--- id: lb-mel-02 batch: 8 title: "Daten im Arbeitsverhältnis" work: "Lexis Briefings Personalrecht" chapter: "Meldungen & Verpflichtungen" topic: meldungen-verpflichtungen author: "Silbernagl" stand: 2026-08 source: pdf: ".lexis360/Lexis360_daten_im_arbeitsverhaltnis.pdf" text: ".lexis360/md/daten_im_arbeitsverhaltnis.md" legal_bases: ["DSGVO Art 88", "DSGVO Art 88 Abs 2", "DSGVO Art 6 Abs 1", "DSGVO Art 9 Abs 1", "DSGVO Art 9 Abs 2", "DSGVO Art 7 Abs 3", "DSGVO Art 12 Abs 1", "DSG § 6 Abs 1", "DSG § 6 Abs 2", "DSG § 12 Abs 1", "ArbVG § 89 Z 1", "ArbVG § 96 Abs 1 Z 3", "ArbVG § 96a", "AVRAG § 10", "ABGB § 879", "ABGB § 863", "ABGB § 16", "EStG § 76", "StGB §§ 118–124", "EMRK Art 8"] tags: [datenschutz, datengeheimnis, einwilligung, mitarbeiterkontrollen, bildnisschutz, betriebsvereinbarung, auskunftsrecht] cross_refs: ["lb-brt-19", "lb-fir-04", "lb-mel-01", "lb-mel-03", "lb-zer-03"] --- # Daten im Arbeitsverhältnis *Lexis Briefings Personalrecht, Silbernagl, Stand August 2026 (lb-mel-02).* ## Zusammenfassung - **Compliance/Accountability:** Die DSGVO-Umsetzung fällt in die Selbsterfüllung des Arbeitgebers; die Informationssicherheit personenbezogener Daten sollte durch ein **ISMS** erreicht werden. **Kollektive Rechtsquellen** können über **Art 88 DSGVO** bezogen werden, wobei Abweichungen den Anforderungen von Art 88 Abs 2 sowie Art 5, Art 6 Abs 1 und Art 9 Abs 1 und 2 DSGVO entsprechen müssen (in der Quelle zitiert: EuGH C-65/23, Rs K GmbH). **Betriebsvereinbarungen** können die Verarbeitung personenbezogener Daten regeln, ohne die Befugnisse des Betriebsrats nach dem ArbVG (zB **§ 89 Z 1 ArbVG** bei Bezügen) zu beschneiden; der Betriebsrat kann betriebliche E-Mailadressen für seine Tätigkeit vom Arbeitgeber fordern. - **Datengeheimnis:** Aus **§ 6 Abs 1 DSG** unterliegen Arbeitgeber und alle mit personenbezogenen Daten in Kontakt kommenden Mitarbeiter dem Datengeheimnis — auch über das Ende der beruflichen Tätigkeit hinaus. Datenschutz ist Arbeitnehmerpflicht (Empfehlung: gesonderte Vereinbarung/Dienstvertrag, Belehrung über Pflichten und Folgen). Eine vertraglich abgesicherte Datenschutzverletzung mit erheblichen Folgen ist wohl jedenfalls ein **Entlassungsgrund**; umgekehrt darf die berechtigte Weigerung unzulässiger Datenübermittlung keinen Nachteil (Beförderung, Entlohnung, Beendigung) nach sich ziehen. Übermittlungen durch Mitarbeiter nur auf ausdrückliche Anweisung des Arbeitgebers (**§ 6 Abs 2 DSG**). - **Datenverantwortlichkeit:** Verantwortlicher ist stets der **Arbeitgeber** — auch bei Auslagerung an **Auftragsverarbeiter** (zB Lohnverrechnung als Führung des Lohnkontos gem **§ 76 EStG** oder IT-Dienstleister; Steuerberater nach hA eigener oder gemeinsamer Verantwortlicher). Dem Auftragsverarbeiter dürfen keine inhaltlichen Gestaltungs- und Verfügungsrechte zustehen. Die **Rechenschaftspflicht** liegt beim Arbeitgeber; entfallene Rechtfertigungsgründe dürfen nicht „nachgeschoben" werden. - **Rechtmäßigkeit:** Nur Zwecken dienende, rechtmäßig erhobene Daten (**Art 6 Abs 1 DSGVO**), materielle Vorschriften wie **§ 879 ABGB** mit zu beachten; Gebot der Datenminimierung und Speicherbegrenzung, Zweckbindung, interne Anonymisierung, **Verarbeitungsverzeichnisse**. - **Einwilligung des Arbeitnehmers:** jederzeit widerruflich (**Art 7 Abs 3 DSGVO**), nachweisbar — am besten schriftlich (**Art 12 Abs 1 DSGVO**) —, vor der Datenverarbeitung (auch vor Zusendung von Bewerbungsunterlagen und bei jeder Zweck-Erweiterung) einzuholen; **Koppelungsverbot**; Widerrufsbelehrung; dauernder Datenträger; Name/Kontaktdaten des Verantwortlichen und Datenschutzbeauftragten, konkrete und künftige Zwecke samt Rechtsgrundlagen; Drittland-Garantien; Dauer der Speicherung und Betroffenenrechte. Wegen des **Machtgefälles** im Arbeitsverhältnis sind „freie" Einwilligungen nur schwer erteilbar (Erwägungsgrund 45 DSGVO — ausnahmsweise bei keinen Nachteilen für den Arbeitnehmer). Eine schlüssige Einwilligung (**§ 863 ABGB**) scheidet nach der Lehre aus. Rechte auf **Auskunft** (maschinenlesbar, Kopien kostenlos), **unverzügliche Berichtigung** und **Löschung**; Berichts- und Meldepflichten des Arbeitgebers über Berichtigungen/Löschungen; bei „Data Breach" mit voraussichtlich hohem Risiko sind Arbeitnehmer umgehend zu informieren. - **Bildnisschutz und Mitarbeiterkontrollen:** Bildaufnahmen und akustisch mitverarbeitete Informationen können sonst die Straftatbestände der **§§ 118 bis 124 StGB** erfüllen; Bilddateien sind „Mischdaten" und als sensible Daten einzuordnen; Sonderregime **§ 12 Abs 1 DSG** — Videoüberwachung generell unzulässig, zulässig nur bei überwiegenden berechtigten Interessen (insb Sicherheit). Kontrollen nur im Rahmen von **Art 8 EMRK**, gerechtfertigt über **§ 10 AVRAG** bzw **§ 96 Abs 1 Z 3 ArbVG** (Betriebsvereinbarung); ohne Betriebsrat datenschutzkonforme Einwilligung des Dienstnehmers. **Im höchstpersönlichen Lebensbereich (§ 16 ABGB) oder zu Kontrollzwecken ist eine Bildaufnahme nie zulässig** — insb „Live-Monitoring" im Homeoffice (Tastaturanschlagskontrolle, Screenshots, Kamera, Mouse-Tracking) ✅. - **Zustimmungspflichtige Kontrollmechanismen** (beispielhaft): Videokameras (bei besonderen Gefahrenquellen/Personenschutz), Kontrollen auf Basis biometrischer Daten (zB Arbeitszeiterfassungssysteme), Produktographen (Auslastungskontrolle mit Rückschluss auf die Arbeitsleistung), stichprobenartige Alkoholkontrollen mittels Alkomat, Telefonabhöranlagen (nur Privatgespräche feststellend, mit Signal), Kontrolle durch andere Mitarbeiter/Externe (zB Detektei), Lokalisierung von Mobiltelefonen bei Außendienst, GPS-Tracking im Dienstfahrzeug (in der Quelle zitiert: 9 ObA 120/19s). **Nicht** zustimmungspflichtig: Telefonregistrieranlagen (nur Nummernerfassung; zitiert: VwGH 87/01/0034), Firmenausweis, anonymisierter Zugriff auf Bildschirminhalte, bloße Ordnungsvorschriften („fair use"). Der Betriebsrat kann gegen zustimmungspflichtige, unrechtmäßig erlassene Maßnahmen nach **§ 96a ArbVG** vorgehen; rechtsmissbräuchliche Auskunftsbegehren sind abweisbar (zitiert: EuGH C-526, Rs Brillen Rottler). - **Schadenersatz:** Datenschutzverstöße mit Kontrollverlust oder persönlichkeitsschädigenden Folgen können zu Schadenersatz führen; die Quelle nennt als Vergleichsentscheidung dtBAG 8. 5. 2025, 8 AZR 209/21, mit immateriellem Schadenersatz für Kontrollverlust in „angemessener Höhe" von **€ 200**. ## Kernwerte & Fristen (Stand 2026-08) | Wert / Regel | Detail | |---|---| | Auskunftsfrist | Auskunft über gespeicherte Daten in maschinenlesbarem Format binnen **max. 1 Monat**; Kopien kostenlos, nur bei mehreren/speziellen Auskünften angemessenes Entgelt (Stand 2026-08) ✅ | | Einwilligung | vor Datenverarbeitung einzuholen; jederzeit widerrufbar (Art 7 Abs 3 DSGVO); nachweisbar, am besten schriftlich (Art 12 Abs 1 DSGVO); Koppelungsverbot; Widerrufsbelehrung; dauernder Datenträger (Stand 2026-08) ✅ | | Freie Einwilligung im Arbeitsverhältnis | wegen Machtgefälles schwer erteilbar; wirksam nur ohne Nachteile für den Arbeitnehmer (ErwGr 45 DSGVO); schlüssige Einwilligung (§ 863 ABGB) nach Lehre ausgeschlossen (Stand 2026-08) ✅ | | Kontrollmaßnahmen | nur im Rahmen Art 8 EMRK; gerechtfertigt über § 10 AVRAG bzw § 96 Abs 1 Z 3 ArbVG (BV), ohne Betriebsrat datenschutzkonforme Einwilligung; konkreter Anlass erforderlich, keine Allgemeinüberwachung (Stand 2026-08) ✅ | | Videoüberwachung | generell unzulässig; Sonderregime § 12 Abs 1 DSG; zulässig bei überwiegenden berechtigten Interessen, zB reine Sicherheitsüberwachung; im höchstpersönlichen Lebensbereich/zu Kontrollzwecken nie (§ 16 ABGB), insb kein Live-Monitoring im Homeoffice (Stand 2026-08) ✅ | | Zustimmungspflichtig | Videokameras, biometrische Kontrollen, Produktographen, stichprobenartige Alkoholkontrollen, Telefonabhöranlagen, Detekteien, Handy-Lokalisierung, GPS-Tracking im Dienstfahrzeug (Stand 2026-08) ✅ | | Nicht zustimmungspflichtig | Telefonregistrieranlagen (VwGH 87/01/0034), Firmenausweis, anonymisierter Bildschirmzugriff, bloße Ordnungsvorschriften (Stand 2026-08) ✅ | | BR-Schutz bei Kontrollen | Beseitigungsanspruch/Unterlassungsklage gegen zustimmungspflichtige, unrechtmäßige Maßnahmen (§ 96a ArbVG) (Stand 2026-08) ✅ | | Schadenersatz Vergleichswert | € 200 für Kontrollverlust (dtBAG 8. 5. 2025, 8 AZR 209/21) — deutsche Entscheidung als Orientierung; österreichische Rechtslage nach Art 82 DSGVO offen ⚠ (Stand 2026-08) | ## Rechtsgrundlagen - **Art 88 DSGVO** (kollektive Rechtsquellen; Abs 2 Schutzmaßnahmen), **Art 5, Art 6 Abs 1, Art 9 Abs 1 und 2 DSGVO** (Grundsätze, Rechtmäßigkeit, besondere Datenkategorien), **Art 7 Abs 3 DSGVO** (Widerruf), **Art 12 Abs 1 DSGVO** (transparenzgerechte Ausübung) — ausdrücklich zitiert ✅ - **§ 6 Abs 1 DSG** (Datengeheimnis), **§ 6 Abs 2 DSG** (Übermittlung nur auf Anweisung), **§ 12 Abs 1 DSG** (Bildaufnahmen) — zitiert ✅ - **§ 89 Z 1 ArbVG**, **§ 96 Abs 1 Z 3 ArbVG**, **§ 96a ArbVG** (BR-Befugnisse bei Kontrollmaßnahmen) — zitiert ✅ - **§ 10 AVRAG** (Zustimmung des Betriebsrats zu Kontrollmaßnahmen) — zitiert ✅ - **§ 76 EStG** (Lohnverrechnung/Lohnkonto als Auftragsverarbeitung) — zitiert ✅ - **§ 879 ABGB** (Gute Sitten), **§ 16 ABGB** (höchstpersönlicher Lebensbereich), **§ 863 ABGB** (schlüssige Vereinbarung) — zitiert ✅ - **§§ 118 bis 124 StGB** (Straftatbestände des Abhörens/Überwachens) und **Art 8 EMRK** (Privatsphäre) — zitiert ✅ - Quelle zitiert ferner EuGH C-65/23 (Rs K GmbH, kollektive Rechtsquellen), C-487/21 (Rs Österr DSB, Auskunft), C-526 (Rs Brillen Rottler, Missbrauch), 6 ObA 2/23x (BR-E-Mailadressen), 9 ObA 120/19s (GPS), VwGH 87/01/0034 (Telefonregistrieranlagen) ✅ ## Payroll-Relevanz (Odoo) - **Rollenkonzept:** Lohnverrechnung als Auftragsverarbeitung — Odoo-Rollen (Payroll Officer/Admin) so schneiden, dass nur die für die Abrechnung erforderlichen Mitarbeiterdaten zugreifbar sind; Verarbeitungsverzeichnis der genutzten Datenarten außerhalb des Systems führen (Hinweis). - **Einwilligungsmanagement:** Einwilligungen (zB für Foto, Mitteilungswege) als dokumentierte, datierte Einträge mit Widerrufsstatus am Mitarbeiterdatensatz; Verarbeitungen, die auf der Einwilligung beruhen, beim Widerruf automatisch sperren. - **Auskunfts-/Löschbegehren:** Exportfunktion für Mitarbeiterdaten („employee data portability") als Auskunftsgrundlage (maschinenlesbar, 1-Monats-SLR im Prozess); Lösch-/Berichtigungs-Workflow mit Berichtspflicht (→ lb-mel-01 für die Nachphase nach Beendigung). - **Kontrollsysteme:** Arbeitszeit-/Zutrittssysteme (Work Entries, hr.attendance) mit betriebsvereinbarungskonformen Einstellungen betreiben; biometrische oder videobasierte Erfassung nur nach BV-Lage (→ lb-zer-03, lb-brt-19); Systemnutzungs-Logs zweckgebunden auswerten. - **Karenz-/Krankheitsdaten:** sensible Daten (Art 9 DSGVO) in der Abrechnung (Wochengeld, Krankengeld) nur für die notwendigen Prozesse sichtbar halten; Zugriff protokollieren. ## Verweise - **KB-intern:** lb-brt-19 (Erzwingbare Betriebsvereinbarung — Kontrollmaßnahmen § 96/§ 96a ArbVG) · lb-fir-04 (Sachnutzung von Firmeneigentum — Internet, E-Mail-/Internet-Nutzung im Betrieb) · lb-mel-01 (Daten bei Ende des Arbeitsverhältnisses) · lb-mel-03 (Daten im Bewerbungsverfahren) · lb-zer-03 (Zeiterfassung — Fragen der Arbeitsverfassung, Überwachungssysteme) - **Projekt:** `personalverrechnung/RECHTSQUELLEN-Privat.md` (DSGVO-/DSG-Umfeld der Personalverrechnung)