Fehler beim Datenschutz im Arbeitsrecht können für Unternehmer erhebliche Probleme nach sich ziehen. Alexander Dietrich ist nicht nur Fachanwalt für Arbeitsrecht in Heppenheim, sondern auch Unternehmensjurist in einem Sozialunternehmen und dort auch Datenschutzkoordinator. Aus den sich daraus ergebenden Erfahrungen trug er am 19. Juni 2026 einen 10-Minuten-Vortrag vor:
Bei der Verwaltung von Arbeitsverhältnissen sind eine Vielzahl von Arbeitnehmerdaten zu verarbeiten. Wie überall braucht es – wenn der Arbeitnehmer nicht ausdrücklich zugestimmt hat – einer Rechtsgrundlage.
Bei den Kerndaten zur Vertragsverwaltung ist es einfach, denn dort besteht Erforderlichkeit (Art. 6 Abs. 1 lit. b DSGVO): Daten, die für die Lohnabrechnung, die Personalakte oder die Sozialversicherung zwingend benötigt werden (z. B. Name, Adresse, Steuer-ID), dürfen ohne gesonderte Einwilligung verarbeitet werden. Dh. die Arbeitszeiterfassung, Urlaubsplanung und die Entgeltabrechnung sind erforderliche Zwecke. Hier bedarf es nur einer Aufklärung bei Einstellung, welche Daten verarbeitet werden mit Hinweisen zu den Rechten, die der Arbeitnehmer dazu hat. Hierzu kann man standardisierte Formulare in der Personalverwaltung verwenden und die Problematik bereits beim Onboarding lösen.
Was aber, wenn Daten des Arbeitnehmers außerhalb der Kernbereiche erfasst werden ? Dann braucht es einer anderen Rechtsgrundlage. Ist die nicht vorhanden, kommt der Arbeitgeber an der Einwilligung des Arbeitnehmers nicht vorbei. Fehlt es an einer anderen Rechtsgrundlage oder der Einwilligung, liegt eine fehlerhafte Datenverarbeitung vor: Es kommt zu einer Datenpanne beim Arbeitgeber.
-
Fall 1:
Arbeitgeber macht Betriebsvereinbarung mit dem BR zur Einführung von anderem IT-System zur Personalverwaltung. Danach war die Übermittlung von bestimmten Datenkategorien an die Muttergesellschaft erlaubt. Die Beklagte übermittelte über die Betriebsvereinbarung hinaus weitere Daten des Klägers wie Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, den Familienstand, die Sozialversicherungsnummer und die Steuer-ID. Folge: Schmerzensgeld (hier aber „nur“ 200 € statt verlangter 3.000 €, BAG Urteil vom 8. Mai 2025 nach Vorlage an den EuGH).
-
Fall 2:
Mitarbeiterin erhält die Kündigung. Im Zuge des Verfahrens beruft der Arbeitgeber sich auf verhaltensbedingte Gründe. Die Arbeitnehmerin wirft dem Arbeitgeber grundlegende Verstöße gegen den Arbeitsschutz vor. Sie fordert schon im Verlauf des Verfahrens alle Postings mit personellem Bezug von der Website und aus Social Media Beiträgen zu löschen. Der Arbeitgeber „pennt“ und lässt die Beiträge auf Facebook und LinkedIn bestehen. Folge: Schadensersatzverlangen als Hebel für weitere Verhandlungen. Ergebnis: Erhöhung der Abfindung u.a. deshalb um 10.000 €.
-
Fall 3:
Arbeitnehmer ist rund 30 Jahre im Arbeitsverhältnis. Vor rund 5 – 10 Jahren hat der Arbeitnehmer verschiedene Abmahnungen erhalten. Die sind damals begründet gewesen. Arbeitnehmer macht Einsichtnahme in seine Personalakte und stellt fest, dass die Abmahnungen noch enthalten sind und verlangt die Herausnahme. Argument: Die Abmahnungen sind so alt, dass sie für eine Kündigung die Warnfunktion verloren haben. Also ist die Aufbewahrung nicht mehr erforderlich und damit rechtswidrig. Ergebnis: Die Abmahnungen müssen raus und ausgehändigt werden.
Das zeigt: Bei der Datenverarbeitung, die nicht zwingend für die laufende Adminstration des Arbeitsverhältnisses gebraucht werden, ist Vorsicht geboten: Verlangen Mitarbeitende sogar ausdrücklich die Löschung der Daten, ergibt sich meist Handlungsbedarf. Wird der ignoiert, kann es teuer werden.
Als weitere Dimension neben der Schadensersatzverpflichtung kann die Arbeitnehmerseite auch mit der Mitteilung an den Landesdatenschutzbeauftragten drohen. Bei Verstößen drohen Verwarnungen und bei Beharrlichkeit sogar erhebliche Strafen: Bei datenschutzwidriger Verarbeitung im Arbeitsrecht drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Für weniger schwerwiegende Verstöße sind es bis zu 10 Millionen Euro oder 2 % des Umsatzes. Die tatsächliche Höhe wird von der Datenschutzbehörde im Einzelfall festgelegt. Dabei spielen Kriterien wie Vorsatz, Art und Schwere des Verstoßes sowie die Anzahl der betroffenen Arbeitnehmer eine entscheidende Rolle.
Gerade bei wiederholten Verstößen, z.B. wenn schon mal eine Verwarnung vorgelegen hat, kann es also unangenehm und teuer werden.
Für weitere Fragen aus dem Bereich Arbeitsrecht und Datenschutz: Alexander Dietrich, Fachanwalt für Arbeitsrecht in Heppenheim.