Beschäftigtendatengesetz (BeschDG): Was auf Zeiterfassung und Mitarbeiterüberwachung zukommt

Warum es überhaupt ein eigenes Gesetz braucht

Bislang steckt der Datenschutz im Arbeitsverhältnis in einer einzigen, knappen Vorschrift: § 26 Bundesdatenschutzgesetz (BDSG). Der Europäische Gerichtshof hat mit Urteil vom 30. März 2023 (Rechtssache C-34/21) entschieden, dass dessen zentrale Regelung über die europäische Datenschutz-Grundverordnung nicht wirksam hinausgeht – sie wiederholt im Kern nur, was die DSGVO ohnehin sagt, und nutzt den Spielraum der sogenannten Öffnungsklausel (Art. 88 DSGVO) nicht rechtssicher aus. Ergebnis: Rechtsunsicherheit für alle Beteiligten. Ein eigenes Beschäftigtendatengesetz soll diese Lücke füllen und konkrete, praxistaugliche Regeln schaffen.

Der aktuelle Stand: kein Gesetz, aber ein erkennbarer Kurs

Das Bundesinnenministerium und das Bundesarbeitsministerium legten am 8. Oktober 2024 einen ersten Referentenentwurf für ein Beschäftigtendatengesetz vor – rund 30 Paragrafen in vier Kapiteln. Dieser Entwurf scheiterte jedoch mit dem Bruch der Ampel-Koalition im November 2024, bevor er den Bundestag erreichte.

Die neue Bundesregierung aus CDU/CSU und SPD hat das Thema wieder aufgegriffen und in ihr Arbeitsprogramm aufgenommen; das Bundesarbeitsministerium bereitet nach eigener Ankündigung einen neuen Entwurf vor. Der frühere Text soll dabei nicht unverändert übernommen, sondern überarbeitet werden. Stand September 2026 liegt der neue Referentenentwurf allerdings noch nicht vor, und ein Termin für seine Vorlage ist nicht bekannt.

Was schon heute gilt – unabhängig vom neuen Gesetz

Auch ohne BeschDG ist der Umgang mit Beschäftigtendaten kein rechtsfreier Raum. Maßgeblich ist der Grundsatz der Erforderlichkeit: Personenbezogene Daten von Beschäftigten dürfen nur verarbeitet werden, soweit das für die Entscheidung über das Arbeitsverhältnis oder für dessen Durchführung tatsächlich nötig ist (§ 26 BDSG, Art. 6 DSGVO). Für Gesundheitsdaten – etwa Arbeitsunfähigkeitszeiten, Angaben aus dem Eingliederungsmanagement oder den Masern-Immunitätsnachweis – gilt der besonders strenge Art. 9 DSGVO. Diese Prinzipien wird auch ein künftiges BeschDG nicht abschaffen, sondern nur konkretisieren.

Was der Entwurf vorsah – und die Richtung markiert

Der Referentenentwurf von 2024 gibt einen guten Eindruck davon, was ein Beschäftigtendatengesetz regeln würde. Für die Praxis relevant waren vor allem diese Punkte:

• Einwilligung mit mehr Rechtssicherheit: Für typische Alltagsfälle – etwa Fotos im Intranet, Geburtstagslisten oder freiwillige Gesundheitsangebote – sollte gesetzlich vermutet werden, dass die Einwilligung freiwillig ist. Das nimmt Arbeitgebern die ständige Sorge, jede Zustimmung sei wegen des Abhängigkeitsverhältnisses unwirksam.
• Klare Grenzen für Überwachung: Ein eigenes Kapitel sollte Videoüberwachung, Ortung und den Zugriff auf Kommunikation regeln. Eine dauerhafte, lückenlose Überwachung sowie eine reine Leistungs- und Verhaltenskontrolle „ins Blaue hinein“ wären unzulässig.
• Verdeckte Überwachung nur als letztes Mittel: Heimliche Maßnahmen sollten nur bei einem konkreten, dokumentierten Verdacht einer schweren Pflichtverletzung oder Straftat und nur dann erlaubt sein, wenn mildere Mittel ausscheiden.
• Kürzere Aufbewahrung von Bewerberdaten: Unterlagen abgelehnter Bewerber sollten spätestens drei Monate nach der Absage gelöscht werden – kürzer als die bisher übliche Praxis von rund sechs Monaten.
• Transparenz bei KI und automatisierten Systemen: Werden Beschäftigte durch KI-gestützte oder automatisierte Systeme bewertet, sollten sie darüber informiert werden.
• Mehr Rechte für die Interessenvertretung: Vorgesehen war unter anderem eine Beteiligung des Betriebsrats bei der Bestellung und Abberufung des Datenschutzbeauftragten.

Was das für Dienstplan und Zeiterfassung bedeutet

Gerade in Apotheke, Praxis, Klinik und Pflegedienst fallen laufend sensible Beschäftigtendaten an – oft rund um die Dienstplanung. Vier Bereiche sind besonders wichtig, und zwar schon heute:

• Zeiterfassungs- und Dienstplandaten: Kommt- und Geht-Zeiten, geplante Schichten und hinterlegte Verfügbarkeiten sind Beschäftigtendaten. Sie dürfen erhoben werden, soweit das für Planung, Lohnabrechnung und die gesetzliche Arbeitszeitdokumentation erforderlich ist – nicht aber, um heimlich das Arbeitstempo Einzelner zu bewerten oder Bewegungsprofile zu erstellen. Zweckbindung und Datensparsamkeit gelten unmittelbar.
• GPS-Ortung in der Tourenplanung: In der ambulanten Pflege ist Ortung für Disposition, kurzfristige Umplanung und den Schutz allein arbeitender Kräfte oft sinnvoll. Zulässig ist sie nur, soweit erforderlich – also während des Dienstes und für den konkreten Zweck. Eine dauerhafte Standortüberwachung, Ortung in Pausen oder außerhalb der Arbeitszeit und heimliches Tracking sind tabu. Die Beschäftigten müssen wissen, wann und wozu geortet wird.
• Videoüberwachung in Betriebsräumen: In Offizin, Praxis oder Heim kann eine offene Videoüberwachung aus Sicherheitsgründen zulässig sein. In Pausen-, Sozial- und Umkleideräumen ist sie unzulässig, und eine heimliche Überwachung des Personals ist es fast immer. Der Aushang „Videoüberwacht“ ersetzt keine Erforderlichkeitsprüfung.
• Gesundheitsdaten der Beschäftigten: Arbeitsunfähigkeitsbescheinigungen, Daten aus dem betrieblichen Eingliederungsmanagement oder Impf- und Immunitätsnachweise gehören zu den besonders geschützten Daten nach Art. 9 DSGVO. Sie sind getrennt, mit engem Zugriff und nur für den jeweiligen Zweck zu speichern – nicht sammelbar „auf Vorrat“ im allgemeinen Personaldatensatz.

Mitbestimmung: Überwachungstechnik ist nie „Chefsache allein“

Wo ein Betriebsrat besteht, ist die Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen, mitbestimmungspflichtig – § 87 Abs. 1 Nr. 6 BetrVG. Das gilt für Zeiterfassungsterminals und -Apps, für Dienstplan-Software mit Auswertungsfunktionen und für GPS-Systeme gleichermaßen; auf eine tatsächliche Überwachungsabsicht kommt es nicht an, die objektive Eignung genügt. In kirchlichen und diakonischen Einrichtungen übernimmt die Mitarbeitervertretung nach MAVO oder MVG-EKD diese Rolle. Sinnvoll ist eine Betriebs- oder Dienstvereinbarung, die Zweck, Umfang, Zugriffsrechte und Löschfristen festlegt – sie schafft Rechtssicherheit unabhängig davon, wann das BeschDG kommt.

Ein weiterer Grundsatz gilt schon heute und dürfte im BeschDG bekräftigt werden: Rein automatisierte Entscheidungen mit erheblicher Wirkung für Beschäftigte sind nach Art. 22 DSGVO grundsätzlich unzulässig. Wer Schichten oder Bewertungen per Software vorbereiten lässt, braucht eine echte menschliche Prüfung und Freigabe – kein bloßes Durchwinken.

Die Grenze zwischen zulässiger Erfassung und unzulässiger Überwachung verläuft beim Zweck – und der lässt sich technisch sauber abbilden. Im apotower-Vergleich für Gesundheitsbetriebe liegt Aplano vorn: Zeiterfassung und Dienstplan dienen erkennbar der Planung und Lohnabrechnung, Zugriffsrechte lassen sich rollenbasiert begrenzen, und ausgewertet wird nur, was für Planung und Abrechnung nötig ist – statt heimlicher Leistungsprofile. Das erleichtert die Erforderlichkeitsprüfung und die Vereinbarung mit dem Betriebsrat.