Datenschutz im Arbeitsverhältnis: Drei Risiken, die Arbeitgeber jetzt prüfen sollten

Wenn aus einer Personalentscheidung ein Datenschutzstreit wird

Ein Mitarbeiter klagt gegen seine Kündigung. Im Verfahren fordert er zusätzlich Auskunft über sämtliche gespeicherten personenbezogenen Daten. Dabei stellt sich heraus, dass sein Arbeitgeber Informationen an einen ausländischen Konzernstandort übertragen hat.

Plötzlich geht es nicht mehr nur um die Kündigung. Auch die Rechtmäßigkeit der Datenverarbeitung steht auf dem Prüfstand.

Solche Konstellationen zeigen, warum Datenschutz im Arbeitsverhältnis für Unternehmen ein ernst zu nehmendes Prozessrisiko ist.

Die arbeitsgerichtliche Rechtsprechung der vergangenen Jahre verdeutlicht: Arbeitgeber müssen nicht nur erklären können, warum sie Beschäftigtendaten verarbeiten. Sie müssen auch nachweisen können, dass Umfang, Zweck und Rechtsgrundlage stimmen.

Drei Themen verdienen dabei besondere Aufmerksamkeit.

Viele Unternehmen regeln den Einsatz von Personalsoftware, Zeiterfassung oder anderen IT-Systemen durch Betriebsvereinbarungen.

Doch eine Einigung mit dem Betriebsrat bedeutet nicht automatisch, dass jede darin vorgesehene Datenverarbeitung zulässig ist.

Der Europäische Gerichtshof hat im Dezember 2024 klargestellt, dass auch Betriebsvereinbarungen die Anforderungen der DSGVO einhalten müssen.

Insbesondere dürfen sie die Grundsätze der Erforderlichkeit und Datenminimierung nicht unterlaufen.

Ein Beispiel: Eine Betriebsvereinbarung erlaubt die umfassende Auswertung von Beschäftigtendaten, obwohl für den vorgesehenen Zweck deutlich weniger Informationen ausreichen würden.

Dann kann die Verarbeitung trotz bestehender Vereinbarung datenschutzrechtlich problematisch sein.

Für Arbeitgeber folgt daraus: Bestehende Betriebsvereinbarungen sollten nicht nur arbeitsrechtlich, sondern auch datenschutzrechtlich überprüft werden.

Das gilt besonders bei neuen HR-Systemen, digitalen Leistungsanalysen und Software mit umfangreichen Auswertungsfunktionen.

Eine internationale Unternehmensgruppe führt eine neue Personalsoftware ein.

Für Testzwecke werden Daten von Beschäftigten an die ausländische Muttergesellschaft übertragen.

Auf den ersten Blick erscheint das als gewöhnlicher interner Vorgang.

Datenschutzrechtlich ist die Situation jedoch komplizierter.

Auch innerhalb eines Konzerns benötigt die Verarbeitung personenbezogener Daten eine geeignete Rechtsgrundlage. Bei Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums können zusätzliche Anforderungen gelten.

Das Bundesarbeitsgericht beschäftigte sich im Mai 2025 mit einem Fall, in dem Beschäftigtendaten für eine Softwaretestung weitergegeben wurden.

Dabei gingen die übermittelten Informationen über den vereinbarten Zweck hinaus.

Das Gericht sprach dem betroffenen Arbeitnehmer Schadensersatz zu.

Die Entscheidung macht deutlich, dass ein unzulässiger Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann.

Ein finanzieller Verlust muss dafür nicht zwingend vorliegen.

Allerdings führt nicht jeder DSGVO-Verstoß automatisch zu einem Schadensersatzanspruch. Ein tatsächlich entstandener Schaden und der erforderliche Zusammenhang mit dem Verstoß müssen weiterhin festgestellt werden.

Spätestens bei einer Kündigung kann die Verarbeitung von Beschäftigtendaten zum Streitpunkt werden.

Arbeitnehmer haben nach Artikel 15 DSGVO grundsätzlich das Recht, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen.

Dazu können auch Informationen aus Personalakten, IT-Systemen oder bestimmten Kommunikationsvorgängen gehören.

Für Unternehmen kann die Bearbeitung umfangreicher Anfragen erheblichen Aufwand verursachen.

Besonders schwierig wird es, wenn Daten über zahlreiche Systeme verteilt sind.

Die Rechtsprechung setzt allerdings auch Grenzen.

Das Bundesarbeitsgericht hat im Februar 2025 verdeutlicht, dass eine verspätete Auskunft allein nicht automatisch einen Schadensersatzanspruch begründet.

Es muss ein ersatzfähiger Schaden vorliegen.

Das ändert nichts an der Pflicht, Auskunftsanfragen ordnungsgemäß zu bearbeiten.

Grundsätzlich muss die Antwort innerhalb eines Monats erfolgen. Unter bestimmten Voraussetzungen kann diese Frist verlängert werden.

Unternehmen sollten deshalb bereits vor einem Konflikt wissen, wo personenbezogene Beschäftigtendaten gespeichert sind.

Beschäftigtendatenschutz ist längst keine reine Aufgabe der IT-Abteilung mehr.

Personalabteilung, Geschäftsführung, Betriebsrat und Datenschutzbeauftragter müssen zusammenarbeiten.

Besonders kritisch sind Systeme, die Beschäftigtendaten zusammenführen oder umfassend auswerten.

Dazu gehören beispielsweise digitale Personalakten, Bewerbermanagementsysteme, Zeiterfassung, Cloud-Anwendungen und KI-gestützte Personalsoftware.

Fehlen klare Regeln, entstehen mehrere Risiken gleichzeitig: unzulässige Datenverarbeitung, aufwendige Auskunftsverfahren, Schadensersatzforderungen und Vertrauensverlust innerhalb der Belegschaft.

Die beste Vorbereitung besteht deshalb nicht in einer möglichst umfangreichen Dokumentation allein.

Entscheidend sind verständliche Prozesse, klare Zuständigkeiten und tatsächlich wirksame Kontrollen.

Prüfen Sie Ihre Datenschutzorganisation anhand dieser Fragen:

1. Kennen Sie alle Systeme mit Beschäftigtendaten? Erfassen Sie, welche Personalinformationen in welchen Anwendungen verarbeitet werden.

2. Sind die Rechtsgrundlagen dokumentiert? Prüfen Sie insbesondere neue IT-Systeme und zusätzliche Auswertungen.

3. Sind Betriebsvereinbarungen aktuell? Vergleichen Sie deren Regelungen mit den tatsächlichen Funktionen der eingesetzten Software.

4. Wissen Sie, wohin Daten übertragen werden? Kontrollieren Sie insbesondere konzerninterne Datenflüsse und Übermittlungen in Drittländer.

5. Können Sie Auskunftsanfragen fristgerecht bearbeiten? Legen Sie Verantwortlichkeiten, Suchprozesse und Freigaben fest.

6. Werden Beschäftigtendaten rechtzeitig gelöscht? Prüfen Sie Aufbewahrungsfristen und Löschkonzepte für Personalakten, Bewerbungen und IT-Systeme.

Wenn mehrere dieser Fragen nicht eindeutig beantwortet werden können, besteht Handlungsbedarf.

Datenschutz Prinz unterstützt Unternehmen dabei, den Beschäftigtendatenschutz organisatorisch und technisch abzusichern.

Wir prüfen HR-Prozesse, begleiten die Einführung neuer Personalsoftware und unterstützen bei der datenschutzrechtlichen Bewertung von Betriebsvereinbarungen.

Außerdem helfen wir bei Auskunftsanfragen, Löschkonzepten und der Dokumentation konzerninterner Datenübermittlungen.

Ziel ist eine Datenschutzorganisation, die auch dann funktioniert, wenn arbeitsrechtliche Konflikte entstehen.

Die aktuelle Rechtsprechung zeigt, dass Datenschutzfragen in arbeitsgerichtlichen Auseinandersetzungen erhebliche Bedeutung haben können.

Betriebsvereinbarungen ersetzen keine sorgfältige DSGVO-Prüfung. Konzerninterne Datenübermittlungen sind nicht automatisch zulässig. Und Auskunftsanfragen müssen auch in Konfliktsituationen korrekt bearbeitet werden.

Datenschutz im Arbeitsverhältnis sollte deshalb nicht erst geprüft werden, wenn eine Klage auf dem Tisch liegt.

Wer Personalprozesse frühzeitig datenschutzkonform gestaltet, reduziert rechtliche Risiken und schafft verlässliche Strukturen für Beschäftigte und Unternehmensleitung. 

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennen zu lernen!

Ihr Team von Datenschutz Prinz