satz 1 BDSG Rechtsgrundlage nach Art. 6 Abs. 3 und Abs. 1 Buchst. c DSGVO (1 ABR 14/22, Rn. 62 und 65).

Trägt eine Betriebsvereinbarung die Verarbeitung?

§ 26 Abs. 4 Satz 1 BDSG lässt die Verarbeitung „auf der Grundlage von Kollektivvereinbarungen“ zu; dabei ist Art. 88 Abs. 2 DSGVO zu beachten (Satz 2). Die Verarbeitung muss auch dann Art. 5, 6 Abs. 1 und Art. 9 DSGVO genügen, und die Gerichte kontrollieren die Erforderlichkeit umfassend (EuGH C-65/23, Tenor 1 und 2, Rn. 54 bis 59). Ob die Betriebsvereinbarung in 8 AZR 209/21 dies erfüllte, hat das Bundesarbeitsgericht nicht geprüft (Rn. 13).

Welche Rechte hat die betroffene Person?

Recht	Grenze in der DSGVO
Auskunft und Kopie (Art. 15)	die Kopie darf Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Abs. 4)
Löschung (Art. 17 Abs. 1)	nicht, soweit erforderlich zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung von Rechtsansprüchen (Abs. 3 Buchst. b, e)
Widerspruch (Art. 21 Abs. 1: aus Gründen der besonderen Situation, nur gegen Verarbeitung nach Art. 6 Abs. 1 Buchst. e oder f)	nicht bei nachgewiesenen überwiegenden zwingenden schutzwürdigen Gründen oder zur Geltendmachung von Rechtsansprüchen

Ergänzend schließt § 34 Abs. 1 Nr. 2 BDSG die Auskunft aus, etwa bei Daten, die nur wegen gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften gespeichert sind, wenn die Auskunft unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken ausgeschlossen ist. Stehen im Fall des Art. 17 Abs. 1 Buchst. a satzungsgemäße oder vertragliche Aufbewahrungsfristen entgegen, tritt nach § 35 Abs. 3 in Verbindung mit Abs. 1 Satz 2 BDSG die Einschränkung der Verarbeitung (Art. 18) an die Stelle der Löschung, nicht bei unrechtmäßig verarbeiteten Daten (Abs. 1 Satz 3).

Welche Rolle hat der Betriebsrat?

Der Betriebsrat hat die Datenschutzvorschriften einzuhalten (§ 79a Satz 1 BetrVG); soweit er Daten zur Erfüllung der in seiner Zuständigkeit liegenden Aufgaben verarbeitet, ist die Arbeitgeberin die Verantwortliche (Satz 2). Einzelheiten: Betriebsratsunterlagen und Auskunft.

Wie sieht das in der Musterwerk GmbH aus?

Die Musterwerk GmbH hat rund 150 Beschäftigte. Die Geschäftsführung will Zugangsdaten eines Schließsystems über den Zutritt hinaus speichern. In Betracht kommen Zweckbindung, Speicherbegrenzung und Datenminimierung (Art. 5 Abs. 1 Buchst. b, e, c); als Rechtsgrundlage Art. 6 Abs. 1 Buchst. b, c oder f. Offen bleiben Zweck, Dauer, Datenkategorien und eine Betriebsvereinbarung.

Was folgt aus einem Verstoß?

Wer wegen eines DSGVO-Verstoßes einen Schaden erlitten hat, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder Auftragsverarbeiter (Art. 82 Abs. 1 DSGVO); befreit ist, wer nachweist, dass er für den Umstand, durch den der Schaden eingetreten ist, „in keinerlei Hinsicht“ verantwortlich ist (Abs. 3). Verstoß, Schaden und Kausalzusammenhang müssen kumulativ vorliegen; eine Schwelle der Erheblichkeit darf das nationale Recht nicht verlangen (EuGH C-300/21, Rn. 32, Tenor 1 und 2). Nach dem Bundesarbeitsgericht setzt ein Kontrollverlust als Schaden eine begründete Befürchtung des Datenmissbrauchs voraus, eine bloß verspätete Auskunft nach Art. 15 begründet ihn nicht (8 AZR 61/24, Rn. 17, 24).

Hält die betroffene Person die Verarbeitung für verordnungswidrig, stehen unbeschadet voneinander die Beschwerde bei einer Aufsichtsbehörde (Art. 77 Abs. 1 DSGVO) und der gerichtliche Rechtsbehelf (Art. 79 Abs. 1) offen.

Was lässt dieses Modul offen?

Die folgenden Fragen beantwortet dieses Modul nicht. Eine Entscheidung dazu ist für es nicht ausgewertet; das heißt nicht, dass es keine gibt.

Einwilligung. Wie § 26 Abs. 2 BDSG nach C-34/21 anzuwenden ist.
Betriebsvereinbarung. Ob eine konkrete Betriebsvereinbarung nach Art. 6 Abs. 3 DSGVO als Rechtsgrundlage trägt.
Überwachungsaufgabe. Ob DSGVO und BDSG zu den „zugunsten der Arbeitnehmer geltenden Gesetzen“ des § 80 Abs. 1 Nr. 1 BetrVG zählen.
Löschung und Auskunft. Wie Art. 17 und 21 im Arbeitsverhältnis wirken und ob die übrigen BDSG-Ausnahmen (§ 34 Abs. 1 Nr. 1, § 35 Abs. 1 und 2, § 27 Abs. 2, § 28 Abs. 2, § 29 Abs. 1 Satz 2) dort greifen.

Fundstellen

Art. 5, 6, 9, 15, 17, 21, 77, 79, 82, 88 und 89 DSGVO (Verordnung (EU) 2016/679; Art. 15 Abs. 4 und Art. 88 Abs. 2 in der Fassung der Berichtigung ABl. L 127, 23.5.2018, S. 2)
§ 26 Abs. 1 bis 4, § 34 Abs. 1 und § 35 Abs. 1 und 3 Bundesdatenschutzgesetz
§ 79a und § 80 Abs. 1 Nr. 1 BetrVG
EuGH, Urteil vom 30.03.2023, C-34/21: Tenor 1 und 2, Rn. 84; Gegenstand § 23 Abs. 1 HDSIG und § 86 Abs. 4 HBG
EuGH, Urteil vom 19.12.2024, C-65/23: Tenor 1 und 2, Rn. 54 bis 59
EuGH, Urteil vom 04.05.2023, C-300/21: Schadenersatz (Rn. 32, Tenor 1 und 2)
BAG, Beschluss vom 09.05.2023, 1 ABR 14/22: Rn. 56, 62 bis 65
BAG, Urteil vom 08.05.2025, 8 AZR 209/21: Rn. 13, 16 bis 18
BAG, Urteil vom 20.02.2025, 8 AZR 61/24: Rn. 17, 24

Dieses Modul ist allgemeine Rechtsinformation und keine Rechtsberatung. Es beschreibt die Rechtslage, nicht einen bestimmten Vorgang, und ersetzt keine Prüfung durch eine Rechtsanwältin, einen Rechtsanwalt oder die zuständige Gewerkschaft.

Zum Selbstprüfen

Welche Grundsätze des Art. 5 Abs. 1 DSGVO betreffen die Dauer der Speicherung und den Umfang der Daten, und wer muss ihre Einhaltung nachweisen?

Die Speicherbegrenzung (Buchst. e) erlaubt die Identifizierung der betroffenen Personen nur so lange, wie es für die Zwecke erforderlich ist; die Datenminimierung (Buchst. c) beschränkt die Daten auf das für die Zwecke notwendige Maß; die Zweckbindung (Buchst. b) bindet die Weiterverarbeitung an die ursprünglichen Zwecke. Für beide gilt eine Ausnahme nur für Archivzwecke im öffentlichen Interesse, Forschungszwecke und statistische Zwecke (Art. 89 Abs. 1), bei Buchst. e nur bei ausschließlicher Verarbeitung dafür und mit geeigneten Maßnahmen. Der Verantwortliche muss die Einhaltung nachweisen können (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht).

Was hat das Bundesarbeitsgericht aus dem Urteil C-34/21 für § 26 Abs. 1 Satz 1 BDSG abgeleitet, und wo liegt die Grenze?

Die Norm erfüllt Art. 88 Abs. 2 DSGVO schon deshalb nicht, weil Schutzmaßnahmen fehlen; sie hat für die entschiedene Verarbeitung unangewendet zu bleiben (1 ABR 14/22, Rn. 63 f.; 8 AZR 209/21, Rn. 16 bis 18). Soweit die Verarbeitung zur Erfüllung eines sich aus dem Gesetz ergebenden Rechts der Interessenvertretung erforderlich ist, bleibt sie Rechtsgrundlage nach Art. 6 Abs. 3 in Verbindung mit Abs. 1 Unterabs. 1 Buchst. c DSGVO (1 ABR 14/22, Leitsatz 2, Rn. 62 und 65). Die Entscheidungen betreffen jeweils eine bestimmte Verarbeitung; für welche weiteren Verarbeitungen die Norm daneben Rechtsgrundlage nach Art. 6 Abs. 3 bleibt, folgt aus ihnen nicht.

Was gilt für eine Verarbeitung, die auf eine Betriebsvereinbarung gestützt wird?

§ 26 Abs. 4 BDSG lässt die Verarbeitung auf der Grundlage von Kollektivvereinbarungen zu, die Verhandlungspartner haben Art. 88 Abs. 2 DSGVO zu beachten. Nach EuGH C-65/23 (Tenor 1 und 2, Rn. 54 bis 59) muss die Verarbeitung auch Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO genügen, und die Gerichte kontrollieren die Erforderlichkeit voll. Ob eine konkrete Betriebsvereinbarung die Verarbeitung trägt, hat das BAG nicht entschieden (8 AZR 209/21, Rn. 13).