Beschäftigtendatenschutz: § 26 BDSG nach EuGH C-34/21 und BAG 8 AZR 209/21

„Der Arbeitgeber darf doch alles speichern, oder?" — ein häufiger Denkfehler

In Datenschutz-Foren und DSB-Community-Gruppen taucht dieselbe Frage immer wieder auf: „Muss ich als Arbeitgeber für jede Datei über meinen Mitarbeiter eine Rechtsgrundlage nachweisen?" Die häufige Antwort ist dabei zu kurz: „§ 26 BDSG deckt das ab." Prüfungskandidaten, die das so wiederholen, übersehen zwei entscheidende Entwicklungen — das EuGH-Urteil vom 30. März 2023 (C-34/21) und die BAG-Entscheidung vom 8. Mai 2025 (8 AZR 209/21). Beide zusammen verschieben die Rechtsgrundlage erheblich.

Wer als angehender Datenschutzbeauftragter Beschäftigtendatenschutz erklären soll, braucht mehr als den Gesetzestext: Er muss wissen, welche Teile von § 26 BDSG noch eigenständig anwendbar sind, wo direkt auf die DSGVO zurückgegriffen werden muss und warum die Einwilligung im Arbeitsverhältnis strukturell anders funktioniert als im Verbraucherkontext. Aufbauend auf dem Überblick zu den sechs Erlaubnistatbeständen nach Art. 6 DSGVO zeigt dieser Ratgeber, was § 26 BDSG konkret regelt — und was nicht mehr.

Was ist § 26 BDSG — und wer gilt als Beschäftigter?

§ 26 BDSG (Bundesdatenschutzgesetz 2018) ist die nationale Spezialvorschrift für die Verarbeitung personenbezogener Daten im Beschäftigungskontext und stützt sich auf die Öffnungsklausel des Art. 88 DSGVO, der den Mitgliedstaaten erlaubt, spezifischere Regeln für Beschäftigtendaten zu erlassen. Das Besondere: Der Beschäftigtenbegriff in § 26 Abs. 8 BDSG ist ungewöhnlich weit.

Darüber hinaus zählen nach § 26 Abs. 8 BDSG auch Rehabilitanden, Beschäftigte in Werkstätten für Menschen mit Behinderungen, Freiwillige nach dem Jugendfreiwilligendienstegesetz (JFDG) oder dem Bundesfreiwilligendienstgesetz (BFDG), arbeitnehmerähnliche Personen (etwa Heimarbeiter) sowie Beamtinnen und Beamte des Bundes, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten und Zivildienstleistende als Beschäftigte. Die Aufnahme von Bewerbern und ehemaligen Beschäftigten ist prüfungsrelevant: Sie genießen denselben datenschutzrechtlichen Schutz wie aktive Arbeitnehmer.

Was ist der Grundsatz der Erforderlichkeit (§ 26 Abs. 1 Satz 1 BDSG)?

§ 26 Abs. 1 Satz 1 BDSG erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten, wenn dies für die Entscheidung über die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Das klingt wie eine umfassende Generalerlaubnis — und genau das ist das Problem.

Diese Formulierung wiederholt im Kern lediglich die Bedingung der Erforderlichkeit, die auch Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) aufstellt — ohne zusätzliche beschäftigungsspezifische Schutzmaßnahmen zu schaffen. Genau darin liegt der Konflikt mit dem Unionsrecht.

Warum gilt § 26 Abs. 1 Satz 1 BDSG nicht mehr als eigenständige Rechtsgrundlage?

§ 26 Abs. 1 Satz 1 BDSG gilt nach herrschender Auffassung von Aufsichtsbehörden und Literatur — bestätigt durch das BAG im Mai 2025 — nicht mehr als selbstständige Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten, weil er die Anforderungen der Öffnungsklausel des Art. 88 DSGVO nicht erfüllt.

Den Ausgangspunkt setzte der EuGH in seinem Urteil vom 30. März 2023 (C-34/21). Gegenstand war § 23 Abs. 1 S. 1 HDSIG — die hessische Parallelvorschrift zu § 26 Abs. 1 S. 1 BDSG —, auf die eine hessische Schule die Videoübertragung von Unterricht gestützt hatte. Der EuGH erklärte: Nationale Generalklauseln im Beschäftigungskontext, die lediglich die allgemeinen Rechtmäßigkeitsbedingungen der DSGVO wiederholen, ohne die von Art. 88 Abs. 2 DSGVO verlangten „geeigneten und besonderen Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte" zu schaffen, sind keine zulässigen Öffnungsklauselvorschriften i.S.v. Art. 88 Abs. 1 DSGVO und bleiben unangewendet. Da § 26 Abs. 1 S. 1 BDSG strukturell mit § 23 HDSIG identisch formuliert ist, zogen Aufsichtsbehörden (u.a. LfDI Baden-Württemberg, BfDI) und die herrschende Literatur dieselbe Schlussfolgerung für das Bundesgesetz.

Das Bundesarbeitsgericht (BAG) übertrug diese Wertung in seinem Urteil vom 8. Mai 2025 (8 AZR 209/21) explizit auf § 26 Abs. 1 BDSG und erklärte ihn für unanwendbar. Der Arbeitgeber hatte Beschäftigtendaten für den Test einer HR-Software an eine US-Konzernobergesellschaft übermittelt — über den Umfang einer Betriebsvereinbarung hinaus. Das BAG verurteilte ihn zur Zahlung von 200 € immateriellem Schadensersatz nach Art. 82 Abs. 1 DSGVO (vgl. auch Ratgeber zu Art. 82 DSGVO).

Was gilt für die Aufdeckung von Straftaten (§ 26 Abs. 1 Satz 2 BDSG)?

§ 26 Abs. 1 Satz 2 BDSG erlaubt die Verarbeitung zur Aufdeckung von Straftaten nur unter drei kumulativen Voraussetzungen: zu dokumentierende tatsächliche Anhaltspunkte müssen den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung muss zur Aufdeckung erforderlich sein, und das schutzwürdige Interesse der Beschäftigten darf nicht überwiegen — insbesondere Art und Ausmaß der Maßnahme müssen verhältnismäßig sein.

Diese Regelung enthält eigenständige, über die DSGVO hinausgehende Schutzmerkmale (Dokumentationspflicht, Verhältnismäßigkeitsabwägung) und dürfte daher — anders als § 26 Abs. 1 Satz 1 BDSG — weiterhin als Rechtsgrundlage Bestand haben. Praxisbeispiel: Ein heimlich installierter Keylogger auf dem Dienst-PC des Mitarbeiters erfordert dokumentierten Straftatverdacht; eine anlasslose Totalüberwachung scheitert bereits an der Erforderlichkeit.

Wie funktioniert die Einwilligung im Beschäftigungsverhältnis?

§ 26 Abs. 2 BDSG erlaubt Einwilligungen von Beschäftigten, stellt aber besondere Anforderungen an deren Freiwilligkeit, weil das Abhängigkeitsverhältnis zwischen Arbeitgeber und Beschäftigtem die freie Entscheidung strukturell erschwert.

Wann kann Freiwilligkeit angenommen werden?

§ 26 Abs. 2 Satz 2 BDSG nennt zwei Konstellationen, in denen Freiwilligkeit insbesondere vorliegen kann: wenn die beschäftigte Person einen rechtlichen oder wirtschaftlichen Vorteil erhält (etwa betriebliche Krankenversicherung, Jobticket) oder wenn Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen (etwa gemeinsame Sportveranstaltung). In Zweifelsfällen — Kündigung bei Verweigerung, Beförderung als Gegenleistung — fehlt die Freiwilligkeit.

Form und Aufklärungspflicht

Die Einwilligung muss nach § 26 Abs. 2 Satz 3 BDSG schriftlich oder elektronisch erfolgen, soweit nicht besondere Umstände eine andere Form angemessen machen. Der Arbeitgeber muss die beschäftigte Person zudem gemäß § 26 Abs. 2 Satz 4 BDSG in Textform über den Verarbeitungszweck und ihr Widerrufsrecht nach Art. 7 Abs. 3 DSGVO aufklären.

Kollektivvereinbarungen als bevorzugter Weg (§ 26 Abs. 4 BDSG)

§ 26 Abs. 4 BDSG erlaubt die Verarbeitung von Beschäftigtendaten — einschließlich besonderer Kategorien — auf Grundlage von Kollektivvereinbarungen (Betriebs- oder Dienstvereinbarungen, Tarifverträge). In der Praxis sind Betriebsvereinbarungen die bevorzugte Rechtsgrundlage für komplexere Datenverarbeitungen wie Zeiterfassung, Leistungsbeurteilung oder Telematik, weil sie das Freiwilligkeitsproblem der Einzeleinwilligung umgehen.

Die Verhandlungspartner müssen dabei Art. 88 Abs. 2 DSGVO beachten: Die Vereinbarung muss „angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person" enthalten. Fehlen diese Schutzmaßnahmen, droht dieselbe Anwendbarkeitslücke wie bei § 26 Abs. 1 Satz 1 BDSG. Das BAG-Urteil 8 AZR 209/21 illustriert das: Die dort vorliegende Betriebsvereinbarung deckte nur bestimmte Datenkategorien ab — Übermittlungen darüber hinaus waren rechtswidrig. Das Verarbeitungsverzeichnis (Art. 30 DSGVO) muss die konkrete Kollektivvereinbarung als Rechtsgrundlage ausweisen.

Häufige Prüfungsfragen