DSGVO, BDSG, Überwachung und KI im ArbeitsverhältnisBeschäftigtendatenschutz: Was gilt aktuell?

Der Beschäftigtendatenschutz gewinnt durch digitale Arbeitsabläufe, Leistungsauswertungen und den Einsatz künstlicher Intelligenz weiter an Bedeutung.

Ein 2024 bekannt gewordener Entwurf konnte in der damaligen Legislaturperiode nicht mehr verabschiedet werden. Die Bundesregierung verfolgt das Thema weiter. Solange kein neues Gesetz beschlossen und in Kraft getreten ist, bleiben insbesondere die DSGVO, § 26 BDSG und die arbeitsrechtlichen Beteiligungsrechte maßgeblich.

Welche Regeln gelten im Beschäftigtendatenschutz?

Personenbezogene Daten von Beschäftigten dürfen nach § 26 BDSG verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach dessen Begründung für dessen Durchführung oder Beendigung erforderlich ist. Zusätzlich können weitere Rechtsgrundlagen der DSGVO einschlägig sein.

Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gelten zusätzliche Voraussetzungen. Unternehmen müssen außerdem die Grundsätze der Zweckbindung, Datenminimierung, Transparenz, Speicherbegrenzung und Sicherheit beachten.

Eine Einwilligung von Beschäftigten ist nicht automatisch unwirksam. Wegen des Abhängigkeitsverhältnisses muss ihre Freiwilligkeit aber besonders sorgfältig geprüft werden. Eine pauschale Zustimmung zu weitreichender Überwachung bietet regelmäßig keine verlässliche Grundlage.

Leistungs- und Verhaltenskontrollen

Scanner, Protokolldaten, Kameras, Ortungssysteme und Softwareauswertungen können Informationen über Verhalten oder Leistung von Beschäftigten liefern. Ob ihr Einsatz zulässig ist, hängt vom konkreten Zweck, der Erforderlichkeit und der Verhältnismäßigkeit ab.

Eine dauerhafte oder anlasslose Überwachung ist besonders eingriffsintensiv. Verdeckte Kontrollen zur Aufdeckung von Straftaten setzen nach § 26 Absatz 1 Satz 2 BDSG dokumentierte tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit voraus.

Besteht ein Betriebsrat, kann bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, ein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG bestehen. Datenschutzrechtliche Zulässigkeit und betriebliche Mitbestimmung sind getrennt zu prüfen.

Künstliche Intelligenz im Personalbereich

KI-Systeme können Bewerbungen vorsortieren, Leistungen bewerten oder Personalentscheidungen vorbereiten. Solche Anwendungen dürfen nicht allein nach ihrer Produktbezeichnung beurteilt werden. Unternehmen sollten klären, welche Daten verwendet werden, welche Kriterien in die Bewertung einfließen und welche Bedeutung das Ergebnis für die Entscheidung hat.

Neben DSGVO und BDSG ist der EU AI Act zu beachten. Bestimmte KI-Systeme für Beschäftigung und Personalmanagement können als Hochrisiko-KI-Systeme eingeordnet werden. Die besonderen Anforderungen für Systeme nach Anhang III gelten grundsätzlich ab dem 2. Dezember 2027. Bereits heute gelten jedoch datenschutzrechtliche Pflichten, Verbote bestimmter KI-Praktiken und die Pflicht zur Förderung von KI-Kompetenz.

Was sollten Arbeitgeber praktisch tun?

• Den konkreten Zweck jeder Verarbeitung festlegen.
• Nur erforderliche Daten und Funktionen freigeben.
• Rechtsgrundlage und Informationspflichten dokumentieren.
• Zugriffsrechte, Speicherfristen und Löschung regeln.
• Dienstleister, Verträge und mögliche Drittlandübermittlungen prüfen.
• Bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
• Datenschutzbeauftragte und gegebenenfalls den Betriebsrat frühzeitig einbinden.
• Beschäftigte verständlich informieren und schulen.

Ein neues Beschäftigtendatengesetz kann diese Anforderungen künftig ergänzen oder konkretisieren. Entwürfe und politische Ankündigungen ändern den geltenden Rechtsrahmen jedoch noch nicht.

Stand: 1. November 2026.