Mitarbeiterüberwachung und DSGVO Was Arbeitgeber 2026 dürfen und was nicht
Mitarbeiterüberwachung und DSGVO – kaum ein Thema im Arbeitsrecht erzeugt so viel Unsicherheit bei Geschäftsführern und HR-Verantwortlichen. Der Verdacht auf Arbeitszeitbetrug, Spesenbetrug oder Diebstahl steht im Raum, und die Frage drängt: Dürfen wir handeln? Und wenn ja – wie, ohne selbst ein Bußgeldrisiko oder ein Beweisverwertungsverbot auszulösen?
Praxis-Ratgeber · keine Rechtsberatung · im Einzelfall Anwalt hinzuziehen
Das Wichtigste in Kürze
- Zielbasierte Leistungskontrolle
- Organisatorische Kontrollen (Vier-Augen-Prinzip, Inventurabgleich)
- Stichprobenartige Prüfung dienstlicher E-Mails bei klarer Richtlinie
- Videoüberwachung in begrenzten Bereichen (z. B. Kassenzone)
- GPS-Ortung von Firmenwagen mit Transparenz und Deaktivierung bei Privatfahrten
- Anlassbezogene Observation durch eine Detektei bei konkretem Verdacht
- Keylogger und Screen-Recording ohne konkreten Verdacht
- Dauerhafte Totalüberwachung
- Videoüberwachung in Umkleiden oder Sanitärräumen
- Anlasslose Vollauswertung privater E-Mails
Berechtigtes Interesse trifft informationelle Selbstbestimmung
Die Spannung liegt im Kern des Themas: Arbeitgeber haben ein berechtigtes Interesse, ihr Unternehmen vor Schaden zu schützen. Gleichzeitig schützt die DSGVO das Recht auf informationelle Selbstbestimmung jedes Beschäftigten. Kommt ein Betriebsrat hinzu, wird die Lage nochmals komplexer.
Was fällt unter Überwachung am Arbeitsplatz? Im Grunde jede Maßnahme, die personenbezogene Daten von Beschäftigten erhebt, um deren Verhalten, Leistung oder Anwesenheit zu kontrollieren – ob technisch (Videoüberwachung, GPS-Ortung, Software-Tracking), organisatorisch (Taschenkontrollen, Inventurabgleich) oder observativ (Observation durch Ermittler).
Wer hier Fehler macht, riskiert nicht nur Bußgelder, sondern verliert im schlimmsten Fall die Beweisgrundlage für arbeitsrechtliche Schritte. Dieser Ratgeber zeigt, welche Regeln entscheidend sind – und wie Sie als Arbeitgeber strukturiert und rechtskonform vorgehen.
Rechtlicher Rahmen: Welche Normen wirklich entscheiden
Mitarbeiterüberwachung wird nicht durch ein einzelnes Gesetz geregelt. Mehrere Rechtsgebiete greifen ineinander – und alle müssen gleichzeitig beachtet werden. Die vier wichtigsten Säulen:
1.1 DSGVO: Rechtsgrundlagen, Transparenz, Datenminimierung
Die DSGVO bildet die europäische Leitplanke. Art. 5 DSGVO legt die Grundsätze fest: Daten dürfen nur zweckgebunden, sparsam und transparent verarbeitet werden. Für Überwachungsmaßnahmen im Arbeitsverhältnis wird häufig Art. 6 Abs. 1 lit. f DSGVO herangezogen – das sogenannte „berechtigte Interesse". Das bedeutet: Der Arbeitgeber muss nachweisen, dass sein Interesse an der Überwachung die Grundrechte der Beschäftigten überwiegt.
Ebenso wichtig: Die Informationspflichten nach Art. 13 und 14 DSGVO. Beschäftigte müssen grundsätzlich wissen, dass und warum Daten über sie erhoben werden – bevor die Maßnahme startet. Ausnahmen bestehen nur in eng begrenzten Fällen.
1.2 § 26 BDSG: Beschäftigtendaten im Arbeitsverhältnis
§ 26 Abs. 1 BDSG erlaubt die Verarbeitung von Beschäftigtendaten, wenn sie für die Durchführung des Arbeitsverhältnisses „erforderlich" ist. Erforderlich heißt: Es gibt kein milderes, gleich wirksames Mittel. „Nice to have" reicht nicht.
§ 26 Abs. 2 BDSG ermöglicht alternativ eine Einwilligung der Beschäftigten. In der Praxis ist diese Rechtsgrundlage allerdings riskant: Im Arbeitsverhältnis besteht ein strukturelles Machtgefälle, das die Freiwilligkeit der Einwilligung regelmäßig infrage stellt.
1.3 BetrVG § 87: Mitbestimmung bei technischen Einrichtungen
§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen. Entscheidend: Es kommt auf die Eignung an – nicht auf die Absicht des Arbeitgebers.
Ohne Beteiligung des Betriebsrats drohen Unterlassungsansprüche, und gewonnene Erkenntnisse können vor Gericht angreifbar werden.
1.4 Arbeitsrechtliche Leitplanken & Rechtsprechung (BAG)
Das Bundesarbeitsgericht hat in mehreren Entscheidungen den Rahmen für Überwachungsmaßnahmen konkretisiert:
BAG, 27.07.2017 – 2 AZR 681/16 (Keylogger-Urteil)
Ein verdeckt eingesetzter Keylogger ohne konkreten Verdacht verstößt gegen das Persönlichkeitsrecht. Die so gewonnenen Beweise sind nicht verwertbar.
BAG, 29.06.2023 – 2 AZR 296/22 (Offene Videoüberwachung)
Bei einer offen durchgeführten Videoüberwachung besteht grundsätzlich kein Beweisverwertungsverbot – auch wenn die Maßnahme nicht in allen Punkten DSGVO-konform war. Die Entscheidung bezieht sich ausdrücklich auf offene Überwachung; ein pauschaler Freibrief für alle DSGVO-Verstöße lässt sich daraus nicht ableiten.
BAG, 28.10.2010 – 8 AZR 547/09 (Detektivkosten)
Detektivkosten können dem Arbeitnehmer als Schadensersatz auferlegt werden, wenn ein konkreter Verdacht bestand, die Observation verhältnismäßig war und sich der Verdacht bestätigt hat.
BAG, 22.09.2016 – 2 AZR 848/15 (Verdeckte Videoüberwachung)
Verdeckte Videoüberwachung kann im Ausnahmefall zulässig sein, wenn ein konkreter Verdacht einer Straftat besteht und kein milderes Mittel verfügbar ist.
Die 3 Ebenen der Mitarbeiterüberwachung
Nicht jede Kontrollmaßnahme unterliegt denselben Anforderungen. Die entscheidende Frage lautet: Wie konkret ist der Anlass?
2.1 Präventiv
Ziel ist die Absicherung von Prozessen – nicht das Ausforschen einzelner Personen. Typisch zulässig sind organisatorische Kontrollen wie Rollen- und Rechtekonzepte, stichprobenartige Qualitätskontrollen oder Inventurabgleiche. Dauerhaft angelegte Verhaltens- oder Leistungsprofile einzelner Mitarbeitender sind ohne konkreten Anlass regelmäßig unzulässig.
2.2 Anlassbezogen
Sobald Auffälligkeiten oder konkrete Hinweise vorliegen – etwa unerklärliche Kassendifferenzen, auffällige Abwesenheitsmuster oder Hinweise aus dem Team – können gezielte Maßnahmen ergriffen werden. Voraussetzung: eine nachvollziehbare Erforderlichkeitsprüfung. Das mildere Mittel hat Vorrang.
Dokumentieren Sie mindestens: Anlass, verfolgter Zweck, betroffene Datenkategorien, Zugriffsberechtigte, geplante Löschfristen und die durchgeführte Interessenabwägung.
2.3 Verdachtsfall
Bei einem belastbaren, auf Tatsachen gestützten Verdacht – etwa dokumentierte Fehlbestände, eindeutige Abrechnungsauffälligkeiten oder belastbare Zeugenhinweise – können intensivere Maßnahmen verhältnismäßig sein. Ein „Bauchgefühl" reicht nicht. Ziel, Dauer und Umfang müssen klar begrenzt und vorab festgelegt werden.
Maßnahmen, die häufig ohne Mitbestimmung auskommen
Wichtig: Ob Mitbestimmung erforderlich ist, hängt stets vom Einzelfall ab. Die folgenden Konstellationen sind typische Beispiele – keine Pauschalfreigabe.
3.1 Ziel- und ergebnisorientierte Leistungskontrolle
Zielvereinbarungen und Output-KPIs ohne permanente Verhaltensmessung sind regelmäßig unkritisch. Grenzen bestehen dort, wo lückenlose Überwachung oder heimliche Einzelprofilbildung beginnt.
3.2 Organisatorische Kontrollen
Vier-Augen-Prinzip, Freigabeprozesse und regelmäßige Inventurabgleiche erzeugen weniger personenbezogene Daten und sind oft die bessere Compliance-Lösung als technische Überwachungssysteme.
Mitbestimmungspflichtige und besonders risikoreiche Maßnahmen
Sobald Technik eingesetzt wird, die Verhalten oder Leistung überwachen kann, ist § 87 BetrVG regelmäßig berührt – unabhängig davon, ob das beabsichtigt ist.
4.1 Videoüberwachung am Arbeitsplatz
Videoüberwachung in Kassenbereichen oder Warenausgängen kann zum Schutz vor Diebstahl zulässig sein – wenn der Bereich klar begrenzt ist, Hinweisschilder angebracht werden, Speicherdauer und Zugriffskreis definiert sind und die Zweckbindung eingehalten wird. Umkleiden, Sanitärräume und Pausenräume sind tabu. Eine dauerhafte Totalüberwachung ist regelmäßig unverhältnismäßig.
4.2 Zeiterfassung & digitale Zeitmessung
Arbeitszeiterfassung ist grundsätzlich zulässig und nach aktueller BAG-Rechtsprechung sogar verpflichtend. Problematisch wird es, wenn Zeitdaten sekundär zur Verhaltenskontrolle oder zum Performance-Ranking genutzt werden – das erfordert eine eigene Rechtsgrundlage und Betriebsratsbeteiligung.
4.3 Telefonprotokolle und Call-Recording
Verkehrsdaten (wer hat wann wen angerufen) sind weniger eingriffsintensiv als Gesprächsmitschnitte. Inhaltliches Mithören oder Aufzeichnen ist besonders eingriffsintensiv und bedarf einer klaren Rechtsgrundlage sowie – bei Vorhandensein – der Zustimmung des Betriebsrats.
4.4 E-Mail-Monitoring & Internetnutzung
Ist die private Nutzung dienstlicher Accounts erlaubt, werden die Kontrollmöglichkeiten des Arbeitgebers erheblich eingeschränkt. Ob der Arbeitgeber in diesem Fall als Telekommunikationsanbieter einzustufen ist, wird seit Inkrafttreten des TDDDG (vormals TTDSG) von mehreren Aufsichtsbehörden nicht mehr so vertreten – die Frage ist jedoch weiterhin umstritten. Unabhängig davon: Klare Nutzungsrichtlinien, die Privatnutzung ausschließen oder einschränken, verbessern die Kontrollmöglichkeiten erheblich. Anlassbezogene Stichproben mit dokumentiertem Verdacht sind eher vertretbar als eine Vollauswertung von Postfächern.
4.5 GPS-Ortung beim Firmenwagen
GPS-Tracking kann zulässig sein, wenn es einem konkreten Zweck dient (Tourenplanung, Diebstahlschutz, Nachweis erbrachter Leistungen beim Kunden). Voraussetzung: Transparenz gegenüber den Beschäftigten, Deaktivierung bei Privatfahrten und außerhalb der Arbeitszeit, klare Zweckfestlegung. Permanente Verhaltenskontrolle per GPS ist unverhältnismäßig. GPS am privaten Fahrzeug des Mitarbeiters ist regelmäßig unzulässig.
4.6 Software zur Verhaltens- und Leistungsanalyse
Keylogger, Screenshot-Tools oder Software, die Mausbewegungen aufzeichnet, greifen tief in die Persönlichkeitsrechte ein. Ohne konkreten, dokumentierten Verdacht auf eine schwere Pflichtverletzung sind solche Mittel praktisch nie verhältnismäßig. Das BAG hat das im Keylogger-Urteil (2 AZR 681/16) deutlich gemacht.
Arbeitnehmer-Observation: Wann eine Detektei zulässig eingesetzt werden kann
5.1 Voraussetzungen: Anlass, Verhältnismäßigkeit, Dokumentation
Eine Observation durch eine Detektei kommt in Betracht, wenn ein konkreter, auf Tatsachen gestützter Verdacht besteht – etwa bei Lohnfortzahlungsbetrug, Spesenbetrug oder Diebstahl. Bevor eine externe Observation beauftragt wird, sollten mildere Mittel (Gespräch, interne Prozessprüfung, organisatorische Kontrollen) geprüft und dokumentiert worden sein.
5.2 Was „verhältnismäßig" konkret heißt
- Ort: Observation im öffentlichen Raum – nicht in der Wohnung oder anderen besonders geschützten Bereichen.
- Zeit: So kurz wie möglich, so lang wie nötig. Keine zeitlich unbegrenzte Dauerüberwachung.
- Mittel: Keine unzulässigen Eingriffe wie Eindringen in private Räume oder Abhören.
- Ergebnis: Nur zweckrelevante Daten sichern. Kein „Beifang" auf Vorrat sammeln.
5.3 Gerichtsfeste Beweise
Verwertbar ist eine strukturierte Dokumentation: nachvollziehbare Zeitlinie, Ortsangaben, Fotodokumentation im zulässigen Rahmen und Zeugenfähigkeit des eingesetzten Ermittlers. Das Beweisziel ist arbeitsrechtliche Verwertbarkeit – nicht maximale Datensammlung.
Beweisverwertungsverbot bei DSGVO-Verstoß: Was bedeutet das im Prozess?
Selbst wenn eine Beobachtung oder ein Datenfund inhaltlich zutrifft, kann ein Gericht die Verwertung ablehnen, wenn die Beweisgewinnung gegen DSGVO oder BDSG verstößt. Die Folgen:
Kündigung ohne Grundlage
Die Kündigung verliert ihre Grundlage im Kündigungsschutzprozess.
Schadensersatz
Der Arbeitgeber kann auf Schadensersatz nach Art. 82 DSGVO in Anspruch genommen werden.
Bußgelder
Die Aufsichtsbehörde kann Bußgelder verhängen – je nach verletzter Vorschrift bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Faktoren wie Art, Schwere und Dauer des Verstoßes fließen in die Bemessung ein.
8 Praxisfälle mit Bewertung
Situation: Arbeitgeber ortet Firmenwagen, um Tourenplanung zu optimieren und Arbeitszeitbetrug aufzuklären.
Bewertung: Unter Voraussetzungen zulässig – wenn Transparenz besteht, Privatfahrten ausgenommen sind und der Zweck dokumentiert ist. Betriebsrat einbinden.
Situation: Kamera erfasst den Kassenbereich zur Diebstahlprävention.
Bewertung: Häufig zulässig – bei klarer Beschilderung, begrenzter Speicherdauer und definiertem Zugriffskreis. Mitbestimmung erforderlich.
Situation: Kamera zeichnet nur auf, wenn Bewegung erkannt wird.
Bewertung: Grundsätzlich möglich, wenn ein sachlicher Grund besteht (z. B. hohe Schwundquote). Erfassung von Pausenecken oder Sozialräumen vermeiden. Mitbestimmung beachten.
Situation: Mitarbeiter ist wiederholt krankgeschrieben, Kollegen berichten von Nebentätigkeit.
Bewertung: Bei konkretem, dokumentiertem Verdacht zulässig – Observation im öffentlichen Raum, begrenzte Dauer, professionelle Dokumentation. Mildere Mittel vorher prüfen.
Situation: Hinweise deuten darauf hin, dass ein Mitarbeiter vertrauliche Daten an einen Wettbewerber weiterleitet.
Bewertung: Anlassbezogene Sichtung dienstlicher E-Mails bei konkretem Verdacht und klarer Richtlinie zur Privatnutzung unter engen Voraussetzungen vertretbar. Datenschutzbeauftragten und ggf. Betriebsrat einbeziehen.
Situation: Auffällige Muster in der Zeiterfassung deuten auf systematischen Betrug hin.
Bewertung: Anlassbezogene Auswertung bestehender Daten ist regelmäßig zulässig, wenn der Verdacht konkret und die Zweckänderung dokumentiert ist.
Situation: Arbeitgeber vermutet, dass ein Mitarbeiter das IT-System für private Geschäfte nutzt.
Bewertung: Nur bei schwerem, konkretem Verdacht und Ausschöpfung milderer Mittel denkbar. Ohne konkreten Verdacht regelmäßig unzulässig (vgl. BAG, 2 AZR 681/16). Hohe Eingriffsintensität – enge Abstimmung mit Rechtsanwalt erforderlich.
Situation: Arbeitgeber führt stichprobenartige Taschenkontrollen bei Verlassen des Betriebsgeländes durch.
Bewertung: Unter Voraussetzungen zulässig – insbesondere wenn arbeitsvertraglich geregelt, verhältnismäßig durchgeführt (keine Leibesvisitation) und bei Vorhandensein eines Betriebsrats mitbestimmt.
Bei Verdacht: So handeln Arbeitgeber ohne DSGVO-Fallstricke
Verdachtsmomente sauber erfassen
Halten Sie fest, was konkret aufgefallen ist: Logdaten, Inventurdifferenzen, Zeugenhinweise. Trennen Sie dabei strikt zwischen beobachteten Tatsachen und Vermutungen.
Zweck festlegen & mildestes Mittel wählen
Definieren Sie das Aufklärungsziel. Prüfen Sie, ob ein Gespräch, eine Prozessanpassung oder eine organisatorische Kontrolle ausreicht, bevor Sie zu technischen oder observativen Maßnahmen greifen.
Betriebsrat und Datenschutzbeauftragten frühzeitig einbinden
Wann immer technische Maßnahmen mit Überwachungseignung eingesetzt werden, ist der Betriebsrat zu beteiligen. Typische Fehler: zu spät informiert, unvollständig informiert oder den Datenschutzbeauftragten übergangen.
Maßnahme durchführen, Zugriff begrenzen, Löschung planen
Beschränken Sie den Zugriff auf das Need-to-know-Prinzip. Protokollieren Sie die Maßnahme. Legen Sie vorab fest, wann und wie erhobene Daten gelöscht werden.
Ergebnisse bewerten & arbeitsrechtliche Schritte vorbereiten
Nutzen Sie nur die zweckrelevanten Ergebnisse. Ziehen Sie frühzeitig einen Rechtsanwalt hinzu, um die arbeitsrechtlichen Optionen (Abmahnung, Kündigung, Strafanzeige) auf Basis der vorliegenden Beweise zu bewerten.
Mitarbeiter kontrollieren & DSGVO – die häufigsten Fragen
Darf ich Mitarbeitende heimlich überwachen?
Nur in eng begrenzten Ausnahmefällen – wenn ein konkreter Verdacht auf eine schwere Pflichtverletzung oder Straftat besteht, kein milderes Mittel zur Verfügung steht und die Maßnahme verhältnismäßig ist. Anlasslose heimliche Überwachung ist regelmäßig unzulässig und kann zu Beweisverwertungsverboten führen.
Wann ist Mitarbeiterüberwachung erlaubt, ohne dass der Betriebsrat zustimmen muss?
Rein organisatorische Maßnahmen ohne technische Überwachungskomponente – etwa Zielvereinbarungen, Vier-Augen-Prinzip oder manuelle Inventurkontrollen – erfordern in der Regel keine Mitbestimmung nach § 87 BetrVG. Sobald jedoch technische Einrichtungen eingesetzt werden, die zur Verhaltens- oder Leistungskontrolle geeignet sind, greift das Mitbestimmungsrecht.
Darf ich E-Mails von Mitarbeitenden lesen?
Wenn die private Nutzung dienstlicher E-Mail-Accounts untersagt oder klar eingeschränkt ist, können anlassbezogene Stichproben zulässig sein. Ist Privatnutzung erlaubt, wird die Kontrolle erheblich erschwert. In beiden Fällen sollten Sie den Datenschutzbeauftragten einbeziehen und den konkreten Anlass dokumentieren.
Ist GPS-Tracking beim Firmenwagen erlaubt?
Unter bestimmten Voraussetzungen ja: wenn ein legitimer Zweck vorliegt (z. B. Tourenplanung, Diebstahlschutz), die Beschäftigten informiert sind, das Tracking bei Privatfahrten deaktiviert wird und der Betriebsrat beteiligt wurde. Eine permanente Verhaltenskontrolle per GPS ist unverhältnismäßig.
Wann darf ich eine Detektei beauftragen?
Eine Arbeitnehmer Observation durch eine Detektei ist zulässig, wenn ein konkreter, auf Tatsachen gestützter Verdacht besteht – etwa bei Lohnfortzahlungsbetrug oder Diebstahl. Die Observation muss verhältnismäßig sein, sich auf den öffentlichen Raum beschränken und professionell dokumentiert werden. Mildere interne Mittel sollten vorher ausgeschöpft sein.
Was passiert, wenn ich gegen DSGVO/BDSG verstoße – sind Beweise dann wertlos?
Nicht automatisch – aber das Risiko ist erheblich. Das BAG hat bei offener Videoüberwachung entschieden, dass kein generelles Beweisverwertungsverbot besteht, selbst wenn die Maßnahme nicht vollständig DSGVO-konform war (Az. 2 AZR 296/22). Diese Wertung lässt sich jedoch nicht pauschal auf alle Überwachungsmaßnahmen übertragen. Ein DSGVO-Verstoß kann zur Unverwertbarkeit von Beweisen führen, Schadensersatzansprüche auslösen und Bußgelder nach sich ziehen. Rechtskonformität bei der Beweisgewinnung ist daher immer die sicherere Strategie.
Weiterführende Ressourcen
Vertiefende Seiten der Detektei Schiesser
- Wirtschaftsdetektei – Ermittlungen bei wirtschaftlichen Verdachtslagen: von Mitarbeiterdelikten bis Wettbewerbsverstößen.
- Mitarbeiterüberwachung – Anlassbezogene Observation und Ermittlung bei konkretem Verdacht auf Pflichtverletzungen.
- Lohnfortzahlungsbetrug nachweisen – Wie Arbeitgeber den Verdacht auf vorgetäuschte Krankheit strukturiert aufklären.
- Observation: legale Grenzen – Was bei einer Observation zulässig ist, was nicht – und worauf es für die Verwertbarkeit ankommt.
Externe Rechtsquellen
- DSGVO Art. 5 – Grundsätze der Verarbeitung
- DSGVO Art. 6 – Rechtmäßigkeit der Verarbeitung
- BDSG § 26 – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
- BetrVG § 87 – Mitbestimmungsrechte
- BAG, 27.07.2017 – 2 AZR 681/16 (Keylogger)
- BAG, 29.06.2023 – 2 AZR 296/22 (Offene Videoüberwachung / Beweisverwertung)
- BAG, 28.10.2010 – 8 AZR 547/09 (Detektivkosten)
- BAG, 22.09.2016 – 2 AZR 848/15 (Verdeckte Videoüberwachung)
Konkreter Verdacht – aber unsicher, was rechtlich zulässig ist?
Schildern Sie uns Ihre Situation. Wir prüfen, ob eine anlassbezogene Observation in Ihrem Fall verhältnismäßig und das Ergebnis gerichtsfest verwertbar ist – DSGVO-konform, diskret und in Abstimmung mit Ihrem Rechtsbeistand. Mitglied im BDD und im Wirtschaftsbeirat Bayern.
Kostenlos & unverbindlich · keine Rechtsberatung · im Einzelfall Anwalt hinzuziehen
