Beschäftigtendatenschutz: was Arbeitgeber dürfen

Inhalt in Kürze

• § 26 Abs. 1 BDSG erlaubt die Verarbeitung von Mitarbeiterdaten, soweit sie für das Arbeitsverhältnis erforderlich ist. Seit dem EuGH-Urteil C-34/21 (30.03.2023) gilt diese Generalklausel als angreifbar — stützen Sie sich zusätzlich auf Art. 6 DSGVO.
• Erlaubt sind Stammdaten, Lohn- und Sozialdaten, Zeiterfassung (seit BAG 1 ABR 22/21 sogar Pflicht). Verboten sind heimliche Überwachung, anlasslose Keylogger und Dauerortung.
• E-Mail-, Internet- und GPS-Kontrolle ist nur bei konkretem, dokumentiertem Anlass und Erforderlichkeit zulässig — niemals heimlich, niemals lückenlos.
• Gesundheitsdaten (Art. 9 DSGVO) und Betriebsrats-Mitbestimmung (§ 87 BetrVG) sind die zwei häufigsten Stolperfallen. Wer eine Betriebsvereinbarung hat, steht rechtlich deutlich sicherer.

Stand: Mai 2026 · Autor: Nils Oehmichen · Lesezeit: 10 Minuten

Ein Hamburger Handelsunternehmen wollte wissen, warum ein Vertriebsmitarbeiter im Außendienst auffällig wenig Termine schaffte — und schaltete kurzerhand das GPS im Dienstwagen scharf, ohne ihm Bescheid zu sagen. Als der Mitarbeiter es bemerkte, stand nicht mehr seine Leistung im Raum, sondern eine Abmahnung gegen den Arbeitgeber und eine Beschwerde beim HmbBfDI. Beschäftigtendatenschutz ist genau dieser Grat: Sie dürfen vieles, aber fast nie heimlich und fast nie lückenlos.

Dieser Artikel sortiert für Sie als Geschäftsführer, HR- oder IT-Leiter, was beim Umgang mit Mitarbeiterdaten erlaubt ist — Personalakte, E-Mail- und Internet-Kontrolle, Zeiterfassung, GPS, Krankheitsdaten, Zugriffsrechte — und wo die rote Linie verläuft.

Beschäftigtendatenschutz: die Rechtsgrundlage und der Wackelkandidat § 26 BDSG

Jede Verarbeitung von Mitarbeiterdaten braucht eine Rechtsgrundlage. Die DSGVO selbst enthält keine eigenen Regeln für das Arbeitsverhältnis — sie überlässt das über die Öffnungsklausel des Art. 88 DSGVO den Mitgliedstaaten. In Deutschland ist das § 26 BDSG.

Der zentrale Satz steht in § 26 Abs. 1 Satz 1 BDSG: Daten von Beschäftigten dürfen verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Den Wortlaut finden Sie bei gesetze-im-internet.de zu § 26 BDSG. Das Wort „erforderlich” ist der Dreh- und Angelpunkt: Es ist nicht erlaubt, weil es praktisch wäre — es ist erlaubt, weil es für das Arbeitsverhältnis nötig ist.

Was das EuGH-Urteil von 2023 verändert hat — und was nicht

Hier kommt der Punkt, den viele KMU nicht auf dem Schirm haben. Der Europäische Gerichtshof hat am 30. März 2023 im Verfahren C-34/21 entschieden, dass eine wortgleiche Generalklausel im hessischen Landesdatenschutzgesetz gegen Europarecht verstößt. Die Begründung lässt sich direkt auf § 26 Abs. 1 Satz 1 BDSG übertragen — die Norm gilt seither als europarechtlich angreifbar. Das ordnet auch PwC Legal zum EuGH-Urteil so ein.

Kein Grund zur Panik. Wichtig ist die nüchterne Einordnung:

• Nicht jede Verarbeitung wird unwirksam. Das Urteil führt nicht dazu, dass alle bisherigen Datenverarbeitungen rechtswidrig sind. Es betrifft nur die eine Generalklausel — die übrigen Absätze von § 26 BDSG (etwa Abs. 3 zu Gesundheitsdaten) bleiben anwendbar.
• Die Erforderlichkeitsgrenze bleibt gleich. Was vorher zulässig war, weil es nötig war, ist es weiterhin — nur die formale Rechtsgrundlage wird breiter abgestützt.
• Die Lösung ist die Doppelstütze. In der Praxis stützt man die Personalverarbeitung heute zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Arbeitsvertrags) und, wo passend, Art. 6 Abs. 1 lit. f (berechtigtes Interesse). Beides trägt unabhängig von § 26.

Was der Arbeitgeber darf: der Pflicht-Teil

Beginnen wir mit dem Erlaubten, denn das ist der größere Teil. Für den normalen Betrieb eines Arbeitsverhältnisses dürfen Sie alle Daten verarbeiten, die Sie dafür brauchen:

• Stammdaten: Name, Anschrift, Geburtsdatum, Bankverbindung, Steuer-ID, Sozialversicherungsnummer.
• Vertrags- und Entgeltdaten: Gehalt, Eingruppierung, Arbeitszeitmodell, Urlaubsanspruch.
• Lohn- und Sozialdaten: Lohnsteuer, Sozialversicherungsbeiträge, Pfändungen, Vermögenswirksame Leistungen — hier zwingen Sie sogar gesetzliche Pflichten zur Verarbeitung.
• Zeit- und Anwesenheitsdaten: Arbeitszeiten, Urlaub, Krankheitszeiten (nicht die Diagnose).

Zeiterfassung: vom Recht zur Pflicht

Bei der Zeiterfassung hat sich die Lage komplett gedreht. Lange galt sie als optional. Heute ist sie Pflicht. Das Bundesarbeitsgericht hat am 13. September 2022 (Az. 1 ABR 22/21) entschieden, dass Arbeitgeber schon nach § 3 Abs. 2 ArbSchG verpflichtet sind, Beginn und Ende der täglichen Arbeitszeit zu erfassen. Die Entscheidung lesen Sie im Original beim Bundesarbeitsgericht zu 1 ABR 22/21. Das Gericht folgte damit dem EuGH-Stechuhr-Urteil von 2019.

Datenschutzrechtlich heißt das: Sie müssen Arbeitszeitdaten erheben — aber Sie dürfen sie nur für legitime Zwecke nutzen. Die Zeiterfassung in eine Leistungs- und Verhaltenskontrolle umzubauen, ist nicht von der Pflicht gedeckt.

Wo die rote Linie verläuft: Kontrolle und Überwachung

Jetzt zum heiklen Teil. Überwachung ist kein eigener Erlaubnistatbestand. Auch hier gilt die Erforderlichkeit — und der Grundsatz der Verhältnismäßigkeit zieht sehr enge Grenzen.

E-Mail- und Internet-Kontrolle

Die häufigste Frage von Geschäftsführern: „Darf ich ins Postfach meiner Mitarbeiter schauen?” Die Antwort hängt zuerst an einer einzigen Weichenstellung — ob Sie die Privatnutzung erlaubt haben oder nicht.

• Privatnutzung untersagt: Das Postfach ist rein dienstlich. Ein Zugriff zur Aufrechterhaltung des Betriebs (etwa bei Krankheit oder Urlaub) oder bei einem konkreten, dokumentierten Verdacht ist in engen Grenzen möglich — als Rechtsgrundlage kommt § 26 Abs. 1 BDSG in Betracht.
• Privatnutzung erlaubt oder geduldet: Hier wird es deutlich enger. Das Datenschutzkonferenz-Papier zu E-Mail- und Internetdiensten und die Einordnung von Dr. Datenschutz zur E-Mail-Kontrolle ziehen die Grenze sehr eng. Private Mails dürfen Sie grundsätzlich nicht zur Kenntnis nehmen.

Was in keinem Szenario geht: heimliches Mitlesen, das anlasslose Durchsuchen ganzer Postfächer und die Dauerkontrolle des Surfverhaltens. Jede Maßnahme braucht einen konkreten Anlass und die Prüfung des Einzelfalls.

Keylogger und Software-Monitoring

Hier gibt es ein Grundsatzurteil, das jeder Geschäftsführer kennen sollte. Das Bundesarbeitsgericht hat am 27. Juli 2017 (Az. 2 AZR 681/16) entschieden, dass das heimliche Protokollieren sämtlicher Tastatureingaben per Keylogger ohne konkreten Anlass unzulässig ist — die so gewonnenen Daten waren im Kündigungsprozess nicht verwertbar. Nachzulesen beim Bundesarbeitsgericht zu 2 AZR 681/16. Die Botschaft: Anlasslose Dauerüberwachung am Arbeitsplatz greift unzulässig in das Recht auf informationelle Selbstbestimmung ein — egal wie technisch einfach sie ist.

GPS-Ortung im Außendienst

Bei Dienstfahrzeugen und Außendienst kommt regelmäßig der Wunsch nach Ortung auf. Erlaubt ist sie nur, soweit sie für einen klaren, legitimen Zweck erforderlich ist — Disposition, Diebstahlschutz, Nachweis von Einsatzzeiten. Eine lückenlose Bewegungsprofil-Erstellung zur Leistungskontrolle ist es nicht. Dr. Datenschutz zur GPS-Überwachung am Arbeitsplatz fasst es so zusammen: heimliche GPS-Überwachung ist regelmäßig unzulässig, zulässig nur in engen, transparenten Ausnahmen.

Drei Mindestbedingungen, wenn Sie orten wollen:

1. Zweckbindung: Definieren Sie schriftlich, wofür Sie orten — und nutzen Sie die Daten nur dafür.
2. Transparenz: Die Mitarbeiter wissen von der Ortung. Heimlich geht nie.
3. Abschaltbarkeit: Außerhalb der Arbeitszeit und bei erlaubter Privatnutzung des Fahrzeugs muss sich die Ortung deaktivieren lassen.

Beim Thema Kamera schließt sich der Kreis direkt an: Die gleichen Grundsätze — kein heimliches, kein anlassloses Dauerbeobachten — gelten auch für die DSGVO-konforme Videoüberwachung im Unternehmen.

Gesundheitsdaten: Art. 9 DSGVO setzt die engsten Grenzen

Krankheitsdaten sind die sensibelste Kategorie im Arbeitsverhältnis. Diagnosen, Therapien, Befunde — das alles sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO mit grundsätzlichem Verarbeitungsverbot. Die Diagnose Ihres Mitarbeiters geht Sie schlicht nichts an.

Was Sie verarbeiten dürfen, ist eng umrissen und stützt sich auf § 26 Abs. 3 BDSG:

• die Tatsache der Arbeitsunfähigkeit und ihre Dauer (für Entgeltfortzahlung und Vertretung),
• Daten im Rahmen des betrieblichen Eingliederungsmanagements (BEM) nach § 167 SGB IX,
• Angaben, die das Arbeitsrecht oder die Sozialversicherung zwingend verlangen.

Eng verwandt ist der Umgang mit Bewerberdaten — auch dort tauchen Gesundheits- und Schwerbehindertendaten auf, mit eigenen Spielregeln und Löschfristen. Das vertiefen wir in unserem Beitrag zu Bewerberdaten nach DSGVO: Aufbewahrung und Löschung.

Zugriffskonzept, Personalakte und das Auskunftsrecht

Wer alles darf, ist im Beschäftigtendatenschutz fast so wichtig wie was erlaubt ist. Das Stichwort heißt Need-to-know: Jeder sieht nur die Daten, die er für seine Aufgabe braucht.

• Die Lohnbuchhaltung braucht Entgeltdaten — nicht die BEM-Akte.
• Der Teamleiter braucht Urlaubsstände — nicht die Bankverbindung.
• Die IT braucht Geräte- und Account-Daten — nicht die Personalakte.

Die digitale Personalakte ist sinnvoll, wenn die Zugriffsrechte sauber rollenbasiert vergeben sind und protokolliert wird, wer wann was öffnet. Eine flache Ordnerstruktur, auf die das ganze Office-Team zugreift, ist das Gegenteil davon.

Und vergessen Sie nicht: Auch Mitarbeiter haben ein Auskunftsrecht nach Art. 15 DSGVO. Ein Beschäftigter kann jederzeit verlangen, eine Kopie aller über ihn gespeicherten Daten zu erhalten — und gerade nach einem Konflikt wird dieses Recht gern genutzt. Wer dann keine Übersicht hat, hat ein Problem. Wie Sie das sauber beantworten, zeigen wir Schritt für Schritt in der Anleitung zur Auskunftsanfrage nach Art. 15 DSGVO mit Vorlage.

Die Übersicht: erlaubt, nur mit Betriebsvereinbarung, verboten

Damit Sie es im Alltag schnell zur Hand haben — die wichtigsten Maßnahmen sortiert:

Die Betriebsvereinbarung als Rechtsgrundlage und Schutzschild

Damit sind wir beim wichtigsten Werkzeug. Existiert ein Betriebsrat, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein erzwingbares Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Den Wortlaut finden Sie bei gesetze-im-internet.de zu § 87 BetrVG. Entscheidend: Es genügt, dass das System überwachen kann — eine Zeiterfassungssoftware ist das immer, auch wenn Sie gar nicht überwachen wollen.

Das ist keine lästige Hürde, sondern Ihre Chance. Eine Betriebsvereinbarung (BV) kann eine eigenständige Rechtsgrundlage im Sinne des Art. 88 DSGVO sein — und sie steht auf einem Fundament, das vom EuGH-Wackeln um § 26 BDSG unberührt bleibt. Eine saubere BV zur IT-Nutzung, zur Zeiterfassung oder zur Telematik regelt Zweck, Umfang, Speicherdauer und Zugriffsrechte transparent für alle.

Auch ohne Betriebsrat brauchen Sie diese Klarheit — dann in Form einer schriftlichen Richtlinie zur IT- und Datennutzung, die jeder Mitarbeiter kennt. Das gilt besonders, wenn Mitarbeiter von zu Hause arbeiten; welche Regeln Sie dort setzen müssen, lesen Sie im Beitrag zu den Datenschutz-Regeln für das Home-Office.

Aus der Praxis

Es kam häufig vor, dass es ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern. Beim Beschäftigtendatenschutz geht es aber nicht ums Ärgern — es geht darum, dass eine GPS-Ortung oder ein Postfach-Zugriff im Streitfall vor Gericht hält, statt dem Arbeitgeber auf die Füße zu fallen.

Nils OehmichenExterner Datenschutzbeauftragter bei frag.hugo

In der Praxis ist der teuerste Fehler fast immer die heimliche Maßnahme. Ein Arbeitgeber, der eine Überwachung offen, zweckgebunden und mit Betriebsvereinbarung einführt, steht im Streitfall gut da. Wer heimlich orten, mitlesen oder mitloggen lässt, verliert nicht nur die Daten als Beweismittel — er handelt sich Beschwerden, Bußgeldrisiko und einen massiven Vertrauensschaden ein. Das ist es nie wert.

Ihre Checkliste für rechtssicheren Beschäftigtendatenschutz

• Rechtsgrundlagen je Verarbeitung benennen. Nicht allein auf § 26 BDSG stützen — Art. 6 lit. b DSGVO als zweite Säule, im VVT dokumentiert.
• Privatnutzung schriftlich regeln. E-Mail und Internet: am besten untersagen, sonst klare Richtlinie. Keine Grauzone.
• Zeiterfassung einführen. Pflicht seit BAG 2022 — objektiv, verlässlich, zugänglich, nicht als Leistungskontrolle.
• Überwachung nur mit Anlass und Betriebsrat. GPS, Video, Monitoring nie heimlich, nie anlasslos, nie ohne § 87 BetrVG.
• Gesundheitsdaten separieren. AU und BEM getrennt von der Personalakte, streng zugriffsbeschränkt.
• Need-to-know-Zugriffskonzept. Rollenbasierte Rechte auf die digitale Personalakte, Zugriffe protokolliert.
• Auf Auskunftsanfragen vorbereitet sein. Art. 15 ist auch ein Mitarbeiterrecht — Datenübersicht griffbereit halten.

Häufige Fragen (FAQ)

Auf welcher Rechtsgrundlage darf ich als Arbeitgeber Mitarbeiterdaten verarbeiten?

Für die normale Personalverwaltung ist § 26 Abs. 1 BDSG die zentrale Grundlage: Sie dürfen Daten verarbeiten, soweit das für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist. Seit dem EuGH-Urteil C-34/21 vom 30. März 2023 gilt diese Generalklausel als europarechtlich angreifbar — in der Praxis stützt man dieselbe Verarbeitung heute zusätzlich oder ersatzweise auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und gegebenenfalls Art. 6 Abs. 1 lit. f. An der Erforderlichkeitsgrenze ändert das nichts.

Darf ich die dienstlichen E-Mails meiner Mitarbeiter kontrollieren?

Bei rein dienstlicher Nutzung ist ein Zugriff in engen Grenzen möglich — etwa zur Aufrechterhaltung des Betriebs bei Abwesenheit oder bei einem konkreten, dokumentierten Verdacht. Eine anlasslose Dauerkontrolle ist unzulässig. Haben Sie die Privatnutzung erlaubt, wird der Zugriff noch heikler. Heimliches Mitlesen ist praktisch nie zulässig. Regeln Sie die zulässige und unzulässige Nutzung schriftlich in einer Richtlinie oder Betriebsvereinbarung.

Ist eine GPS-Ortung von Außendienst-Fahrzeugen erlaubt?

Nur soweit sie für einen konkreten Zweck erforderlich ist — etwa Disposition oder Diebstahlschutz — und nicht zur lückenlosen Verhaltens- und Leistungskontrolle dient. Eine heimliche oder dauerhafte anlasslose Ortung ist regelmäßig unzulässig. Außerhalb der Arbeitszeit und bei erlaubter Privatnutzung des Fahrzeugs muss die Ortung abschaltbar sein. Eine Betriebsvereinbarung schafft hier Rechtssicherheit.

Bin ich als Arbeitgeber verpflichtet, die Arbeitszeit zu erfassen?

Ja. Das Bundesarbeitsgericht hat am 13. September 2022 (1 ABR 22/21) entschieden, dass Arbeitgeber bereits nach § 3 Abs. 2 ArbSchG verpflichtet sind, ein System zur Erfassung der Arbeitszeit einzuführen. Die Erfassung muss objektiv, verlässlich und zugänglich sein. Die Zeitdaten unterliegen ihrerseits dem Beschäftigtendatenschutz und dürfen nur für legitime Zwecke genutzt werden.

Darf ich Krankheitsdaten und Diagnosen meiner Mitarbeiter speichern?

Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO mit grundsätzlichem Verarbeitungsverbot. Diagnosen gehen den Arbeitgeber nichts an. Sie dürfen Krankheitszeiten, die Tatsache der Arbeitsunfähigkeit und Daten für das Entgeltfortzahlungs- und BEM-Verfahren verarbeiten — auf Grundlage von § 26 Abs. 3 BDSG, eng begrenzt und getrennt von der normalen Personalakte aufbewahrt.

Brauche ich für Mitarbeiterüberwachung den Betriebsrat?

Ja, sobald ein Betriebsrat besteht. Nach § 87 Abs. 1 Nr. 6 BetrVG hat er ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind — Zeiterfassung, GPS, Videoüberwachung, Monitoring-Software. Ohne Zustimmung dürfen Sie solche Systeme nicht einführen; die Betriebsvereinbarung wird dann zur tauglichen Rechtsgrundlage.

Recherche-Stand: verifiziert am 24. Mai 2026 über gesetze-im-internet.de (§ 26 BDSG, § 87 BetrVG), bundesarbeitsgericht.de (1 ABR 22/21, 2 AZR 681/16), legal.pwc.de (EuGH C-34/21), datenschutzkonferenz-online.de und dr-datenschutz.de. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall — Ihr externer Datenschutzbeauftragter bewertet Ihre konkrete Konstellation.