Datenschutz am Arbeitsplatz: Neue Regeln für KI und Datenzugriff

EuGH-Urteil zu DSGVO-Auskünften, das EU-KI-Gesetz und ein deutsches Beschäftigtendatenschutzgesetz verändern den Umgang mit Personaldaten grundlegend. Unternehmen müssen Compliance anpassen.

Der Schutz von Mitarbeiterdaten in Europa steht vor einem tiefgreifenden Wandel. Zwei wegweisende Urteile und die bevorstehende Anwendung des EU-KI-Gesetzes zwingen Unternehmen zum schnellen Handeln. Gleichzeitig treibt Deutschland ein eigenes Gesetz voran.

EuGH setzt Grenzen für „missbräuchliche“ DSGVO-Auskünfte

Ein Urteil des Europäischen Gerichtshofs (EuGH) vom 1. April 2026 bringt lang ersehnte Klarheit für Personalabteilungen. Das Gericht entschied, dass der Auskunftsanspruch nach Artikel 15 DSGVO kein absolutes Druckmittel in Arbeitsstreitigkeiten ist. Künftig können Arbeitgeber umfangreiche „Alles-oder-nichts“-Anfragen ablehnen oder eine Gebühr verlangen, wenn sie nachweisen können, dass der Antrag offensichtlich unbegründet oder exzessiv ist.

„Das ist ein Wendepunkt für die Compliance“, kommentieren Rechtsexperten. Bisher mussten Unternehmen selbst bei mutmaßlich taktischen Anfragen – etwa vor Kündigungsverhandlungen – riesige Datenmengen zusammentragen. Jetzt haben sie ein rechtliches Werkzeug zur Hand. Die Beweislast bleibt jedoch hoch: Arbeitgeber müssen die missbräuchliche Natur der Anfrage detailliert dokumentieren.

Anzeige

Die rechtssichere Handhabung von Mitarbeiterdaten beginnt bereits beim Aufsetzen der Verträge, um spätere Fallstricke zu vermeiden. Dieser kostenlose Ratgeber liefert 19 sofort einsetzbare Muster-Formulierungen auf dem neuesten Stand des Nachweisgesetzes für Personaler und Führungskräfte. 19 sofort einsetzbare Muster-Formulierungen: So erstellen Sie rechtssichere Arbeitsverträge

Countdown für Hochrisiko-KI im Personalwesen läuft

Ab dem 2. August 2026 gilt das EU-KI-Gesetz in vollem Umfang. Für Personalabteilungen hat das gravierende Folgen. KI-Systeme für Recruiting, Beförderung und Leistungsüberwachung gelten als Hochrisiko-Anwendungen. Sie unterliegen damit strengen Pflichten zu Risikomanagement, Transparenz und menschlicher Aufsicht.

Unternehmen, die bislang undurchsichtige „Black-Box“-Algorithmen nutzen, müssen auf erklärbare Systeme umstellen. Der Aufwand ist beträchtlich: Neben der technischen KI-Compliance sind gleichzeitig Datenschutz-Folgenabschätzungen (DSFA) nach der DSGVO erforderlich. Diese Schnittstelle wird im zweiten Halbjahr 2026 zum zentralen Prüfpunkt bei Datenschutzaudits.

Deutschland arbeitet am eigenen Beschäftigtendatenschutzgesetz

Parallel zu den europäischen Entwicklungen treibt die Bundesregierung den Entwurf für ein eigenständiges Beschäftigtendatenschutzgesetz (BeschDG) voran. Es soll den viel kritisierten Paragrafen 26 des Bundesdatenschutzgesetzes (BDSG) ersetzen und Lücken schließen.

Der Entwurf sieht strengere Erforderlichkeitsprüfungen vor. Die Verarbeitung von Mitarbeiterdaten muss stärker gegen die Privatsphäre abgewogen werden als bisher. Zudem regelt er konkret den Einsatz von Künstlicher Intelligenz: Arbeitgeber müssen ihre Belegschaft klar darüber informieren, wie Profiling und automatisierte Entscheidungen die Karriere beeinflussen. Während Wirtschaftsverbände vor Bürokratie für den Mittelstand warnen, versprechen Befürworter mehr Rechtssicherheit und weniger Klagen.

Falle bei Personaldaten-Exporten in die USA entdeckt

Eine Compliance-Warnung vom 2. April 2026 weist auf eine gefährliche Lücke hin. Viele US-Dienstleister besitzen Zertifizierungen nach dem Data Privacy Framework (DPF), die ausdrücklich nur für „Nicht-Personaldaten“ gelten. Nutzt ein europäisches Unternehmen jedoch genau diesen Anbieter für Gehaltsabrechnung oder Talent-Management, ist die Datenübermittlung rechtswidrig.

Die Folge: hohe Bußgelder und volle Haftung für das exportierende Unternehmen. Experten raten dringend zu einer Überprüfung aller Cloud-Dienstleister. Die Zertifizierung des Empfängers muss explizit Personaldaten umfassen und die Zusammenarbeit mit EU-Aufsichtsbehörden zusichern. Die Ära der pauschalen Compliance ist vorbei.

Anzeige

Angesichts der neuen gesetzlichen Anforderungen und der Pflicht zur Datenschutz-Folgenabschätzung riskieren Unternehmen ohne saubere Dokumentation empfindliche Bußgelder. Mit diesem kostenlosen Paket erhalten Datenschutzbeauftragte eine rechtssichere Muster-Vorlage und Checklisten zur sofortigen Anwendung. Rechtssichere Datenschutzfolgenabschätzung in wenigen Schritten erstellen

Ausblick: Betriebsräte gewinnen an Einfluss

Die Integration von KI-Gesetz und DSGVO wird die größte Herausforderung bis August 2026. Viele Unternehmen werden spezielle KI-Compliance-Beauftragte einsetzen. In Deutschland wird mit der Verabschiedung des BeschDG noch in diesem Jahr gerechnet. Das wird eine Welle von Aktualisierungen bei Betriebsvereinbarungen auslösen.

Betriebsräte erhalten voraussichtlich erweiterte Mitbestimmungsrechte bei technischen Überwachungssystemen. Klar ist: Mitarbeiterdatenschutz ist kein Nebenprojekt mehr, sondern ein zentraler Pfeiler des Risikomanagements. Unternehmen, die jetzt proaktiv Transparenz schaffen, sind für die Zukunft gewappnet.