Stell dir deine Agentur mit vier Leuten vor. Du stellst jemanden Neues ein, richtest eine Zeiterfassung ein, die Stunden pro Kundenprojekt protokolliert, legst die Bewerbungsunterlagen der abgelehnten Kandidaten „für den Fall der Fälle" in einem Ordner ab und probierst nebenbei ein KI-Tool aus, das Lebensläufe vorsortiert. Jede dieser vier Handlungen verarbeitet personenbezogene Daten deiner Beschäftigten oder Bewerber. Bisher hast du dich dabei, wenn überhaupt, auf § 26 des Bundesdatenschutzgesetzes (BDSG) verlassen. Genau diese Grundlage ist seit einem Urteil des Europäischen Gerichtshofs brüchig geworden – und ein eigenes Gesetz für den Beschäftigtendatenschutz steht nach einem ersten gescheiterten Versuch erneut auf der Agenda.
Dieser Beitrag ordnet ein, was das Beschäftigtendatengesetz bringen soll, warum du als Arbeitgeber schon jetzt handeln solltest und was gerade kleine Agenturen konkret tun können. Vorab: Das ist eine fachliche Einordnung, keine Rechtsberatung. Geht es um deine konkrete Situation, gehört sie vor die Augen einer auf Arbeits- oder Datenschutzrecht spezialisierten Kanzlei.
Beschäftigtendatengesetz: der zweite Anlauf und warum er dich jetzt betrifft
Die Datenschutz-Grundverordnung (DSGVO) enthält keine eigenen Regeln für den Umgang mit Beschäftigtendaten. Artikel 88 DSGVO öffnet aber ausdrücklich die Tür für nationale Vorschriften – und genau diese Lücke soll ein eigenes Gesetz füllen. Einen ersten Referentenentwurf für ein Beschäftigtendatengesetz (BeschDG) legten das Bundesarbeitsministerium und das Bundesinnenministerium am 8. Oktober 2024 vor. Er umfasste vier Kapitel und 30 Paragrafen. Mit dem Bruch der Ampelkoalition im November 2024 war das Vorhaben faktisch erledigt, bevor es den Bundestag erreichte.
Tot ist die Idee damit nicht. Die aktuelle Bundesregierung hat das Projekt wieder aufgegriffen; ein neuer Entwurf wird erwartet, verabschiedet ist Stand heute aber nichts. Für dich heißt das zweierlei: Erstens lohnt sich ein Blick auf den alten Entwurf, denn er zeigt die Richtung, in die ein neues Gesetz gehen dürfte. Zweitens – und das ist der wichtigere Punkt – musst du nicht auf das Gesetz warten, um ein Problem zu haben. Das hast du schon jetzt.
Warum § 26 BDSG als Grundlage wackelt
Der Grund liegt in Luxemburg. Am 30. März 2023 entschied der Europäische Gerichtshof, dass eine mit § 26 Absatz 1 BDSG inhaltlich identische Regelung aus dem hessischen Landesrecht gegen die DSGVO verstößt. Das Bundesarbeitsgericht hat daraus gefolgert, dass § 26 BDSG nur noch eingeschränkt anwendbar ist. Die zentrale Vorschrift, auf die sich Arbeitgeber jahrelang gestützt haben, trägt als allgemeine Rechtsgrundlage also nicht mehr verlässlich.
In der Praxis bedeutet das: Du kannst dich für die Verarbeitung von Beschäftigtendaten nicht mehr pauschal auf „§ 26 BDSG" berufen. Stattdessen brauchst du für jede Verarbeitung eine tragfähige Grundlage aus Artikel 6 DSGVO – etwa die Erfüllung des Arbeitsvertrags, eine rechtliche Verpflichtung oder ein berechtigtes Interesse – und solltest diese dokumentieren. Hast du eine Betriebsvereinbarung als Grundlage genutzt, lohnt ebenfalls ein kritischer Blick: Der EuGH hat 2024 klargestellt, dass auch Betriebsvereinbarungen vollständig den Vorgaben der DSGVO entsprechen müssen und gerichtlich voll überprüfbar sind. Eine saubere Grundlage ist damit kein Zukunftsthema, sondern bereits heute Pflicht.
Was der Entwurf konkret vorsieht
Der Entwurf von 2024 ist kein Gesetz, aber eine aussagekräftige Blaupause. Vier Bereiche sind für Agenturen besonders relevant.
Bewerberdaten: löschen nach drei Monaten
In vielen Agenturen wandern abgelehnte Bewerbungen in einen Ordner und bleiben dort, oft über ein Jahr. Üblich ist in der Praxis eine Aufbewahrung von rund sechs Monaten, orientiert an den Fristen des Allgemeinen Gleichbehandlungsgesetzes. Der Entwurf wollte die Zügel anziehen: Bewerberdaten sollten spätestens drei Monate nach der endgültigen Absage gelöscht werden. Ausnahmen gäbe es nur bei einem anhängigen Rechtsstreit oder dokumentierten konkreten Anhaltspunkten dafür. Wer die Unterlagen für spätere Verfahren im Talentpool behalten will, braucht weiterhin die Einwilligung der Person. Für dich heißt das schon jetzt: Eine feste Löschroutine für Bewerbungen ist kein überflüssiger Formalismus, sondern gelebte Datensparsamkeit. Ein strukturiertes Löschkonzept nach DSGVO nimmt dir diese Entscheidung bei jedem einzelnen Fall ab.
Mitarbeiterüberwachung: enge Grenzen
Der Entwurf widmete der Kontrolle von Beschäftigten ein ganzes Kapitel. Maßnahmen wie Videoüberwachung oder Ortung per GPS sollten nur unter engen Voraussetzungen zulässig sein, verdeckte Überwachung erst recht. Auch die Nutzung von Daten, die eigentlich zu einem anderen Zweck erhoben wurden, zur Leistungsbewertung sollte stark eingeschränkt werden. Das trifft einen wunden Punkt im Agenturalltag: Ein Zeiterfassungs- oder Projektmanagement-Tool erfasst, wer wie lange an welchem Ticket gearbeitet hat. Diese Daten für die Pflichterfüllung zu nutzen, ist das eine. Sie zur heimlichen Leistungskontrolle zweckzuentfremden, ist etwas anderes – und genau hier zieht der Gesetzgeber eine Linie. Wo die rechtlichen Pflichten der Arbeitszeiterfassung enden und die unzulässige Überwachung beginnt, solltest du bewusst trennen.
KI im Arbeitsverhältnis: Transparenz und menschliche Aufsicht
Der Entwurf von 2024 enthielt bereits ausdrückliche Regeln für den Einsatz künstlicher Intelligenz im Arbeitsverhältnis – ein Thema, das 2024 noch die Ausnahme war und heute in vielen Teams Alltag ist. Vorgesehen waren Informations- und Transparenzpflichten sowie das Prinzip der menschlichen Aufsicht: Beschäftigte sollen erfahren, wenn und wie KI-Systeme sie betreffen, und Entscheidungen sollen nicht allein der Maschine überlassen bleiben. Das verzahnt sich mit dem EU AI Act, der KI im Beschäftigungskontext – etwa für die Auswahl oder Bewertung von Personal – als Hochrisiko einstuft und der ohnehin schon eine KI-Kompetenzpflicht für Beschäftigte vorsieht. Wenn du also ein Tool einsetzt, das Bewerbungen vorsortiert oder Leistung bewertet, ist Transparenz keine Kür. Dieselbe Logik – nachvollziehbar statt Blackbox – gilt im Übrigen für kundenseitige KI, etwa einen Assistenten, der nur belegbare Antworten gibt, statt frei zu formulieren.
Einwilligung: wann sie im Job überhaupt zählt
Ein heikler Punkt bleibt die Einwilligung. Im Arbeitsverhältnis gilt sie wegen des Machtgefälles schnell als nicht wirklich freiwillig. Der Entwurf benannte Fälle, in denen Freiwilligkeit typischerweise angenommen werden kann – etwa das Foto im Intranet, die Geburtstagsliste, Angebote des betrieblichen Gesundheitsmanagements oder die Erlaubnis zur privaten Nutzung betrieblicher IT. Das bildet im Kern die gängige Praxis ab, schafft aber mehr Rechtssicherheit. Die Botschaft für dich: Einwilligung ist im Beschäftigtenkontext ein schwaches Fundament. Wo du eine andere Rechtsgrundlage hast, nutze sie.
Was kleine Agenturen jetzt tun sollten
Vieles aus dem Entwurf zielt auf große Arbeitgeber mit Betriebsrat und eigenem Datenschutzbeauftragten. Eine Pflicht zum Datenschutzbeauftragten greift in Deutschland in der Regel erst ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, und einen Betriebsrat hat kaum ein Vierpersonen-Team. Doch die Kernpflichten des Datenschutzrechts gelten unabhängig von der Größe – sie treffen auch dich.
Drei Dinge lassen sich ohne großen Aufwand angehen. Erstens: Geh deine Verarbeitungen durch – Bewerbung, Zeiterfassung, Lohnabrechnung, Teamtools – und ordne jeder eine konkrete Rechtsgrundlage aus Artikel 6 DSGVO zu, statt dich auf § 26 BDSG zu verlassen. Halte das in deinem Verzeichnis von Verarbeitungstätigkeiten fest. Zweitens: Richte eine feste Löschroutine für Bewerbungen ein; drei Monate nach einer Absage sind ein sicherer Orientierungswert. Drittens: Schau dir an, welche KI-Tools in deinem Team Beschäftigtendaten berühren, und sorge für Transparenz darüber. Dass Mitarbeitende überhaupt KI-Dienste nutzen, von denen die Geschäftsführung nichts weiß, ist ein eigenes Risiko – Stichwort Schatten-KI.
Der Vorteil kleiner Teams: Du kannst diese Punkte in einem Nachmittag sortieren, ohne dich durch Abstimmungsschleifen zu kämpfen. Wer das jetzt sauber aufsetzt, steht nicht nur besser da, wenn das Gesetz kommt, sondern ist schon mit der aktuellen Rechtslage auf der sicheren Seite.
Fazit
Das Beschäftigtendatengesetz ist noch nicht da, aber das Problem, das es lösen soll, ist längst Realität: § 26 BDSG trägt als pauschale Grundlage nicht mehr, und wer Beschäftigtendaten verarbeitet, braucht eine belastbare Rechtsgrundlage samt Dokumentation. Der gescheiterte Entwurf von 2024 zeigt die Richtung – kürzere Löschfristen für Bewerbungen, enge Grenzen für Überwachung, Transparenz beim KI-Einsatz. Für kleine Agenturen ist das keine Bedrohung, sondern eine überschaubare Hausaufgabe, die sich jetzt erledigen lässt. Und wenn der zweite Anlauf gelingt, hast du den größten Teil schon hinter dir.
- Ein eigenes Beschäftigtendatengesetz ist noch nicht verabschiedet, die Bundesregierung hat das 2024 gescheiterte Vorhaben 2026 aber wieder aufgegriffen.
- Seit dem EuGH-Urteil vom 30. März 2023 trägt § 26 BDSG nicht mehr als pauschale Rechtsgrundlage – Arbeitgeber brauchen für jede Verarbeitung eine konkrete Grundlage aus Artikel 6 DSGVO samt Dokumentation.
- Der Entwurf von 2024 sah kürzere Löschfristen für Bewerberdaten (drei statt üblich sechs Monate), enge Grenzen für Überwachung und Transparenzpflichten beim KI-Einsatz vor.
- Kleine Agenturen haben zwar meist weder Betriebsrat noch Datenschutzbeauftragten, die Kernpflichten des Datenschutzrechts gelten aber unabhängig von der Teamgröße.
- Rechtsgrundlagen sortieren, eine feste Löschroutine für Bewerbungen einrichten und KI-Nutzung transparent machen – diese drei Schritte lohnen sich schon vor dem Gesetz.