Datenschutz am Arbeitsplatz — was darf der Arbeitgeber wissen?

Die rechtliche Grundlage

Im Arbeitsverhältnis gelten:

• DSGVO — vor allem die Grundsätze der Verarbeitung (Art. 5), Rechtsgrundlagen (Art. 6) und Betroffenenrechte (Art. 12 ff.).
• § 26 BDSG — die zentrale Norm für Datenverarbeitung im Beschäftigtenverhältnis.
• BetrVG — Mitbestimmungsrechte des Betriebsrats bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können (§ 87 Abs. 1 Nr. 6 BetrVG).

Videoüberwachung am Arbeitsplatz

Videoüberwachung ist nur ausnahmsweise zulässig — vor allem zur Gefahrenabwehr (Eingänge, Tresorräume, Kassen). Die heimliche oder dauerhafte Überwachung von Mitarbeitern an ihrem Arbeitsplatz ist ein schwerer Eingriff in das Persönlichkeitsrecht.

Voraussetzungen zulässiger Videoüberwachung

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Schutz vor Diebstahl, Vandalismus, Hausrechtsverletzungen.
• Verhältnismäßigkeit: Mildere Mittel müssen geprüft sein. Generelle Überwachung ganzer Arbeitsbereiche ist unverhältnismäßig.
• Transparenz: Hinweisschilder, Information der Mitarbeiter (§ 4 BDSG, Art. 13 DSGVO).
• Beschränkung: Keine Aufnahme im Pausen- oder Sanitärbereich. Kurze Speicherdauer (idR 48–72 h).
• Mitbestimmung: Bei Vorhandensein eines Betriebsrats nach § 87 BetrVG.

E-Mail und Internet — was der Arbeitgeber darf

Hier kommt es entscheidend darauf an, ob die private Nutzung erlaubt ist:

Private Nutzung erlaubt oder geduldet

Der Arbeitgeber wird zum „Telekommunikationsanbieter" und unterliegt dem Fernmeldegeheimnis. Einsicht in Mails ist dann nur sehr eingeschränkt zulässig — etwa bei konkretem Verdacht einer Straftat.

Private Nutzung verboten

Mails und Internetnutzung sind dienstlich, der Arbeitgeber kann sie grundsätzlich kontrollieren — aber nur unter Wahrung der Verhältnismäßigkeit und mit klarer Information der Mitarbeiter. Anlasslose Massenkontrollen bleiben unzulässig.

Bewerbungsdaten

Bewerbungsunterlagen dürfen nur für den Bewerbungsprozess verwendet werden. Bei Absage müssen sie nach angemessener Zeit (typisch 4–6 Monate, wegen AGG-Klagefristen) gelöscht oder zurückgegeben werden. Aufbewahrung in „Talent Pools" nur mit Einwilligung.

Gesundheitsdaten

Besonders geschützt nach Art. 9 DSGVO. Der Arbeitgeber darf:

• die Tatsache der Arbeitsunfähigkeit erfahren — nicht aber die Diagnose.
• nur ausnahmsweise Eignungsuntersuchungen verlangen, etwa bei sicherheitsrelevanten Tätigkeiten.
• Schwerbehinderten-Status nur kennen, wenn der Arbeitnehmer ihn offenlegt.

Auskunftsrecht und Einsicht in die Personalakte

Nach Art. 15 DSGVO hat jeder Beschäftigte ein umfassendes Auskunftsrecht: Welche Daten werden verarbeitet, woher stammen sie, an wen werden sie übermittelt, wie lange gespeichert? Der Arbeitgeber muss innerhalb eines Monats antworten — kostenfrei.

Daneben besteht nach § 83 BetrVG ein Einsichtsrecht in die Personalakte — auch mit Hinzuziehung eines Betriebsratsmitglieds.

Schadensersatz nach DSGVO

Bei rechtswidriger Datenverarbeitung besteht Anspruch auf:

• Materiellen Schadensersatz für tatsächliche Vermögenseinbußen.
• Immateriellen Schadensersatz für Persönlichkeitsverletzungen — Schmerzensgeld.

BAG 8 AZR 209/21 (08.05.2025): Bereits ein Kontrollverlust über die eigenen Daten kann immateriellen Schaden begründen — der Arbeitnehmer muss konkrete Folgen aber substantiiert darlegen. Pauschalbehauptungen reichen nicht.

Praxisbeispiele aus der Rechtsprechung

• LAG Hamm 18 SLa 959/24 (2025) — 15.000 € wegen 22-monatiger Videoüberwachung.
• BAG 8 AZR 209/21 (2025) — Kontrollverlust als Schaden anerkannt.
• EuGH C-300/21 (Österreichische Post) — kein „Bagatellschaden"-Ausschluss bei DSGVO-Verstößen.
• BAG 2 AZR 651/13 — Beweisverwertungsverbot bei rechtswidrig erlangten Videoaufzeichnungen (Folgen für Kündigungsverfahren).

Checkliste — Ihre Datenschutzrechte

1. Verlangen Sie nach Art. 15 DSGVO Auskunft über alle gespeicherten Daten.
2. Prüfen Sie, ob Videoüberwachung verhältnismäßig und transparent ist.
3. Achten Sie auf Hinweise zur E-Mail- und Internetnutzung im Arbeitsvertrag.
4. Lassen Sie Verstöße schriftlich rügen — Sie sammeln so Beweise.
5. Bei wiederholten oder schweren Verstößen: Datenschutz-Schadensersatzklage prüfen.