pv-agent/wissensbasis/dokumente/daten_im_arbeitsverhaltnis.md

---
id: lb-mel-02
batch: 8
title: "Daten im Arbeitsverhältnis"
work: "Lexis Briefings Personalrecht"
chapter: "Meldungen & Verpflichtungen"
topic: meldungen-verpflichtungen
author: "Silbernagl"
stand: 2026-08
source:
  pdf: ".lexis360/Lexis360_daten_im_arbeitsverhaltnis.pdf"
  text: ".lexis360/md/daten_im_arbeitsverhaltnis.md"
legal_bases: ["DSGVO Art 88", "DSGVO Art 88 Abs 2", "DSGVO Art 6 Abs 1", "DSGVO Art 9 Abs 1", "DSGVO Art 9 Abs 2", "DSGVO Art 7 Abs 3", "DSGVO Art 12 Abs 1", "DSG § 6 Abs 1", "DSG § 6 Abs 2", "DSG § 12 Abs 1", "ArbVG § 89 Z 1", "ArbVG § 96 Abs 1 Z 3", "ArbVG § 96a", "AVRAG § 10", "ABGB § 879", "ABGB § 863", "ABGB § 16", "EStG § 76", "StGB §§ 118–124", "EMRK Art 8"]
tags: [datenschutz, datengeheimnis, einwilligung, mitarbeiterkontrollen, bildnisschutz, betriebsvereinbarung, auskunftsrecht]
cross_refs: ["lb-brt-19", "lb-fir-04", "lb-mel-01", "lb-mel-03", "lb-zer-03"]
---

# Daten im Arbeitsverhältnis

*Lexis Briefings Personalrecht, Silbernagl, Stand August 2026 (lb-mel-02).*

## Zusammenfassung

- **Compliance/Accountability:** Die DSGVO-Umsetzung fällt in die
  Selbsterfüllung des Arbeitgebers; die Informationssicherheit
  personenbezogener Daten sollte durch ein **ISMS** erreicht werden.
  **Kollektive Rechtsquellen** können über **Art 88 DSGVO** bezogen werden,
  wobei Abweichungen den Anforderungen von Art 88 Abs 2 sowie Art 5, Art 6 Abs 1
  und Art 9 Abs 1 und 2 DSGVO entsprechen müssen (in der Quelle zitiert: EuGH
  C-65/23, Rs K GmbH). **Betriebsvereinbarungen** können die Verarbeitung
  personenbezogener Daten regeln, ohne die Befugnisse des Betriebsrats nach dem
  ArbVG (zB **§ 89 Z 1 ArbVG** bei Bezügen) zu beschneiden; der Betriebsrat kann
  betriebliche E-Mailadressen für seine Tätigkeit vom Arbeitgeber fordern.
- **Datengeheimnis:** Aus **§ 6 Abs 1 DSG** unterliegen Arbeitgeber und alle mit
  personenbezogenen Daten in Kontakt kommenden Mitarbeiter dem Datengeheimnis —
  auch über das Ende der beruflichen Tätigkeit hinaus. Datenschutz ist
  Arbeitnehmerpflicht (Empfehlung: gesonderte Vereinbarung/Dienstvertrag,
  Belehrung über Pflichten und Folgen). Eine vertraglich abgesicherte
  Datenschutzverletzung mit erheblichen Folgen ist wohl jedenfalls ein
  **Entlassungsgrund**; umgekehrt darf die berechtigte Weigerung unzulässiger
  Datenübermittlung keinen Nachteil (Beförderung, Entlohnung, Beendigung)
  nach sich ziehen. Übermittlungen durch Mitarbeiter nur auf ausdrückliche
  Anweisung des Arbeitgebers (**§ 6 Abs 2 DSG**).
- **Datenverantwortlichkeit:** Verantwortlicher ist stets der **Arbeitgeber** —
  auch bei Auslagerung an **Auftragsverarbeiter** (zB Lohnverrechnung als
  Führung des Lohnkontos gem **§ 76 EStG** oder IT-Dienstleister;
  Steuerberater nach hA eigener oder gemeinsamer Verantwortlicher). Dem
  Auftragsverarbeiter dürfen keine inhaltlichen Gestaltungs- und
  Verfügungsrechte zustehen. Die **Rechenschaftspflicht** liegt beim
  Arbeitgeber; entfallene Rechtfertigungsgründe dürfen nicht „nachgeschoben"
  werden.
- **Rechtmäßigkeit:** Nur Zwecken dienende, rechtmäßig erhobene Daten
  (**Art 6 Abs 1 DSGVO**), materielle Vorschriften wie **§ 879 ABGB** mit zu
  beachten; Gebot der Datenminimierung und Speicherbegrenzung,
  Zweckbindung, interne Anonymisierung, **Verarbeitungsverzeichnisse**.
- **Einwilligung des Arbeitnehmers:** jederzeit widerruflich (**Art 7 Abs 3
  DSGVO**), nachweisbar — am besten schriftlich (**Art 12 Abs 1 DSGVO**) —,
  vor der Datenverarbeitung (auch vor Zusendung von Bewerbungsunterlagen und
  bei jeder Zweck-Erweiterung) einzuholen; **Koppelungsverbot**;
  Widerrufsbelehrung; dauernder Datenträger; Name/Kontaktdaten des
  Verantwortlichen und Datenschutzbeauftragten, konkrete und künftige Zwecke
  samt Rechtsgrundlagen; Drittland-Garantien; Dauer der Speicherung und
  Betroffenenrechte. Wegen des **Machtgefälles** im Arbeitsverhältnis sind
  „freie" Einwilligungen nur schwer erteilbar (Erwägungsgrund 45 DSGVO —
  ausnahmsweise bei keinen Nachteilen für den Arbeitnehmer). Eine schlüssige
  Einwilligung (**§ 863 ABGB**) scheidet nach der Lehre aus. Rechte auf
  **Auskunft** (maschinenlesbar, Kopien kostenlos), **unverzügliche
  Berichtigung** und **Löschung**; Berichts- und Meldepflichten des
  Arbeitgebers über Berichtigungen/Löschungen; bei „Data Breach" mit
  voraussichtlich hohem Risiko sind Arbeitnehmer umgehend zu informieren.
- **Bildnisschutz und Mitarbeiterkontrollen:** Bildaufnahmen und akustisch
  mitverarbeitete Informationen können sonst die Straftatbestände der
  **§§ 118 bis 124 StGB** erfüllen; Bilddateien sind „Mischdaten" und als
  sensible Daten einzuordnen; Sonderregime **§ 12 Abs 1 DSG** — Videoüberwachung
  generell unzulässig, zulässig nur bei überwiegenden berechtigten Interessen
  (insb Sicherheit). Kontrollen nur im Rahmen von **Art 8 EMRK**, gerechtfertigt
  über **§ 10 AVRAG** bzw **§ 96 Abs 1 Z 3 ArbVG** (Betriebsvereinbarung);
  ohne Betriebsrat datenschutzkonforme Einwilligung des Dienstnehmers.
  **Im höchstpersönlichen Lebensbereich (§ 16 ABGB) oder zu Kontrollzwecken
  ist eine Bildaufnahme nie zulässig** — insb „Live-Monitoring" im Homeoffice
  (Tastaturanschlagskontrolle, Screenshots, Kamera, Mouse-Tracking) ✅.
- **Zustimmungspflichtige Kontrollmechanismen** (beispielhaft): Videokameras
  (bei besonderen Gefahrenquellen/Personenschutz), Kontrollen auf Basis
  biometrischer Daten (zB Arbeitszeiterfassungssysteme), Produktographen
  (Auslastungskontrolle mit Rückschluss auf die Arbeitsleistung),
  stichprobenartige Alkoholkontrollen mittels Alkomat, Telefonabhöranlagen
  (nur Privatgespräche feststellend, mit Signal), Kontrolle durch andere
  Mitarbeiter/Externe (zB Detektei), Lokalisierung von Mobiltelefonen bei
  Außendienst, GPS-Tracking im Dienstfahrzeug (in der Quelle zitiert:
  9 ObA 120/19s). **Nicht** zustimmungspflichtig: Telefonregistrieranlagen
  (nur Nummernerfassung; zitiert: VwGH 87/01/0034), Firmenausweis,
  anonymisierter Zugriff auf Bildschirminhalte, bloße Ordnungsvorschriften
  („fair use"). Der Betriebsrat kann gegen zustimmungspflichtige,
  unrechtmäßig erlassene Maßnahmen nach **§ 96a ArbVG** vorgehen;
  rechtsmissbräuchliche Auskunftsbegehren sind abweisbar (zitiert: EuGH
  C-526, Rs Brillen Rottler).
- **Schadenersatz:** Datenschutzverstöße mit Kontrollverlust oder
  persönlichkeitsschädigenden Folgen können zu Schadenersatz führen; die Quelle
  nennt als Vergleichsentscheidung dtBAG 8. 5. 2025, 8 AZR 209/21, mit
  immateriellem Schadenersatz für Kontrollverlust in „angemessener Höhe" von
  **€ 200**.

## Kernwerte & Fristen (Stand 2026-08)

| Wert / Regel | Detail |
|---|---|
| Auskunftsfrist | Auskunft über gespeicherte Daten in maschinenlesbarem Format binnen **max. 1 Monat**; Kopien kostenlos, nur bei mehreren/speziellen Auskünften angemessenes Entgelt (Stand 2026-08) ✅ |
| Einwilligung | vor Datenverarbeitung einzuholen; jederzeit widerrufbar (Art 7 Abs 3 DSGVO); nachweisbar, am besten schriftlich (Art 12 Abs 1 DSGVO); Koppelungsverbot; Widerrufsbelehrung; dauernder Datenträger (Stand 2026-08) ✅ |
| Freie Einwilligung im Arbeitsverhältnis | wegen Machtgefälles schwer erteilbar; wirksam nur ohne Nachteile für den Arbeitnehmer (ErwGr 45 DSGVO); schlüssige Einwilligung (§ 863 ABGB) nach Lehre ausgeschlossen (Stand 2026-08) ✅ |
| Kontrollmaßnahmen | nur im Rahmen Art 8 EMRK; gerechtfertigt über § 10 AVRAG bzw § 96 Abs 1 Z 3 ArbVG (BV), ohne Betriebsrat datenschutzkonforme Einwilligung; konkreter Anlass erforderlich, keine Allgemeinüberwachung (Stand 2026-08) ✅ |
| Videoüberwachung | generell unzulässig; Sonderregime § 12 Abs 1 DSG; zulässig bei überwiegenden berechtigten Interessen, zB reine Sicherheitsüberwachung; im höchstpersönlichen Lebensbereich/zu Kontrollzwecken nie (§ 16 ABGB), insb kein Live-Monitoring im Homeoffice (Stand 2026-08) ✅ |
| Zustimmungspflichtig | Videokameras, biometrische Kontrollen, Produktographen, stichprobenartige Alkoholkontrollen, Telefonabhöranlagen, Detekteien, Handy-Lokalisierung, GPS-Tracking im Dienstfahrzeug (Stand 2026-08) ✅ |
| Nicht zustimmungspflichtig | Telefonregistrieranlagen (VwGH 87/01/0034), Firmenausweis, anonymisierter Bildschirmzugriff, bloße Ordnungsvorschriften (Stand 2026-08) ✅ |
| BR-Schutz bei Kontrollen | Beseitigungsanspruch/Unterlassungsklage gegen zustimmungspflichtige, unrechtmäßige Maßnahmen (§ 96a ArbVG) (Stand 2026-08) ✅ |
| Schadenersatz Vergleichswert | € 200 für Kontrollverlust (dtBAG 8. 5. 2025, 8 AZR 209/21) — deutsche Entscheidung als Orientierung; österreichische Rechtslage nach Art 82 DSGVO offen ⚠ (Stand 2026-08) |

## Rechtsgrundlagen

- **Art 88 DSGVO** (kollektive Rechtsquellen; Abs 2 Schutzmaßnahmen), **Art 5,
  Art 6 Abs 1, Art 9 Abs 1 und 2 DSGVO** (Grundsätze, Rechtmäßigkeit, besondere
  Datenkategorien), **Art 7 Abs 3 DSGVO** (Widerruf), **Art 12 Abs 1 DSGVO**
  (transparenzgerechte Ausübung) — ausdrücklich zitiert ✅
- **§ 6 Abs 1 DSG** (Datengeheimnis), **§ 6 Abs 2 DSG** (Übermittlung nur auf
  Anweisung), **§ 12 Abs 1 DSG** (Bildaufnahmen) — zitiert ✅
- **§ 89 Z 1 ArbVG**, **§ 96 Abs 1 Z 3 ArbVG**, **§ 96a ArbVG**
  (BR-Befugnisse bei Kontrollmaßnahmen) — zitiert ✅
- **§ 10 AVRAG** (Zustimmung des Betriebsrats zu Kontrollmaßnahmen) — zitiert ✅
- **§ 76 EStG** (Lohnverrechnung/Lohnkonto als Auftragsverarbeitung) — zitiert ✅
- **§ 879 ABGB** (Gute Sitten), **§ 16 ABGB** (höchstpersönlicher
  Lebensbereich), **§ 863 ABGB** (schlüssige Vereinbarung) — zitiert ✅
- **§§ 118 bis 124 StGB** (Straftatbestände des Abhörens/Überwachens) und
  **Art 8 EMRK** (Privatsphäre) — zitiert ✅
- Quelle zitiert ferner EuGH C-65/23 (Rs K GmbH, kollektive Rechtsquellen),
  C-487/21 (Rs Österr DSB, Auskunft), C-526 (Rs Brillen Rottler, Missbrauch),
  6 ObA 2/23x (BR-E-Mailadressen), 9 ObA 120/19s (GPS), VwGH 87/01/0034
  (Telefonregistrieranlagen) ✅

## Payroll-Relevanz (Odoo)

- **Rollenkonzept:** Lohnverrechnung als Auftragsverarbeitung — Odoo-Rollen
  (Payroll Officer/Admin) so schneiden, dass nur die für die Abrechnung
  erforderlichen Mitarbeiterdaten zugreifbar sind; Verarbeitungsverzeichnis
  der genutzten Datenarten außerhalb des Systems führen (Hinweis).
- **Einwilligungsmanagement:** Einwilligungen (zB für Foto, Mitteilungswege)
  als dokumentierte, datierte Einträge mit Widerrufsstatus am
  Mitarbeiterdatensatz; Verarbeitungen, die auf der Einwilligung beruhen,
  beim Widerruf automatisch sperren.
- **Auskunfts-/Löschbegehren:** Exportfunktion für
  Mitarbeiterdaten („employee data portability") als Auskunftsgrundlage
  (maschinenlesbar, 1-Monats-SLR im Prozess); Lösch-/Berichtigungs-Workflow
  mit Berichtspflicht (→ lb-mel-01 für die Nachphase nach Beendigung).
- **Kontrollsysteme:** Arbeitszeit-/Zutrittssysteme (Work Entries, hr.attendance)
  mit betriebsvereinbarungskonformen Einstellungen betreiben; biometrische oder
  videobasierte Erfassung nur nach BV-Lage (→ lb-zer-03, lb-brt-19);
  Systemnutzungs-Logs zweckgebunden auswerten.
- **Karenz-/Krankheitsdaten:** sensible Daten (Art 9 DSGVO) in der
  Abrechnung (Wochengeld, Krankengeld) nur für die notwendigen Prozesse
  sichtbar halten; Zugriff protokollieren.

## Verweise

- **KB-intern:** lb-brt-19 (Erzwingbare Betriebsvereinbarung — Kontrollmaßnahmen
  § 96/§ 96a ArbVG) · lb-fir-04 (Sachnutzung von Firmeneigentum — Internet,
  E-Mail-/Internet-Nutzung im Betrieb) · lb-mel-01 (Daten bei Ende des
  Arbeitsverhältnisses) · lb-mel-03 (Daten im Bewerbungsverfahren) ·
  lb-zer-03 (Zeiterfassung — Fragen der Arbeitsverfassung, Überwachungssysteme)
- **Projekt:** `personalverrechnung/RECHTSQUELLEN-Privat.md`
  (DSGVO-/DSG-Umfeld der Personalverrechnung)