Datenschutzrecht in Deutschland

Drei Gesetze bilden das Fundament:

• 1.DSGVO (Verordnung (EU) 2016/679) ist seit dem 25. Mai 2018 unmittelbar geltendes EU-Recht und hat Vorrang vor nationalem Recht. Sie gilt für jede Verarbeitung personenbezogener Daten durch natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen.
• 2.BDSG (Bundesdatenschutzgesetz) in der Neufassung von 2018 ergänzt die DSGVO dort, wo die Verordnung Öffnungsklauseln vorsieht: §26 BDSG (Beschäftigtendaten), §38 BDSG (DSB-Schwelle von 20 Personen), §42 BDSG (Strafvorschriften), §22 BDSG (besondere Datenkategorien).
• 3.TDDDG (vormals TTDSG), seit Mai 2024 unter diesem Namen in Kraft, setzt die ePrivacy-Richtlinie (2002/58/EG) in deutsches Recht um. §25 TDDDG regelt die Einwilligungspflicht für Cookies, Tracking-Pixel, Fingerprinting und jeden Zugriff auf Endgeräte.

Weitere relevante Vorschriften:

• SGB X: Sozialdatenschutz
• §203 StGB: Strafbare Verletzung von Berufsgeheimnissen (Ärzte, Anwälte, Steuerberater)
• §7 UWG: Wettbewerbsrechtliches Werbeverbot ohne Einwilligung
• §5 DDG: Impressumspflicht für Telemedien
• Landesdatenschutzgesetze: Für öffentliche Stellen der Bundesländer
• KDG/DSG-EKD: Kirchliche Datenschutzgesetze (katholisch/evangelisch)

Die Pflicht greift in mehreren Fällen, und ein einziger genügt:

• •§38 Abs. 1 S. 1 BDSG: Mindestens 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Gezählt werden Köpfe, keine Vollzeitäquivalente: Teilzeitkräfte, Freelancer, Praktikanten und Leiharbeiter zählen jeweils als eine Person.
• •Art. 37 Abs. 1 lit. b DSGVO: Die Kerntätigkeit besteht in Verarbeitungen, die eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordern (z.B. Tracking, Scoring, Videoüberwachung großer Bereiche).
• •Art. 37 Abs. 1 lit. c DSGVO: Die Kerntätigkeit umfasst die umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 (Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen) oder von Daten über Straftaten nach Art. 10.
• •§38 Abs. 1 S. 2 BDSG: Eine DSFA nach Art. 35 ist erforderlich, oder es werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der Marktforschung verarbeitet. Beides unabhängig von der Mitarbeiterzahl.

Intern oder extern: Art. 37 Abs. 6 erlaubt beides. Ein interner DSB genießt besonderen Kündigungsschutz (§38 Abs. 2 i.V.m. §6 Abs. 4 BDSG: Schutz während Amtszeit und ein Jahr danach). Ein externer DSB vermeidet dieses Arbeitsrechtsproblem.

Wer darf nicht DSB sein (Interessenkonflikt): Geschäftsführer, IT-Leiter, Personalleiter, Marketingleiter. Bestätigt durch mehrere Gerichtsurteile (BVerwG und diverse OVG-Entscheidungen).

Konsequenz bei Nicht-Benennung: Bußgeld Stufe 1 nach Art. 83 Abs. 4 lit. a (bis 10 Mio. EUR / 2% Umsatz) plus §43 Abs. 1 BDSG (bis 50.000 EUR Ordnungswidrigkeit). Die Aufsichtsbehörde kann die Benennung anordnen (Art. 58 Abs. 2 lit. d).

Ja, ausnahmslos. Die DSGVO kennt keine Untergrenze nach Unternehmensgröße. Jedes Unternehmen, das personenbezogene Daten verarbeitet (und das tut praktisch jedes), unterliegt der vollständigen Verordnung.

Die einzige Erleichterung betrifft das VVT: Art. 30 Abs. 5 DSGVO nimmt Organisationen mit weniger als 250 Mitarbeitern aus, aber nur dann, wenn die Verarbeitung:

• kein Risiko für die Rechte der Betroffenen birgt,
• nur gelegentlich erfolgt, und
• keine besonderen Datenkategorien (Art. 9/10) betrifft.

In der Praxis erfüllt fast kein Unternehmen alle drei Bedingungen gleichzeitig. Allein die regelmäßige Verarbeitung von Mitarbeiter- oder Kundendaten gilt nicht als „gelegentlich". Die Datenschutzkonferenz (DSK) stellt ausdrücklich fest: De facto braucht jedes Unternehmen ein VVT.

Dies gilt gleichermaßen für Vereine, Stiftungen, Freiberufler und Handwerksbetriebe. „Wir sind zu klein" oder „das betrifft uns nicht" ist keine rechtlich haltbare Position.

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Ohne Rechtsgrundlage ist die Verarbeitung rechtswidrig. Die sechs Erlaubnistatbestände:

• lit. a) Einwilligung: Freiwillig, informiert, bestimmt und unmissverständlich. Jederzeit widerrufbar. Beweislast beim Verantwortlichen. Strenge Anforderungen (siehe eigener Eintrag).
• lit. b) Vertragserfüllung: Verarbeitung ist für die Erfüllung eines Vertrags mit dem Betroffenen erforderlich oder für vorvertragliche Maßnahmen. Beispiele: Bestellabwicklung, Lohnabrechnung, Mietvertrag.
• lit. c) Rechtliche Verpflichtung: Verarbeitung ist zur Erfüllung einer gesetzlichen Pflicht erforderlich. Beispiele: Steuerliche Aufbewahrungspflichten (§147 AO), Meldepflichten an Sozialversicherungsträger.
• lit. d) Lebenswichtige Interessen: Schutz lebenswichtiger Interessen einer Person. Eng auszulegen, nur in Notfällen (z.B. bewusstloser Patient in der Notaufnahme).
• lit. e) Öffentliches Interesse: Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt. Primär für Behörden relevant.
• lit. f) Berechtigtes Interesse: Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen, sofern die Interessen der Betroffenen nicht überwiegen. Erfordert eine dokumentierte Interessenabwägung. Beispiele: Direktwerbung an Bestandskunden (ErwGr. 47), IT-Sicherheit, Betrugsprävention.

Für besondere Datenkategorien (Art. 9: Gesundheit, Biometrie, Religion, politische Überzeugung etc.) reichen die Rechtsgrundlagen des Art. 6 nicht aus. Zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 vorliegen, etwa ausdrückliche Einwilligung (lit. a), Arbeitsrecht (lit. b) oder Gesundheitsversorgung (lit. h).

Das VVT nach Art. 30 DSGVO ist die zentrale Dokumentationspflicht und das erste Dokument, das Aufsichtsbehörden bei einer Prüfung anfordern. Es muss schriftlich (auch elektronisch) vorliegen und auf Anfrage vorgelegt werden (Art. 30 Abs. 4).

Pflichtinhalte für Verantwortliche (Art. 30 Abs. 1):

• Name und Kontaktdaten des Verantwortlichen, des Vertreters und des DSB
• Zwecke der Verarbeitung
• Kategorien betroffener Personen und personenbezogener Daten
• Kategorien von Empfängern, einschließlich Drittlandübermittlungen
• Vorgesehene Löschfristen
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32)

Auftragsverarbeiter brauchen ein eigenes VVT nach Art. 30 Abs. 2 mit: Name/Kontakt, Kategorien der Verarbeitung je Auftraggeber, Drittlandtransfers und TOM-Beschreibung.

Ein fehlendes oder unvollständiges VVT wird als systemisches Compliance-Versagen gewertet und fällt unter Bußgeldstufe 1: bis 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a).

Art. 32 DSGVO verlangt Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und des Risikos. Konkret nennt das Gesetz:

• a)Pseudonymisierung und Verschlüsselung personenbezogener Daten
• b)Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen
• c)Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen (Disaster Recovery)
• d)Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen

Acht Kontrollbereiche (orientiert an §64 BDSG): Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und Trennungsgebot.

Häufige Verstöße und Referenzfälle: Fehlende Verschlüsselung, gemeinsam genutzte Passwörter, veraltete Software, fehlendes Backup-Konzept. 1&1 Telecom (9,55 Mio. EUR): unzureichende Anruferauthentifizierung. Vodafone (45 Mio. EUR): IT-Sicherheitsmängel.

Art. 35 DSGVO schreibt eine DSFA vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Drei Fälle sind ausdrücklich genannt:

• a)Systematische und umfassende Bewertung persönlicher Aspekte (Profiling) mit rechtlicher oder ähnlich erheblicher Wirkung
• b)Umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9) oder Strafdaten (Art. 10)
• c)Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Die DSK-Positivliste ergänzt: umfangreiche Mitarbeiterüberwachung, KI-basierte Entscheidungen mit rechtlicher Wirkung, Verarbeitung biometrischer Daten, große Patientendatensysteme.

Pflichtinhalte (Art. 35 Abs. 7): Systematische Beschreibung der Verarbeitung und Zwecke, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Risikobewertung, Maßnahmen zur Risikominderung.

Ergibt die DSFA ein hohes Restrisiko, muss die Aufsichtsbehörde konsultiert werden (Art. 36). Antwortfrist: 8 Wochen, verlängerbar um 6 Wochen. Wichtig: Eine DSFA-Pflicht löst automatisch auch eine DSB-Pflicht aus (§38 Abs. 1 S. 2 BDSG), unabhängig von der Mitarbeiterzahl.

Meldung an die Aufsichtsbehörde (Art. 33): Unverzüglich und möglichst binnen 72 Stunden nach Kenntniserlangung. Verspätung muss begründet werden. Pflichtinhalte: Art der Verletzung, ungefähre Zahl der Betroffenen und Datensätze, Kontakt des DSB, wahrscheinliche Folgen, ergriffene Gegenmaßnahmen. Stufenmeldung ist zulässig (Art. 33 Abs. 4).

Benachrichtigung der Betroffenen (Art. 34): Zusätzlich erforderlich bei voraussichtlich hohem Risiko. Ausnahmen nur bei: wirksamer Verschlüsselung, nachträglicher Risikominimierung oder unverhältnismäßigem Aufwand (dann öffentliche Bekanntmachung).

Auftragsverarbeiter (Art. 33 Abs. 2): Müssen den Verantwortlichen unverzüglich informieren, in der Praxis noch am selben Tag.

Dokumentationspflicht (Art. 33 Abs. 5): Jede Datenpanne muss intern dokumentiert werden, auch wenn keine Meldung an die Behörde erforderlich ist. Fehlende oder verspätete Meldungen: Bußgeldstufe 1 (bis 10 Mio. EUR / 2% Umsatz).

Immer wenn ein Dritter in Ihrem Auftrag personenbezogene Daten verarbeitet (Cloud-Anbieter, Lohnbüro, IT-Dienstleister, Newsletter-Tool, CRM-Anbieter), verlangt Art. 28 DSGVO einen schriftlichen Vertrag.

Pflichtinhalte (Art. 28 Abs. 3):

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Art der Daten und Kategorien betroffener Personen
• Verarbeitung nur auf dokumentierte Weisung
• Vertraulichkeitsverpflichtung aller Mitarbeiter
• Angemessene TOM nach Art. 32
• Regelung zu Unterauftragsverarbeitern (vorherige Genehmigung, Durchreichung aller Pflichten)
• Unterstützung bei Betroffenenrechten und Datenpannenmeldungen
• Löschung oder Rückgabe aller Daten nach Vertragsende
• Prüf- und Kontrollrechte

Unterauftragsverarbeiter (Art. 28 Abs. 2/4): Vorherige schriftliche Genehmigung erforderlich (allgemein oder spezifisch). Bei allgemeiner Genehmigung: Änderungen müssen mitgeteilt werden, Widerspruchsrecht des Verantwortlichen. Auftragsverarbeiter bleibt voll haftbar.

Abgrenzung: Nicht jeder Dienstleister ist Auftragsverarbeiter. Zahlungsdienstleister (PayPal, Stripe) handeln eigenverantwortlich (eigene ZAG-Lizenz). Steuerberater handeln in der Regel eigenverantwortlich kraft Berufsrecht. Kein AVV nötig, aber Information in der Datenschutzerklärung.

Die DSGVO gewährt umfangreiche Rechte, die Unternehmen aktiv erfüllen müssen:

• Auskunftsrecht (Art. 15): Vollständige Auskunft, ob und welche Daten verarbeitet werden, plus Kopie. Erste Kopie kostenlos.
• Berichtigung (Art. 16): Unrichtige Daten unverzüglich korrigieren, unvollständige ergänzen.
• Löschung / Recht auf Vergessenwerden (Art. 17): Bei Zweckentfall, Widerruf der Einwilligung oder unrechtmäßiger Verarbeitung. Ausnahmen: Meinungsfreiheit, gesetzliche Pflichten, Rechtsansprüche.
• Einschränkung (Art. 18): Während Prüfung einer Berichtigung, bei unrechtmäßiger Verarbeitung, für Rechtsansprüche.
• Mitteilungspflicht (Art. 19): Jeder Empfänger muss über Berichtigung/Löschung/Einschränkung informiert werden.
• Datenübertragbarkeit (Art. 20): Strukturiertes, maschinenlesbares Format. Nur bei Einwilligung oder Vertrag und automatisierter Verarbeitung.
• Widerspruch (Art. 21): Jederzeit bei Art. 6 Abs. 1 lit. e/f. Bei Direktwerbung: absolutes Widerspruchsrecht ohne Abwägung.
• Automatisierte Entscheidungen (Art. 22): Recht, nicht einer rein automatisierten Entscheidung mit rechtlicher Wirkung unterworfen zu werden. Recht auf menschliches Eingreifen.

Frist: Ein Monat (Art. 12 Abs. 3). Verlängerung um zwei Monate bei Komplexität, aber nur mit Begründung innerhalb des ersten Monats. Kostenlos als Grundregel. Ignorierte Anfragen sind einer der häufigsten Beschwerdegründe bei Aufsichtsbehörden.

Art. 4 Nr. 11 und Art. 7 DSGVO setzen fünf kumulative Anforderungen:

• Freiwillig: Keine Nachteile bei Verweigerung. Koppelungsverbot (Art. 7 Abs. 4): Vertragserfüllung darf nicht von einer nicht-erforderlichen Einwilligung abhängen.
• Bestimmt: Für jeden Zweck eine separate Einwilligung. Pauschal für mehrere unverbundene Zwecke: unwirksam.
• Informiert: Vor Erteilung muss klar sein: wer, was, wozu, und dass jederzeit widerrufbar.
• Unmissverständlich: Aktives Handeln. Stillschweigen, vorangekreuzte Kästchen oder Untätigkeit genügen nicht (ErwGr. 32, EuGH Planet49 C-673/17).
• Widerrufbar: Widerruf so einfach wie Erteilung (Art. 7 Abs. 3). Ein Klick zum Einwilligen = maximal ein Klick zum Widerruf.

Im Arbeitsverhältnis (§26 Abs. 2 BDSG): Nur wirksam bei echter Wahlfreiheit oder wenn der Beschäftigte einen Vorteil erlangt. Machtgefälle macht Einwilligung grundsätzlich problematisch.

Besondere Kategorien (Art. 9): Erfordern ausdrückliche Einwilligung (höherer Standard als „normale" Einwilligung).

Beweislast: Der Verantwortliche muss nachweisen, dass eine wirksame Einwilligung vorliegt (Art. 7 Abs. 1). Ohne Dokumentation gilt sie als nicht erteilt.

Entscheidend ist jeweils der höhere Betrag. Seit dem EuGH-Urteil Deutsche Wohnen (C-807/21) ist klargestellt, dass „Umsatz" sich auf den gesamten Konzernumsatz bezieht. Bußgelder können direkt gegen juristische Personen verhängt werden, ohne dass ein persönliches Verschulden eines Organmitglieds nachgewiesen werden muss.

Die Bemessung folgt 11 Kriterien (Art. 83 Abs. 2): Schwere und Dauer, Vorsatz/Fahrlässigkeit, ergriffene Gegenmaßnahmen, Kooperationsbereitschaft, frühere Verstöße, betroffene Datenkategorien, Art der Kenntniserlangung durch die Behörde.

Ja. Neben den Bußgeldern nach Art. 83 DSGVO sieht das deutsche Recht Freiheitsstrafen vor:

• §42 Abs. 1 BDSG: Bis zu 3 Jahre Freiheitsstrafe für wissentliche unbefugte Übermittlung nicht öffentlicher Daten an eine Vielzahl von Personen oder deren geschäftsmäßige Verarbeitung.
• §42 Abs. 2 BDSG: Bis zu 2 Jahre Freiheitsstrafe für unbefugte Verarbeitung nicht öffentlicher Daten gegen Entgelt, mit Bereicherungsabsicht oder in Schädigungsabsicht.
• §203 StGB: Bis zu 1 Jahr Freiheitsstrafe für Verletzung von Berufsgeheimnissen (Ärzte, Anwälte, Steuerberater, Apotheker).

Die strafrechtliche Haftung trifft natürliche Personen: Geschäftsführer, IT-Verantwortliche, Mitarbeiter. Sie besteht unabhängig von und zusätzlich zu Bußgeldern gegen das Unternehmen.

§42 Abs. 3 BDSG: Strafantragsdelikt. Verfolgung nur auf Antrag des Betroffenen, des Verantwortlichen, des DSB oder der Aufsichtsbehörde.

Deutschland hat mit 18 unabhängigen Aufsichtsbehörden (BfDI + 16 Landesbehörden + BfDI als Bundesbeauftragter) eine der höchsten Überwachungsdichten in der EU.

Auslöser: Beschwerden von Betroffenen (Art. 77, häufigster Auslöser), eigene Datenpannenmeldungen, Medienberichte, systematische Branchenprüfungen (z.B. BayLDA Cookie-Audits), Hinweise von Wettbewerbern, Nachprüfungen.

Typischer Ablauf:

• 1. Schriftlicher Fragebogen mit Anforderung von Dokumenten (VVT, TOM, AVV, DSFA, Einwilligungsnachweise, Datenschutzerklärungen)
• 2. Dokumentenprüfung durch die Behörde
• 3. Ggf. Vor-Ort-Kontrolle (Art. 58 Abs. 1 lit. f: Zugang zu Räumlichkeiten und IT-Systemen)
• 4. Anhörung des Unternehmens
• 5. Entscheidung: Verwarnung, Verweis, Anordnung oder Bußgeld

Zuständigkeit: Für private Unternehmen: die Behörde des Bundeslandes, in dem die Hauptniederlassung liegt. Für EU-weit tätige Unternehmen mit Sitz in Deutschland: die deutsche Behörde als federführende Aufsichtsbehörde (Art. 56, One-Stop-Shop).

Die Behörden können Verarbeitungen sofort stoppen (Art. 58 Abs. 2 lit. f). Das kann bedeuten, dass ein Geschäftsprozess von einem Tag auf den anderen eingestellt werden muss.

§25 TDDDG ist die zentrale Vorschrift. Die Regelung ist technologieneutral: sie erfasst Cookies, Fingerprinting, Pixel, Local Storage und jeden Zugriff auf Endgeräte.

Einwilligung erforderlich für: Analyse-Cookies (Google Analytics, Matomo mit Cookies), Werbe-/Tracking-Cookies, Remarketing-Pixel, Social-Media-Plugins mit Datenübermittlung, A/B-Testing-Tools, eingebettete Drittinhalte die Cookies setzen.

Keine Einwilligung nötig (§25 Abs. 2): Session-/Warenkorb-Cookies, Authentifizierung, Spracheinstellungen (wenn funktional nötig), Load-Balancing, das Cookie-Banner selbst.

Cookie-Banner-Anforderungen: Echtes Opt-in (keine vorangekreuzten Kästchen, EuGH Planet49 C-673/17), granulare Wahlmöglichkeiten, Ablehnung genauso einfach wie Zustimmung, keine Dark Patterns. BGH bestätigt 2020 (I ZR 7/16). Seit 01.04.2025: Einwilligungsverwaltungsverordnung (EinwVO) nach §26 TDDDG in Kraft.

Häufigster Verstoß: Tracking-Skripte die vor der Einwilligung laden, oder „Akzeptieren"-Buttons die deutlich prominenter sind als die Ablehnungsoption.

Art. 13 und 14 DSGVO sind nicht verhandelbar. Bei Datenerhebung direkt beim Betroffenen muss zum Zeitpunkt der Erhebung mitgeteilt werden:

• Identität und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten
• Zwecke und Rechtsgrundlage jeder einzelnen Verarbeitung
• Berechtigte Interessen (falls Art. 6 Abs. 1 lit. f)
• Empfänger oder Kategorien von Empfängern
• Drittlandübermittlungen und Garantien (SCCs, DPF etc.)
• Speicherdauer oder Kriterien für die Festlegung
• Alle Betroffenenrechte (Art. 15 bis 22)
• Recht auf Widerruf einer Einwilligung
• Beschwerderecht bei der Aufsichtsbehörde
• Ob Bereitstellung gesetzlich/vertraglich vorgeschrieben ist
• Informationen zu automatisierten Entscheidungen inkl. Profiling

Fehlende oder unvollständige Datenschutzerklärungen: Bußgeldstufe 2 (Art. 83 Abs. 5: bis 20 Mio. EUR / 4% Umsatz), da Informationsrechte der Betroffenen verletzt.

§7 Abs. 2 Nr. 3 UWG: Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist unzumutbare Belästigung. Der deutsche Standard ist Double-Opt-In: nach Adresseingabe muss ein Bestätigungslink geklickt werden.

Bestandskundenausnahme (§7 Abs. 3 UWG): Nur zulässig wenn alle vier Bedingungen gleichzeitig erfüllt sind:

• E-Mail-Adresse im Zusammenhang mit einem Kauf erhalten
• Werbung für eigene ähnliche Produkte/Dienstleistungen
• Kunde hat nicht widersprochen
• Hinweis auf Widerspruchsrecht bei Erhebung und in jeder E-Mail

DSGVO-Ebene: Zusätzlich braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6. Art. 21 Abs. 2 (Widerspruch gegen Direktwerbung) ist absolut und muss bei Erstkontakt ausdrücklich und getrennt dargestellt werden.

Tracking in E-Mails (Öffnungsraten, Klickverhalten) erfordert zusätzlich Einwilligung nach §25 TDDDG, da auf das Endgerät zugegriffen wird.

§26 BDSG war die zentrale Vorschrift. Daten dürfen verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist.

Erfasste Datenverarbeitungen:

• Bewerbungsverfahren (Daten löschen nach ca. 6 Monaten, wenn keine Einwilligung in Talentpool)
• Personalakten (Name, Adresse, Bankverbindung, Steuerklasse, SV-Nummer)
• Zeiterfassung und Arbeitszeitdokumentation
• Gehaltsabrechnung (häufig über externes Lohnbüro = AVV-pflichtig)
• BEM-Verfahren (Betriebliches Eingliederungsmanagement, besondere Kategorie: Gesundheitsdaten)

Betriebsrat (§87 Abs. 1 Nr. 6 BetrVG): Mitbestimmungsrecht bei Einführung technischer Einrichtungen zur Verhaltens-/Leistungsüberwachung. §79a BetrVG: Der Arbeitgeber bleibt Verantwortlicher, auch wenn der Betriebsrat Daten verarbeitet.

§26 Abs. 4: Gilt auch für Bewerber und ehemalige Beschäftigte.

Mitarbeiterüberwachung ist der sensibelste Bereich des Beschäftigtendatenschutzes. Die Grundregel: Verhältnismäßigkeit. Jede Überwachungsmaßnahme muss erforderlich, geeignet und angemessen sein.

Videoüberwachung am Arbeitsplatz:

• Öffentlich zugängliche Räume: nur bei konkretem Sicherheitsbedürfnis, transparent (Hinweisschilder)
• Nicht-öffentliche Arbeitsräume: nur in Ausnahmefällen (konkreter Verdacht auf Straftaten, zeitlich begrenzt, dokumentiert)
• Lückenlose Dauerüberwachung: immer unzulässig
• Referenzfall: notebooksbilliger.de (10,4 Mio. EUR Bußgeld)

GPS-Tracking von Firmenwagen: Nur mit Information der Mitarbeiter und verhältnismäßiger Ausgestaltung. Lückenlose Überwachung (jede Fahrt, jede Pause) ist unzulässig. Betriebsvereinbarung oder Individualvereinbarung erforderlich.

E-Mail-/Internetüberwachung: Bei rein dienstlicher Nutzung: Arbeitgeber kann als Verantwortlicher Zugriff nehmen. Bei erlaubter Privatnutzung: Arbeitgeber wird zum Telekommunikationsanbieter, Fernmeldegeheimnis (§3 TDDDG) greift. Zugriff auf private E-Mails dann grundsätzlich unzulässig.

Betriebsrat: §87 Abs. 1 Nr. 6 BetrVG: Mitbestimmungsrecht bei allen technischen Einrichtungen, die objektiv zur Überwachung geeignet sind (auch wenn nicht beabsichtigt). Ohne Betriebsratsvereinbarung: rechtswidrig.