DSGVO und Mitarbeiterdaten: Welche Verarbeitungen werden als zulässig eingeordnet?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Der Beschäftigten-Datenschutz wird in Deutschland durch ein Geflecht aus Normen geprägt:

• Art. 88 DSGVO öffnet eine nationale Regelungs-Befugnis für den Beschäftigungs-Kontext.
• § 26 BDSG sollte diese Öffnung konkretisieren. Abs. 1 erfasst Verarbeitungen für Zwecke des Beschäftigungsverhältnisses, Abs. 2 regelt die Einwilligung im Arbeits-Kontext (mit erhöhten Anforderungen an die Freiwilligkeit), Abs. 3 die Verarbeitung besonderer Datenkategorien. Nach dem EuGH-Urteil C-34/21 vom 30.03.2023 zu einer gleichlautenden Landesvorschrift (§ 23 HDSIG) erfüllt Abs. 1 Satz 1 nach Einschätzung der Aufsichtsbehörden sehr wahrscheinlich nicht die Anforderungen des Art. 88 DSGVO; Maßstab ist dann Art. 6 Abs. 1 DSGVO.

• Spezialgesetze ergänzen die allgemeinen Regeln in vielen Bereichen, etwa § 167 SGB IX (Betriebliches Eingliederungsmanagement), § 22 BDSG (besondere Datenkategorien), § 39e Abs. 3 EStG (Merkmale für den Kirchensteuerabzug), § 28a SGB IV (Sozialversicherung) und das ArbZG (Arbeitszeit-Dokumentation).
• Kollektivrecht, Betriebsvereinbarungen können nach § 26 Abs. 4 BDSG Rechtsgrundlage für Verarbeitungen sein, sofern sie die Anforderungen aus Art. 88 Abs. 2 DSGVO einhalten.

Die Datenschutzkonferenz (DSK) hat die Grundzüge im Kurzpapier Nr. 14 „Beschäftigtendatenschutz“ zusammengefasst.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Eine Verarbeitung ist nach Art. 6 Abs. 1 lit. b DSGVO zulässig, soweit sie für die Erfüllung des Arbeitsvertrags oder für vorvertragliche Maßnahmen wie das Bewerbungsverfahren erforderlich ist. Verarbeitungen, die eine gesetzliche Pflicht des Arbeitgebers erfüllen (etwa Lohnsteuer- und Sozialversicherungsmeldungen), stützen sich auf Art. 6 Abs. 1 lit. c DSGVO.

Als typischerweise erforderlich werden im Standard-Fall eingestuft:

• Stammdaten (Name, Adresse, Geburtsdatum) für Vertrags- und Steuer-Pflichten
• Sozialversicherungs- und Steuerdaten für gesetzliche Melde-Pflichten
• Bankverbindung für Lohnzahlung
• Arbeitsvertrags-bezogene Daten (Position, Gehalt, Arbeitszeit, Urlaubsanspruch)
• Krankheitstage als reine Abwesenheits-Information (Diagnose ist nicht erforderlich)
• Qualifikations- und Zeugnis-Unterlagen aus dem Bewerbungs-Verfahren

Kritisch zu bewerten sind dagegen Konstellationen wie:

• pauschale Persönlichkeits-Profile ohne konkreten Vertragsbezug
• Tracking der Mitarbeiter-Aktivität ohne mitbestimmungs-rechtliche Grundlage
• biometrische Zeiterfassung, hier ist bei Stützung auf Einwilligung die Freiwilligkeit nach § 26 Abs. 2 BDSG (i. V. m. Abs. 3 Satz 2) unter Berücksichtigung der Abhängigkeit im Beschäftigungsverhältnis zu beurteilen; die Einwilligung hat grundsätzlich schriftlich oder elektronisch zu erfolgen
• Speicherung von Daten Familien-Angehöriger ohne erkennbaren Vertragsbezug

Sofern besondere Datenkategorien nach Art. 9 DSGVO betroffen sind, gelten regelmäßig zusätzliche Anforderungen. Gesundheitsdaten im Rahmen des Betrieblichen Eingliederungsmanagements stützen sich beispielsweise auf § 26 Abs. 3 BDSG i.V.m. § 167 Abs. 2 SGB IX; eine getrennte Akten-Führung mit eingeschränktem Zugriffskreis begrenzt den Kreis der Personen, die diese Daten sehen.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungs-Praxis werden für die strukturierte Personaldaten-Verarbeitung regelmäßig drei Bausteine genannt:

Kartierung der Personaldaten-Flüsse, Inventur, welche Systeme welche Personaldaten enthalten (Lohnsoftware, Personalakten-System, E-Mail, Zeiterfassung, Zutritts-System, BEM-Akte). Diese Aufstellung fließt in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ein.

Lösch- und Aufbewahrungs-Konzept, eine Tabelle mit Datenart, einschlägiger Aufbewahrungs-Frist, Lösch-Termin und verantwortlicher Stelle. Typische Bezugs-Normen:

Die Fristen nach AO und HGB beginnen gemäß § 147 Abs. 4 AO bzw. § 257 Abs. 5 HGB mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Nach Fristablauf greift der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO.

Betroffenenrechte-Prozess, ein definierter Workflow für eingehende Anfragen nach Art. 15 (Auskunft), Art. 16 (Berichtigung), Art. 17 (Löschung), Art. 18 (Einschränkung), Art. 20 (Datenübertragbarkeit) und Art. 21 (Widerspruch). Standard-Elemente sind Identitäts-Prüfung, Daten-Sammlung aus allen Systemen, Sichtung auf Drittpersonen-Bezüge, strukturierte Auslieferung in der Ein-Monats-Frist nach Art. 12 Abs. 3 DSGVO.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Sonder-Konstellationen verschieben den Anforderungs-Rahmen deutlich:

• Schwerbehinderten-Vertretung und BEM-Verfahren, hier greifen besondere Vertraulichkeits-Anforderungen, etwa die Zustimmung der betroffenen Person zum BEM nach § 167 Abs. 2 SGB IX und die Geheimhaltungspflicht der Vertrauenspersonen nach § 179 Abs. 7 SGB IX, sowie spezifische Zugriffs-Beschränkungen.
• Whistleblowing-Meldungen nach HinSchG, eingehende Meldungen unterliegen dem Vertraulichkeitsgebot nach § 8 HinSchG; die Identität der hinweisgebenden und der betroffenen Personen darf nur den für Meldungen und Folgemaßnahmen zuständigen Personen bekannt werden.

• Konzern-interne Daten-Übermittlung, ein Konzernprivileg kennt die DSGVO nicht: Auch eine Übermittlung an Mutter- oder Schwestergesellschaften braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Erwägungsgrund 48 erkennt ein berechtigtes Interesse an der Übermittlung für interne Verwaltungszwecke innerhalb einer Unternehmensgruppe an; Art. 88 Abs. 2 DSGVO nennt Übermittlungen innerhalb einer Unternehmensgruppe ausdrücklich als Regelungsgegenstand. Binding Corporate Rules (Art. 47 DSGVO) betreffen nur Übermittlungen in Drittländer.
• Künstliche Intelligenz im HR-Prozess (automatisierte Bewerbungs-Sichtung, Performance-Scoring), hier greifen Art. 22 DSGVO sowie die Hochrisiko-Regelungen des AI Act (Verordnung (EU) 2024/1689), insbesondere Annex III Nr. 4; für Anhang-III-Systeme gelten diese nach Art. 113 in der Fassung der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027.
• Internationale Mitarbeiter-Datenflüsse außerhalb der EU/EWR, hier sind Standardvertragsklauseln nach Art. 46 DSGVO und ein Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020 zu prüfen.
• Betriebsrats-pflichtige Sachverhalte, bei mitbestimmungs-relevanten Verarbeitungen (insbesondere technische Einrichtungen zur Leistungs- und Verhaltens-Überwachung nach § 87 Abs. 1 Nr. 6 BetrVG) ist das Mitbestimmungsrecht des Betriebsrats zu wahren, etwa über eine Betriebsvereinbarung.

In allen genannten Konstellationen ist eine arbeits-, datenschutz- und ggf. mitbestimmungs-rechtliche Einzel-Begutachtung empfehlenswert.

Nächster Schritt

Eine strukturierte Aufnahme aller Personal-Verarbeitungen ins Verzeichnis nach Art. 30 DSGVO ist der typische Ausgangspunkt für eine belastbare Bestandsaufnahme. Für die Erfassung der einzelnen Verarbeitungen steht der Verfahrensverzeichnis-Generator zur Verfügung.

Sofern externe Lohn-Dienstleister eingebunden sind, ist die Abgrenzung zwischen Auftragsverarbeitung und eigener Verantwortlichkeit zu klären. DSGVO-Auftragsverarbeitung Art. 28 in der Praxis erläutert die Kriterien und die typische vertragliche Struktur.