odoo-at-payroll/personalverrechnung/wissensbasis/dokumente/daten_im_arbeitsverhaltnis.md

id, batch, title, work, chapter, topic, author, stand, source, legal_bases, tags, cross_refs

id	batch	title	work	chapter	topic	author	stand	source	legal_bases	tags	cross_refs
lb-mel-02	8	Daten im Arbeitsverhältnis	Lexis Briefings Personalrecht	Meldungen & Verpflichtungen	meldungen-verpflichtungen	Silbernagl	2026-08	pdf text .lexis360/Lexis360_daten_im_arbeitsverhaltnis.pdf .lexis360/md/daten_im_arbeitsverhaltnis.md	DSGVO Art 88 DSGVO Art 88 Abs 2 DSGVO Art 6 Abs 1 DSGVO Art 9 Abs 1 DSGVO Art 9 Abs 2 DSGVO Art 7 Abs 3 DSGVO Art 12 Abs 1 DSG § 6 Abs 1 DSG § 6 Abs 2 DSG § 12 Abs 1 ArbVG § 89 Z 1 ArbVG § 96 Abs 1 Z 3 ArbVG § 96a AVRAG § 10 ABGB § 879 ABGB § 863 ABGB § 16 EStG § 76 StGB §§ 118–124 EMRK Art 8	datenschutz datengeheimnis einwilligung mitarbeiterkontrollen bildnisschutz betriebsvereinbarung auskunftsrecht	lb-brt-19 lb-fir-04 lb-mel-01 lb-mel-03 lb-zer-03

Daten im Arbeitsverhältnis

Lexis Briefings Personalrecht, Silbernagl, Stand August 2026 (lb-mel-02).

Zusammenfassung

• Compliance/Accountability: Die DSGVO-Umsetzung fällt in die Selbsterfüllung des Arbeitgebers; die Informationssicherheit personenbezogener Daten sollte durch ein ISMS erreicht werden. Kollektive Rechtsquellen können über Art 88 DSGVO bezogen werden, wobei Abweichungen den Anforderungen von Art 88 Abs 2 sowie Art 5, Art 6 Abs 1 und Art 9 Abs 1 und 2 DSGVO entsprechen müssen (in der Quelle zitiert: EuGH C-65/23, Rs K GmbH). Betriebsvereinbarungen können die Verarbeitung personenbezogener Daten regeln, ohne die Befugnisse des Betriebsrats nach dem ArbVG (zB § 89 Z 1 ArbVG bei Bezügen) zu beschneiden; der Betriebsrat kann betriebliche E-Mailadressen für seine Tätigkeit vom Arbeitgeber fordern.
• Datengeheimnis: Aus § 6 Abs 1 DSG unterliegen Arbeitgeber und alle mit personenbezogenen Daten in Kontakt kommenden Mitarbeiter dem Datengeheimnis — auch über das Ende der beruflichen Tätigkeit hinaus. Datenschutz ist Arbeitnehmerpflicht (Empfehlung: gesonderte Vereinbarung/Dienstvertrag, Belehrung über Pflichten und Folgen). Eine vertraglich abgesicherte Datenschutzverletzung mit erheblichen Folgen ist wohl jedenfalls ein Entlassungsgrund; umgekehrt darf die berechtigte Weigerung unzulässiger Datenübermittlung keinen Nachteil (Beförderung, Entlohnung, Beendigung) nach sich ziehen. Übermittlungen durch Mitarbeiter nur auf ausdrückliche Anweisung des Arbeitgebers (§ 6 Abs 2 DSG).
• Datenverantwortlichkeit: Verantwortlicher ist stets der Arbeitgeber — auch bei Auslagerung an Auftragsverarbeiter (zB Lohnverrechnung als Führung des Lohnkontos gem § 76 EStG oder IT-Dienstleister; Steuerberater nach hA eigener oder gemeinsamer Verantwortlicher). Dem Auftragsverarbeiter dürfen keine inhaltlichen Gestaltungs- und Verfügungsrechte zustehen. Die Rechenschaftspflicht liegt beim Arbeitgeber; entfallene Rechtfertigungsgründe dürfen nicht „nachgeschoben" werden.
• Rechtmäßigkeit: Nur Zwecken dienende, rechtmäßig erhobene Daten (Art 6 Abs 1 DSGVO), materielle Vorschriften wie § 879 ABGB mit zu beachten; Gebot der Datenminimierung und Speicherbegrenzung, Zweckbindung, interne Anonymisierung, Verarbeitungsverzeichnisse.
• Einwilligung des Arbeitnehmers: jederzeit widerruflich (Art 7 Abs 3 DSGVO), nachweisbar — am besten schriftlich (Art 12 Abs 1 DSGVO) —, vor der Datenverarbeitung (auch vor Zusendung von Bewerbungsunterlagen und bei jeder Zweck-Erweiterung) einzuholen; Koppelungsverbot; Widerrufsbelehrung; dauernder Datenträger; Name/Kontaktdaten des Verantwortlichen und Datenschutzbeauftragten, konkrete und künftige Zwecke samt Rechtsgrundlagen; Drittland-Garantien; Dauer der Speicherung und Betroffenenrechte. Wegen des Machtgefälles im Arbeitsverhältnis sind „freie" Einwilligungen nur schwer erteilbar (Erwägungsgrund 45 DSGVO — ausnahmsweise bei keinen Nachteilen für den Arbeitnehmer). Eine schlüssige Einwilligung (§ 863 ABGB) scheidet nach der Lehre aus. Rechte auf Auskunft (maschinenlesbar, Kopien kostenlos), unverzügliche Berichtigung und Löschung; Berichts- und Meldepflichten des Arbeitgebers über Berichtigungen/Löschungen; bei „Data Breach" mit voraussichtlich hohem Risiko sind Arbeitnehmer umgehend zu informieren.
• Bildnisschutz und Mitarbeiterkontrollen: Bildaufnahmen und akustisch mitverarbeitete Informationen können sonst die Straftatbestände der §§ 118 bis 124 StGB erfüllen; Bilddateien sind „Mischdaten" und als sensible Daten einzuordnen; Sonderregime § 12 Abs 1 DSG — Videoüberwachung generell unzulässig, zulässig nur bei überwiegenden berechtigten Interessen (insb Sicherheit). Kontrollen nur im Rahmen von Art 8 EMRK, gerechtfertigt über § 10 AVRAG bzw § 96 Abs 1 Z 3 ArbVG (Betriebsvereinbarung); ohne Betriebsrat datenschutzkonforme Einwilligung des Dienstnehmers. Im höchstpersönlichen Lebensbereich (§ 16 ABGB) oder zu Kontrollzwecken ist eine Bildaufnahme nie zulässig — insb „Live-Monitoring" im Homeoffice (Tastaturanschlagskontrolle, Screenshots, Kamera, Mouse-Tracking) ✅.
• Zustimmungspflichtige Kontrollmechanismen (beispielhaft): Videokameras (bei besonderen Gefahrenquellen/Personenschutz), Kontrollen auf Basis biometrischer Daten (zB Arbeitszeiterfassungssysteme), Produktographen (Auslastungskontrolle mit Rückschluss auf die Arbeitsleistung), stichprobenartige Alkoholkontrollen mittels Alkomat, Telefonabhöranlagen (nur Privatgespräche feststellend, mit Signal), Kontrolle durch andere Mitarbeiter/Externe (zB Detektei), Lokalisierung von Mobiltelefonen bei Außendienst, GPS-Tracking im Dienstfahrzeug (in der Quelle zitiert: 9 ObA 120/19s). Nicht zustimmungspflichtig: Telefonregistrieranlagen (nur Nummernerfassung; zitiert: VwGH 87/01/0034), Firmenausweis, anonymisierter Zugriff auf Bildschirminhalte, bloße Ordnungsvorschriften („fair use"). Der Betriebsrat kann gegen zustimmungspflichtige, unrechtmäßig erlassene Maßnahmen nach § 96a ArbVG vorgehen; rechtsmissbräuchliche Auskunftsbegehren sind abweisbar (zitiert: EuGH C-526, Rs Brillen Rottler).
• Schadenersatz: Datenschutzverstöße mit Kontrollverlust oder persönlichkeitsschädigenden Folgen können zu Schadenersatz führen; die Quelle nennt als Vergleichsentscheidung dtBAG 8. 5. 2025, 8 AZR 209/21, mit immateriellem Schadenersatz für Kontrollverlust in „angemessener Höhe" von € 200.

Kernwerte & Fristen (Stand 2026-08)

Wert / Regel	Detail
Auskunftsfrist	Auskunft über gespeicherte Daten in maschinenlesbarem Format binnen max. 1 Monat; Kopien kostenlos, nur bei mehreren/speziellen Auskünften angemessenes Entgelt (Stand 2026-08) ✅
Einwilligung	vor Datenverarbeitung einzuholen; jederzeit widerrufbar (Art 7 Abs 3 DSGVO); nachweisbar, am besten schriftlich (Art 12 Abs 1 DSGVO); Koppelungsverbot; Widerrufsbelehrung; dauernder Datenträger (Stand 2026-08) ✅
Freie Einwilligung im Arbeitsverhältnis	wegen Machtgefälles schwer erteilbar; wirksam nur ohne Nachteile für den Arbeitnehmer (ErwGr 45 DSGVO); schlüssige Einwilligung (§ 863 ABGB) nach Lehre ausgeschlossen (Stand 2026-08) ✅
Kontrollmaßnahmen	nur im Rahmen Art 8 EMRK; gerechtfertigt über § 10 AVRAG bzw § 96 Abs 1 Z 3 ArbVG (BV), ohne Betriebsrat datenschutzkonforme Einwilligung; konkreter Anlass erforderlich, keine Allgemeinüberwachung (Stand 2026-08) ✅
Videoüberwachung	generell unzulässig; Sonderregime § 12 Abs 1 DSG; zulässig bei überwiegenden berechtigten Interessen, zB reine Sicherheitsüberwachung; im höchstpersönlichen Lebensbereich/zu Kontrollzwecken nie (§ 16 ABGB), insb kein Live-Monitoring im Homeoffice (Stand 2026-08) ✅
Zustimmungspflichtig	Videokameras, biometrische Kontrollen, Produktographen, stichprobenartige Alkoholkontrollen, Telefonabhöranlagen, Detekteien, Handy-Lokalisierung, GPS-Tracking im Dienstfahrzeug (Stand 2026-08) ✅
Nicht zustimmungspflichtig	Telefonregistrieranlagen (VwGH 87/01/0034), Firmenausweis, anonymisierter Bildschirmzugriff, bloße Ordnungsvorschriften (Stand 2026-08) ✅
BR-Schutz bei Kontrollen	Beseitigungsanspruch/Unterlassungsklage gegen zustimmungspflichtige, unrechtmäßige Maßnahmen (§ 96a ArbVG) (Stand 2026-08) ✅
Schadenersatz Vergleichswert	€ 200 für Kontrollverlust (dtBAG 8. 5. 2025, 8 AZR 209/21) — deutsche Entscheidung als Orientierung; österreichische Rechtslage nach Art 82 DSGVO offen ⚠ (Stand 2026-08)

Rechtsgrundlagen

• Art 88 DSGVO (kollektive Rechtsquellen; Abs 2 Schutzmaßnahmen), Art 5, Art 6 Abs 1, Art 9 Abs 1 und 2 DSGVO (Grundsätze, Rechtmäßigkeit, besondere Datenkategorien), Art 7 Abs 3 DSGVO (Widerruf), Art 12 Abs 1 DSGVO (transparenzgerechte Ausübung) — ausdrücklich zitiert ✅
• § 6 Abs 1 DSG (Datengeheimnis), § 6 Abs 2 DSG (Übermittlung nur auf Anweisung), § 12 Abs 1 DSG (Bildaufnahmen) — zitiert ✅
• § 89 Z 1 ArbVG, § 96 Abs 1 Z 3 ArbVG, § 96a ArbVG (BR-Befugnisse bei Kontrollmaßnahmen) — zitiert ✅
• § 10 AVRAG (Zustimmung des Betriebsrats zu Kontrollmaßnahmen) — zitiert ✅
• § 76 EStG (Lohnverrechnung/Lohnkonto als Auftragsverarbeitung) — zitiert ✅
• § 879 ABGB (Gute Sitten), § 16 ABGB (höchstpersönlicher Lebensbereich), § 863 ABGB (schlüssige Vereinbarung) — zitiert ✅
• §§ 118 bis 124 StGB (Straftatbestände des Abhörens/Überwachens) und Art 8 EMRK (Privatsphäre) — zitiert ✅
• Quelle zitiert ferner EuGH C-65/23 (Rs K GmbH, kollektive Rechtsquellen), C-487/21 (Rs Österr DSB, Auskunft), C-526 (Rs Brillen Rottler, Missbrauch), 6 ObA 2/23x (BR-E-Mailadressen), 9 ObA 120/19s (GPS), VwGH 87/01/0034 (Telefonregistrieranlagen) ✅

Payroll-Relevanz (Odoo)

• Rollenkonzept: Lohnverrechnung als Auftragsverarbeitung — Odoo-Rollen (Payroll Officer/Admin) so schneiden, dass nur die für die Abrechnung erforderlichen Mitarbeiterdaten zugreifbar sind; Verarbeitungsverzeichnis der genutzten Datenarten außerhalb des Systems führen (Hinweis).
• Einwilligungsmanagement: Einwilligungen (zB für Foto, Mitteilungswege) als dokumentierte, datierte Einträge mit Widerrufsstatus am Mitarbeiterdatensatz; Verarbeitungen, die auf der Einwilligung beruhen, beim Widerruf automatisch sperren.
• Auskunfts-/Löschbegehren: Exportfunktion für Mitarbeiterdaten („employee data portability") als Auskunftsgrundlage (maschinenlesbar, 1-Monats-SLR im Prozess); Lösch-/Berichtigungs-Workflow mit Berichtspflicht (→ lb-mel-01 für die Nachphase nach Beendigung).
• Kontrollsysteme: Arbeitszeit-/Zutrittssysteme (Work Entries, hr.attendance) mit betriebsvereinbarungskonformen Einstellungen betreiben; biometrische oder videobasierte Erfassung nur nach BV-Lage (→ lb-zer-03, lb-brt-19); Systemnutzungs-Logs zweckgebunden auswerten.
• Karenz-/Krankheitsdaten: sensible Daten (Art 9 DSGVO) in der Abrechnung (Wochengeld, Krankengeld) nur für die notwendigen Prozesse sichtbar halten; Zugriff protokollieren.

Verweise

• KB-intern: lb-brt-19 (Erzwingbare Betriebsvereinbarung — Kontrollmaßnahmen § 96/§ 96a ArbVG) · lb-fir-04 (Sachnutzung von Firmeneigentum — Internet, E-Mail-/Internet-Nutzung im Betrieb) · lb-mel-01 (Daten bei Ende des Arbeitsverhältnisses) · lb-mel-03 (Daten im Bewerbungsverfahren) · lb-zer-03 (Zeiterfassung — Fragen der Arbeitsverfassung, Überwachungssysteme)
• Projekt: personalverrechnung/RECHTSQUELLEN-Privat.md (DSGVO-/DSG-Umfeld der Personalverrechnung)