Beschäftigtendatenschutz nach dem EuGH: Was noch trägt

Was der EuGH 2023 entschieden hat und was nicht

Das Urteil C-34/21 vom 30. März 2023 betraf mit § 23 Abs. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) eine Norm, die in ihrer Kernformel § 26 Abs. 1 Satz 1 BDSG entspricht (wiedergegeben in Rn. 12): Beschäftigtendaten dürfen verarbeitet werden, wenn dies für das Beschäftigungsverhältnis „erforderlich“ ist. Der Gerichtshof stellte zwei Grundsätze auf. Eine nationale Vorschrift ist nur dann eine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 der Datenschutz-Grundverordnung (DSGVO), wenn sie die Vorgaben von Abs. 2 erfüllt, also besondere Schutzmaßnahmen enthält. Andernfalls bleibt sie unangewendet, es sei denn, sie ist eine Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO.

Über die hessische Norm selbst entschied der EuGH nicht; das ist Sache des nationalen Gerichts (Rn. 80). Er deutete aber an, dass Erforderlichkeitsklauseln wie die hessische die Bedingung aus Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO nur zu wiederholen scheinen (Rn. 81). Fehlt eine wirksame spezifischere Vorschrift, gilt die DSGVO unmittelbar, im privaten wie im öffentlichen Sektor (Rn. 84).

Über § 26 BDSG selbst hat der EuGH nicht entschieden, wohl aber danach das Bundesarbeitsgericht: § 26 Abs. 1 Satz 1 BDSG genügt Art. 88 DSGVO nicht, weil Schutzmaßnahmen nach dessen Abs. 2 fehlen (Beschluss vom 9. Mai 2023, 1 ABR 14/22, Rn. 64). Für die Übertragung von Personaldaten in eine neue Personalsoftware ließ es die Norm deshalb unangewendet und prüfte unmittelbar Art. 6 DSGVO (Urteil vom 8. Mai 2025, 8 AZR 209/21, Rn. 16 bis 20). Ausdrücklich tragfähig bleibt sie, soweit sie Daten für ein gesetzliches Recht der Interessenvertretung freigibt, als Grundlage nach Art. 6 Abs. 3 mit Abs. 1 Buchst. c DSGVO; ihre übrigen Tatbestände ließ das Gericht offen (1 ABR 14/22, Rn. 65 bis 68). Auch die BfDI hält die Norm für unzureichend (FAQ Beschäftigtendatenschutz). Ein Beschäftigtendatenschutzgesetz ist bis zum 11. Oktober 2026 nicht in Kraft getreten; § 26 BDSG steht unverändert im Gesetz.

Die Betriebsvereinbarung ist kein Joker

Mit C-65/23 vom 19. Dezember 2024 hat der EuGH die zweite Ausweichroute begrenzt. Der Fall betraf die konzernweite Einführung einer cloudbasierten Personalsoftware auf Grundlage einer „Duldungs-Betriebsvereinbarung“; übertragen wurden Echtdaten, darunter nach dem Vortrag des Klägers auch nicht in der Vereinbarung genannte Daten (Rn. 15 bis 17). Verarbeitungen auf Grundlage einer Kollektivvereinbarung nach § 26 Abs. 4 BDSG müssen zusätzlich Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO erfüllen. Gerichte prüfen die Erforderlichkeit umfassend; die Betriebsparteien dürfen sie nicht weniger streng handhaben oder aus Gründen der Wirtschaftlichkeit und Einfachheit Kompromisse schließen (Rn. 56 und 57). Einzelne Klauseln, die diese Grenzen verfehlen, bleiben unangewendet (Rn. 59).

Im HR-Projekt bleibt die Betriebsvereinbarung unverzichtbar: Sie regelt Mitbestimmung, Zwecke, Felder und Auswertungen (siehe Betriebsrat). Sie ersetzt aber nicht die Prüfung, ob jede darin erlaubte Verarbeitung erforderlich ist. Das Bundesarbeitsgericht hat den Fall danach entschieden: Echtdaten zu Testzwecken können nach Art. 6 Abs. 1 Buchst. f DSGVO zulässig sein, wenn fiktive Daten für den Test nicht ausreichen; die Übertragung von Daten über die Liste der Duldungs-Betriebsvereinbarung hinaus war aber nicht erforderlich und kostete 200 Euro Schadensersatz (8 AZR 209/21, Rn. 21 und 29). Befüllen Sie Pilotumgebungen deshalb mit fiktiven Datensätzen, solange kein Testzweck Echtdaten verlangt, und dann nur mit den vereinbarten Feldern.

Ein Register statt eines Pauschalverweises

Ordnen Sie jede Funktion der HR-Software einzeln zu. Die folgende Tabelle ist ein Muster, keine abschließende Liste:

Steht in einer Zeile Ihres Verzeichnisses nur „§ 26 BDSG“, fehlt die eigentliche Zuordnung. Für Gesundheitsdaten kommt Art. 9 Abs. 2 DSGVO hinzu; wie Krankmeldungen von der Abwesenheitsplanung getrennt werden, behandelt der Ratgeber Abwesenheiten. Behörden können sich für ihre Aufgaben nicht auf Buchst. f stützen (Art. 6 Abs. 1 Unterabs. 2 DSGVO); wie Rollen und Akten in einer Behörde zugeschnitten werden, zeigt das Profil Öffentlicher Dienst.

Einwilligung nur, wo ein Nein folgenlos bleibt

Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO gelten auch im Arbeitsverhältnis, § 26 Abs. 2 BDSG konkretisiert sie: Die Abhängigkeit der beschäftigten Person ist bei der Freiwilligkeit zu berücksichtigen, die Einwilligung erfolgt grundsätzlich schriftlich oder elektronisch, und über Zweck und Widerrufsrecht ist in Textform aufzuklären. Die BfDI bezeichnet die Einwilligung als nur ausnahmsweise zulässig und nennt als Beispiele Veröffentlichungen von Fotos oder Geburtstagen. Nach unserer Einschätzung taugt sie nicht für Daten, ohne die der Arbeitsvertrag nicht durchgeführt werden kann: Wer dafür einwilligen lässt, steht nach einem Widerruf ohne Grundlage da.

Prüfen Sie in der Demo deshalb einen Widerruf: Eine Testperson zieht ihre Einwilligung zur Fotoveröffentlichung zurück. Verschwindet das Bild aus Profil, Organigramm und Export, oder bleibt eine Kopie? Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung.

Wann die Debatte keine Rolle spielt

Die Rechtsprechung zu § 26 BDSG betrifft die allgemeine Erforderlichkeitsklausel. Schreibt ein Spezialgesetz die Verarbeitung vor, trägt Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit dieser Norm: das Lohnkonto nach § 41 EStG, die Meldepflichten nach § 28a SGB IV, das Verzeichnis nach § 163 SGB IX. Der EuGH nennt Buchst. c ausdrücklich als möglichen Tatbestand (Rn. 85). Für diese Zeilen des Registers ändert C-34/21 an der Rechtsgrundlage nichts; Zugriffsrechte und Löschfristen bleiben trotzdem zu regeln. Wie Sie diese Zugriffe vor der Beschaffung testen, beschreibt der Ratgeber HR-Software auswählen.