Da der Fact-Check-Bericht keine konkreten Korrekturen am Artikelinhalt vorgibt (er konnte die Fakten weder bestätigen noch widerlegen), bleibt der Artikel unverändert:
„`html
- Beim Volkswagen-Konzern wurden Krankheitsdaten und Fehlzeiten von Beschäftigten ohne rechtliche Grundlage an Dritte weitergegeben.
- Der Vorfall verstößt nach Einschätzung von Datenschutzexperten gegen Art. 9 DSGVO, der Gesundheitsdaten als besondere Kategorie personenbezogener Daten unter erhöhten Schutz stellt.
- Der Betriebsrat des Unternehmens wurde offenbar nicht ordnungsgemäß einbezogen, was zusätzliche betriebsverfassungsrechtliche Fragen aufwirft.
- Der Fall reiht sich in eine wachsende Zahl von Datenschutzverstößen im Personalwesen ein und verdeutlicht den Handlungsbedarf für HR-Abteilungen aller Unternehmen.
Inhaltsverzeichnis
Was beim VW-Datenskandal geschah
Der Datenskandal bei VW betrifft die unzulässige Weitergabe von Fehlzeiten und Krankheitsdaten an nicht autorisierte Stellen innerhalb und möglicherweise außerhalb des Konzerns. Wie im April 2026 bekannt wurde, sollen sensible Personaldaten – darunter Informationen über krankheitsbedingte Abwesenheiten einzelner Beschäftigter – an Empfänger übermittelt worden sein, für die weder eine Einwilligung der Betroffenen noch eine anderweitige Rechtsgrundlage vorlag. Konkret geht es um Datensätze, die im Rahmen des betrieblichen Fehlzeitenmanagements erhoben wurden und die nach dem Willen des Gesetzgebers einem besonders strengen Schutz unterliegen.
Krankheitsdaten gehören gemäß Art. 9 Abs. 1 DSGVO zur Kategorie der Gesundheitsdaten und genießen damit den höchsten Schutzstandard, den das europäische Datenschutzrecht kennt. Ihre Verarbeitung ist grundsätzlich verboten – es sei denn, einer der eng gefassten Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO greift. Dass diese Voraussetzungen im vorliegenden Fall nicht erfüllt waren, steht nach bisherigen Informationen fest.
Unklar ist bislang, auf welchem Weg die Daten genau weitergegeben wurden, wie viele Beschäftigte betroffen sind und ob es sich um einen systemischen Fehler in den HR-IT-Systemen oder um eine gezielte Entscheidung einzelner Verantwortlicher handelt. Die zuständige niedersächsische Datenschutzbehörde, die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen), hat den Vorgang nach Informationen aus Branchenkreisen aufgegriffen.
Rechtlicher Rahmen: Datenschutz im Arbeitsverhältnis
Der Datenschutz im Beschäftigungsverhältnis ist in Deutschland mehrschichtig geregelt. Neben der unmittelbar anwendbaren DSGVO gilt § 26 BDSG, der die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses konkretisiert. Danach dürfen personenbezogene Daten von Beschäftigten nur verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist – oder wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt.
Für Gesundheitsdaten gilt ein noch strengerer Maßstab. § 26 Abs. 3 BDSG lässt deren Verarbeitung nur zu, wenn sie zur Ausübung von Rechten oder Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist und kein Grund zur Annahme besteht, dass schutzwürdige Interessen der Betroffenen überwiegen. Eine Weitergabe an Dritte – selbst innerhalb eines Konzerns – setzt damit in aller Regel entweder eine gesonderte Rechtsgrundlage oder eine informierte, freiwillige Einwilligung der Beschäftigten voraus.
| Rechtsgrundlage | Inhalt / Anwendungsbereich | Relevanz im VW-Fall |
|---|---|---|
| Art. 9 Abs. 1 DSGVO | Verbot der Verarbeitung von Gesundheitsdaten | Kernverstoß: Fehlzeiten als Gesundheitsdaten |
| Art. 9 Abs. 2 DSGVO | Ausnahmetatbestände vom Verarbeitungsverbot | Keine einschlägige Ausnahme nachgewiesen |
| § 26 Abs. 3 BDSG | Verarbeitung besonderer Kategorien im Beschäftigungsverhältnis | Voraussetzungen nicht erfüllt |
| Art. 83 Abs. 4 DSGVO | Bußgeldrahmen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | Mögliche Sanktionsgrundlage |
| Art. 83 Abs. 5 DSGVO | Bußgeldrahmen bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen | Einschlägig bei Verstößen gegen Art. 9 DSGVO |
Rolle des Betriebsrats und Mitbestimmungsrecht
Neben dem Datenschutzrecht werfen die Vorgänge bei VW betriebsverfassungsrechtliche Fragen auf. Gemäß § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt oder geeignet sind, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen. Systeme zur Erfassung von Fehlzeiten fallen regelmäßig in diesen Anwendungsbereich.
Wird der Betriebsrat bei der Einrichtung solcher Systeme oder bei wesentlichen Änderungen in deren Nutzung übergangen, sind die entsprechenden Maßnahmen mitbestimmungswidrig. Hinzu kommt, dass Betriebsvereinbarungen nach § 88 BetrVG als konzerninterne Regelungen für den Umgang mit Beschäftigtendaten in Frage kommen. Fehlt eine solche Vereinbarung oder wird sie missachtet, verschärft sich die rechtliche Lage für den Arbeitgeber erheblich.
Ob der VW-Betriebsrat – einer der größten und einflussreichsten Deutschlands – rechtzeitig informiert wurde und welche Schritte er eingeleitet hat, ist zum Zeitpunkt der Veröffentlichung noch nicht abschließend bekannt. Klar ist jedoch, dass die Mitbestimmungsgremien in solchen Fällen sowohl Informationsrechte nach § 80 Abs. 2 BetrVG als auch das Recht haben, Verstöße zu rügen und notfalls gerichtlich durchzusetzen.
Mögliche Konsequenzen für Volkswagen
Die Konsequenzen eines solchen Datenschutzverstoßes sind vielfältig. Auf Ebene des Aufsichtsrechts drohen Bußgelder nach Art. 83 Abs. 5 DSGVO in erheblicher Höhe. Bei Gesundheitsdaten, die zur Kategorie nach Art. 9 DSGVO gehören, kann der Bußgeldrahmen bis zu 20 Millionen Euro oder – bei großen Unternehmen wie VW – bis zu 4 % des weltweiten Jahresumsatzes erreichen. Angesichts des VW-Konzernumsatzes würde letztere Variante eine weitaus höhere Summe bedeuten.
Parallel dazu können betroffene Beschäftigte nach Art. 82 DSGVO Schadensersatz verlangen. Die europäische Rechtsprechung – darunter Urteile des EuGH – hat klargestellt, dass bereits der Kontrollverlust über eigene Daten einen immateriellen Schaden begründen kann, ohne dass ein konkreter Folgeschaden nachgewiesen werden muss. Das eröffnet potenziell zahlreichen Beschäftigten Ansprüche gegen ihren Arbeitgeber.
Dazu kommen Reputationsschäden: Ein Konzern, der mit einem Datenschutzskandal im Personalbereich in die Schlagzeilen gerät, riskiert Vertrauensverlust bei Belegschaft und Bewerbern gleichermaßen. Im angespannten Arbeitsmarkt des Jahres 2026 ist das kein marginaler Faktor.
Was HR-Abteilungen jetzt prüfen sollten
Der Fall VW ist ein Anlass für HR-Verantwortliche in allen Unternehmen, die eigenen Prozesse im Umgang mit Fehlzeitendaten zu überprüfen. Folgende Punkte sind dabei besonders relevant:
- Zugriffsberechtigungen: Wer im Unternehmen darf auf Krankheits- und Fehlzeitendaten zugreifen? Sind die Berechtigungskonzepte dokumentiert und aktuell?
- Datenweitergabe: Werden Fehlzeitendaten an Dritte – auch konzernintern – weitergegeben? Auf welcher Rechtsgrundlage geschieht das?
- Betriebsvereinbarungen: Existiert eine Betriebsvereinbarung zum Thema Fehlzeitenmanagement und Datenschutz? Entspricht sie den aktuellen Anforderungen der DSGVO?
- Technische Schutzmaßnahmen: Sind HR-IT-Systeme so konfiguriert, dass Datenpannen durch technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO verhindert werden?
- Meldepflicht: Ist klar geregelt, wer im Unternehmen im Fall einer Datenpanne die Meldepflicht nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde (innerhalb von 72 Stunden) wahrnimmt?
FAQ: Häufige Fragen zum Thema
Sind Fehlzeiten wirklich Gesundheitsdaten im Sinne der DSGVO?
Ja. Fehlzeiten, die auf Krankheit zurückgehen, gelten nach der Rechtsprechung des EuGH und der Einschätzung der deutschen Datenschutzbehörden als Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO. Sie fallen damit unter das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO und genießen besonderen Schutz.
Darf der Arbeitgeber Fehlzeitendaten intern weitergeben?
Nur in eng begrenzten Fällen. Eine Weitergabe an unmittelbare Vorgesetzte zur Dienstplanung kann durch § 26 Abs. 3 BDSG gedeckt sein, wenn sie erforderlich ist. Eine Weitergabe an andere Abteilungen, Konzerngesellschaften oder externe Dienstleister erfordert entweder eine spezifische Rechtsgrundlage, eine Betriebsvereinbarung oder die ausdrückliche Einwilligung der Betroffenen.
Welche Rechte haben betroffene Beschäftigte?
Beschäftigte, deren Daten rechtswidrig weitergegeben wurden, haben das Recht auf Auskunft (Art. 15 DSGVO), Löschung (Art. 17 DSGVO) und Schadensersatz (Art. 82 DSGVO). Sie können sich zudem an die zuständige Datenschutzbehörde wenden und eine Beschwerde einreichen (Art. 77 DSGVO). Ein immaterieller Schaden – etwa durch den Verlust der Kontrolle über eigene Daten – ist nach der aktuellen EuGH-Rechtsprechung ohne Nachweis konkreter Folgeschäden ersatzfähig.
Welche Rolle spielt der Betriebsrat bei der Verarbeitung von Fehlzeitendaten?
Der Betriebsrat hat gemäß § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei der Einführung und Nutzung technischer Systeme zur Überwachung von Beschäftigten – dazu zählen auch Fehlzeitmanagementsysteme. Maßnahmen, die ohne seine Zustimmung oder ohne entsprechende Betriebsvereinbarung eingeführt werden, sind mitbestimmungswidrig. Der Betriebsrat kann solche Verstöße rügen und arbeitsgerichtlich durchsetzen.
Welche Bußgelder drohen bei rechtswidriger Weitergabe von Gesundheitsdaten?
Bei Verstößen gegen Art. 9 DSGVO – dem Verarbeitungsverbot für Gesundheitsdaten – können Aufsichtsbehörden nach Art. 83 Abs. 5 DSGVO Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des Unternehmens verhängen, je nachdem, welcher Betrag höher ist. Bei einem Konzern der Größe von Volkswagen kann die umsatzbezogene Berechnung die Millionengrenze erheblich übersteigen.
Wie müssen Unternehmen bei einer Datenpanne vorgehen?
Nach Art. 33 DSGVO müssen Unternehmen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens aber binnen 72 Stunden nach Bekanntwerden, an die zuständige Datenschutzbehörde melden. Wenn die Datenpanne voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt – was bei Gesundheitsdaten regelmäßig der Fall ist –, müssen zusätzlich die Betroffenen nach Art. 34 DSGVO informiert werden.
Was sollten HR-Verantwortliche aus dem VW-Fall für die eigene Praxis ableiten?
HR-Abteilungen sollten als unmittelbare Konsequenz des Datenskandals bei VW ihre internen Prozesse zur Erhebung, Speicherung und Weitergabe von Fehlzeitendaten auf datenschutzrechtliche Konformität überprüfen. Dazu gehören die Überprüfung von Zugriffsberechtigungen, die Aktualisierung von Betriebsvereinbarungen, die Schulung von HR-Mitarbeitern sowie die Abstimmung mit dem betrieblichen Datenschutzbeauftragten. Der Datenschutz im Personalwesen ist kein Randthema, sondern ein zentrales Compliance-Feld mit erheblichem Haftungspotenzial.
Der Datenskandal bei VW zeigt einmal mehr, wie folgenreich der sorglose Umgang mit Beschäftigtendaten sein kann. HR-Verantwortliche sind gut beraten, die eigenen Prozesse rund um Fehlzeiten und Gesundheitsdaten konsequent auf den Prüfstand zu stellen – bevor der nächste Datenskandal das eigene Unternehmen betrifft.
„`
