Welche Mitarbeiterdaten darf der Arbeitgeber erheben und speichern? Von Bewerberdaten über Krankmeldungen bis GPS-Tracking – die Grenzen des §26 BDSG erklärt. CERTISCAN verschlüsselt alle sensitiven Daten.
Der Umgang mit Mitarbeiterdaten ist eines der sensibelsten Themen im Arbeitsverhältnis. §26 BDSG (Bundesdatenschutzgesetz) regelt, welche Daten der Arbeitgeber erheben, verarbeiten und speichern darf – und wo die Grenzen liegen. CERTISCAN verschlüsselt alle sensitiven Mitarbeiterdaten (Steuer-ID, Sozialversicherungsnummer, IBAN) mit AES-256 und speichert sie ausschließlich auf deutschen Servern bei Hetzner.
Die zentrale Norm für den Beschäftigtendatenschutz ist §26 BDSG. Danach dürfen personenbezogene Daten von Beschäftigten verarbeitet werden, wenn dies:
GPS-Tracking ist nur mit Einwilligung des Arbeitnehmers oder bei überwiegendem berechtigtem Interesse des Arbeitgebers (z.B. bei Außendienstmitarbeitern zur Tourenplanung) zulässig. Eine verdeckte Überwachung ist grundsätzlich unzulässig. Der Betriebsrat hat ein Mitbestimmungsrecht (§87 Abs. 1 Nr. 6 BetrVG).
Bewerberdaten abgelehnter Bewerber sollten spätestens 6 Monate nach Abschluss des Bewerbungsverfahrens gelöscht werden. Diese Frist orientiert sich an der Klagefrist nach dem AGG. Eine längere Speicherung ist nur mit Einwilligung des Bewerbers zulässig.
Der Schlüsselbegriff ist „Erforderlichkeit" – der Arbeitgeber darf nur die Daten erheben, die er für den jeweiligen Zweck tatsächlich benötigt. Datensparsamkeit ist oberstes Gebot. Jede Datenerhebung muss einem konkreten, legitimen Zweck dienen, und es darf kein milderes Mittel zur Verfügung stehen.
Wichtig ist auch: Die Einwilligung eines Arbeitnehmers ist im Arbeitsverhältnis wegen des Ungleichgewichts der Verhandlungspositionen nur eingeschränkt verwertbar. Der Arbeitnehmer muss die Einwilligung jederzeit ohne Nachteile widerrufen können – das ist in der Praxis oft schwer sicherzustellen.
| Datenkategorie | Erlaubt? | Rechtsgrundlage | Löschfrist |
|---|---|---|---|
| Name, Adresse, Geburtsdatum | Ja | §26 BDSG (Durchführung) | 10 Jahre nach Ausscheiden |
| Steuer-ID, Steuerklasse | Ja | Steuerliche Pflichten | 10 Jahre nach Ausscheiden |
| Sozialversicherungsnummer | Ja | SV-Meldepflichten | 10 Jahre nach Ausscheiden |
| Bankverbindung (IBAN) | Ja | Gehaltszahlung | Bis Ausscheiden + 6 Monate |
| Arbeitszeiten | Ja | ArbZG + BAG-Urteil | 2 Jahre (§16 ArbZG) |
| Krankmeldung (Dauer) | Ja | EFZG | 3 Jahre (Verjährung) |
| Diagnose/Krankheitsgrund | Nein | – | – |
| Bewerberdaten (abgelehnt) | Ja (befristet) | AGG-Klagefrist | 6 Monate nach Absage |
| Schwangerschaft | Ja (nur Schutzfrist) | MuSchG | Nach Ablauf des Schutzes |
| Schwerbehinderung | Ja (mit Einwilligung) | §163 SGB IX | Nach Beendigung |
| Private Handynummer | Nur mit Einwilligung | – | Bei Widerruf sofort |
| Religionszugehörigkeit | Ja (für Kirchensteuer) | Steuerrecht | 10 Jahre nach Ausscheiden |
| Gewerkschaftsmitgliedschaft | Nein | – | – |
| Politische Überzeugung | Nein | – | – |
| Foto des Mitarbeiters | Nur mit Einwilligung | – | Bei Widerruf sofort |
CERTISCAN bietet eine digitale Personalakte, in der alle erlaubten Mitarbeiterdaten strukturiert und verschlüsselt gespeichert werden. Das People-Modul stellt sicher, dass nur die erforderlichen Daten erhoben werden und Löschfristen automatisch überwacht werden. Sensible Daten wie Steuer-ID und IBAN werden mit AES-256 verschlüsselt und sind nur für berechtigte Personen einsehbar.
Im Bewerbungsverfahren gelten besonders strenge Datenschutzregeln, da hier ein erhebliches Diskriminierungsrisiko besteht.
Erlaubte Fragen im Vorstellungsgespräch:
Unzulässige Fragen:
| Situation | Löschfrist | Begründung |
|---|---|---|
| Absage erteilt | 6 Monate nach Absage | AGG-Klagefrist (2 Monate + Puffer) |
| Bewerber eingestellt | Überführung in Personalakte | §26 BDSG (Begründung) |
| Talent-Pool (mit Einwilligung) | Max. 2 Jahre, dann erneute Einwilligung | Verhältnismäßigkeit |
GPS-Tracking von Mitarbeitern ist ein besonders sensibles Thema, das in der Reinigungsbranche und im Facility Management häufig vorkommt.
CERTISCAN-Ansatz: Die Zeiterfassung von CERTISCAN nutzt GPS ausschließlich zur Verifizierung des Stempelns am Standort – nicht zur kontinuierlichen Überwachung. Der GPS-Punkt wird nur im Moment des Clock-in/Clock-out erfasst und gespeichert. Eine durchgehende Ortung findet nicht statt. Das ist datenschutzrechtlich unbedenklich, da es dem berechtigten Interesse des Arbeitgebers an der korrekten Zeiterfassung dient.
Die Überwachung der E-Mail- und Internetnutzung am Arbeitsplatz ist ein Dauerthema im Datenschutzrecht:
| Szenario | Arbeitgeber darf... | Arbeitgeber darf nicht... |
|---|---|---|
| Private Nutzung verboten | Dienstliche E-Mails stichprobenartig einsehen | Keylogger einsetzen, Bildschirmüberwachung |
| Private Nutzung erlaubt | Metadaten auswerten (Volumen, Zeiten) | Inhalte privater E-Mails lesen |
| Private Nutzung geduldet | Wie bei „erlaubt" (umstritten) | Wie bei „erlaubt" |
Praxis-Tipp: Verbieten Sie die private E-Mail-Nutzung am Arbeitsplatz klar und schriftlich. So vermeiden Sie die Problematik des Fernmeldegeheimnisses (§3 TTDSG). Alternativ: Separate private E-Mail-Adressen auf privaten Geräten in der Pause.
Gesundheitsdaten gehören zu den „besonderen Kategorien personenbezogener Daten" (Art. 9 DSGVO) und unterliegen einem erhöhten Schutz.
Was der Arbeitgeber wissen darf:
Was der Arbeitgeber nicht wissen darf:
Der Arbeitgeber darf auch nicht beim Arzt oder der Krankenkasse nachfragen. Nur der Betriebsarzt darf Gesundheitsdaten verarbeiten – und auch nur mit Einwilligung des Mitarbeiters und unter ärztlicher Schweigepflicht.
Videoüberwachung am Arbeitsplatz ist grundsätzlich zulässig, aber an strenge Voraussetzungen geknüpft:
| Maßnahme | CERTISCAN | Typischer SaaS-Anbieter | Excel/lokal |
|---|---|---|---|
| Verschlüsselung | AES-256 (at rest + in transit) | TLS + teilweise at rest | Keine |
| Hosting | Deutschland (Hetzner, Nürnberg) | EU / teilweise USA | Lokal |
Der Beschäftigtendatenschutz ist kein optionales Extra, sondern gesetzliche Pflicht. Arbeitgeber sollten nur die wirklich erforderlichen Daten erheben, Löschfristen einhalten und technische Schutzmaßnahmen implementieren. Verstöße können nicht nur Bußgelder nach sich ziehen, sondern auch das Vertrauensverhältnis zu den Mitarbeitern nachhaltig beschädigen. Mit CERTISCAN speichern Sie Mitarbeiterdaten DSGVO-konform, verschlüsselt und mit automatischer Löschfristüberwachung. Nutzen Sie den kostenlosen Personal-Check und informieren Sie sich über unsere digitale Personalverwaltung.
Wenn die private E-Mail-Nutzung verboten ist, darf der Arbeitgeber dienstliche E-Mails grundsätzlich einsehen. Ist die private Nutzung erlaubt oder geduldet, wird der Arbeitgeber zum Telekommunikationsanbieter und darf die E-Mails nicht ohne Weiteres lesen.
Der Arbeitgeber darf die Tatsache der Arbeitsunfähigkeit und deren voraussichtliche Dauer speichern. Die Diagnose darf er nicht erfahren – die AU-Bescheinigung für den Arbeitgeber enthält keine Diagnose.
| 6 Monate nach Eingang |
| Wie Absage |
| Betriebsvereinbarung | Gemäß den Regelungen der BV | Über die BV hinausgehend |
| Ja |
| Meistens |
| Nicht nötig |
| Zugriffsprotokoll | SHA-256 Audit-Trail (WORM) | Teilweise | Keines |
| Automatische Löschfristen | Ja, konfigurierbar | Selten | Manuell |
| RBAC | Ja, granular | Teilweise | Nein |
| DSGVO-Datenexport | Ja (EU Data Act konform) | Teilweise | Ja (manuell) |
| Datenschutz-Folgenabschätzung | Unterstützung integriert | Selten | Nein |