Beschäftigtendatengesetz: Was HR und Zeiterfassung beachten

Ein Beschäftigtendatengesetz gibt es in Deutschland bis heute nicht. Die Bundesregierung nimmt 2026 einen neuen Anlauf. Beschlossen ist aber nichts, und mit einem Inkrafttreten wird frühestens 2027 gerechnet. Für Ihren Betrieb heißt das: Sie verarbeiten Arbeitszeit- und Personaldaten weiterhin nach der DSGVO und dem Bundesdatenschutzgesetz (BDSG). Seit einem Urteil des Europäischen Gerichtshofs (EuGH) steht allerdings infrage, wie weit die zentrale Vorschrift des § 26 BDSG trägt. Dieser Beitrag zeigt, was heute gilt, was ein neues Gesetz bringen könnte und was Sie jetzt prüfen sollten.

Wie ist der Stand beim Beschäftigtendatengesetz?

Das Beschäftigtendatengesetz ist geplant, aber weder beschlossen noch inhaltlich oder zeitlich festgelegt. Die Pläne sind nicht neu. Mitte Oktober 2024 verschickte das Bundesarbeitsministerium laut Tagesspiegel Background einen Referentenentwurf. Er schaffte es nicht ins Kabinett und scheiterte mit dem Ende der Ampel-Koalition. Inzwischen hat Arbeitsministerin Bärbel Bas (SPD) das Vorhaben erneut aufgegriffen. Eine frühere Fassung des Entwurfs hatten BMAS und Bundesinnenministerium gemeinsam vorgelegt, wie die Kanzlei Esche berichtet.

Der aktuelle Stand ist unübersichtlich. Laut Riehn Legal bereitet das Arbeitsministerium nach eigener Ankündigung einen neuen Entwurf vor, der hoffentlich noch 2026 vorliegt. Andere Fachautoren berichteten im September 2026, dass noch kein neuer Referentenentwurf veröffentlicht sei. Legiscope erwartet eine Verabschiedung frühestens 2027.

Was soll das neue Gesetz regeln?

Die alten Pläne geben die Richtung vor. Laut Riehn Legal waren abgestufte Regeln zur Überwachung vorgesehen, etwa für Videoüberwachung und Ortung. Hinzu kamen eine Konkretisierung, wann eine Einwilligung im Job wirklich freiwillig ist, und eigene Pflichten beim KI-Einsatz im Personalbereich. Ob der neue Entwurf daran festhält, ist offen.

Was gilt heute im Beschäftigtendatenschutz: DSGVO und § 26 BDSG?

Bis ein neues Gesetz kommt, bilden DSGVO und BDSG den Rahmen. § 26 Abs. 1 Satz 1 BDSG erlaubt, Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses zu verarbeiten, wenn das für die Begründung, Durchführung oder Beendigung erforderlich ist. Das gilt auch zur Erfüllung von Pflichten aus Gesetz oder Kollektivvereinbarung, etwa einer Betriebsvereinbarung.

Darf § 26 BDSG nach dem EuGH-Urteil noch angewendet werden?

Der EuGH hat § 26 Abs. 1 Satz 1 BDSG mit Urteil vom 30. März 2023 (Az. C-34/21) in Frage gestellt. Die Vorschrift war lange die Standardgrundlage für Personaldaten. Laut Otto Schmidt darf sie seither nicht mehr angewendet werden. Anlass war eine Vorlage zur gleichlautenden hessischen Regelung. Wie LTO berichtet, stand die Frage im Raum, ob solche nationalen Regeln gegen die DSGVO verstoßen. Der Kern: Eine nationale Vorschrift muss die besonderen Anforderungen von Art. 88 DSGVO erfüllen und darf nicht bloß wiederholen, was die DSGVO ohnehin sagt.

Für die Praxis bedeutet das: Verlassen Sie sich nicht allein auf § 26 BDSG. Die allgemeinen Vorgaben der DSGVO bleiben maßgeblich, und Sie sollten Ihre Verarbeitungen sauber begründen können. Wie weit § 26 im Einzelnen noch trägt, ist unter Juristen umstritten. Für Ihren Betrieb lohnt sich daher im Zweifel fachkundiger Rat.

Was heißt das für Zeiterfassung und Personaldaten?

Bei der Arbeitszeit ist die Lage vergleichsweise klar, weil es eine gesetzliche Pflicht gibt. Seit dem Beschluss des Bundesarbeitsgerichts vom 13. September 2022 besteht eine Pflicht zur Arbeitszeiterfassung. Hinzu kommen konkrete Aufzeichnungspflichten: § 16 Abs. 2 ArbZG für Arbeitszeit über acht Stunden pro Werktag und § 17 MiLoG für bestimmte Branchen. Wer Arbeitszeiten erfasst, um diese Pflichten zu erfüllen, hat eine tragfähige Begründung. Wie die gesetzliche Pflicht zur Zeiterfassung künftig konkret ausgestaltet wird, ist ein eigenes Gesetzgebungsverfahren; mehr dazu im Beitrag Zeiterfassung Bußgeld: Bis zu 30.000 € laut Gesetzentwurf.

Weniger eindeutig wird es, sobald Daten für andere Zwecke genutzt werden: Leistungsprofile, Standortdaten oder die Auswertung von Pausenverhalten. Nach Angaben des externen Datenschutzbeauftragten Hamburg sind E-Mail-, Internet- und GPS-Kontrollen nur bei konkretem, dokumentiertem Anlass und Erforderlichkeit zulässig, nie heimlich und nie lückenlos. Gerade hier wird ein neues Gesetz voraussichtlich genauere Grenzen ziehen.

Wie lange müssen Arbeitszeitdaten aufbewahrt werden?

Die Aufzeichnungen nach § 16 Abs. 2 ArbZG sind mindestens zwei Jahre aufzubewahren. Das ist eine Mindestfrist, keine Pflicht zur ewigen Speicherung. Dienen dieselben Daten zugleich der Entgeltabrechnung, gelten längere steuer- und sozialversicherungsrechtliche Fristen. Für Lohnkonten und Lohnunterlagen nennen Fachquellen sechs Jahre, für Buchungsbelege und steuerrelevante Unterlagen acht bis zehn Jahre. Prüfen Sie diese Fristen für Ihre konkreten Unterlagen, am besten mit Steuerberatung oder Datenschutzbeauftragten.

Was bedeutet das Beschäftigtendatengesetz für kleine und mittlere Unternehmen?

• Kein akuter Handlungszwang durch das neue Gesetz: Aus einem Beschäftigtendatengesetz folgt aktuell keine neue Pflicht. Ein Stichtag existiert nicht.
• Dokumentationslast: Auch ohne neues Gesetz müssen Sie nachweisen können, warum Sie welche Daten verarbeiten. Das gilt unabhängig davon, wann ein Gesetz kommt.
• Zweckbindung wird wichtiger: Je genauer neue Regeln Überwachung und KI-Einsatz fassen, desto eher fällt auf, wenn Zeitdaten für andere Zwecke genutzt werden.
• Einwilligung ist kein Allheilmittel: Ob eine Einwilligung im Arbeitsverhältnis wirklich freiwillig ist, soll nach den alten Plänen ausdrücklich konkretisiert werden. Wer Zeiterfassung auf Einwilligungen stützt, sollte das überdenken.
• Homeoffice und mobile Arbeit: Auch hier gelten dieselben Grundsätze. Hinweise zur Praxis finden Sie im Beitrag Datenschutz im Home Office.

Checkliste: Rechtsgrundlage, Zweck und Löschfristen klären

1. Verarbeitungen auflisten: Welche Daten erfassen Sie (Arbeitszeiten, Pausen, Urlaub, Krankheitstage, Überstunden)? Wer hat Zugriff? Halten Sie das im Verzeichnis von Verarbeitungstätigkeiten fest.
2. Rechtsgrundlage je Datenart benennen: Gesetzliche Pflichten (Arbeitszeitgesetz, Mindestlohngesetz, Steuerrecht) sind die sicherste Grundlage. Prüfen Sie, wo Sie sich bisher nur auf § 26 Abs. 1 Satz 1 BDSG berufen haben, und lassen Sie das bewerten.
3. Zweck festlegen und begrenzen: Zeitdaten dienen der Arbeitszeitdokumentation und Lohnabrechnung. Nutzen Sie sie nicht stillschweigend für Leistungskontrolle oder Standortverfolgung.
4. Zugriffsrechte beschränken: Vorgesetzte sehen nur ihr Team, die Lohnbuchhaltung nur das, was sie braucht.
5. Löschfristen definieren: Legen Sie je Datenart fest, wann gelöscht wird, mindestens zwei Jahre bei Arbeitszeitnachweisen, länger bei Lohnunterlagen. Setzen Sie die Löschung auch um.
6. Mitarbeitende informieren: Erklären Sie transparent, welche Daten wozu erfasst werden. Regelungen können Sie in einer Betriebsvereinbarung festhalten, sofern es einen Betriebsrat gibt.
7. Entwicklung beobachten: Prüfen Sie nach Vorlage eines neuen Entwurfs, ob Ihre Verfahren, Verträge und Einwilligungen angepasst werden müssen.

Fazit

Ein Beschäftigtendatengesetz ist geplant, aber nicht beschlossen. Bis dahin gelten DSGVO und BDSG, und seit dem EuGH-Urteil vom 30. März 2023 sollten Sie sich nicht allein auf § 26 Abs. 1 Satz 1 BDSG stützen. Für Arbeitszeitdaten ist die Lage am klarsten, weil gesetzliche Aufzeichnungspflichten bestehen. Entscheidend sind eine benannte Rechtsgrundlage, ein klarer Zweck, begrenzte Zugriffe und feste Löschfristen.

Dabei hilft eine webbasierte Arbeitszeiterfassung wie FlexStaff: Mitarbeitende stempeln mit einem Klick ein und aus, Pausen und Zeitkorrekturen werden festgehalten, und die Arbeitszeiten sind lückenlos und nachvollziehbar dokumentiert. Das erleichtert den Nachweis gegenüber Behörden. Je nach Paket exportieren Sie die Daten für die Lohnbuchhaltung. Urlaube und Krankmeldungen laufen digital über FlexStaff, sodass die Daten an einem Ort liegen und Sie Zugriff und Aufbewahrung besser steuern können. Eine Rechtsprüfung ersetzt das nicht.

Testen Sie FlexStaff kostenlos. Für bis zu 5 Mitarbeiter gibt es ein kostenloses Paket. Die Checkliste zur Einführung digitaler Zeiterfassung unterstützt Sie beim Start.