Arbeitnehmerinnen und Arbeitnehmer haben auch am Arbeitsplatz umfassende Datenschutzrechte. Sie können insbesondere erfahren, welche personenbezogenen Daten der Arbeitgeber über sie verarbeitet, unrichtige Daten berichtigen lassen und unter bestimmten Voraussetzungen die Löschung oder Einschränkung der Verarbeitung verlangen. Bei unzulässiger Datenverarbeitung kommen außerdem eine Beschwerde bei der Datenschutzaufsichtsbehörde und gegebenenfalls Schadensersatz in Betracht.
Das Wichtigste
Der Arbeitgeber darf personenbezogene Daten nicht allein deshalb erheben, speichern oder auswerten, weil sie technisch verfügbar oder für ihn möglicherweise interessant sind. Jede Datenverarbeitung benötigt eine Rechtsgrundlage und muss insbesondere erforderlich, zweckgebunden, transparent und verhältnismäßig sein.
Beschäftigte haben vor allem ein Recht auf Information und Auskunft. Sie können darüber hinaus die Berichtigung falscher Daten, die Löschung nicht mehr benötigter Daten oder eine Einschränkung der weiteren Nutzung verlangen. Je nach Rechtsgrundlage kann außerdem ein Widerspruchsrecht bestehen.
Diese Rechte gelten nicht nur während eines laufenden Arbeitsverhältnisses. Auch Bewerberinnen und Bewerber sowie ehemalige Beschäftigte werden vom Beschäftigtendatenschutz erfasst. § 26 Abs. 8 BDSG stellt dies ausdrücklich klar.
Rechtliche Einordnung
Der Beschäftigtendatenschutz richtet sich vor allem nach der Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz und arbeitsrechtlichen Spezialvorschriften. Die zentrale nationale Vorschrift ist § 26 BDSG.
Danach dürfen Beschäftigtendaten verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Arbeitsverhältnisses oder nach dessen Beginn für die Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist. Besondere Anforderungen gelten, wenn Daten zur Aufdeckung einer Straftat verarbeitet werden sollen. Hierfür müssen dokumentierte tatsächliche Anhaltspunkte für einen entsprechenden Verdacht bestehen; außerdem muss die Maßnahme erforderlich und verhältnismäßig sein.
Ergänzend gelten die allgemeinen Grundsätze der DSGVO. Dazu gehören insbesondere Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Datensicherheit.
Auch eine Betriebsvereinbarung erlaubt dem Arbeitgeber nicht jede denkbare Datenverarbeitung. Kollektivvereinbarungen müssen die Vorgaben der DSGVO, insbesondere deren Anforderungen an die Rechtmäßigkeit und Erforderlichkeit der Verarbeitung, einhalten. Bei der Übermittlung von Beschäftigtendaten an ein konzernweites Personalverwaltungssystem hat das Bundesarbeitsgericht einem Arbeitnehmer im Jahr 2025 Schadensersatz zugesprochen, weil zusätzliche, von der einschlägigen Betriebsvereinbarung nicht erfasste Daten ohne ausreichende Rechtsgrundlage übermittelt worden waren.
Welche Daten gelten als personenbezogene Daten?
Personenbezogene Daten sind alle Informationen, die sich einer bestimmten oder bestimmbaren Person zuordnen lassen. Im Arbeitsverhältnis betrifft dies beispielsweise:
Name, Anschrift und Kontaktdaten, Geburtsdatum, Personalnummer, Arbeitszeiten, Fehlzeiten, Vergütung, Bankverbindung, Steuerdaten, Leistungsbeurteilungen, Abmahnungen, E-Mails, Protokolldaten, Standortdaten sowie Angaben über Krankheit oder Schwerbehinderung.
Auch Werturteile können personenbezogene Daten sein. Das gilt etwa für Bewertungen der Arbeitsleistung, Gesprächsvermerke oder interne Einschätzungen über das Verhalten eines Beschäftigten.
Gesundheitsdaten, Angaben zur Religion oder Gewerkschaftszugehörigkeit sowie biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden, gehören zu den besonders geschützten Datenkategorien. Ihre Verarbeitung ist nur unter zusätzlichen Voraussetzungen zulässig.
Muss mich der Arbeitgeber über die Datenverarbeitung informieren?
Ja. Arbeitnehmer müssen grundsätzlich darüber informiert werden, welche personenbezogenen Daten verarbeitet werden.
Die Information muss unter anderem erkennen lassen, wer für die Verarbeitung verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage die Daten verarbeitet werden, wie lange sie gespeichert werden und an welche Empfänger sie übermittelt werden können. Auch über die bestehenden Datenschutzrechte und die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde ist zu informieren.
Diese Informationen finden sich häufig in einer Datenschutzinformation für Beschäftigte. Eine allgemein gehaltene Erklärung genügt jedoch nicht zwangsläufig, wenn daraus die konkrete Datenverarbeitung nicht nachvollziehbar wird. Nach Art. 12 DSGVO müssen Informationen präzise, transparent, verständlich und leicht zugänglich erteilt werden.
Kann ich Auskunft über meine gespeicherten Daten verlangen?
Ja. Nach Art. 15 DSGVO können Arbeitnehmer vom Arbeitgeber Auskunft darüber verlangen, ob und welche personenbezogenen Daten über sie verarbeitet werden.
Die Auskunft kann sich unter anderem beziehen auf:
die verarbeiteten Daten, die Verarbeitungszwecke, die Datenkategorien, die Empfänger oder Empfängerkategorien, die geplante Speicherdauer, die Herkunft der Daten und das Bestehen automatisierter Entscheidungsverfahren.
Grundsätzlich besteht außerdem ein Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Das bedeutet allerdings nicht automatisch, dass der Arbeitgeber stets sämtliche vollständigen Akten, E-Mail-Postfächer oder Dokumentensammlungen herausgeben muss. Entscheidend ist, welche personenbezogenen Daten enthalten sind und welche Kopien erforderlich sind, damit die Datenverarbeitung verständlich und überprüfbar wird.
Soll ein Auskunftsanspruch gerichtlich durchgesetzt werden, muss der Antrag hinreichend bestimmt formuliert sein. Das Bundesarbeitsgericht hat einen Antrag auf Überlassung nicht näher bezeichneter E-Mails deshalb als nicht hinreichend bestimmt angesehen.
Wie schnell muss der Arbeitgeber Auskunft erteilen?
Der Arbeitgeber muss grundsätzlich unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang des Auskunftsverlangens reagieren.
Bei komplexen oder zahlreichen Anträgen kann die Frist ausnahmsweise um bis zu zwei weitere Monate verlängert werden. Über die Verlängerung und ihre Gründe muss der Arbeitgeber innerhalb des ersten Monats informieren.
Die Auskunft ist grundsätzlich unentgeltlich. Nur bei offenkundig unbegründeten oder exzessiven Anträgen kann der Arbeitgeber unter engen Voraussetzungen ein angemessenes Entgelt verlangen oder die Bearbeitung ablehnen.
Kann ich falsche Daten berichtigen lassen?
Ja. Nach Art. 16 DSGVO können Arbeitnehmer die unverzügliche Berichtigung unrichtiger personenbezogener Daten verlangen.
Das betrifft etwa eine falsche Anschrift, unzutreffend erfasste Arbeits- oder Fehlzeiten, fehlerhafte Angaben über Qualifikationen oder objektiv unrichtige Tatsachenbehauptungen in der Personalakte.
Bei bloßen Werturteilen ist die Abgrenzung schwieriger. Eine negative Leistungsbeurteilung wird nicht bereits deshalb zu einer unrichtigen personenbezogenen Angabe, weil der Arbeitnehmer sie anders bewertet. Beruht die Beurteilung jedoch auf nachweislich falschen Tatsachen, kann ein Anspruch auf Berichtigung oder Entfernung bestehen.
Kann ich die Löschung meiner Daten verlangen?
Unter den Voraussetzungen des Art. 17 DSGVO kann die Löschung personenbezogener Daten verlangt werden. Das kommt insbesondere in Betracht, wenn die Daten für den ursprünglichen Zweck nicht mehr erforderlich sind, unrechtmäßig verarbeitet wurden oder eine wirksam widerrufene Einwilligung die einzige Rechtsgrundlage war.
Ein Löschungsanspruch besteht jedoch nicht uneingeschränkt. Der Arbeitgeber darf und muss bestimmte Daten weiterhin speichern, wenn gesetzliche Aufbewahrungspflichten bestehen oder die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.
Deshalb müssen nach dem Ende des Arbeitsverhältnisses nicht sofort sämtliche Beschäftigtendaten gelöscht werden. Abrechnungsunterlagen, steuerrechtliche Dokumente oder Daten über mögliche arbeitsrechtliche Ansprüche dürfen gegebenenfalls bis zum Ablauf der maßgeblichen Aufbewahrungs- oder Verjährungsfristen gespeichert bleiben.
Die Speicherung „auf Vorrat“ ohne nachvollziehbaren Zweck ist dagegen unzulässig.
Kann ich eine Einschränkung der Verarbeitung verlangen?
Ja. Eine Einschränkung bedeutet, dass die Daten zwar vorerst gespeichert bleiben, aber grundsätzlich nicht weiter genutzt werden dürfen.
Das kann beispielsweise verlangt werden, wenn die Richtigkeit der Daten bestritten wird und der Arbeitgeber Zeit für deren Überprüfung benötigt. Eine Einschränkung kommt auch in Betracht, wenn die Verarbeitung rechtswidrig ist, der Arbeitnehmer aber statt einer Löschung zunächst nur die weitere Nutzung verhindern möchte.
Eine Einschränkung kann außerdem relevant sein, wenn der Arbeitgeber die Daten nicht mehr benötigt, der Arbeitnehmer sie aber zur Durchsetzung oder Verteidigung rechtlicher Ansprüche braucht. Die Voraussetzungen ergeben sich aus Art. 18 DSGVO.
Kann ich der Verarbeitung meiner Daten widersprechen?
Ein Widerspruch ist insbesondere möglich, wenn der Arbeitgeber die Datenverarbeitung auf die Wahrnehmung einer Aufgabe im öffentlichen Interesse oder auf ein berechtigtes Interesse stützt.
Kein allgemeines Widerspruchsrecht besteht dagegen gegen jede für die Durchführung des Arbeitsverhältnisses erforderliche Datenverarbeitung. Der Arbeitnehmer kann beispielsweise nicht durch einen bloßen Widerspruch verhindern, dass der Arbeitgeber die zur Lohnabrechnung gesetzlich erforderlichen Daten verarbeitet.
Kann ich eine Einwilligung widerrufen?
Beruht die Datenverarbeitung tatsächlich auf einer Einwilligung, kann diese grundsätzlich jederzeit mit Wirkung für die Zukunft widerrufen werden.
Der Widerruf führt nicht dazu, dass die Verarbeitung rückwirkend rechtswidrig wird. Ab dem Widerruf muss der Arbeitgeber die Verarbeitung jedoch beenden, sofern keine andere Rechtsgrundlage besteht.
Im Arbeitsverhältnis ist zudem sorgfältig zu prüfen, ob eine Einwilligung überhaupt freiwillig erteilt wurde. Wegen des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer genügt eine unterschriebene Erklärung allein nicht. Für eine freiwillige Einwilligung kann sprechen, dass der Arbeitnehmer einen rechtlichen oder wirtschaftlichen Vorteil erhält oder Arbeitgeber und Arbeitnehmer gleichgerichtete Interessen verfolgen. § 26 Abs. 2 BDSG verlangt außerdem eine Information über den Verarbeitungszweck und das Widerrufsrecht.
Welche Rechte habe ich bei automatisierten Entscheidungen oder KI?
Arbeitnehmer haben nach Art. 22 DSGVO grundsätzlich das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in vergleichbarer Weise erheblich beeinträchtigt.
Das kann beispielsweise relevant werden, wenn Software oder künstliche Intelligenz ohne maßgebliche menschliche Prüfung über Bewerbungen, Beförderungen, Leistungsbewertungen oder andere wesentliche Personalmaßnahmen entscheidet.
Nicht jede softwaregestützte Entscheidung ist verboten. Art. 22 DSGVO greift vor allem dann ein, wenn die Entscheidung ausschließlich automatisiert erfolgt. Eine solche Entscheidung kann insbesondere zulässig sein, wenn sie für einen Vertrag erforderlich, gesetzlich zugelassen oder ausdrücklich eingewilligt worden ist. Dabei müssen angemessene Schutzmaßnahmen bestehen. Bei Entscheidungen auf Grundlage eines Vertrags oder einer Einwilligung gehören dazu mindestens das Recht, das Eingreifen eines Menschen zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten.
Kann ich verlangen, dass meine Daten an mich oder eine andere Stelle übertragen werden?
Art. 20 DSGVO gewährt unter bestimmten Voraussetzungen ein Recht auf Datenübertragbarkeit. Die bereitgestellten Daten müssen dann in einem strukturierten, gängigen und maschinenlesbaren Format herausgegeben werden.
Das Recht gilt allerdings nur, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt. Im Arbeitsverhältnis ist der praktische Anwendungsbereich deshalb begrenzt, weil viele Beschäftigtendaten auf gesetzlichen Pflichten oder der Erforderlichkeit für das Arbeitsverhältnis beruhen.
Kann ich mich an den Datenschutzbeauftragten wenden?
Gibt es im Unternehmen einen betrieblichen Datenschutzbeauftragten, können sich Beschäftigte an diesen wenden.
Der Datenschutzbeauftragte kann die Verarbeitung prüfen, rechtliche Hinweise geben und auf eine datenschutzkonforme Lösung hinwirken. Er ist bei der Erfüllung seiner Aufgaben weisungsfrei und zur Vertraulichkeit verpflichtet.
Die Kontaktaufnahme mit dem Datenschutzbeauftragten darf nicht zu Benachteiligungen im Arbeitsverhältnis führen. In Konfliktfällen sollte dennoch überlegt werden, wie das Anliegen dokumentiert und rechtlich präzise formuliert wird.
Kann ich mich bei einer Datenschutzbehörde beschweren?
Arbeitnehmer können sich insbesondere an die Datenschutzaufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Bei privaten Arbeitgebern sind in Deutschland grundsätzlich die Datenschutzaufsichtsbehörden der Länder zuständig. Bei öffentlichen Stellen des Bundes und bestimmten bundesunmittelbaren Einrichtungen kann die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig sein.
Eine Beschwerde kann insbesondere sinnvoll sein, wenn der Arbeitgeber ein Auskunftsersuchen nicht beantwortet, unzulässige Überwachungsmaßnahmen durchführt, Daten ohne Rechtsgrundlage weitergibt oder erforderliche Löschungen verweigert.
Habe ich bei Datenschutzverstößen Anspruch auf Schadensersatz?
Nach Art. 82 DSGVO kann ein Anspruch auf Ersatz materieller und immaterieller Schäden bestehen.
Ein Datenschutzverstoß allein führt allerdings nicht automatisch zu einer Geldentschädigung. Erforderlich sind ein Verstoß gegen die DSGVO, ein hierdurch verursachter Schaden und ein ursächlicher Zusammenhang zwischen Verstoß und Schaden.
Ein immaterieller Schaden muss keine bestimmte Erheblichkeitsschwelle erreichen. Der Schaden muss aber konkret dargelegt werden. Die bloße Behauptung, die DSGVO sei verletzt worden, genügt nicht. Das Bundesarbeitsgericht hat beispielsweise entschieden, dass allein die verspätete oder unterlassene Auskunft nicht ohne Weiteres einen Schadensersatzanspruch begründet. Auch eine nur abstrakt geäußerte Sorge vor Datenmissbrauch reicht nicht aus.
Andererseits kann ein tatsächlicher Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellen. Das Bundesarbeitsgericht hat einem Arbeitnehmer im Jahr 2025 Schadensersatz zugesprochen, nachdem der Arbeitgeber nicht erforderliche Beschäftigtendaten an eine Konzernobergesellschaft übermittelt hatte.
Muss ich Datenschutzrechte während des laufenden Arbeitsverhältnisses vorsichtig ausüben?
Die Ausübung gesetzlicher Datenschutzrechte ist zulässig und darf als solche grundsätzlich nicht sanktioniert werden.
Dennoch können weit gefasste Auskunfts- oder Löschungsverlangen das Arbeitsverhältnis praktisch belasten, insbesondere wenn bereits ein Konflikt über Leistung, Krankheit, Abmahnung oder Kündigung besteht. Das bedeutet nicht, dass Arbeitnehmer auf ihre Rechte verzichten sollten. Das Verlangen sollte jedoch rechtlich präzise formuliert und auf den tatsächlichen Informationsbedarf abgestimmt werden.
Ein konkretes Auskunftsersuchen ist regelmäßig wirksamer als ein pauschales Verlangen nach „allen Daten und Dokumenten“. Es sollte klar benennen, welche Verarbeitungsvorgänge, Zeiträume oder Datenkategorien von besonderem Interesse sind.
Fazit
Arbeitnehmer müssen die Verarbeitung ihrer personenbezogenen Daten nicht ungeprüft hinnehmen. Sie haben umfassende Informations-, Auskunfts-, Berichtigungs-, Löschungs- und Beschwerderechte.
Wie weit diese Rechte im Einzelfall reichen, hängt jedoch vom Zweck und von der Rechtsgrundlage der Datenverarbeitung ab. Nicht jede unerwünschte Verarbeitung ist rechtswidrig, und nicht jede Datenschutzverletzung führt automatisch zu Schadensersatz. Bei Überwachung, Datenweitergabe, Personalakteneinträgen oder einer verweigerten Auskunft sollte frühzeitig geprüft werden, welches Recht gezielt geltend gemacht werden kann.
Autor
Rechtsanwalt Max Matveev berät und vertritt ausschließlich Arbeitnehmerinnen und Arbeitnehmer im Arbeitsrecht für die Kanzlei Dieks. Seine Schwerpunkte liegen insbesondere bei Kündigungen, im Kündigungsschutz, bei Aufhebungsverträgen, Abfindungsverhandlungen und weiteren Konflikten rund um die Beendigung von Arbeitsverhältnissen. Vor seiner Tätigkeit auf Arbeitnehmerseite war Max Matveev viele Jahre für Arbeitgeber tätig. Er kennt daher nicht nur die rechtlichen Anforderungen an Kündigungen und andere arbeitsrechtliche Maßnahmen, sondern auch die internen Entscheidungswege, wirtschaftlichen Erwägungen und typischen Verhandlungsstrategien auf Arbeitgeberseite. Diese Erfahrung setzt er heute gezielt für die Interessen von Arbeitnehmerinnen und Arbeitnehmern ein.
Max Matveev ist Mitglied der Arbeitsgemeinschaft Arbeitsrecht im Deutschen Anwaltverein und befasst sich zudem intensiv mit der Digitalisierung anwaltlicher Arbeit. Sein Ziel ist es, Arbeitnehmerinnen und Arbeitnehmern Zugang zu bezahlbarer anwaltlicher Beratung und Vertretung zu ermöglichen.