Deutsches Ergänzungsgesetz zur DSGVO — Öffnungsklauseln, Beschäftigtendaten und nationale Besonderheiten.
Learning and orientation only — not legal advice.
In DE-Projekten reichen DSGVO-Prinzipien allein oft nicht. Beschäftigtendaten, besondere Kategorien und Behördenkontexte brauchen die BDSG-Leseart zusätzlich.
HR-Analytics, Badge-Logs, Performance-Dashboards und interne AI-Assistenten landen schnell in genau diesem Spannungsfeld — und werden in Warehouse-Projekten gerne unterschätzt.
Öffentliche und nicht-öffentliche Stellen in Deutschland. Besonders relevant bei Beschäftigtendaten, nationalen Öffnungsklauseln und dem Zusammenspiel mit Betriebsrat/Mitbestimmung.
Auch internationale Konzerne mit DE-Niederlassung oder DE-Beschäftigten müssen die nationale Schicht mitdenken.
Die BDSG ersetzt die DSGVO nicht — sie ergänzt und konkretisiert sie für DE.
Landesdatenschutzgesetze können für den öffentlichen Bereich zusätzlich gelten.
Mitbestimmung (Betriebsrat) ist oft parallel relevant, nicht „statt Datenschutz“.
Zuerst DSGVO-Grundsätze prüfen, dann BDSG-Öffnungen und Sonderregeln. Viele Teams starten falsch herum bei § 26 und vergessen Art. 5/6.
§ 26 BDSG
§ 26 BDSG adressiert Verarbeitungen im Beschäftigungsverhältnis. HR-Analytics und Monitoring brauchen enge Zweckbindung und oft Mitbestimmungsabgleich.
Die DSGVO lässt Spielraum für nationale Regelungen — z. B. zu besonderen Verarbeitungssituationen. Diese Lücken muss man aktiv lesen, nicht „EU-only“ annehmen.
Zuständige Aufsichtsbehörden und Praxisleitfäden (LfDI/BfDI) prägen die Erwartung an Evidence und TOMs in deutschen Projekten.
Betriebsvereinbarungen und Informationspflichten können Analytics-Use-Cases blockieren oder formen — unabhängig von der rein rechtlichen Zulässigkeit.
Gesundheits-, Religions- oder Gewerkschaftsdaten in DE-HR-Kontexten sind besonders sensibel; Default sollte Vermeidung oder starke Trennung sein.
Eigene Domäne, strengere RBAC, kürzere Retention und keine „wilden“ Joins in Enterprise-Wide-Marts.
Metadaten markieren, welche Datasets Betriebsrats-/BDSG-relevant sind, bevor Self-Service sie findet.
Verarbeitungsverzeichnis, TOMs und Zweckbeschreibungen so pflegen, dass DE-Audits sie ohne Jagd durch Confluence finden.
Wenn ja: § 26, Mitbestimmung und engere Minimierung explizit prüfen.
Analytics-/Monitoring-Vorhaben gegen vorhandene BV und Informationspflichten halten.
Sonst starke technische Trennung und klarer Legal Sign-off.
Globale GDPR-Templates reichen oft nicht für DE-HR-Spezifika.
Besonders bei HR und öffentlichem Sektor führt das zu Lücken in Zulässigkeit und Prozess.
Einmalige „für Reporting“-Dumps werden zu Dauerproblemen für Rechte und Minimierung.
Technisch fertige Dashboards scheitern spät an Betriebsrat — teurer als frühe Abstimmung.
