DSGVO Mitarbeiter-Überwachung: 6 Grenzen + BAG-Linie

Hauptartikel: Verarbeitungsverzeichnis erstellen 2026 — der übergeordnete Pillar-Artikel; jede hier beschriebene Kontrollmaßnahme ist eine Verarbeitungstätigkeit und braucht dort einen Eintrag.

Mitarbeiter-Überwachung ist kein eigenes Rechtsgebiet, sondern die Schnittmenge mehrerer Regelwerke: der DSGVO (Rechtsgrundlage nach Art. 6 Abs. 1, Grundsätze der Verarbeitung nach Art. 5, besondere Datenkategorien nach Art. 9), des deutschen Beschäftigtendatenschutzes nach § 26 BDSG, der betrieblichen Mitbestimmung und der KI-Verordnung (EU) 2024/1689, deren Verbote nach Art. 5 seit dem 2. Februar 2025 gelten. Die folgenden sechs Grenzen ordnen jede Kontrollmaßnahme in diesen Rahmen ein: was zu tun ist, warum — und mit welcher Fundstelle.

Die BAG-Linie in einem Satz: Je tiefer eine Kontrollmaßnahme in die Persönlichkeitssphäre greift, desto konkreter muss der Anlass sein — kontinuierliches Bildschirm-Recording (BAG 1 ABR 16/22) und der heimliche Keylogger (BAG 2 AZR 681/16) fallen durch, anlassbezogene und dokumentierte Kontrolle trägt. Bei den Kontrollmaßnahmen in den Abschnitten 1 bis 4 kehren deshalb dieselben Prüfgrößen wieder: Verhältnismäßigkeit und Dokumentation, bei anlassbezogenen Maßnahmen zusätzlich der konkrete Anlass und bei heimlichen Maßnahmen der begründete Verdacht (§ 26 Abs. 1 Satz 2 BDSG). Die Abschnitte 5 und 6 setzen davor eine eigene Zulässigkeitsstufe — den Verbotstatbestand der KI-Verordnung und die Mitbestimmung. Wo die Prüfgrößen fehlen, droht neben dem Bußgeld der Verlust des Beweismittels im deutschen Arbeitsgericht.

1. § 26 BDSG-Voraussetzungen

Kurzantwort: Vor jeder technischen Kontrollmaßnahme steht die Rechtsgrundlage — in Deutschland im Beschäftigungskontext § 26 BDSG. Zulässig ist die Verarbeitung von Beschäftigtendaten nur für Zwecke des Beschäftigungsverhältnisses und nur, soweit sie verhältnismäßig ist; für die verdachtsbezogene Verarbeitung gilt § 26 Abs. 1 Satz 2 BDSG.

Daneben gilt der EU-Rahmen unverändert. Nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn mindestens eine von sechs Bedingungen erfüllt ist: Einwilligung, Vertragserfüllung oder vorvertragliche Maßnahmen, rechtliche Verpflichtung, lebenswichtige Interessen, Aufgabe im öffentlichen Interesse oder berechtigtes Interesse — wobei Buchstabe f nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung gilt. Stützen Sie die Maßnahme auf eine Einwilligung, müssen Sie diese nachweisen können (Art. 7 Abs. 1 DSGVO); sie ist jederzeit widerrufbar, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).

Erfasst die Maßnahme Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, die Gewerkschaftszugehörigkeit oder andere besondere Kategorien, greift zusätzlich das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO — dann ist eine zusätzliche Rechtsgrundlage aus dem Ausnahmekatalog des Art. 9 Abs. 2 DSGVO erforderlich, etwa die ausdrückliche Einwilligung. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt den Nachweis, nicht die Behauptung.

Praxisempfehlung — halten Sie Zweck und gewählte Rechtsgrundlage schriftlich fest und führen Sie die Verhältnismäßigkeitsabwägung in vier Schritten: (1) Zweck benennen, den die Maßnahme erreichen soll; (2) Eignung — trägt das gewählte System überhaupt zu diesem Zweck bei; (3) Erforderlichkeit — welches mildere Mittel wurde geprüft und warum reicht es nicht (etwa stichprobenartige statt vollständiger Auswertung, Metadaten statt Inhalte, angekündigte statt heimlicher Kontrolle); (4) Angemessenheit — Eingriffstiefe gegen Zweck, mit Begrenzung nach Zeit, Personenkreis und Datenarten. Jeder der vier Schritte gehört mit Datum in das Dokument, bevor das System eingeschaltet wird.

2. Bildschirm-Recording

Kurzantwort: Kontinuierliches Recording: verboten (BAG 1 ABR 16/22). Anlassbezogen + dokumentiert: erlaubt.

Der Unterschied liegt im Anlass und in der Dokumentation. Für die datenschutzrechtliche Vorabprüfung ist Art. 35 Abs. 1 DSGVO maßgeblich: Hat eine Verarbeitung — insbesondere bei Verwendung neuer Technologien — aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist vorab eine Datenschutz-Folgenabschätzung durchzuführen. Art. 35 Abs. 3 DSGVO nennt als Regelbeispiele unter anderem die systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Für ein Bildschirm-Recording heißt das konkret: Je dauerhafter und flächendeckender die Aufzeichnung, desto eher greift Art. 35 Abs. 1 DSGVO — bei einer laufenden Aufzeichnung sämtlicher Bildschirminhalte lässt sich kaum ausschließen, dass dabei auch besondere Datenkategorien nach Art. 9 DSGVO anfallen, und deren umfangreiche Verarbeitung führt Art. 35 Abs. 3 DSGVO ausdrücklich als Regelbeispiel. Ein eng begrenztes, anlassbezogenes Recording kann darunter bleiben. Praxisempfehlung: Die Einschätzung mit Begründung und Datum festhalten, auch wenn sie gegen eine Datenschutz-Folgenabschätzung ausfällt.

Praxisempfehlung für die Anlass-Dokumentation, die ein anlassbezogenes Recording tragen soll: konkreter Anlass mit Datum, Zweck, betroffener Personenkreis, technischer Umfang, Auswertungsberechtigte, Beginn und geplantes Ende sowie die Löschfrist der Aufzeichnungen. Ohne diese Angaben lässt sich die Verhältnismäßigkeit im Nachhinein nicht mehr belegen.

3. Tastatur-Logger / Keylogger

Kurzantwort: BAG 2 AZR 681/16: heimlicher Keylogger unzulässig, Beweise nicht verwertbar.

Der Grund liegt in der Bauart: Ein Keylogger protokolliert jede Eingabe, ohne zwischen dienstlichem und privatem Inhalt zu unterscheiden. Damit fallen absehbar auch besondere Datenkategorien an — es gelten die Art.-9-Schranken aus Abschnitt 1.

Praxisempfehlung — statt Tasteninhalten nur die Ereignis-Metadaten erfassen, die der Zweck verlangt: An- und Abmeldung, Zugriffe auf zuvor benannte Dateien und Systeme, Administratorhandlungen. Dazu drei Festlegungen, die vor dem Einschalten schriftlich stehen sollten: welche Rolle auswerten darf, bei welchem Anlass ausgewertet wird und nach welcher Frist die Protokolle gelöscht werden. Die Löschfrist gehört in den VVT-Eintrag (siehe Abschnitt „Dokumentation, die eine Aufsichtsbehörde sehen will").

Hinzu kommt die Auskunftsseite: Beschäftigte können ihre Rechte nach Art. 15 bis 22 DSGVO geltend machen, und der Verantwortliche muss darauf innerhalb der Frist des Art. 12 Abs. 3 DSGVO reagieren (Details in der FAQ). Eine Protokollierung, deren Umfang intern niemand vollständig beschreiben kann, wird spätestens hier zum Problem.

4. E-Mail-Inhalts-Scanning

Kurzantwort: Bei erlaubter oder geduldeter Privatnutzung ist über Art und Umfang der Kontrolle nach Art. 13 DSGVO zu informieren; anlassloses Inhalts-Scanning ist nicht verhältnismäßig (§ 26 Abs. 1 BDSG).

Auch hier gelten die Prüfgrößen aus Abschnitt 1: Anlass, Verhältnismäßigkeit, schriftliche Dokumentation der Abwägung. Erster Schritt ist deshalb die Regelung der Privatnutzung — erlaubt, geduldet oder untersagt — samt Datum und Bekanntgabe an die Belegschaft (Praxisempfehlung). Zweiter Schritt: Läuft das Scanning über einen externen Dienstleister (Security-Gateway, SaaS-Filter), liegt regelmäßig eine Auftragsverarbeitung vor. Nach Art. 28 Abs. 1 DSGVO dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; nach Art. 28 Abs. 3 DSGVO braucht es einen Vertrag, der Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Ob überhaupt eine Auftragsverarbeitung vorliegt, ist vorab zu klären — und zwar je Verarbeitungstätigkeit über die Rolle: Verantwortlicher (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) oder gemeinsam Verantwortliche (Art. 26 DSGVO). Der Vertrag nach Art. 28 Abs. 3 DSGVO gehört zur Auftragsverarbeitung; die Verwechslung mit der gemeinsamen Verantwortlichkeit zählt zu den häufigen Fehlern im Verarbeitungsverzeichnis.

Dritter Schritt: Der Dienstleister gehört als Empfänger in das Verarbeitungsverzeichnis — mit Drittland-Angabe und dokumentierter Garantie, falls er außerhalb der EU verarbeitet. Fließen Postfachdaten unbefugt ab, greift die Meldekette nach Art. 33 Abs. 1 DSGVO, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht unwahrscheinlich ist (unverzüglich und möglichst binnen 72 Stunden nach Kenntnis an die zuständige Aufsichtsbehörde, mit Begründung bei Verzögerung), und bei voraussichtlich hohem Risiko zusätzlich die Benachrichtigung der Betroffenen nach Art. 34 Abs. 1 DSGVO.

5. KI-Performance-Tracking

Kurzantwort: Emotionserkennung am Arbeitsplatz ist nach Art. 5 Abs. 1 lit. f der KI-Verordnung (EU) 2024/1689 verboten. KI-gestütztes Performance-Tracking braucht wie jede Kontrollmaßnahme eine Rechtsgrundlage (Abschnitt 1) und die Beteiligung der Belegschaft (Abschnitt 6).

Das Verbot der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen steht in Art. 5 Abs. 1 der Verordnung (EU) 2024/1689 und gilt seit dem 2. Februar 2025. Die Verordnung selbst gilt grundsätzlich seit dem 2. August 2026; die Hochrisiko-Pflichten aus Kapitel III Abschnitte 1 bis 3 gelten für Systeme nach Art. 6 Abs. 2 und Anhang III erst ab dem 2. Dezember 2027, für Systeme nach Art. 6 Abs. 1 und Anhang I ab dem 2. August 2028 (Art. 113 in der Fassung der Verordnung (EU) 2026/1744). Ob ein Werkzeug überhaupt erfasst ist, entscheidet die Definition in Art. 3 Nr. 1: ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das aus den erhaltenen Eingaben ableitet, wie es Ausgaben — etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen — erzeugt.

Ist das System nicht verboten, kann es hochriskant sein: Anhang III nennt ausdrücklich den Bereich „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit"; nach Art. 6 Abs. 2 gelten die dort aufgeführten Systeme als hochriskant. Die Ausnahme des Art. 6 Abs. 3 (kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte) ist ausgeschlossen, wenn das System ein Profiling natürlicher Personen durchführt. Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen müssen die betroffenen Personen nach Art. 50 Abs. 3 informieren. Diese Regeln gelten EU-weit, in Deutschland und Österreich identisch; die Aufsicht ist dagegen getrennt: In Deutschland ist Marktüberwachungsbehörde seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden zuständig sind; Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Marktüberwachungsbehörde nach Art. 70 KI-VO benannt, die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis.

Praxisempfehlung — prüfen Sie jedes eingesetzte Werkzeug in vier Schritten, schriftlich mit Datum: (1) Fällt es überhaupt unter die Definition des KI-Systems in Art. 3 Nr. 1? (2) Erkennt oder leitet es Emotionen von Beschäftigten ab — dann ist es am Arbeitsplatz nach Art. 5 Abs. 1 lit. f verboten. (3) Fällt es unter den Anhang-III-Bereich „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit" — dann gilt es nach Art. 6 Abs. 2 als hochriskant, wobei die Ausnahme des Art. 6 Abs. 3 bei einem Profiling natürlicher Personen ausgeschlossen ist. (4) Greift die Informationspflicht nach Art. 50 Abs. 3? Erst danach folgen Rechtsgrundlage (Abschnitt 1) und Mitbestimmung (Abschnitt 6).

6. Betriebsrats-Mitbestimmung § 87 Abs. 1 Nr. 6 BetrVG

Kurzantwort: Bei jedem technischen Überwachungs-System: zwingende Mitbestimmung. Ohne BR-Zustimmung: unzulässig. Diese Fundstelle ist deutsches Recht; das österreichische Gegenstück ist die zustimmungspflichtige Kontrollmaßnahme nach § 96 Abs. 1 Z 3 ArbVG (Kontrollmaßnahmen, die die Menschenwürde berühren), die eine Betriebsvereinbarung verlangt (siehe Abschnitt Österreich).

Praxisempfehlung — was eine tragfähige Betriebsvereinbarung zu einem Kontrollsystem regeln sollte: Zweck und erfasste Systeme, Datenarten, Auswertungsberechtigte als benannte Rollen, Anlässe und Verfahren einer Auswertung, Aufbewahrungs- und Löschfristen, Beteiligung des Datenschutzbeauftragten und ein fester Überprüfungstermin. Diese Liste ist kein gesetzlicher Mindestinhalt, sondern ein Erfahrungswert aus der Dokumentationspraxis.

Unabhängig von der Mitbestimmung kann eine Benennungspflicht entstehen: Nach Art. 37 Abs. 1 lit. b DSGVO ist ein Datenschutzbeauftragter zu benennen, wenn die Kerntätigkeit in Verarbeitungsvorgängen besteht, die eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen. In Deutschland kommt § 38 Abs. 1 BDSG hinzu: ab in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind — und unabhängig von der Anzahl der beschäftigten Personen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen oder Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. In Österreich gibt es keine solche zahlenmäßige Schwelle; dort folgt die Benennungspflicht unmittelbar aus Art. 37 DSGVO.

Welche Norm greift wann — Deutschland und Österreich

Kurzantwort: Der EU-Rahmen ist in beiden Ländern derselbe, der nationale Überbau nicht. Die folgende Tabelle nennt je Prüfpunkt nur die Norm, an der die Prüfung ansetzt — sie enthält keine Fristen und ersetzt keine Einzelfallprüfung.

Dokumentation, die eine Aufsichtsbehörde sehen will

Kurzantwort: Vier Dokumente tragen eine Kontrollmaßnahme — Eintrag im Verarbeitungsverzeichnis, der Auftragsverarbeitungsvertrag, sofern ein externer Dienstleister eingebunden ist, TOM-Verweis und, bei voraussichtlich hohem Risiko, die Datenschutz-Folgenabschätzung. Die Prüfreihenfolge der Aufsicht lautet erfahrungsgemäß: VVT → AVV → TOM → DSFA.

Der VVT-Eintrag zur Überwachungsmaßnahme braucht dieselben Pflichtangaben wie jede andere Verarbeitungstätigkeit: Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls des Datenschutzbeauftragten), Zwecke, Kategorien betroffener Personen und personenbezogener Daten, Kategorien der Empfänger, Drittlandübermittlungen mit Garantien, geplante Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Zeiterfassung sowie Fuhrpark mit GPS-Tracking gehören zu den typischen KMU-Einträgen. Die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ — weniger als 250 Beschäftigte UND kein Risiko für die Rechte und Freiheiten der betroffenen Personen UND keine regelmäßige Verarbeitung UND keine besonderen Kategorien nach Art. 9 bzw. strafrechtliche Daten — und ist bei laufender Personaldatenverarbeitung praktisch ausgeschlossen.

Der TOM-Verweis im VVT-Eintrag ist keine Formalie: Kein VVT ohne TOM-Anhang, und kein eigenes TOM je Verarbeitungstätigkeit — sondern der Verweis auf das zentrale TOM-Konzept nach Art. 32 DSGVO. Praxisempfehlung für ein Kontrollsystem: Im TOM-Dokument gehören genau die Maßnahmen ausformuliert, die den Kreis der Einsehenden begrenzen — rollenbasierte Zugriffsrechte auf die Auswertung, Protokollierung jedes Auswertungszugriffs, Trennung von Betrieb und Auswertung, technisch erzwungene Löschung nach Ablauf der Aufbewahrungsfrist; im VVT selbst genügt der Kurzverweis.

Die Information der Beschäftigten folgt unmittelbar aus Art. 13 und Art. 14 DSGVO. Für eine eingesetzte Tracking-Software bündeln sich damit drei Punkte: Information nach Art. 13 und Art. 14 DSGVO, geplante Löschfrist im VVT-Eintrag (Art. 30 Abs. 1 DSGVO) und — als Praxisempfehlung — die Auswertung nur durch die im TOM-Konzept benannten Rollen. Ebenfalls Praxisempfehlung für den laufenden Betrieb: den Eintrag jährlich sowie bei jeder Änderung überprüfen; in wachsenden Organisationen hat sich ein quartalsweiser Review bewährt. Das ist ein Praxis-Rhythmus, keine gesetzliche Frist.

Was ein Verstoß kostet

Kurzantwort: Zwei Folgen laufen parallel — Beweisverwertungsverbot im Arbeitsgericht + DSGVO-Bußgeld.

Die arbeitsrechtliche Folge — in Deutschland — trifft zuerst und trifft dort, wo die Maßnahme ihren Zweck hatte: Erkenntnisse aus einer heimlichen, unzulässigen Kontrollmaßnahme sind im deutschen Arbeitsgericht nicht verwertbar (BAG 2 AZR 681/16 zum heimlichen Keylogger); der EuGH-Maßstab aus C-396/22 zur heimlichen Aufzeichnung am Arbeitsplatz gilt EU-weit. Eine Kündigung, die auf diesen Beweis gestützt war, steht dann ohne ihn da. Diese Folge ist unabhängig vom Bußgeldverfahren und kann auch dann eintreten, wenn die Aufsichtsbehörde nie eingeschaltet wird.

Der DSGVO-Bußgeldrahmen ist zweistufig. Verstöße gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen (Art. 5, 6, 7, 9) oder die Rechte der betroffenen Person (Art. 12 bis 22) werden mit Geldbußen bis zu 20.000.000 EUR oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für Verstöße gegen bestimmte andere Pflichten — unter anderem aus Art. 25 bis 39 — liegt die Obergrenze bei 10.000.000 EUR oder bei einem Unternehmen bei 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO).

Verbotene KI-Praktiken sind separat sanktioniert: Verstöße gegen Art. 5 der KI-Verordnung werden mit Geldbußen bis zu 35.000.000 EUR oder bei einem Unternehmen bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3). In Deutschland stellt § 43 Abs. 2 und 3 BDSG ergänzend bestimmte Verstöße als Ordnungswidrigkeit mit einer Geldbuße bis zu 50.000 EUR unter Sanktion — nämlich die fehlerhafte Behandlung eines Auskunftsverlangens und die Verbraucherunterrichtung nach § 30 BDSG. In Österreich sieht § 62 Abs. 1 DSG Verwaltungsstrafen bis zu 50.000 EUR vor, soweit die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht — erfasst ist etwa, wer sich vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung verschafft.