BAG-Workday-Urteil: HR-Daten ohne § 26 BDSG verarbeiten

Das Bundesarbeitsgericht hat am 8. Mai 2025 (Aktenzeichen 8 AZR 209/21, "Workday") entschieden: § 26 Abs. 1 BDSG ist keine taugliche Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten nach Art. 6 Abs. 3 DSGVO. Die Norm steht weiterhin im Gesetz. Gerichte wenden sie als eigenständige Grundlage nicht mehr an. Jedes Startup, dessen Datenschutzhinweis HR-Daten auf "§ 26 BDSG" stützt, beruft sich auf eine Grundlage, die der BAG als unanwendbar eingestuft hat.

Die Korrektur ist mechanisch, nicht strategisch. Stütze dieselben Verarbeitungen direkt auf Art. 6 Abs. 1 lit. b, c oder f DSGVO, aktualisiere die Informationen nach Art. 13 DSGVO, dokumentiere die Bewertung. Das Beschäftigtendatengesetz (BeschDG), das diese Lücke in deutschem Recht schließen würde, lag im BMAS/BMI-Referentenentwurf vom 8. Oktober 2024 vor und ist mit der Koalition zerbrochen. Ein neuer Entwurf wird in H1 2026 erwartet. Bis dahin und bis zum Inkrafttreten greift die DSGVO unmittelbar.

Was der BAG entschieden hat

Der Workday-Fall lief auf einem Sachverhalt, der Gründer:innen regelmäßig begegnet. Ein Konzern führt Workday ein. Vor dem Rollout werden Echtdaten der Beschäftigten zu Testzwecken an die US-Konzernmutter übermittelt. Die einschlägige Betriebsvereinbarung erlaubt die Übermittlung nur von Stammdaten (Name, Eintrittsdatum, Standort). Tatsächlich übermittelt wurden Gehalt, Sozialversicherungsnummer, Steuer-ID, Privatadresse, Geburtsdatum, Alter, Familienstand.

Der BAG (8. Senat, 8.05.2025, 8 AZR 209/21) hat drei Punkte entschieden:

• § 26 Abs. 1 BDSG ist unanwendbar als Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO, weil er den Anforderungen aus Art. 88 Abs. 1 und 2 DSGVO nicht genügt (Linie EuGH C-34/21 vom 30.03.2023 und C-65/23 vom 19.12.2024).
• Die Betriebsvereinbarung trug die Verarbeitung nicht, weil die tatsächliche Datenübermittlung über die in der BV erlaubten Felder hinausging. Selbst dort, wo eine BV Verarbeitungen grundsätzlich tragen kann, greift Art. 5/6/9 DSGVO-Prüfung eigenständig.
• Kontrollverlust über personenbezogene Daten ist ein immaterieller Schaden im Sinne von Art. 82 DSGVO. Zugesprochen wurden EUR 200.

Der Betrag von EUR 200 ist weniger interessant als der Argumentationsweg. Der BAG hat die EuGH-Linie (C-34/21 + C-65/23) bestätigt und auf einen generischen SaaS-Rollout-Sachverhalt angewendet, dem jedes Wachstumsstartup begegnet.

Warum § 26 BDSG an Art. 88 DSGVO scheitert

Die EuGH-Begründung ist knapp. Art. 88 Abs. 1 DSGVO erlaubt den Mitgliedstaaten "spezifischere" Regelungen zum Beschäftigtendatenschutz, Art. 88 Abs. 2 DSGVO verlangt aber, dass solche Regelungen konkrete Schutzmaßnahmen enthalten (Menschenwürde, berechtigte Interessen, Transparenz, Überwachung, konzerninterne Übermittlungen).

In C-34/21 (dem hessischen Lehrer-Streaming-Fall) hat der EuGH entschieden, dass eine nationale Norm, die nur die DSGVO-Grundsätze wiederholt, nicht "spezifischer" ist und Art. 88 nicht in Anspruch nehmen kann. In C-65/23 (eine BAG-Vorlage zu einem anderen Workday-artigen Konzern-Rollout) hat der EuGH die Logik auf § 26 Abs. 4 BDSG übertragen: Eine Betriebsvereinbarung nach diesem Absatz entzieht die Verarbeitung nicht der Art. 5/6/9 DSGVO-Prüfung.

Der BAG hat in 8 AZR 209/21 die Linie für § 26 Abs. 1 BDSG selbst geschlossen. Die Norm wiederholt im Kern den Erforderlichkeitstest der DSGVO plus einige Verfahrenshinweise. Eigenständige Schutzanforderungen im Sinne von Art. 88 Abs. 2 DSGVO enthält sie nicht. Daher wenden Gerichte sie nicht an.

Was das für Startups ohne Betriebsrat heißt

Die meisten Frühphasen-Startups (5 bis 50 Mitarbeitende, kein Betriebsrat) stützen ihre HR-Datenverarbeitung implizit auf § 26 BDSG. Personio, HiBob, Workday oder BambooHR liefern ein Datenschutzhinweis-Template mit, das § 26 BDSG als Rechtsgrundlage benennt. Nach Workday ist dieses Template falsch.

Materiell ändert sich wenig. Die Verarbeitungen waren fast immer schon nach Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht) zu rechtfertigen. Was sich ändert, ist die Zitierung im Art. 13 DSGVO-Hinweis und im Verzeichnis von Verarbeitungstätigkeiten. Pro Verarbeitung gehört die passende Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO direkt benannt:

Die Interessenabwägungen sind der Teil, den Gründer:innen überspringen. Es ist der Teil, den die Aufsichtsbehörden im Beschwerdefall zuerst lesen.

Was das für Startups mit Betriebsvereinbarung heißt

Eine BV bleibt sinnvoll, ist aber nicht mehr abschließend. Der EuGH hat in C-65/23 deutlich gesagt: Die BV muss eigenständig an Art. 5/6/9 DSGVO gemessen werden. Drei Punkte zur Kontrolle:

• Die BV muss Datenkategorien, Zweck, Empfänger, Speicherdauer und Drittlandübermittlungen mit der Präzision auflisten, die Art. 13 DSGVO ohnehin verlangt.
• Die tatsächliche Verarbeitung muss innerhalb dessen bleiben, was die BV erlaubt. Der Workday-Fall drehte sich genau um die Lücke zwischen "Stammdaten" (BV) und "Gehalt + SV-Nummer + Adresse" (tatsächlich übermittelt).
• Wenn die BV einen konzerninternen Empfänger außerhalb der EU benennt, ersetzt sie nicht den Art. 46 DSGVO-Übermittlungsmechanismus. Für US-Mütter ist seit Juli 2023 der EU-US Data Privacy Framework der praktische Weg, sofern der Empfänger zertifiziert ist; sonst gelten Standardvertragsklauseln plus Transfer Impact Assessment. Größere Konzerne nutzen Binding Corporate Rules.

Bei den Startups, die ich nach Wachstum auf 60+ Mitarbeitende bei der ersten BV begleite, ist der häufigste Fehler genau die Annahme, die BV sei eine Mauer gegen DSGVO-Prüfung. Sie ist es nicht. Sie ist eine materielle Kontrollebene, die die Aufsichtsbehörde neben den tatsächlichen Verarbeitungsprotokollen liest.

Fünf Schritte zur Umstellung nach Workday

Was kommt — BeschDG und Zeitplan

Das Beschäftigtendatengesetz ist die politisch erwartete Lösung. Der BMAS/BMI-Referentenentwurf vom 8. Oktober 2024 ("BeschDG-E") hat eine vollständige Art. 88 DSGVO-Umsetzung mit ausdrücklichen Schutzmaßnahmen entworfen: typisierte Rechtsgrundlagen für HR-Verarbeitungen, KI-System-Regeln mit Verweis auf den AI Act, ein Beweisverwertungsverbot für rechtswidrig erlangte Daten, spezifische Transparenzpflichten.

Der Entwurf ist nicht in Kraft getreten. Die vorherige Ampel-Koalition ist im November 2024 vor dem Kabinettsbeschluss zerbrochen. Die aktuelle Bundesregierung hat das BeschDG auf ihrer Gesetzgebungsagenda. Ein überarbeiteter Entwurf wird üblicherweise für H1 2026 berichtet, ein realistisches Inkrafttreten Ende 2026 oder Anfang 2027. Bis dahin gilt die Rechtslage, die das Workday-Urteil beschreibt.

Worauf es ankommt

Die rechtliche Veränderung ist real, der operative Fix ist klein, wenn du ihn jetzt machst, und groß, wenn du auf das nächste Audit wartest. Ersetze § 26 BDSG im Datenschutzhinweis und Verzeichnis durch die richtige Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO pro Verarbeitungstätigkeit, schreibe die Interessenabwägungen, die die lit. f-Grundlagen tragen, und behandle jede Betriebsvereinbarung als eine Ebene, die die Aufsichtsbehörde neben den tatsächlichen Datenflüssen liest, nicht als Mauer dagegen. Das BeschDG kommt vielleicht 2027. Das Workday-Urteil bindet die Gerichte schon jetzt.