Datenschutz für Mitarbeiterdaten: Regeln 2026

Welche Daten du erheben darfst

Der Maßstab ist die Erforderlichkeit. Welche Daten brauchst du, um das Arbeitsverhältnis zu begründen, durchzuführen oder zu beenden? Alles andere ist tabu oder braucht eine Einwilligung.

Phase	Erlaubt	Nicht erlaubt oder nur mit Einwilligung
Bewerbung	Qualifikation, Werdegang, Kontaktdaten, Zeugnisse	Familienplanung, Religion, Gesundheit (außer für die Tätigkeit zwingend), Social-Media-Profile ohne Berufsbezug
Einstellung	Adresse, Geburtsdatum, Steuer-ID, SV-Nummer, Krankenkasse, Bankverbindung, Aufenthaltstitel	Kopie des Personalausweises ohne konkreten Grund, Angaben zu Partnern
Laufend	Arbeitszeit, Urlaub, AU-Zeiten, Leistungsbeurteilung, Abmahnungen	Diagnosen, private Social-Media-Aktivitäten, Standort außerhalb der Arbeitszeit
Austritt	Kündigungsunterlagen, Zeugnis, Abrechnungen	Weiterverwendung von Fotos und Kontaktdaten zu Werbezwecken

Was nicht in der Spalte „Erlaubt“ steht, braucht eine Einwilligung oder bleibt draußen.

Kontrolle und Überwachung

Bei technischer Kontrolle bekommen kleine Firmen am schnellsten Ärger. Drei Grundregeln:

Videoüberwachung von Arbeitsplätzen nur mit konkretem Anlass, sichtbar gekennzeichnet und nicht in Pausen- oder Sanitärräumen.
GPS in Firmenfahrzeugen für Disposition und Diebstahlschutz ja, als dauerhafte Verhaltenskontrolle nein. Die Ortung in der Pause oder nach Feierabend ist unzulässig.
Wenn die private Nutzung von E-Mail und Internet erlaubt ist, wird jede Kontrolle schwierig. Regle die Privatnutzung deshalb schriftlich.

Gibt es einen Betriebsrat, ist jede technische Einrichtung, die Verhalten oder Leistung überwachen kann, mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Das betrifft auch Microsoft 365, Zeiterfassung und Telematik.

Checkliste Beschäftigtendatenschutz

Die zehn Punkte, die in kleinen Firmen am häufigsten fehlen. Die Abschnitte darunter erklären sie einzeln.

Datenschutzinformation für Mitarbeiter und Bewerber aktuell, Rechtsgrundlagen nach Art. 6 DSGVO statt pauschal § 26 BDSG.
Verzeichnis der Verarbeitungstätigkeiten enthält Personalverwaltung, Lohn, Zeiterfassung, Bewerbermanagement.
Verträge zur Auftragsverarbeitung mit Lohnbüro (soweit Auftragsverarbeiter), Software-Anbietern und Cloud-Diensten.
Datenschutzbeauftragter benannt, wenn 20 oder mehr Personen ständig digital mit Personendaten arbeiten, und der Behörde gemeldet.
Einwilligungen für Fotos, Geburtstage und private Nummern einzeln und schriftlich, mit Widerrufshinweis.
Gesundheitsdaten getrennt aufbewahrt, Zugriff eingeschränkt, keine Diagnosen.
Regel zur Privatnutzung von E-Mail und Internet schriftlich.
Prozess für Auskunftsanfragen nach Art. 15 DSGVO mit Monatsfrist.
Löschkonzept mit jährlichem Löschtermin.
Mitarbeiter mit Zugriff auf Personaldaten auf Vertraulichkeit verpflichtet.

Rechtsgrundlagen nach dem EuGH-Urteil 2023

Bis 2023 stand in fast jeder Mitarbeiterinformation: „Rechtsgrundlage ist § 26 BDSG.“ Das ist überholt. Nach dem EuGH-Urteil vom 30.03.2023 (C-34/21) ist eine Vorschrift, die nur wiederholt, was die DSGVO ohnehin sagt, keine spezifischere Vorschrift nach Art. 88 DSGVO. Die herrschende Meinung wendet § 26 Abs. 1 Satz 1 BDSG deshalb nicht mehr als eigene Rechtsgrundlage an, du stützt dich direkt auf Art. 6 Abs. 1 DSGVO. Ersetze den Paragrafen in Datenschutzinformationen, Verarbeitungsverzeichnis und Betriebsvereinbarungen. Ein neues Beschäftigtendatengesetz gibt es Stand Oktober 2026 nicht.

Zweck	Rechtsgrundlage heute	Beispiele
Arbeitsvertrag durchführen	Art. 6 Abs. 1 Buchst. b DSGVO	Name, Adresse, Bankverbindung, Arbeitszeit, Urlaub, Leistungsdaten
Gesetzliche Pflichten erfüllen	Art. 6 Abs. 1 Buchst. c DSGVO mit dem jeweiligen Gesetz	Steuer-ID, SV-Nummer, Arbeitszeitnachweise, Nachweisgesetz, Mutterschutzmeldung
Berechtigtes Interesse	Art. 6 Abs. 1 Buchst. f DSGVO mit Abwägung	IT-Sicherheit, Zugangskontrolle, interne Telefonliste
Einwilligung	Art. 6 Abs. 1 Buchst. a, Art. 7 DSGVO, § 26 Abs. 2 BDSG	Fotos auf der Website, Geburtstagsliste, private Handynummer
Gesundheitsdaten, Religion, Schwerbehinderung	Art. 9 Abs. 2 Buchst. b DSGVO, ergänzend § 26 Abs. 3 BDSG	AU-Zeiten, Kirchensteuermerkmal, Schwerbehindertenausweis, BEM

Informationspflicht bei Einstellung

Nach Art. 13 DSGVO musst du jeden neuen Mitarbeiter bei der Erhebung seiner Daten informieren. Für Bewerber gilt das schon mit Eingang der Bewerbung. Ein Informationsblatt mit dem Arbeitsvertrag reicht. Hinein gehören:

Name und Kontaktdaten des Arbeitgebers, gegebenenfalls des Datenschutzbeauftragten,
Zwecke und Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO, nicht mehr § 26 BDSG pauschal),
Empfänger: Lohnbüro, Steuerberater, Krankenkassen, Finanzamt, Software-Anbieter, Versicherungen,
Übermittlung in Drittländer, falls ein Dienst Daten außerhalb der EU verarbeitet,
Speicherdauer oder die Kriterien dafür,
die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit und Beschwerde bei der Aufsichtsbehörde,
ob die Angabe der Daten gesetzlich oder vertraglich vorgeschrieben ist und was passiert, wenn sie fehlen.

Vorlage: Kernabsatz für das Informationsblatt

Wir verarbeiten Ihre Daten, um Ihr Arbeitsverhältnis durchzuführen (Art. 6 Abs. 1 Buchst. b DSGVO) und gesetzliche Pflichten zu erfüllen, insbesondere aus Steuer-, Sozialversicherungs-, Arbeitszeit- und Mutterschutzrecht (Art. 6 Abs. 1 Buchst. c DSGVO). Gesundheitsdaten wie Arbeitsunfähigkeitszeiten verarbeiten wir nur, soweit das Arbeits- und Sozialrecht es verlangt (Art. 9 Abs. 2 Buchst. b DSGVO). Empfänger sind [Lohnbüro], [Steuerberatung], Ihre Krankenkasse, das Finanzamt und [Software für Zeiterfassung]. Wir speichern Ihre Daten bis zum Ende der gesetzlichen Aufbewahrungsfristen nach Ihrem Austritt. Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Beschwerde bei der Aufsichtsbehörde [Landesbehörde].

Auskunftsanspruch nach Art. 15 DSGVO

Jeder Mitarbeiter kann jederzeit Auskunft über die zu ihm gespeicherten Daten und eine Kopie verlangen. Du hast dafür einen Monat Zeit (Art. 12 Abs. 3 DSGVO). In der Praxis kommt dieser Antrag häufig zusammen mit einer Kündigungsschutzklage.

Einwilligung: wann sie trägt

Im Arbeitsverhältnis ist die Einwilligung eine schwache Grundlage, weil Mitarbeiter von dir abhängig sind. § 26 Abs. 2 BDSG fasst die Maßstäbe zusammen, und die gelten der Sache nach unabhängig vom Streit um Abs. 1:

Freiwilligkeit liegt eher vor, wenn der Mitarbeiter einen Vorteil hat oder beide Seiten dasselbe wollen, etwa bei einem Dienstrad oder einem Gesundheitsangebot.
Die Einwilligung soll schriftlich oder elektronisch erfolgen.
Du musst über den Zweck und das jederzeitige Widerrufsrecht in Textform aufklären.
Wer nicht einwilligt, darf keinen Nachteil haben.

Zweck	Einwilligung sinnvoll?	Warum
Foto auf der Website oder in Social Media	ja, nötig	nicht erforderlich für den Arbeitsvertrag
Geburtstag in der Teamliste	ja	reine Freiwilligkeit, kein Bezug zur Arbeit
Private Handynummer für Notfälle	ja	Mitarbeiter muss privat nicht erreichbar sein
Lohnabrechnung	nein	gesetzliche Pflicht, Einwilligung wäre irreführend
Zeiterfassung	nein	gesetzliche Pflicht, keine Wahl
Dauerhafte Ortung oder Videoüberwachung	nein	Freiwilligkeit fehlt, Einwilligung trägt nicht

Hol eine Einwilligung nur dort ein, wo der Mitarbeiter ohne Nachteil Nein sagen kann. Ein häufiger Fehler ist die Einwilligung in alles Mögliche als Klausel im Arbeitsvertrag. Eine Einwilligung, die mit dem Vertrag unterschrieben werden muss, ist nicht freiwillig. Hol sie auf einem eigenen Blatt ein.

Datenschutzbeauftragter ab 20 Personen

Nach § 38 Abs. 1 BDSG musst du einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht, wenn du Verarbeitungen durchführst, die eine Datenschutz-Folgenabschätzung erfordern, oder wenn deine Kerntätigkeit in umfangreicher Verarbeitung sensibler Daten besteht (Art. 37 DSGVO), etwa in der Pflege.

Wer zählt

Alle Personen, die regelmäßig mit Rechnern, Smartphones oder Software personenbezogene Daten verarbeiten. Dazu reicht ein E-Mail-Postfach mit Kundenkontakten.
Köpfe zählen, keine Vollzeitstellen. Teilzeitkräfte, Auszubildende, Minijobber und freie Mitarbeiter zählen mit.
Nicht mit: Mitarbeiter, die ausschließlich ohne digitale Geräte arbeiten, etwa in der Produktion ohne Terminal.

Ob du die Grenze erreichst, prüfst du zusammen mit den anderen Schwellenwerten im Schwellenwerte-Check. Der Datenschutzbeauftragte kann intern oder extern sein. Intern darf es nicht die Geschäftsführung oder die Person sein, die über die Personaldaten entscheidet, wegen des Interessenkonflikts. Benennung und Kontaktdaten musst du der Aufsichtsbehörde melden.

Stand der Reform: Die Bundesregierung hat in der Föderalen Modernisierungsagenda vom 04.12.2025 angekündigt, bis zum 31.12.2026 die Aufhebung von § 38 Abs. 1 BDSG einzubringen. Dann gälte nur noch Art. 37 DSGVO. Bis zum Inkrafttreten eines Gesetzes bleibt die Pflicht ab 20 Personen bestehen. Alle anderen Pflichten aus der DSGVO gelten auch ohne Datenschutzbeauftragten, und dann bei dir.

Schnellcheck · Stand 04.10.2026

Brauchst du einen Datenschutzbeauftragten?

Arbeiten in der Regel mindestens 20 Personen ständig digital mit personenbezogenen Daten?

Köpfe zählen, nicht Stellen. Teilzeit, Azubis, Minijobber und freie Mitarbeiter mit E-Mail oder App zählen mit.

§ 38 Abs. 1 BDSG, Art. 37 DSGVO, Föderale Modernisierungsagenda vom 04.12.2025.

Fotos, Geburtstage, Krankmeldungen im Team

Fotos

Für Fotos und Videos von Mitarbeitern auf der Website, in Social Media oder in Broschüren brauchst du eine schriftliche Einwilligung. Das BAG hat das für Veröffentlichungen nach dem Kunsturhebergesetz ausdrücklich verlangt (Urteil vom 11.12.2014, 8 AZR 1010/13). Regle in der Einwilligung, was nach dem Austritt passiert. Am einfachsten entfernst du Fotos auf der Teamseite mit dem Austritt. Gruppenfotos von Veranstaltungen bleiben.

Muster: Einwilligung für Mitarbeiterfotos

Ich bin damit einverstanden, dass [Firma] Fotos von mir, die am [Datum, Anlass] aufgenommen werden, für folgende Zwecke nutzt: [Teamseite auf www.beispiel.de], [Unternehmensprofil auf LinkedIn], [Stellenanzeigen]. Mein Name wird [mit / ohne] Funktion genannt.

Die Einwilligung ist freiwillig. Wenn ich sie nicht erteile, entsteht mir kein Nachteil. Ich kann sie jederzeit ohne Angabe von Gründen für die Zukunft widerrufen, per E-Mail an [Adresse]. Nach Widerruf oder spätestens [ein Monat] nach meinem Austritt werden Einzelfotos von der Website entfernt. Bereits gedruckte Materialien werden aufgebraucht.

[Ort, Datum, Unterschrift]

Geburtstage und Jubiläen

Eine Geburtstagsliste im Teamkalender ist nicht erforderlich. Frag jeden Mitarbeiter, ob er aufgenommen werden will, und ob mit Jahrgang.

Krankmeldungen

Die AU-Daten ruft dein Lohnbüro oder du elektronisch bei der Krankenkasse ab (eAU). Diagnosen sind darin nicht enthalten, frag auch nicht danach.
Dem Team teilst du nur Abwesenheit und Vertretung mit, nicht den Grund.
Fehlzeitenlisten gehören nicht in einen geteilten Ordner. Zugriff haben Geschäftsführung, wer die Personalakte führt und das Lohnbüro.
Für das BEM gibt es eine eigene Akte, getrennt von der Personalakte, mit Zugriff nur für die BEM-Beteiligten. Ob ein BEM fällig ist, prüfst du mit dem BEM-Pflicht-Rechner.

Datenpannen

Geht die Gehaltsliste an den falschen Verteiler oder wird ein Laptop mit Personalakten gestohlen, meldest du das in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO). Bei hohem Risiko für die Betroffenen musst du auch sie selbst informieren (Art. 34 DSGVO).

Löschkonzept

Daten, die du nicht mehr brauchst, musst du löschen (Art. 17 DSGVO). Gleichzeitig zwingen dich Steuer-, Sozial- und Arbeitsrecht, manche Unterlagen lange aufzubewahren. Ein Löschkonzept legt fest, welche Unterlage wie lange bleibt und wer wann löscht.

Unterlage	Frist	Grundlage
Bewerbungen abgelehnter Kandidaten	rund 6 Monate nach Absage	AGG-Fristen, Praxis
Lohnkonto	bis Ende des 6. Kalenderjahres nach der letzten Eintragung	§ 41 EStG
Buchungsbelege, auch Lohnabrechnungen als Beleg	8 Jahre	§ 147 AO in der Fassung seit 2025
Arbeitszeitnachweise über 8 Stunden	2 Jahre	§ 16 Abs. 2 ArbZG
Aufzeichnungen nach Mindestlohngesetz	2 Jahre	§ 17 MiLoG
Mutterschutz-Unterlagen	2 Jahre nach letzter Eintragung	§ 27 Abs. 5 MuSchG
Übrige Personalakte nach Austritt	üblich 3 Jahre ab Jahresende	regelmäßige Verjährung, § 195 BGB

Die Fristen beginnen meist erst am Ende des Kalenderjahres, in dem die Unterlage entstanden ist oder der Mitarbeiter ausgetreten ist. Den konkreten Löschtermin für jede Unterlage rechnet der Aufbewahrungsfristen-Rechner aus. Wie du die Personalakte dafür aufbaust, steht im Artikel Personalakte richtig führen.

Leg einmal im Jahr einen festen Löschtermin fest und denk an Kopien in Postfächern, Netzlaufwerken und beim Steuerberater.

Häufige Fragen

Gilt § 26 BDSG noch?+

Der Paragraf steht unverändert im Gesetz. Nach dem EuGH-Urteil vom 30.03.2023 (C-34/21) gilt § 26 Abs. 1 Satz 1 BDSG aber überwiegend als nicht anwendbar, weil er die DSGVO nur wiederholt. Stütze die Verarbeitung von Mitarbeiterdaten deshalb direkt auf Art. 6 Abs. 1 DSGVO, vor allem Buchstabe b (Arbeitsvertrag), c (gesetzliche Pflicht) und f (berechtigtes Interesse). Ein neues Beschäftigtendatengesetz gibt es Stand Oktober 2026 nicht.

Ab wann brauche ich einen Datenschutzbeauftragten?+

Nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl brauchst du einen, wenn du Verarbeitungen mit Datenschutz-Folgenabschätzung durchführst. Die Bundesregierung hat angekündigt, die 20-Personen-Regel bis Ende 2026 aufzuheben. Ein Gesetzentwurf lag bis zuletzt nicht vor, die Pflicht gilt weiter.

Darf ich Fotos von Mitarbeitern auf die Website stellen?+

Nur mit Einwilligung. Das BAG verlangt dafür eine schriftliche Einwilligung (Urteil vom 11.12.2014, 8 AZR 1010/13). Kläre in der Einwilligung Zweck, Ort der Veröffentlichung und was nach dem Austritt passiert. Die Einwilligung ist freiwillig, wer sie nicht gibt, darf keinen Nachteil haben.

Darf ich dem Team sagen, dass ein Kollege krank ist?+

Dass jemand nicht da ist und bis wann voraussichtlich, darfst du mitteilen, soweit das Team es für die Arbeitsplanung braucht. Den Grund, also die Krankheit, und erst recht eine Diagnose nicht. Sag einfach: abwesend bis Mittwoch, Vertretung übernimmt Frau X.

Wie lange muss ich Daten ehemaliger Mitarbeiter aufbewahren?+

Das hängt von der Unterlage ab. Lohnkonten bis zum Ende des sechsten Kalenderjahres nach der letzten Eintragung, Buchungsbelege inzwischen acht Jahre, Arbeitszeitnachweise nach ArbZG und MiLoG zwei Jahre. Die übrige Personalakte bewahren viele Arbeitgeber bis zum Ablauf der regelmäßigen Verjährung von drei Jahren auf. Danach musst du löschen.

Was droht bei Verstößen gegen den Beschäftigtendatenschutz?+

Bußgelder der Aufsichtsbehörde nach Art. 83 DSGVO und Schadensersatz an die Betroffenen nach Art. 82 DSGVO. Im Mittelstand ist der Schadensersatz häufiger. Mitarbeiter machen ihn oft im Kündigungsstreit geltend, zusammen mit einem Auskunftsanspruch nach Art. 15 DSGVO. Das BAG sprach 2025 einem Mitarbeiter 200 Euro zu, weil sein Arbeitgeber mehr Daten an die Konzernmutter gegeben hatte als erlaubt.

Dieses Angebot ersetzt keine Rechtsberatung. Es gibt die allgemeine Rechtslage in Deutschland verständlich wieder. Für deinen Einzelfall frag eine Anwältin oder einen Anwalt für Arbeitsrecht.

Datenschutz für Mitarbeiterdaten: Was Arbeitgeber 2026 beachten müssen

Kurz gesagt