Art. 9 DSGVO - Verarbeitung besonderer Kategorien personenbezogener Daten

(1)Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen:

1. b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist,

Beispiel Religionszugehörigkeit:

Rechtsgrundlage für die Verarbeitung: § 26 Abs. 3 BDSG

(3) Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Absatz 2 gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten; die Einwilligung muss sich dabei ausdrücklich auf diese Daten beziehen. § 22 Absatz 2 gilt entsprechend.

Bei Lohnabrechnungen handelt es sich um eine Datenverarbeitung nach Art. 9 DSGVO -Verarbeitung besonderer Kategorien personenbezogener Daten, denn es werden sensible personenbezogene Daten verarbeitet, u.a. die ethnische Herkunft der Person, die Sozialversicherungsnummer, die Religionszugehörigkeit oder auch Daten über die Mitgliedschaft in einer Gewerkschaft. Daher erfordert die Datenverarbeitung von Lohnabrechnungen ein besonderes Maß an technischer Sicherheit der Datenverarbeitung.

In der Gewerbeordnung § 108 Abrechnung des Arbeitsentgelts wird geregelt, dass Arbeitgeber rechtlich dazu verpflichtet sind, ihren Arbeitnehmern die Abrechnung in Textform zur Verfügung zu stellen.

Die Textform wird in Bürgerliches Gesetzbuch (BGB) § 126b Textform genauer definiert:

„Ist durch Gesetz Textform vorgeschrieben, so muss eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, auf einem dauerhaften Datenträger abgegeben werden. Ein dauerhafter Datenträger ist jedes Medium, das

1. es dem Empfänger ermöglicht, eine auf dem Datenträger befindliche, an ihn persönlich gerichtete Erklärung so aufzubewahren oder zu speichern, dass sie ihm während eines für ihren Zweck angemessenen Zeitraums zugänglich ist, und
2. geeignet ist, die Erklärung unverändert wiederzugeben."

In der Gewerbeordnung § 108 Abrechnung des Arbeitsentgelts wird geregelt, dass Arbeitgeber rechtlich dazu verpflichtet sind, ihren Arbeitnehmern für den jeweiligen Abrechnungszeitraum eine Lohnabrechnung in Textform zur Verfügung zu stellen. Ein postalischer Zugang ist nicht verpflichtend.

Eine Zusendung per Mail ist unter bestimmten Voraussetzungen (siehe gleich) ebenso zulässig, sofern die Erteilung der Lohnabrechnung sichergestellt wird.

Ein Urteil Landesarbeitsgericht Hamm führt zur Erteilung der Lohnabrechnung aus, dass es nicht ausreichend sei, Lohnabrechnungen lediglich in einem elektronischen Postfach zur Verfügung zu stellen. Mitarbeiter müssen – sobald die jeweilige Abrechnung zur Verfügung steht– explizit darauf hingewiesen werden, dass die Abrechnung zum Download bereitliegt. Wenn eine Umstellung vom postalischen Zugang zum Online-Versand/Download stattfindet, sollte eine Aufklärung der Mitarbeiter stattfinden.

Ein unverschlüsselter Versand der Lohnabrechnung per E-Mail ist nicht erlaubt.

Nach Art. 32 DSGVO (Sicherheit der Verarbeitung“) sowie  Art. 5 DSGVO müssen personenbezogene Daten

„in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);“

Grundsätzlich ist eine Zurverfügungstellung von Lohnabrechnungen in einer cloudbasierten Portal-Lösung zulässig, wenn die nötigen datenschutzrechtlichen Vorgaben sichergestellt werden. Eine Zustimmung der Mitarbeiter ist nicht erforderlich, was ein aktuelles Urteil des BAG aus dem Jahr 2025 unterstreicht.

Urteil des BAG zum 28.01.2025 (9 AZR 48/24)

Aus dem Sachverhalt:

Die Parteien, eine Verkäuferin (Klägerin) und ihr Arbeitgeber (Beklagte), streiten darüber, ob die Beklagte ihrer Pflicht zur Erteilung von Entgeltabrechnungen nach § 108 Abs. 1 GewO nachkommen kann, indem sie diese ausschließlich in ein passwortgeschütztes digitales Mitarbeiterpostfach einstellt. Die Einführung dieses digitalen Mitarbeiterpostfachs erfolgte auf Grundlage einer Konzernbetriebsvereinbarung (KBV Mitarbeiterpostfach) vom 7. April 2021, die vorsah, ab Juni 2021 (nach einer Übergangsfrist) Personaldokumente, einschließlich Entgeltabrechnungen, nur noch digital über einen externen Anbieter bereitzustellen. Die Klägerin widersprach dieser Praxis ab März 2022 und verlangte weiterhin die postalische Zusendung ihrer Abrechnungen. Sie argumentierte, der Bereitstellung im digitalen Postfach nicht zugestimmt zu haben und die KBV könne ihre fehlende Einwilligung nicht ersetzen, da sie gegen § 108 Abs. 1 GewO verstoße. Die Beklagte hielt die digitale Bereitstellung für ausreichend, da § 108 Abs. 1 GewO keinen Zugang im Sinne des § 130 Abs. 1 BGB vorschreibe und das digitale Postfach eine geeignete Empfangsvorrichtung darstelle. Das Arbeitsgericht wies die Klage ab, das Landesarbeitsgericht gab ihr statt. Die Beklagte legte Revision ein.

Aus den Entscheidungsgründen:

Das Bundesarbeitsgericht (BAG) hob das Urteil des Landesarbeitsgerichts auf und verwies die Sache zur neuen Verhandlung zurück.

Das BAG stellte klar, dass der Anspruch nach § 108 Abs. 1 Satz 1 GewO lediglich eine Entgeltabrechnung in Textform (§ 126b BGB) verlange, nicht zwingend in Papierform. Ein digitales Mitarbeiterpostfach, das die Abrechnung als lesbare Erklärung auf einem dauerhaften Datenträger speichert und den Zugriff sowie die unveränderte Wiedergabe ermöglicht (vergleichbar einer "sophisticated Website"), erfüllt die Anforderungen der Textform.

Entscheidend ist, dass der Anspruch auf Erteilung einer Entgeltabrechnung eine Holschuld darstellt. Arbeitspapiere sind grundsätzlich vom Arbeitnehmer in der Niederlassung des Arbeitgebers abzuholen. Bei elektronischer Erteilung erfüllt der Arbeitgeber seine Pflicht, indem er dem Arbeitnehmer die digitale Verfügungsmöglichkeit über das Dokument verschafft. Das Online-Portal fungiert hier als elektronische "Ausgabestelle". Die KBV sieht vor, dass Arbeitnehmer ohne privaten Zugang die Möglichkeit erhalten, die Dokumente im Betrieb einzusehen und auszudrucken.

Ein Zugang der Abrechnung im Sinne des § 130 Abs. 1 BGB ist nicht erforderlich. Das Wort "erteilen" in § 108 GewO bedeute nicht "zugehen". Auch die Textform (§ 126b BGB) setze keinen Zugang voraus, sondern die Abgabe einer Erklärung in der vorgeschriebenen Form. Vor allem aber handele es sich bei Entgeltabrechnungen um Wissenserklärungen und nicht um empfangsbedürftige Willenserklärungen oder geschäftsähnliche Handlungen, auf die § 130 BGB (direkt oder analog) Anwendung fände. Aus der Erteilung einer Entgeltabrechnung ergeben sich per se keine unmittelbaren Rechtswirkungen, die einen Zugang nach § 130 BGB erfordern würden; sie dient primär der Information und Transparenz. Die Abrechnungen wurden auch rechtzeitig "bei Zahlung" erteilt.

Obwohl die digitale Bereitstellung grundsätzlich den Anspruch erfüllen kann, konnte das BAG im vorliegenden Fall nicht abschließend entscheiden. Es muss geprüft werden, ob das digitale Mitarbeiterpostfach wirksam aufgrund der „KBV Mitarbeiterpostfach“ eingeführt wurde.

Das digitale Mitarbeiterpostfach ist eine technische Einrichtung im Sinne des § 87 Abs. 1 Nr. 6 BetrVG (Mitbestimmung bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung), da es an das Personalabrechnungssystem PAISY angebunden ist, welches mitarbeiterbezogene Daten wie Arbeits-, Krankheits- und Fehlzeiten verarbeitet. Die Einführung bedarf daher der Zustimmung des zuständigen Betriebsratsgremiums.

Die KBV wurde mit dem Konzernbetriebsrat abgeschlossen. Es muss jedoch festgestellt werden, ob der Konzernbetriebsrat hierfür originär zuständig war (§ 58 Abs. 1 BetrVG – Angelegenheiten, die den Konzern oder mehrere Konzernunternehmen betreffen und nicht durch einzelne Gesamtbetriebsräte geregelt werden können) oder ob eine wirksame Beauftragung durch den Gesamtbetriebsrat vorlag (§ 58 Abs. 2 BetrVG). Hierzu fehlten Tatsachenfeststellungen des Landesarbeitsgerichts.

Fazit für die Praxis:

Arbeitgeber können Entgeltabrechnungen rechtssicher digital in einem passwortgeschützten Mitarbeiterportal bereitstellen, ohne dass eine ausdrückliche Zustimmung jedes einzelnen Arbeitnehmers für diese Form der Zustellung erforderlich ist, sofern eine wirksame (Konzern-)Betriebsvereinbarung dies regelt. Dies erleichtert die Abkehr von papierbasierten Prozessen, was Kosten spart (Druck, Porto, Verteilung) und die Effizienz steigert. Das Portal muss sicher sein (passwortgeschützt, keine Änderungsmöglichkeit durch den Arbeitgeber nach Einstellung). Die Abrechnungen müssen für einen angemessenen Zeitraum (im Fall: 12 Monate laut KBV) verfügbar bleiben.

Stand: Mai 2025