Der Beschäftigtendatenschutz DSGVO betrifft Personalakten, Zeiterfassung, Kommunikation, Leistungsdaten und betriebliche Überwachung. Das besondere Machtgefälle im Arbeitsverhältnis verlangt sorgfältige Rechtsgrundlagen und technische Schutzmaßnahmen. Der EuGH hat die Anforderungen an nationale Regelungen und kollektivrechtliche Vereinbarungen zuletzt deutlich präzisiert.
NoDSB-Fachanalyse · Stand: 7. November 2026 · Fachliche Einordnung der genannten Gerichtsentscheidungen; Einzelfälle erfordern eine gesonderte rechtliche Prüfung.
Das Wichtigste im Überblick
Art. 88 DSGVO erlaubt besondere Regeln zum Schutz Beschäftigter, aber keine pauschale Absenkung des Datenschutzstandards. Dienst- und Betriebsvereinbarungen ersetzen die Prüfung von Rechtsgrundlage, Erforderlichkeit und Schutzmaßnahmen nicht.
1. Beschäftigtendatenschutz: DSGVO, Art. 88 und nationales Recht
Die allgemeinen Vorgaben der DSGVO gelten auch für Beschäftigtendaten. Art. 88 DSGVO erlaubt spezifischere nationale Vorschriften zur Verarbeitung im Beschäftigungskontext, verlangt jedoch geeignete und besondere Maßnahmen zum Schutz der Menschenwürde, berechtigter Interessen und Grundrechte. In Deutschland ist insbesondere § 26 BDSG zu beachten; für öffentliche Stellen können landesrechtliche Regelungen einschlägig sein. Eine nationale Bestimmung ist nicht schon deshalb ausreichend, weil sie das Beschäftigungsverhältnis ausdrücklich nennt.
2. EuGH C-34/21: Besonderheiten von Beschäftigtendatenschutzregeln
Der EuGH entschied am 30. März 2023 in C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer), dass spezifischere nationale Normen die Anforderungen von Art. 88 Abs. 2 DSGVO erfüllen müssen. Allgemeine Erforderlichkeitsformeln ohne die gebotenen besonderen Schutzmaßnahmen reichen nicht zwingend. Im Verfahren ging es um die Verarbeitung von Lehrkräftedaten im Zusammenhang mit Videokonferenzunterricht. Nicht jede landes- oder bundesrechtliche Vorschrift wird durch dieses Urteil automatisch ungültig; im Konfliktfall ist unionsrechtskonforme Anwendung oder Nichtanwendung der betroffenen Vorschrift zu prüfen.
3. EuGH C-65/23: Betriebsvereinbarung ist kein Freibrief
Mit Urteil vom 19. Dezember 2024 in C-65/23 (MK/K GmbH) stellte der EuGH klar, dass Parteien einer Kollektivvereinbarung über die Erforderlichkeit einer Verarbeitung nicht frei und gerichtlicher Kontrolle entzogen entscheiden können. Auch auf Betriebs- oder Dienstvereinbarungen gestützte Verarbeitungen müssen die Anforderungen der Art. 5, 6 und gegebenenfalls Art. 9 DSGVO erfüllen. Schutzregelungen sind wesentlich, können aber eine fehlende unionsrechtliche Rechtfertigung nicht beliebig kompensieren.
4. Beschäftigtenüberwachung: zulässiges Ziel und milderes Mittel
Bei Protokolldaten, E-Mail-Auswertungen, GPS-Ortung oder Videoüberwachung ist nach Zweck, konkretem Anlass, Erforderlichkeit, Transparenz und Intensität des Eingriffs zu unterscheiden. Allgemeine Vorratsüberwachung zur Leistungs- oder Verhaltenskontrolle lässt sich schwerer rechtfertigen als eng begrenzte, dokumentierte Maßnahmen zur Abwehr konkreter Risiken. Technische Administratorzugriffe sind nicht mit einer uneingeschränkten Befugnis zur Personalüberwachung gleichzusetzen. Mitbestimmungsrechte und Datenschutzrecht gelten nebeneinander.
5. Sensible Daten und Personalakten
Gesundheitsinformationen, Schwerbehindertendaten, gegebenenfalls Gewerkschaftszugehörigkeit und andere Daten nach Art. 9 DSGVO benötigen zusätzliche Rechtfertigung. Datensparsame Rollen- und Berechtigungskonzepte, Zugriffskontrollen, Protokollierung, Aufbewahrungs- und Löschregeln müssen auch für elektronische Personalakten gelten. Bei externen HR-Diensten sind Art. 28 DSGVO und gegebenenfalls Kapitel V DSGVO zu prüfen; Personalvertretungsrechte sind gesondert einzubeziehen.
6. Konsequenzen für Kommunalverwaltungen
Öffentliche Arbeitgeber sollten Arbeitsabläufe, eingesetzte Tools und vorhandene Dienstvereinbarungen in einem Verzeichnis erfassen und die konkrete Befugnisgrundlage für jeden Verarbeitungsvorgang bestimmen. Für Video- und IT-Überwachung sind Zweck, Datenkategorien, Zugriffsrollen, Speicherfristen und Zweckänderungen gesondert zu dokumentieren. Die Datenschutz-Folgenabschätzung ist bei voraussichtlich hohem Risiko nach Art. 35 DSGVO erforderlich und nicht durch eine bloße Beteiligung des Personalrats ersetzt.
7. NoDSB-Einordnung
Die wesentliche Lehre der neueren Rechtsprechung lautet: Beschäftigtendatenschutz muss sowohl materiell rechtmäßig als auch verfahrensrechtlich kontrollierbar sein. Eine betriebliche Vereinbarung ist ein wichtiges Schutzinstrument, aber keine eigenständige Ermächtigung zu beliebiger Beobachtung. Gerade öffentliche Arbeitgeber haben durch vorbildliche Transparenz eine besondere Verantwortung.
Häufige Fragen
Erlaubt eine Dienstvereinbarung jede Mitarbeiterüberwachung?
Nein. Die Vereinbarung muss sich innerhalb der DSGVO halten und die Notwendigkeit sowie Grundrechte wahren.
Darf ein Arbeitgeber jede E-Mail kontrollieren?
Nein. Zulässigkeit und Umfang hängen unter anderem vom konkreten Zweck, den Rechtsgrundlagen, Erwartungen und Schutzmaßnahmen ab.
Gerichtsentscheidungen und amtliche Quellen
Verwandte Rechtsprechung auf NoDSB
Vertiefend: Automatisierte Entscheidungen · Videoüberwachung.
Weiterlesen auf NoDSB
Die Entscheidungen lassen sich im Zusammenhang der Rechtsprechungsdatenbank · Social Media und Datenschutz · Internationaler Datentransfer einordnen. Weiterführende Primärquellen werden bei der Übernahme in die NoDSB-Fachbibliothek nach Entscheidungen und Dokumenttypen klassifiziert.