DSGVO-Verstöße bei Personalkontrollen: BGH spricht Schadenersatz zu
Veröffentlicht am: 14.08.2026 um 09:17 Uhr | Redaktion boerse-global.de
Die Überprüfung von Mitarbeiterdaten und das Screening von Bewerbern unterliegen in Deutschland engen rechtlichen Grenzen. Wie die Wirtschaftskanzlei Mayer Brown am 12. August 2026 darlegte, müssen solche Maßnahmen zwingend zweckgebunden und verhältnismäßig sein sowie auf einer klaren Rechtsgrundlage basieren. Unternehmen, die diese Vorgaben missachten, riskieren nicht nur Bußgelder, sondern auch Beweisverwertungsverbote in arbeitsrechtlichen Prozessen.
Rechtsgrundlagen und Grenzen der Überwachung
Für das Screening von Beschäftigten bilden vor allem Artikel 6 der Datenschutz-Grundverordnung (DSGVO) und § 26 des Bundesdatenschutzgesetzes (BDSG) den rechtlichen Rahmen.
Ergänzend sind Regelungen aus dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) sowie dem Telekommunikationsgesetz (TKG) zu berücksichtigen. Laut Mayer Brown dürfen verdeckte Überwachungsmaßnahmen nur dann eingeleitet werden, wenn ein dokumentierter Verdacht auf eine Straftat vorliegt.
Bei einer systematischen Überwachung ist zudem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich. Die Kanzlei betont, dass Transparenz gegenüber den Betroffenen ein wesentlicher Grundsatz bleibt. Schwere Verstöße gegen diese Prinzipien können dazu führen, dass gewonnene Erkenntnisse vor Gericht nicht als Beweismittel zugelassen werden.
Wer eine systematische Überwachung plant, muss zwingend eine rechtssichere Datenschutzfolgenabschätzung erstellen, um Bußgelder von bis zu 2 % des Jahresumsatzes zu vermeiden. Diese kostenlose Muster-Vorlage inklusive Checklisten hilft Datenschutzbeauftragten, alle Vorgaben sofort und individuell anpassbar umzusetzen. Rechtssichere Muster-DSFA jetzt kostenlos herunterladen
Herausforderungen durch Arbeitszeitbetrug und Social Media
Die Notwendigkeit von Kontrollen wird oft durch Fehlverhalten in der Belegschaft begründet. Laut einer Untersuchung des Handelsblatts von Mitte August 2026 geben 13 Prozent von 1000 befragten Beschäftigten an, ihre Arbeitszeit regelmäßig falsch zu erfassen. Zudem räumten 75 Prozent ein, bereits private Angelegenheiten während der Dienstzeit erledigt zu haben.
Während Arbeitszeitbetrug eine fristlose Kündigung rechtfertigen kann, bleibt die Kontrolle schwierig: Detektive dürfen nur bei einem konkreten Verdacht und unter Wahrung der Verhältnismäßigkeit eingesetzt werden. In einem Fall des Landesarbeitsgerichts Köln aus dem Jahr 2025 beliefen sich die erstattungsfähigen Detektivkosten beispielsweise auf 21.000 Euro.
Auch die private Social-Media-Nutzung stellt Arbeitgeber vor Herausforderungen. Grundsätzlich gehört diese zum Privatleben der Angestellten. Rechtliche Konsequenzen wie Abmahnungen oder Kündigungen drohen laut Berichten vom 13. August 2026 jedoch dann, wenn ein Bezug zum Arbeitsverhältnis hergestellt wird – etwa durch das Tragen von Dienstkleidung, die Preisgabe von Betriebsgeheimnissen oder beleidigende Äußerungen.
Aktuelle Rechtsprechung zu Schadenersatz und Kündigungsschutz
Die Sensibilität im Umgang mit Bewerberdaten wurde kürzlich durch eine Entscheidung des Bundesgerichtshofs (BGH) unterstrichen. Ein Bewerber hat demnach Anspruch auf Schadenersatz nach Artikel 82 DSGVO, wenn eine Jobabsage versehentlich an einen ehemaligen Kollegen versendet wird.
Ein solcher Anspruch besteht unabhängig von einer Absicht des Arbeitgebers; ein besonderer Schweregrad des Verstoßes ist nicht erforderlich. Die Entschädigungshöhe kann dabei einen vierstelligen Betrag erreichen.
Zudem konkretisierte das Bundesarbeitsgericht (BAG) im Juni 2026 den Kündigungsschutz während der Probezeit im Kontext von Elternzeit. Eine Kündigung ist demnach unwirksam, wenn die Elternzeit in mehreren Abschnitten beantragt wurde, da der besondere Kündigungsschutz vor jedem Abschnitt erneut greift.
Um rechtliche Risiken wie beim Bewerberdatenschutz zu minimieren, sollten Unternehmen ihre allgemeine DSGVO-Konformität regelmäßig prüfen. Dieser kostenlose Leitfaden zeigt in 5 praktischen Schritten, wie Sie Dokumentationspflichten und Schutzmaßnahmen rechtssicher umsetzen und Abmahnungen vermeiden. Kostenlosen DSGVO-Leitfaden mit Checkliste sichern
Technologische Lösungen und regulatorische Anforderungen
In regulierten Branchen wie der Finanzwirtschaft, der Energieversorgung oder im Bereich der kritischen Infrastruktur steigen die Anforderungen an die Überprüfung von Insider-Risiken. Das Zürcher Unternehmen Validato bietet hierfür seit September 2023 spezialisierte Background-Checks an. Diese umfassen 18 Prüfmodule und sind auf die Einhaltung der DSGVO sowie des Schweizer Datenschutzgesetzes (DSG) ausgelegt.
Besonders im Hinblick auf neue Regularien wie NIS2 oder DORA wird ein kontinuierliches Screening wichtiger, um sogenannten „Berechtigungsdrift“ zu vermeiden. Experten empfehlen in diesem Zusammenhang zeitbasierte Zugriffsrechte und risikobasierte Rezertifizierungen, um die Sicherheit der IT-Infrastruktur dauerhaft zu gewährleisten.
