Keylogger, Screenshots, GPS und KI-Scores: Wo Überwachung am Arbeitsplatz rechtlich endet, welche Rechtsgrundlagen gelten und wie ein externer Datenschutzbeauftragter Datenschutz und IT-Sicherheit vereint.
Überwachung ist nur in engen Grenzen erlaubt: mit konkretem Zweck, Rechtsgrundlage nach Art. 6 DSGVO und verhältnismäßigen Mitteln.
Dauerhafte, lückenlose Kontrolle einzelner Beschäftigter ist unzulässig. Keylogger und Dauer-Screenshots sind regelmäßig tabu.
Eine Einwilligung der Beschäftigten trägt in der Regel nicht und macht eine unverhältnismäßige Maßnahme nicht zulässig.
Der Betriebsrat entscheidet mit, sobald ein System Verhalten oder Leistung überwachen kann, auch bei Standardsoftware wie Microsoft 365.
Bei Verstößen drohen Schadensersatz, Bußgelder und ein gestoppter Rollout. Beschäftigte können Auskunft verlangen und sich bei der Aufsichtsbehörde beschweren.
Ist Mitarbeiterüberwachung erlaubt?
Kurz gesagt: Mitarbeiterüberwachung ist in Deutschland nur in engen Grenzen erlaubt. Arbeitgeber brauchen eine Rechtsgrundlage nach Art. 6 DSGVO, meist ein berechtigtes Interesse mit dokumentierter Abwägung. Eine dauerhafte, lückenlose Kontrolle ist unzulässig, die Einwilligung der Beschäftigten trägt in der Regel nicht, und bei technischen Systemen entscheidet der Betriebsrat mit.
Überwachung am Arbeitsplatz beginnt früher, als viele Geschäftsführer denken. Microsoft 365 kann je nach Einstellung nutzerbezogene Aktivitätsberichte bereitstellen. Teams zeigt, wer wann „verfügbar“ ist, das Ticketsystem zählt erledigte Vorgänge pro Person, und die Telematik im Dienstwagen speichert jede Fahrt. Keine dieser Funktionen wurde zur Leistungskontrolle eingeführt. Trotzdem kann jede davon Verhalten und Leistung einzelner Beschäftigter sichtbar machen.
Datenschutzrechtlich kommt es darauf an, welche personenbezogenen Daten erhoben und ausgewertet werden und zu welchem Zweck. Für die Mitbestimmung des Betriebsrats genügt dagegen schon, dass ein System objektiv geeignet ist, Verhalten oder Leistung sichtbar zu machen – unabhängig davon, wozu der Arbeitgeber es eingeführt hat.
Mitarbeiterüberwachung ist datenschutzrechtlich besonders heikel, weil drei Risiken zusammentreffen: das Machtgefälle im Arbeitsverhältnis, dauerhaft gespeicherte Verhaltensdaten und die Gefahr einer verdeckten Leistungsbewertung.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mitarbeiterüberwachung, auch Überwachung am Arbeitsplatz oder Mitarbeitenden-Monitoring genannt, ist jede Erhebung und Auswertung von Daten, die das Verhalten oder die Leistung einzelner Beschäftigter sichtbar macht. Sie kann offen oder verdeckt erfolgen und reicht von der Videokamera über Ortung und Protokolldaten bis zu KI-gestützten Auswertungen vorhandener Systeme. Das Thema gehört zum Beschäftigtendatenschutz, der alle Daten von der Bewerbung bis zum Austritt umfasst.
Entscheidend ist nicht die Technik, sondern die Wirkung. Auch Standardsoftware wie Microsoft 365, ein Ticketsystem oder eine Telefonanlage gehört dazu, sobald sie personenbezogene Nutzungs-, Aktivitäts- oder Leistungsdaten erfasst oder entsprechende Auswertungen ermöglicht. Wer Mitarbeiter überwachen will, muss deshalb zuerst wissen, welche Funktionen die eigenen Systeme tatsächlich bieten.
Welche rechtlichen Regeln gelten für Überwachung am Arbeitsplatz?
Dieselbe Überwachungsmaßnahme löst in der Regel drei getrennte Prüfungen aus: Datenschutz, Mitbestimmung und – beim Einsatz von KI – die KI-Verordnung. Wer nur eine Ebene prüft, übersieht leicht die anderen.
Welche Rechtsgrundlage gilt nach der DSGVO?
Lange galt § 26 Abs. 1 BDSG als zentrale Rechtsgrundlage für Beschäftigtendaten. Der EuGH hat mit den Urteilen vom 30.03.2023 (C-34/21) und vom 19.12.2024 (C-65/23) jedoch hohe Anforderungen an nationale Regelungen nach Art. 88 DSGVO gestellt. Danach ist zweifelhaft, ob § 26 Abs. 1 Satz 1 BDSG noch als eigenständige Rechtsgrundlage taugt. Fehlen unionsrechtskonforme spezifische Vorschriften, gilt unmittelbar die DSGVO.
Für Überwachungsmaßnahmen folgt die Rechtsgrundlage damit aus Art. 6 Abs. 1 DSGVO: bei privaten Arbeitgebern meist aus lit. f, dem berechtigten Interesse nach DSGVO, bei gesetzlichen Pflichten aus lit. c. Lit. f verlangt eine dokumentierte Interessenabwägung, die bei Überwachung häufig nicht zugunsten des Arbeitgebers ausfällt. Die Kriterien des § 26 BDSG, etwa zur Einwilligung (Abs. 2) und zur Aufdeckung von Straftaten (Abs. 1 Satz 2), bleiben wichtige Orientierungsmaßstäbe.
An der Strenge ändert sich wenig. Die Grundsätze der DSGVO gelten weiter: Zweckbindung, Datenminimierung, Speicherbegrenzung und Transparenz. Art. 88 Abs. 2 DSGVO nennt Überwachungssysteme am Arbeitsplatz ausdrücklich als Bereich, in dem Menschenwürde und Grundrechte der Beschäftigten besonders zu schützen sind.
Merksatz DSGVO: Die Rechtsgrundlage für Überwachung folgt heute unmittelbar aus Art. 6 DSGVO, meist aus berechtigten Interessen mit dokumentierter Abwägung. Eine Einwilligung ist keine Abkürzung.
Reicht eine Einwilligung der Mitarbeitenden?
„Dann lassen wir die Mitarbeitenden eben unterschreiben.“ Für Überwachungsmaßnahmen ist eine Einwilligung regelmäßig keine tragfähige Grundlage, weil die Freiwilligkeit im Abhängigkeitsverhältnis zweifelhaft ist. Sie kommt nur in tatsächlich freiwilligen, klar abgrenzbaren Situationen in Betracht, in denen eine Ablehnung ohne Nachteile möglich ist (§ 26 Abs. 2 BDSG, EDSA-Leitlinien 05/2020). Eine unverhältnismäßige Überwachung wird durch eine Unterschrift nicht zulässig. Arbeitgeber sollten deshalb von Beginn an auf eine tragfähige Rechtsgrundlage setzen.
Was gilt bei Biometrie, Gesundheitsdaten und automatisierten Entscheidungen?
Biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden (Fingerabdruck, Gesichtsgeometrie, Stimmprofil), und Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dazu können auch Stressindikatoren oder Krankheitsmuster gehören. Hier reicht Art. 6 DSGVO allein nicht, zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO greifen. Für gewöhnliche Zwecke wie Zeiterfassung oder Zutritt gibt es fast immer ein milderes Mittel, etwa Karte, PIN oder App.
Heikel wird es zudem, wenn Monitoring-Daten Entscheidungen steuern: Schichtzuteilungen, Bonusberechnungen, Abmahnungen, Beförderungen oder Kündigungen. Trifft ein System eine solche Entscheidung ausschließlich automatisiert und mit rechtlicher oder ähnlich erheblicher Wirkung, greift Art. 22 DSGVO. Auch wenn formal ein Mensch entscheidet, muss die Prüfung echt sein. Wer den Score nur abnickt, entscheidet faktisch nicht selbst.
Wann muss der Betriebsrat bei Überwachung zustimmen?
Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die objektiv geeignet sind, Verhalten oder Leistung zu überwachen. Viele moderne Unternehmenssysteme fallen darunter, sobald sie personenbezogene Nutzungs-, Aktivitäts- oder Leistungsdaten erfassen oder entsprechende Auswertungen ermöglichen.
Führen Arbeitgeber ein solches System ohne vorherige Beteiligung des Betriebsrats und ohne verbindliche Regelung der zulässigen Nutzung ein, riskieren sie Unterlassungsansprüche und einen gestoppten Rollout. Die Regelung erfolgt meist über eine Betriebsvereinbarung; kommt keine Einigung zustande, entscheidet die Einigungsstelle.
Wichtig seit dem EuGH-Urteil C-65/23: Auch eine Betriebsvereinbarung muss die DSGVO vollständig einhalten und ist gerichtlich voll überprüfbar. Sie legitimiert keine Maßnahme, die ohnehin unverhältnismäßig wäre. Wie eng der Rahmen ist, zeigt das BAG-Urteil zu Betriebsvereinbarung und DSGVO vom 8. Mai 2025 (8 AZR 209/21): Ein Arbeitgeber hatte über die Betriebsvereinbarung hinaus Beschäftigtendaten übermittelt und musste Schadensersatz nach Art. 82 DSGVO zahlen. In Betrieben ohne Betriebsrat entfällt die Mitbestimmung, die datenschutzrechtlichen Grenzen bleiben dieselben.
Merksatz Betriebsrat: Nicht die Absicht zählt, sondern die Eignung. Kann ein System Verhalten oder Leistung sichtbar machen, ist der Betriebsrat vor der Einführung zu beteiligen.
Was gilt nach der KI-Verordnung für Überwachung?
Verboten seit 2. Februar 2025: KI-Systeme, die am Arbeitsplatz aus biometrischen Merkmalen – etwa Stimme, Gesichtsausdruck oder anderen biometrisch auswertbaren Verhaltensmerkmalen – Emotionen oder Absichten ableiten (Art. 5 Abs. 1 lit. f KI-VO). Ausnahmen gelten nur für medizinische oder sicherheitsbezogene Zwecke. Nicht jede statistische Auswertung, etwa der Tippgeschwindigkeit, fällt automatisch darunter.
Hochrisiko:KI im Personalwesen fällt grundsätzlich unter Anhang III Nr. 4 KI-VO, etwa KI-Systeme, die für personalbezogene Entscheidungen, für die Zuweisung von Aufgaben auf Grundlage individuellen Verhaltens oder für die Überwachung und Bewertung von Leistung und Verhalten bestimmt sind. Im Einzelfall sind Zweckbestimmung und gesetzliche Ausnahmen zu prüfen. Nach dem KI-Omnibus gelten die Hochrisiko-Pflichten ab dem 2. Dezember 2027.
DSGVO und Mitbestimmung gelten für solche Systeme schon heute: Ein KI-Produktivitätsscore braucht jetzt eine Rechtsgrundlage, eine DSFA-Prüfung und die Beteiligung des Betriebsrats.
Merksatz KI-Verordnung: Emotionserkennung am Arbeitsplatz ist bereits verboten. Für KI zur Leistungsbewertung kommen die Hochrisiko-Pflichten 2027, Datenschutz und Mitbestimmung gelten bereits heute.
Der Sechs-Punkte-Test vor jeder Überwachungsmaßnahme
Bevor ein System eingeführt oder eine Funktion aktiviert wird, sollten Arbeitgeber diese sechs Fragen beantworten und die Antworten dokumentieren:
Zweck: Welcher konkrete Zweck wird verfolgt – Sicherheit, Vertragserfüllung, gesetzliche Pflicht, Aufklärung eines Verdachts?
Daten: Welche Daten werden tatsächlich erhoben und ausgewertet, und auf welcher Ebene – Person, Team, Gesamtunternehmen?
Milderes Mittel: Lässt sich der Zweck mit weniger Daten, anonymisiert oder anlassbezogen erreichen?
Transparenz: Wissen die Beschäftigten konkret, was erfasst wird, wozu und wie lange?
Betriebsrat: Ist das System objektiv geeignet, Verhalten oder Leistung zu überwachen?
DSFA: Ergibt die Schwellwertanalyse ein hohes Risiko?
Fällt eine Antwort negativ aus, ist die Maßnahme anzupassen oder nicht einzuführen. Die Dokumentation dient zugleich als Nachweis nach der Rechenschaftspflicht der DSGVO.
Mitarbeiter überwachen: Welche Maßnahmen sind erlaubt?
Die Ampel beschreibt die typische Risikolage von Monitoring-Maßnahmen, kein Rechtsurteil im Einzelfall. Auch eine grüne Maßnahme ist nur bei zweckgebundener, transparenter und verhältnismäßiger Ausgestaltung zulässig. Eine rote Maßnahme kann in eng begrenzten Ausnahmefällen gerechtfertigt sein.
Maßnahme
Ampel
Worauf es ankommt
Keylogging (Mitschnitt aller Tastatureingaben)
Rot
Anlasslos unzulässig (BAG, 27.07.2017, 2 AZR 681/16). Allenfalls bei konkretem, dokumentiertem Verdacht einer Straftat oder schweren Pflichtverletzung gegen eine bestimmte Person.
Regelmäßige Screenshots oder Live-Bildschirmansicht
Rot
Dauerhafte Nutzung erzeugt lückenlose Leistungskontrolle. Fernwartung nur auf Anfrage und mit sichtbarer Anzeige.
KI-Emotionserkennung auf Basis biometrischer Merkmale
Rot – verboten
Art. 5 Abs. 1 lit. f KI-VO, seit 02.02.2025. Ausnahme nur für medizinische oder Sicherheitszwecke.
Heimlicher Mitschnitt von Gesprächen
Rot
Zusätzlich strafbar nach § 201 StGB (Vertraulichkeit des Wortes).
Produktivitäts- und Aktivitäts-Scores pro Person
Orange
Hohe Eingriffsintensität. Nur tatsächlich anonymisierte Teamauswertungen ohne Rückschluss auf Einzelne sind deutlich weniger kritisch – in kleinen Teams oft nicht erreichbar. DSFA sehr wahrscheinlich.
Nur transparent, zweckgebunden und nach vorheriger Information aller Teilnehmenden; Aufzeichnung in der Regel nur mit Zustimmung. Keine Auswertung zur Leistungskontrolle.
Videoüberwachung
Orange
Nur zum Schutz von Eigentum oder Sicherheit. In Sanitär- und Umkleideräumen unzulässig, in Pausen- und Aufenthaltsbereichen regelmäßig nicht zu rechtfertigen. Keine Dauerbeobachtung von Arbeitsplätzen. Löschung, sobald nicht mehr erforderlich.
GPS und Telematik
Gelb
Zweckgebunden (Tourenplanung, Diebstahlschutz); Ortung außerhalb der Arbeitszeit deaktivieren, private Fahrten ausnehmen, keine darüber hinausgehenden Bewegungs- oder Leistungsprofile.
Vertretungszugriff auf dienstliche Postfächer
Gelb
Zur Geschäftskontinuität zulässig, wenn Anlass, Umfang und Berechtigte vorab geregelt sind. Keine Inhaltsanalyse zur Verhaltenskontrolle.
Gut zu rechtfertigen bei Zweckbindung, pseudonymisierter Auswertung und angemessenen Speicherfristen.
Arbeitszeiterfassung (Beginn, Ende, Dauer)
Grün – Pflicht
Pflicht nach § 3 Abs. 2 Nr. 1 ArbSchG (BAG, 13.09.2022, 1 ABR 22/21). Keine Erlaubnis für zusätzliche Aktivitäts-, Standort- oder Leistungsanalysen. Biometrie nur mit Ausnahme nach Art. 9 DSGVO.
Die Ampel in Kürze:
Rot: Keylogging, Dauer-Screenshots, KI-Emotionserkennung und heimliche Gesprächsmitschnitte.
Orange: Produktivitäts- und Aktivitäts-Scores pro Person, DLP- und UEBA-Analysen, Auswertung von E-Mails und Chats, Meeting-Aufzeichnung und Videoüberwachung.
Gelb: GPS und Telematik, Vertretungszugriff auf Postfächer und Basis-Sicherheitslogging.
Grün: Arbeitszeiterfassung, sie ist sogar Pflicht.
Je vollständiger eine Maßnahme das Verhalten einer einzelnen Person abbildet, desto schwerer ist sie zu rechtfertigen. Besonders kritisch sind Kombinationen, etwa Keylogging mit Screenshots, Datei- und Druckprotokollen. Zusammen rekonstruieren sie den gesamten Arbeitstag.
Was unterscheidet offene und verdeckte Überwachung?
Offene Überwachung ist nicht automatisch zulässig – auch sie muss erforderlich und verhältnismäßig sein. Verdeckte Überwachung ist nur in besonders begründeten Ausnahmefällen denkbar, in der Regel zur Aufklärung eines konkreten Verdachts. Ob und wie lange die Information der Betroffenen nach Art. 13 DSGVO aufgeschoben werden darf, ist gesondert zu prüfen und zu dokumentieren. In beiden Fällen gilt: auf das notwendige Maß begrenzen.
Überwachung am Arbeitsplatz: Typische Anwendungsfälle
Microsoft 365 und Copilot
Wer Microsoft 365 datenschutzkonform nutzen will, muss die Auswertungsfunktionen kennen. Die Software stellt nutzerbezogene Aktivitäts- und Nutzungsberichte bereit, etwa zu Teams-Meetings und Chats. Copilot-Agenten können darüber hinaus aus E-Mails, Meetings, Chats und Dateien tägliche oder wöchentliche Arbeitszusammenfassungen erstellen. Arbeitgeber sollten deshalb nicht nur prüfen, welche Funktionen technisch vorhanden sind, sondern auch, wer sie aktivieren, einsehen oder weitergeben kann. Software-Updates bringen oft neue Auswertungen mit, deshalb gehören die Berichts- und Freigabeeinstellungen in jeden Rollout und in die Betriebsvereinbarung.
Audio, Meeting-Aufzeichnung und Transkription
Von der Teams-Transkription nach DSGVO über Zoom-Aufzeichnungen bis zur Gesprächsanalyse im Callcenter und zum KI-Coaching anhand von Stimme und Gesprächsführung: Diese Fallgruppe wächst stark. Aufzeichnungen des gesprochenen Wortes ohne Wissen der Beteiligten sind nach § 201 StGB strafbar. Das gilt auch für Telefonate: Mithören oder Aufzeichnen ohne Wissen der Gesprächspartner ist unzulässig. Transparente Aufzeichnung und Transkription brauchen eine Rechtsgrundlage, vorherige Information aller Teilnehmenden (auch externer), in der Regel deren Zustimmung und klare Löschfristen. Werden Transkripte oder Sprachanalysen zur Bewertung einzelner Beschäftigter genutzt, gelten die Maßstäbe für Leistungskontrolle. Leitet eine KI aus der Stimme Emotionen ab, greift das Verbot der KI-Verordnung.
Videoüberwachung am Arbeitsplatz
Videoüberwachung nach DSGVO stützt sich meist auf Art. 6 Abs. 1 lit. f DSGVO und ist auf den Schutz von Eigentum und Sicherheit zu begrenzen. Eine gesetzliche Höchstspeicherdauer gibt es nicht: Aufnahmen sind zu löschen, sobald sie für den festgelegten Zweck nicht mehr erforderlich sind. Die Datenschutzkonferenz hält in ihrer Orientierungshilfe eine Speicherdauer von 72 Stunden in der Regel für ausreichend; ältere Behördenpapiere nennen 48 Stunden. Eine längere Speicherung, etwa zur Sicherung eines dokumentierten Vorfalls, muss im Einzelfall begründet werden.
GPS und Dienstwagen
Tourenplanung und Diebstahlschutz erzeugen zwangsläufig Bewegungsdaten. Zulässig bleibt das, wenn die Ortung außerhalb der Arbeitszeit deaktiviert ist, private Fahrten ausgenommen sind, keine darüber hinausgehenden Bewegungs- oder Leistungsprofile entstehen und die Daten nur so lange gespeichert werden, wie der Zweck es erfordert. Ohne konkreten betrieblichen Zweck lässt sich eine Ortung nicht rechtfertigen. Auch bei Diensthandys und Werkzeugen mit Ortungsfunktion gelten dieselben Maßstäbe, und der Betriebsrat ist zu beteiligen.
E-Mails und Internetnutzung
Auf dienstliche Postfächer darf der Arbeitgeber in einem geregelten Verfahren zugreifen, etwa zur Vertretung bei Abwesenheit. Das ist etwas anderes als eine inhaltliche Auswertung zur Verhaltens- oder Leistungskontrolle: Sie ist nur bei konkretem Verdacht und begrenzt zulässig. Ist die private Nutzung von E-Mail und Internet erlaubt oder geduldet, wird es deutlich komplizierter. Eine klare IT-Nutzungsrichtlinie schafft Rechtssicherheit, weil sie Erlaubtes, Verbotenes und mögliche Kontrollen vorab festlegt.
Homeoffice
Im Homeoffice ist die Versuchung zur Kontrolle besonders groß: Webcam-Pflicht, Mausbewegungs-Tracking, Erkennung von „Maus-Jigglern“. Hier gelten dieselben Maßstäbe wie im Büro. Hinzu kommt der private Raum, der zusätzlichen Schutz genießt. Eine dauerhafte Webcam-Pflicht ist unverhältnismäßig. Führungskräfte steuern remote besser über Ergebnisse als über Aktivitätssignale. Vereinbarte Ziele, regelmäßige Abstimmungen und klare Erreichbarkeitszeiten ersetzen die Kontrolle, ohne in den privaten Raum einzugreifen.
Wie lassen sich IT-Sicherheit und Datenschutz vereinbaren?
In der Praxis werden zwei Situationen häufig vermischt: präventives Sicherheitslogging, das dauerhaft läuft, und die anlassbezogene Untersuchung eines konkreten Verdachts. Für beide gelten unterschiedliche Maßstäbe.
Präventives Sicherheitslogging
Je nach Risikolage, Anwendungsbereich und vertraglicher Ausgestaltung können das BSIG (NIS-2-Umsetzung), ISO-27001-Kontrollen (Annex A 8.15 und 8.16) oder Anforderungen von Cyberversicherern eine angemessene Protokollierung und Angriffserkennung erforderlich machen. Welche Logs konkret nötig sind, bleibt eine risikobasierte Entscheidung. Dieselben Daten zeigen aber auch, wer wann woran arbeitet. Die Lösung liegt in der Ausgestaltung:
Zweck festschreiben: Sicherheitsdaten dienen der Angriffserkennung, nicht der Leistungsbewertung. Das gehört in die Betriebsvereinbarung oder IT-Richtlinie.
Abgestuft und pseudonymisiert auswerten: Die IT oder das Security Operations Center (SOC) sieht zunächst Ereignisse, keine Namen. Tiefe Analysen wie DLP-Inhaltsprüfung (Schutz vor Datenabfluss) oder UEBA (Analyse von Nutzerverhalten) nur dort, wo das Risiko es verlangt.
De-Pseudonymisierung im Vier-Augen-Verfahren: Die Zuordnung zu einer Person erfolgt nur bei einem definierten Sicherheitsvorfall und nach dokumentierter Freigabe, etwa durch Informationssicherheit und HR oder Compliance. Der Datenschutzbeauftragte wird beratend einbezogen und kontrolliert das Verfahren, trifft aber nicht die operative Einzelfallentscheidung – sonst würde er später seine eigene Entscheidung prüfen.
Angemessene Speicherfristen: Logs nur so lange aufbewahren, wie sie für Erkennung und Forensik erforderlich sind.
Zugriffe protokollieren: Wer Überwachungsdaten einsieht, wird selbst protokolliert. Der Kreis der Berechtigten ist klein und festgelegt.
Kein Reporting auf Personenebene an Führungskräfte, außer bei einem dokumentierten Vorfall.
Legal meets Tech: Datenschutz und Informationssicherheit müssen gemeinsam geplant werden. Sicherheitslogging bleibt wirksam, wenn Zweckbindung, Zugriffsbeschränkungen, abgestufte Auswertungen und angemessene Speicherfristen von Anfang an technisch und organisatorisch berücksichtigt werden.
Anlassbezogene interne Untersuchung
Hat ein Arbeitgeber tatsächliche Anhaltspunkte für eine Straftat oder schwere Pflichtverletzung, etwa Diebstahl, Arbeitszeitbetrug oder Weitergabe von Geschäftsgeheimnissen, sind weitergehende Maßnahmen möglich. Bei privaten Arbeitgebern kommt dafür insbesondere Art. 6 Abs. 1 lit. f DSGVO in Betracht. Die bisherigen Kriterien des § 26 Abs. 1 Satz 2 BDSG und der Rechtsprechung bleiben ein wichtiger Orientierungsmaßstab:
Der Verdacht beruht auf konkreten, dokumentierten Tatsachen, nicht auf einem Bauchgefühl.
Er richtet sich gegen eine bestimmte Person oder einen eingrenzbaren Personenkreis.
Mildere Mittel wurden geprüft und reichen nicht aus.
Die Maßnahme ist zeitlich, personell und sachlich begrenzt.
Eine Meldung über ein Hinweisgebersystem nach Hinweisgeberschutzgesetz kann solche konkreten Anhaltspunkte liefern. Sie entbindet aber nicht von der Prüfung, welche Ermittlungsmaßnahmen erforderlich und verhältnismäßig sind.
Datenschutzberatung anfragen
Eine umfassende Beratung zu allen Themen rund um die DSGVO aus einer Hand, damit Sie gesetzliche Anforderungen effizient umsetzen und Ihre Daten sicher verwalten können.
Was droht bei unzulässiger Mitarbeiterüberwachung?
Unzulässige Überwachung hat für Arbeitgeber mehrere rechtliche Folgen, die sich kombinieren können:
Schadensersatz: Betroffene können nach Art. 82 DSGVO Ersatz für materielle und immaterielle Schäden verlangen.
Aufsichtsrechtliche Maßnahmen: Die Datenschutzbehörden können Anordnungen treffen und Bußgelder verhängen. Art. 83 DSGVO sieht bei Verstößen gegen die Grundsätze der Verarbeitung und die Rechtsgrundlagen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor.
Löschpflichten: Rechtswidrig erhobene Daten sind zu löschen.
Betriebsverfassungsrechtliche Folgen: Der Betriebsrat kann Unterlassung verlangen und einen Rollout stoppen.
Strafbarkeit: Das heimliche Aufzeichnen des gesprochenen Wortes ist nach § 201 StGB strafbar.
Sind rechtswidrig erhobene Daten vor Gericht verwertbar?
Datenschutzwidrig erhobene Daten sind in einem Kündigungsschutzprozess nicht automatisch unverwertbar. Bereits das BAG hat 2023 für Aufzeichnungen aus einer offenen Videoüberwachung entschieden, dass trotz datenschutzrechtlicher Mängel grundsätzlich eine Verwertung möglich sein kann (BAG, 29.06.2023, 2 AZR 296/22). Der EuGH hat mit Urteil vom 18. Juni 2026 (C-484/24) bestätigt, dass sich aus der DSGVO kein pauschales Beweisverwertungsverbot ergibt. Ob ein Beweismittel berücksichtigt werden darf, beurteilen die nationalen Gerichte nach den einschlägigen Verfahrensregeln und unter Beachtung der datenschutzrechtlichen Anforderungen, etwa der Datenminimierung. Anlasslose Totalüberwachung wie im Keylogger-Fall des BAG bleibt ein Beispiel dafür, dass Gerichte die Verwertung ablehnen können.
Für Arbeitgeber ist das kein Freibrief. Die Erhebung kann trotzdem rechtswidrig sein und Schadensersatz, aufsichtsrechtliche Maßnahmen, Löschpflichten oder betriebsverfassungsrechtliche Konsequenzen auslösen.
Was können Beschäftigte bei unzulässiger Überwachung tun?
Beschäftigte, die sich unzulässig überwacht fühlen, können zunächst den Betriebsrat einschalten, sofern es einen gibt. Außerdem haben sie nach Art. 15 DSGVO ein Recht auf Auskunft darüber, welche Daten der Arbeitgeber über sie speichert, und nach Art. 77 DSGVO das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. Bei schwerwiegenden Eingriffen in das Persönlichkeitsrecht können sie zusätzlich arbeitsrechtlichen Rat bei einer Gewerkschaft oder einem Fachanwalt für Arbeitsrecht einholen.
Rechtssicheres Monitoring in fünf Schritten
Wer Monitoring-Funktionen einsetzt oder plant, kommt mit diesen fünf Schritten zu einer rechtssicheren Umsetzung:
Bestandsaufnahme: Erfassen Sie alle Systeme und Funktionen, die Verhalten oder Leistung sichtbar machen können, in einem Monitoring- beziehungsweise Systeminventar: Microsoft 365, Ticketsystem, Telefonanlage, Telematik, Zutritt, Video, Sicherheitstools. Ordnen Sie diese anschließend den einschlägigen Verarbeitungstätigkeiten im Verzeichnis nach Art. 30 DSGVO zu – jeweils mit einer Rechtsgrundlage aus Art. 6 (und gegebenenfalls Art. 9) DSGVO.
Schwellwertanalyse und DSFA: Systematische Überwachung und Beschäftigte als schutzbedürftige Gruppe sind anerkannte Risikokriterien des EDSA. Treffen sie zusammen, ist eine Datenschutz-Folgenabschätzung sehr wahrscheinlich erforderlich. Dokumentieren Sie auch, wenn Sie zum Ergebnis „keine DSFA nötig“ kommen.
Regelung mit dem Betriebsrat oder Richtlinie: Legen Sie fest: Zweck, erfasste Daten, zulässige Auswertungen, Zugriffsberechtigte, Protokollierung der Zugriffe, Speicherdauer, Verbot der Leistungskontrolle und das Verfahren bei Verdachtsfällen.
Transparenz und Betroffenenrechte: Informieren Sie Beschäftigte nach Art. 13 DSGVO konkret: Welches System erfasst was, wozu und wie lange? Eine allgemeine Formulierung wie „Wir protokollieren IT-Systeme“ genügt nicht. Stellen Sie sicher, dass Auskunft (Art. 15), Berichtigung, Löschung und gegebenenfalls Widerspruch (Art. 21) praktisch bedient werden können, und weisen Sie auf das Beschwerderecht bei der Aufsichtsbehörde hin.
Löschen und regelmäßig prüfen: Setzen Sie die Fristen im Löschkonzept um und prüfen Sie jährlich, ob neue Funktionen hinzugekommen sind. Software-Updates bringen oft neue Auswertungen mit.
Gibt es ein Beschäftigtendatengesetz?
Ein eigenes Gesetz zum Beschäftigtendatenschutz gibt es in Deutschland nicht. Der Referentenentwurf eines Beschäftigtendatengesetzes vom 8. Oktober 2024 wurde nach dem Ende der Ampel-Koalition nicht weiterverfolgt. Die Bundesregierung hat das Thema erneut aufgegriffen; nach dem Stand vom 12. Oktober 2026 liegt noch kein neuer Entwurf vor. Cortina Consult aktualisiert diesen Beitrag, sobald sich etwas ändert. Bis dahin gelten die DSGVO, die Rechtsprechung von EuGH und BAG sowie die Mitbestimmung nach dem Betriebsverfassungsgesetz.
DSGVO-Bußgeld berechnen
Berechnen Sie den Rahmen für DSGVO-Bußgelder bei Datenschutzverstößen. Der Rechner nutzt die Leitlinien 04/2022 (V 2.1) des Europäischen Datenschutzausschusses (EDSA).
i Wie genau ist der Rechner?
Der Rechner berechnet den Rahmen, in dem sich ein DSGVO-Bußgeld bewegt – basierend auf den EDSA-Leitlinien 04/2022.
Die Aufsichtsbehörden sind aber nicht gebunden. Nach Art. 83 Abs. 1 DSGVO entscheidet jede Behörde selbst, ob ein Bußgeld wirksam, verhältnismäßig und abschreckend ist.
Die Berechnung ist eine Annäherung, kein verbindliches Ergebnis.
Der Zwischenbetrag zeigt den wahrscheinlichen Bußgeldrahmen. Art. 83 Abs. 2 DSGVO nennt weitere Faktoren für die Zumessung. Erfassen Sie diese, um den genauen Bereich einzugrenzen.
Bußgeldzumessung ist kein mathematischer Prozess. Die Aufsichtsbehörde kann auch außerhalb dieser Grenzen entscheiden – wenn das Bußgeld sonst nicht wirksam, verhältnismäßig oder abschreckend wäre.
1. Wurden Maßnahmen zur Minderung des den Betroffenen entstandenen Schadens ergriffen?i
2. Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters:i
3. Ist die Geldbuße wegen früherer Verstöße zu erhöhen?i
4. Wie wurde bezüglich des Verstoßes mit der Aufsichtsbehörde zusammengearbeitet?i
5. Wie hat die Aufsichtsbehörde von dem Verstoß Kenntnis erlangt?i
6. Wurden früher von der Aufsichtsbehörde zu demselben Gegenstand angeordnete Maßnahmen eingehalten?i
7. Wurde durch den Datenschutzverstoß Gewinn erzielt?i
Faktoren-Punktesumme:
0 Punkte
Endbetragsgrenzen (Bußgeldrahmen):0,00 € / 0,00 €
Unzulässige Überwachung verstößt in der Regel gegen die Grundsätze und Rechtsgrundlagen der DSGVO (Art. 5, 6 und 9) und fällt damit unter Art. 83 Abs. 5 DSGVO. Der Rechner zeigt, in welchem Rahmen sich ein Bußgeld nach den EDSA-Leitlinien 04/2022 bewegen kann. Das ist eine Orientierung und keine Prognose: Die Aufsichtsbehörde entscheidet im Einzelfall.
Häufige Fragen zur Mitarbeiterüberwachung
Kann mein Chef mich überwachen?
Nur in engen Grenzen. Der Arbeitgeber darf Arbeitszeiten erfassen und Arbeitsergebnisse kontrollieren. Eine dauerhafte, lückenlose Überwachung von Verhalten und Leistung ist unzulässig. Jede Überwachung braucht eine Rechtsgrundlage, muss verhältnismäßig sein, und die Beschäftigten sind darüber zu informieren.
Darf mein Arbeitgeber meine E-Mails lesen?
Auf dienstliche Postfächer darf der Arbeitgeber in einem geregelten Verfahren zugreifen, etwa zur Vertretung bei Abwesenheit. Eine inhaltliche Auswertung zur Verhaltens- oder Leistungskontrolle ist nur bei konkretem Verdacht und begrenzt zulässig. Ist die private Nutzung erlaubt oder geduldet, wird es deutlich komplizierter. Eine klare IT-Nutzungsrichtlinie schafft Rechtssicherheit.
Ist ein Keylogger am Arbeitsplatz erlaubt?
Anlasslos nein. Das BAG hat den Einsatz ohne konkreten Verdacht einer Straftat oder schweren Pflichtverletzung für unzulässig erklärt (Urteil vom 27.07.2017, 2 AZR 681/16).
Darf der Arbeitgeber den Dienstwagen per GPS orten?
Ja, zu betrieblichen Zwecken wie Tourenplanung oder Diebstahlschutz. Die Ortung ist außerhalb der Arbeitszeit zu deaktivieren, private Fahrten sind auszunehmen, und es dürfen keine darüber hinausgehenden Bewegungs- oder Leistungsprofile entstehen.
Darf ein Teams-Meeting aufgezeichnet oder transkribiert werden?
Nur transparent: Alle Teilnehmenden müssen vorher informiert sein, in der Regel ist ihre Zustimmung nötig, und Zweck sowie Löschfrist müssen feststehen. Eine heimliche Aufzeichnung ist strafbar. Transkripte dürfen in der Regel nicht nachträglich zur Leistungsbewertung genutzt werden, weil das einem anderen Zweck dient als die Aufzeichnung (Zweckbindung).
Reicht eine Einwilligung der Mitarbeitenden?
Für Überwachungsmaßnahmen in aller Regel nicht. Wegen des Abhängigkeitsverhältnisses ist die Freiwilligkeit zweifelhaft, und eine Einwilligung macht eine unverhältnismäßige Überwachung nicht zulässig. Sie kommt nur in echten Wahlsituationen ohne Nachteile bei Ablehnung in Betracht.
Muss der Betriebsrat beteiligt werden?
Ja, bei jeder technischen Einrichtung, die objektiv geeignet ist, Verhalten oder Leistung zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Das kann auch Standardsoftware wie Microsoft 365 betreffen.
Ist KI-gestützte Mitarbeiterüberwachung erlaubt?
KI, die aus biometrischen Merkmalen wie Stimme oder Mimik Emotionen ableitet, ist am Arbeitsplatz seit Februar 2025 verboten. KI zur Leistungs- und Verhaltensbewertung ist grundsätzlich ein Hochrisiko-System mit Pflichten ab Dezember 2027. DSGVO, DSFA-Prüfung und Mitbestimmung gelten schon heute.
Wie lange dürfen Videoaufnahmen gespeichert werden?
So lange, wie es für den Zweck erforderlich ist. Eine gesetzliche Frist gibt es nicht; die DSK-Orientierungshilfe zur Videoüberwachung hält 72 Stunden in der Regel für ausreichend. Längere Speicherung muss im Einzelfall begründet werden, etwa zur Sicherung eines Vorfalls.
Ist Mitarbeiterüberwachung strafbar?
Nicht jede Überwachung ist strafbar, aber manche Formen sind es. Strafbar ist insbesondere das heimliche Aufzeichnen des gesprochenen Wortes (§ 201 StGB). Sonstige unzulässige Überwachung verstößt in der Regel gegen den Datenschutz und kann Bußgelder, Schadensersatz und Unterlassungsansprüche nach sich ziehen.
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Keylogger, Screenshots, GPS und KI-Scores: Wo Überwachung am Arbeitsplatz rechtlich endet, welche Rechtsgrundlagen gelten und wie ein externer Datenschutzbeauftragter Datenschutz...
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Sie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
