Arbeitgeber, die eine HR-Software einführen oder wechseln, müssen die Datenschutz-Grundverordnung (DSGVO) von Anfang an mitdenken. Jede Verarbeitung von Beschäftigtendaten braucht eine Rechtsgrundlage, muss auf das Erforderliche beschränkt sein und technisch abgesichert werden. Wird ein Cloud-Anbieter eingeschaltet, ist ein Vertrag zur Auftragsverarbeitung nötig. Wie ernst Gerichte das nehmen, zeigt ein Urteil des Bundesarbeitsgerichts (BAG) vom 8. Mai 2025: Ein Arbeitgeber musste Schadensersatz zahlen, weil er für den Test einer neuen Personalsoftware mehr Daten übermittelt hatte als erlaubt.

Auf welcher Rechtsgrundlage dürfen Beschäftigtendaten verarbeitet werden?

Lange stützten Arbeitgeber die Verarbeitung von Personaldaten vor allem auf § 26 Bundesdatenschutzgesetz (BDSG). Der Europäische Gerichtshof hat jedoch am 30. März 2023 (Rechtssache C-34/21) zu einer nahezu wortgleichen hessischen Vorschrift entschieden, dass nationale Regeln nur dann Vorrang haben, wenn sie die besonderen Anforderungen des Artikels 88 Abs. 2 DSGVO erfüllen. Eine bloße Wiederholung der allgemeinen Grundsätze genügt nicht. Nach Einschätzung von Fachleuten, etwa der Kanzlei Gleiss Lutz, stützt sich die Verarbeitung im Arbeitsverhältnis seither vor allem auf Artikel 6 Abs. 1 Buchstabe b DSGVO (Durchführung des Vertrags) und Buchstabe c (rechtliche Pflichten, etwa im Steuer- und Sozialversicherungsrecht). Ein eigenes Beschäftigtendatenschutzgesetz gibt es bislang nicht.

Lesen Sie auch Digitale Zeiterfassung: Anforderungen an ein System

Für Gesundheitsdaten, etwa Angaben zu Arbeitsunfähigkeit oder Schwerbehinderung, gelten nach Artikel 9 DSGVO zusätzliche Anforderungen. Einwilligungen sind im Arbeitsverhältnis nur eingeschränkt tragfähig, weil sie freiwillig sein müssen; § 26 Abs. 2 BDSG nennt dafür das Abhängigkeitsverhältnis als zentralen Prüfpunkt.

Was lehrt das Workday-Urteil des Bundesarbeitsgerichts?

Im entschiedenen Fall wollte ein Unternehmen konzernweit die Personalsoftware Workday einführen. Für die Testphase regelte eine Betriebsvereinbarung, welche Daten an die Konzernmutter übermittelt werden durften, etwa Name, Eintrittsdatum und dienstliche Kontaktdaten. Tatsächlich übermittelte der Arbeitgeber auch Gehalt, Privatanschrift, Geburtsdatum, Familienstand, Sozialversicherungsnummer und Steuer-ID. Das BAG sprach dem Kläger nach Artikel 82 DSGVO 200 Euro Schadensersatz zu (Az. 8 AZR 209/21). Die Übermittlung der zusätzlichen Daten sei nicht erforderlich gewesen, der Schaden liege im Verlust der Kontrolle über die eigenen Daten.

Zuvor hatte der Europäische Gerichtshof in derselben Sache am 19. Dezember 2024 (C-65/23) entschieden, dass auch Betriebsvereinbarungen die allgemeinen Vorgaben der DSGVO einhalten müssen und von Gerichten vollständig überprüft werden können.

Welche Pflichten stellen sich bei der Einführung?

  • Auftragsverarbeitung: Verarbeitet ein Softwareanbieter Daten im Auftrag des Arbeitgebers, verlangt Artikel 28 DSGVO einen Vertrag mit festgelegten Mindestinhalten. Der Arbeitgeber bleibt verantwortlich.
  • Datenschutz durch Technikgestaltung: Artikel 25 DSGVO verlangt datenschutzfreundliche Voreinstellungen, etwa abgestufte Zugriffsrechte und Löschroutinen.
  • Sicherheit: Nach Artikel 32 DSGVO sind angemessene technische und organisatorische Maßnahmen zu treffen, zum Beispiel Verschlüsselung und Protokollierung.
  • Folgenabschätzung: Birgt eine Verarbeitung voraussichtlich ein hohes Risiko, ist nach Artikel 35 DSGVO vorab eine Datenschutz-Folgenabschätzung durchzuführen.
  • Dokumentation und Information: Die Verarbeitung gehört in das Verzeichnis nach Artikel 30 DSGVO; Beschäftigte sind nach Artikel 13 DSGVO zu informieren.
  • Drittlandtransfer: Liegen Server oder Konzerngesellschaften außerhalb der EU, gelten die besonderen Vorgaben der Artikel 44 ff. DSGVO.

Verstöße können neben Schadensersatzansprüchen Bußgelder der Aufsichtsbehörden nach Artikel 83 DSGVO nach sich ziehen. Zudem ist bei HR-Software regelmäßig der Betriebsrat zu beteiligen, weil solche Systeme in aller Regel geeignet sind, Verhalten oder Leistung zu überwachen.

Was Arbeitgeber jetzt wissen sollten

  • Vor der Einführung sollte festgelegt werden, welche Datenfelder für welchen Zweck tatsächlich gebraucht werden. Was nicht erforderlich ist, sollte nicht übertragen werden.
  • Für Tests und Migrationen empfiehlt es sich, mit Testdaten oder einem eng begrenzten Datensatz zu arbeiten und die Grenzen etwaiger Betriebsvereinbarungen strikt einzuhalten.
  • Auftragsverarbeitungsvertrag, Folgenabschätzung und Verzeichniseintrag sollten vor dem Echtbetrieb vorliegen.
  • Der betriebliche Datenschutzbeauftragte sollte früh eingebunden werden.
  • Weil der deutsche Beschäftigtendatenschutz im Umbruch ist, sollten Unternehmen die Gesetzgebung beobachten und ihre Rechtsgrundlagen regelmäßig überprüfen. Im Einzelfall kann fachkundiger Rat sinnvoll sein.