§ 26 bdsg - Datenschutzgrundverordnung

1. Einleitung: Warum § 26 BDSG 2025 noch (und nicht mehr lange) gilt
2. Gesetzlicher Rahmen: DSGVO Art. 88 vs. § 26 BDSG
3. Wortlaut & Struktur des § 26 BDSG – Absätze 1 bis 4
4. Rechtmäßigkeit der Datenverarbeitung: „Erforderlichkeit“ in der Praxis
5. Spezialfälle: Recruiting, Personalakte, Video­überwachung, KI-Analyse
6. Einwilligung nach § 26 Abs. 2 BDSG: freiwillig oder doch nicht?
7. Kollektiv­vereinbarungen & Betriebsrat – § 26 Abs. 4 BDSG
8. EuGH 30. 03. 2023 (C-34/21) & BAG-Rechtsprechung 2024
9. Technische & organisatorische Maßnahmen (TOM) + DSFA
10. Zukunftsausblick: Referentenentwurf Beschäftigten­datengesetz (BeschDG)
11. FAQ zu § 26 BDSG & BeschDG
12. Checkliste & Best-Practice-Workflow

Wer als HR-Leitung, Compliance-Officer oder Datenschutz­beauftragte*r mit Beschäftigten­daten arbeitet, kommt an § 26 BDSG nicht vorbei. Die Norm erlaubt derzeit, personenbezogene Daten „zur Begründung, Durchführung und Beendigung“ von Arbeits­verhältnissen zu verarbeiten – auch ohne Einwilligung. Doch seit dem wegweisenden EuGH-Urteil C-34/21 vom 30. März 2023 ist klar: Nationale Regeln müssen spezifischer sein, als es § 26 BDSG bislang ist.

Die Bundesregierung hat deshalb am 8. Oktober 2024 einen Referenten­entwurf für ein eigenes Beschäftigten­datengesetz (BeschDG-E) veröffentlicht. Kommt das Gesetz, wird § 26 BDSG gestrichen.Haufe.de News und Fachwissen Solange das BeschDG jedoch nicht in Kraft ist – realistisch wohl erst 2026 – bleibt § 26 BDSG das Herzstück des Arbeitnehmer­datenschutzes.

Die Datenschutz-Grundverordnung gilt unmittelbar. Für den Job-Kontext öffnet Art. 88 DSGVO einen Spielraum: Mitgliedstaaten dürfen „spezifischere Bestimmungen“ erlassen. Genau hier sitzt § 26 BDSG – doch der EuGH hält die Generalklausel für zu allgemein und fordert konkretere Regeln.

Hierarchie in der Praxis

1. DSGVO (Art. 5–6, Art. 88) – Primärrecht
2. § 26 BDSG – nur zulässig, soweit er Art. 88 genügt
3. Tarifvertrag/Betriebs­vereinbarung – § 26 Abs. 4 BDSG
4. Unternehmens­richtlinie – nur deklaratorisch

3 Wortlaut & Struktur des § 26 BDSG – Absätze 1 bis 4

4 Rechtmäßigkeit der Datenverarbeitung: „Erforderlichkeit“ in der Praxis

Der Dreh- und Angelpunkt des 26 BDSG Datenschutz ist die Erforderlichkeit (§ 26 Abs. 1 S. 1). Das bedeutet:

1. Zweck prüfen – gehört die Verarbeitung zum legitimen HR-Ziel?
2. Geeignetheit – erreicht die Maßnahme den Zweck?
3. Erforderlichkeit – gibt es kein milderes, gleich effektives Mittel?
4. Angemessenheit – Überwiegen die Interessen des Unternehmens?

Praxis-Fall: Geotracking eines Liefer­fahrers.

• Ist das Tracking nötig, um pünktliche Lieferungen sicherzustellen?
• Wäre eine Status-Meldung per App ausreichend?
• Wenn Tracking 24/7 läuft, überwiegt ggf. die Privatsphäre.

5 Spezialfälle

5.1 Recruiting & Bewerber­pool

• Bewerbungs­daten dürfen bis zu sechs Monate gespeichert werden (AGG-Klage­frist).
• Für Talent-Pool ist i. d. R. eine Einwilligung erforderlich.
• Automatisiertes CV-Parsing mit KI verlangt eine DSFA, wenn das Auswahl­verfahren erheblich in Rechte eingreift.

5.2 Personalakte

• Digital oder Papier: Zugriffs-Kontrolle per Rollen-Konzept.
• Bring-your-own-Device? → Nur verschlüsselte Container.

5.3 Video-überwachung

• Offene Kamera in der Fertigungshalle möglich, wenn sie Arbeitsschutz dokumentiert.
• Verdeckte Kamera nur bei konkretem Verdacht auf Straftat (§ 26 Abs. 1 S. 2) – strenge BAG-Vorgaben.Das Bundesarbeitsgericht

5.4 KI-gestützte Leistungs­analyse

Der BeschDG-Entwurf will erstmals Regeln für „automatisierte Entscheidungs­findung“ schaffen (§ 13 BeschDG-E). Unternehmen müssen künftig jeden Einsatz von KI schriftlich begründen und Transparenz schaffen.

6 Einwilligung nach § 26 Abs. 2 BDSG: freiwillig oder doch nicht?

Die DSGVO betont: Einwilligung muss freiwillig sein. Bei abhängigen Beschäftigungs­verhältnissen ist das schwierig. Leitlinie:

Der BAG-Grundsatz: Fehlerhafte Einwilligung = Verarbeitung unzulässig + Schadens­ersatz nach Art. 82 DSGVO.

7 Kollektiv­vereinbarungen & Betriebsrat – § 26 Abs. 4 BDSG

Betriebs- oder Dienst­vereinbarungen können konkrete Regeln zu:

• Zeiterfassungssystem
• E-Mail- und Internetnutzung
• Whistleblowing-Hotlines

festlegen. Bedingungen:

1. Spezifisch & transparent
2. Zweckbindung
3. Verhältnismäßig

Der EuGH verlangt, dass auch solche Vereinbarungen „ausreichend präzise“ sind

8 EuGH & BAG Rechtsprechung – die wichtigsten Entscheidungen

Konsequenz: Jede Maßnahme muss dokumentiert werden; Verstöße kosten – neben Bußgeldern – Reputation und ggf. Schadens­ersatz.

9 TOM & Datenschutzfolge­abschätzung (DSFA)

• Zugangs­kontrolle: Zwei-Faktor-Authentifizierung für HR-Systeme
• Datenträger­kontrolle: Verschlüsselte Laptops, Mobile-Device-Management
• DSFA-Pflicht bei umfangreicher Verarbeitung oder systematischer Überwachung (Art. 35 DSGVO).

Checkliste DSFA:

1. Beschreibung des Vorgangs (z. B. biometrische Zutrittskontrolle).
2. Notwendigkeit & Verhältnis­mäßigkeit bewerten.
3. Risiken identifizieren (z. B. Missbrauch der biometrischen Templates).
4. Maßnahmen definieren (z. B. Template-On-Card statt Datenbank).
5. Ergebnis dokumentieren & DSB beteiligen.

Der BeschDG-Entwurf enthält 38 Paragrafen; Highlights:

• § 6 BeschDG-E – Verbot der Verarbeitung biometrischer Daten, es sei denn ausdrückliche Freigabe durch Betriebsrat oder zwingende Anforderungen.
• § 13 BeschDG-E – Regeln für KI-Entscheidungen: kein ausschließlich automatisierter Kündigungs­entscheid.
• § 30 BeschDG-E – Erleichterte Konzern­datenverarbeitung. Bei Inkrafttreten wird § 26 BDSG ersatzlos gestrichen. Bestehende Betriebs­vereinbarungen müssen innerhalb von 12 Monaten angepasst werden.

ChatGPT:

Gilt § 26 BDSG noch, wenn der EuGH ihn kritisiert?
Ja. Bis ein nationales Gesetz (BeschDG) verabschiedet ist oder der Gesetzgeber § 26 BDSG anpasst, bleibt die Norm anwendbar – aber eng auszulegen.

Wann darf ich Gesundheits­daten verarbeiten?
Nur wenn es für das Arbeits­verhältnis erforderlich ist (z. B. Gefährdungs­beurteilung) oder eine DSFA & Betriebsrat zustimmen.

Brauche ich immer eine DSFA für Videoüberwachung?
Für offene, weiträumige Kamera­systeme ja; für rein zweckgebundene Zutrittskontrolle ggf. nicht.

Wie lange darf ich Bewerbungs­unterlagen speichern?
Sechs Monate nach Absage (§ 15 AGG), außer die Einwilligung erlaubt längere Speicherung im Talent-Pool.

Kommen höhere Bußgelder mit dem BeschDG?
Der Entwurf verweist auf Art. 83 DSGVO (bis 20 Mio. € oder 4 % Umsatz). Neu sind Melde- und Berichtspflichten für KI-Systeme.

Weitere Informationen zum Datenschutz finden Sie auch hier: https://wiemer-arndt.de/