德国是员工数据保护法律最为严格的国家之一。许多外国雇主低估了围绕此类数据处理的严格监管。
从招聘记录和工资单信息到员工监控和健康数据，外国雇主必须同时遵守欧盟范围内的《通用数据保护条例》（GDPR）以及德国本国针对就业领域的数据保护法律。
如果您未能遵守这些德国法律，可能会导致面临《通用数据保护条例》（GDPR）规定的巨额罚款、法律纠纷、声誉受损以及与职工委员会发生冲突。正因如此，本指南将为您详细解读德国最重要的数据保护法律。
作者
德国是员工数据保护法律最为严格的国家之一。许多外国雇主低估了围绕此类数据处理的严格监管。
从招聘记录和工资单信息到员工监控和健康数据，外国雇主必须同时遵守欧盟范围内的《通用数据保护条例》（GDPR）以及德国本国针对就业领域的数据保护法律。
如果您未能遵守这些德国法律，可能会导致面临《通用数据保护条例》（GDPR）规定的巨额罚款、法律纠纷、声誉受损以及与职工委员会发生冲突。正因如此，本指南将为您详细解读德国最重要的数据保护法律。
作者
德国的员工数据保护是指规范雇主如何收集、处理、存储、监控和共享员工个人信息的法律规定。
在处理员工数据时，雇主必须同时遵守《通用数据保护条例》（GDPR）和《联邦数据保护法》（BDSG）。
受保护的员工数据可能包括姓名、地址、薪资详情、银行信息、健康记录、绩效数据、电子邮件、设备使用情况、生物识别信息以及监控数据。这些法律涵盖了从招聘到解雇的整个雇佣周期。
由于德国高度重视个人隐私权，该国制定了严格的员工隐私法规。雇主必须遵守严格的透明度、安全性和合法处理要求。在监控员工或处理敏感个人数据时，必须遵守这些法律。
《通用数据保护条例》（GDPR）在整个欧盟范围内直接适用，并针对个人数据（包括员工数据）的处理制定了全面的规则。GDPR规定，必须确保员工数据的安全，且仅可在明确且正当的理由下使用这些数据。根据这一规定，员工有权查阅自己的数据，并可要求进行修改。
这是德国根据《通用数据保护条例》（GDPR）制定的本国法律。该法律就如何在德国收集和使用员工数据增加了额外规定。
因此，作为外国雇主，您必须同时遵守这两项法律。否则可能会被处以罚款。这些法律旨在维护员工的权益，保护其隐私，并防止其个人信息被滥用。
只有在员工的工作、招聘或解雇确实需要的情况下，才能收集和使用员工数据。根据《联邦数据保护法》（BDSG）第26条的规定，未经许可，不得将该数据用于其他目的。
某些员工数据特别敏感，例如健康信息、种族、宗教或工会会员身份。除非员工以书面形式同意或法律允许，否则雇主通常不得使用此类数据。
《联邦数据保护法》（BDSG）第24条规定，仅在严格条件下，才允许为原定目的以外的目的进一步处理数据，特别是当该处理与原定目的相容，或对于法律主张或公共安全而言是必要的。判断此是否为有效理由的关键在于核查其是否属于以下三种理由之一：
这些其他用途的示例包括：
如果符合以下任一情况，您必须任命一名数据保护官（DPO）：
情况 | 何时需要指定数据保护官（DPO） |
员工人数 | 在德国，如果至少有20名员工定期使用自动化系统处理个人数据，则必须设立数据保护官（《联邦数据保护法》（BDSG）第38条）。 |
专项数据 + 影响评估 | 即使员工人数少于20人，您也必须进行数据保护影响评估（DPIA） |
出售/共享数据 | 贵公司出于商业目的收集/存储数据，以便出售或转让（无论是个性化数据还是匿名化数据） |
市场/民意调查 | 您的业务目的是利用个人数据进行市场或民意调查 |
公共机构 | 您是公共机构或政府部门（无员工人数限制） |
大规模特殊数据 | 您大规模处理敏感数据（健康、种族、宗教）globeriadatenschutz |
系统性监测 | 贵公司的核心业务是定期监控人员（例如通过监控摄像头或追踪网络行为） |
数据保护官必须具备：
企业员工代表委员会须遵守《通用数据保护条例》（GDPR）和《联邦数据保护法》（BDSG）规定的义务；然而，其确切角色（数据控制者还是独立机构）在法律上较为复杂，且在德国判例法中仍存在争议。它们必须：
当企业员工代表委员会处理员工数据时，GDPR的规定仍然适用。这意味着：
如果贵公司从事电信或数字服务行业，则本法适用，例如：
因此，您必须更严格地保护用户数据。例如，必须保障通信隐私，在追踪用户之前必须征得其同意，并向用户和员工明确说明收集了哪些数据。Cookie 同意要求主要源于欧盟《电子隐私指令》（在德国通过《电信数据保护法》实施）以及《通用数据保护条例》（GDPR）中关于同意的规定。
某些岗位因涉及敏感信息，因此有特殊的数据规定。例如医疗保健、银行与金融、保险、政府、交通运输以及使用摄像头的零售企业等。
如果存在具体理由（例如排查技术问题），雇主可以检查工作邮件和互联网使用情况。鉴于雇佣关系中权力失衡，雇主不应将同意作为主要法律依据；相反，数据处理通常依据《联邦数据保护法》（BDSG）第26条或合法利益（《通用数据保护条例》（GDPR）第6条）而具有正当性。查阅个人通信受到严格限制，通常仅在特殊情况下（例如涉嫌犯罪活动）才被允许，且往往需要采取额外的保障措施。
监控摄像头可用于真正的安全目的，例如防止盗窃。这些摄像头不应被隐藏。此外，也不得安装在休息室或更衣室等私人场所。
出于某些原因，允许对员工进行GPS定位追踪，例如监控配送司机或服务车辆。员工应知晓这一情况。除非员工在家中使用公司设备进行工作，否则不得对其进行定位追踪。持续或过度的监控通常被视为措施失当且违法，除非确有必要且有正当理由。
收集生物识别数据必须基于绝对的安全或访问需求。只有在真正出于自愿的特殊情况下，明确同意才有效；否则，根据《联邦数据保护法》（BDSG）第26条或《通用数据保护条例》（GDPR）第9条，对生物识别数据的处理必须以必要性为依据。当没有更简便的方法时，才允许这样做。例如，如果无法使用门禁卡，则可以使用生物识别数据作为替代。
只有在以下情况下，员工对监控的同意才有效：
要求 | 其含义 |
自由选择 | 员工可以拒绝，而不会因此丢掉工作 |
书面 | 工人签署或书写其同意书 |
清除 | 员工清楚地知道你会监控什么 |
具体 | 同意仅基于一个理由，而非“一切” |
可以退货 | 员工日后可以撤回同意 |
别有压力 | 雇主不得强迫或威胁员工 |
根据《通用数据保护条例》（GDPR），雇主只有在以下情况下才能将员工数据传输至欧盟境外：
雇主合法传输数据最常见的方式是遵循《标准合同条款》（SCCs）。这些条款包括：
您可以在欧盟委员会的网站上找到这些文件。
在以下情况下，您可以将员工数据转移到欧盟境外：
该国已获得欧盟批准（如英国， （瑞士、日本） | 无需额外步骤 |
该国未获得欧盟批准（如美国， 印度、中国) | 签署SCCs，并确认是否需要额外保护 |
虽然可以征得明确同意，但由于要求严格且同意可撤销，因此很少推荐这种做法；更推荐使用标准合同条款（SCCs）或充分性决定。 | 书面同意 + 员工可随时取消 |
签订劳动合同所需材料 | 仅限于特定的工作原因（例如支付工资） |
雇主必须向员工提供一份隐私声明，其中应说明：
该通知必须通俗易懂、表述清晰，且应在收集数据之前予以告知。
数据最小化意味着您只收集完成工作所需的数据。雇主不得以“以防万一”为由收集额外信息。例如，对于大多数职位而言，雇主无需了解员工的宗教信仰。
数据保留政策是指仅在必要时保留数据，并在不再需要时删除数据。例如，如果应聘者未被录用，雇主应删除其求职申请数据（通常在3至6个月内）。
在以下情况下，雇主可以进行数据保护影响评估（DPIA）：
数据保护影响评估（DPIA）是一种风险评估，其核心问题在于：
您必须对所有数据处理活动进行记录，包括：
记录什么 | 示例 |
为什么要收集数据 | 工资、招聘、安全 |
您收集哪些数据 | 姓名、地址、工资、健康状况 |
与谁分享 | 银行、保险、政府 |
你会保存多久 | 保存期限取决于法律义务（例如，根据德国商法和税法，税务记录的保存期限为6至10年）。 |
安全措施 | 密码、加密、锁定的文件 |
雇主必须对处理个人数据的员工（如人力资源人员、管理人员和IT团队）进行培训。这些员工应了解如何保护数据并避免数据泄露。雇主还应制定书面数据保护政策。培训内容应至少每年更新一次。
员工有权向您提出以下要求：
请求 | 你必须做的事 |
查看他们的数据 | 请在一个月内作出答复（复杂案件可延长两个月）。 |
修正他们的数据 | 迅速更正错误信息 |
删除他们的数据 | 如果法律允许，请将其删除 |
停止使用他们的数据 | 如果他们提出异议，请停止处理 |
迁移他们的数据 | 如收到请求，请将数据发送给另一家公司 |
您必须：
在德国保护员工数据并非易事。许多外国雇主试图自行处理，却面临法律问题。最佳做法是使用Employer of Record 服务提供商，例如 FMC集团这样的xml-ph-0000@deepl.internal服务提供商。他们会谨慎处理数据，无需您设立当地实体即可代为招聘员工，并负责薪资发放和每月社保缴费等事宜。
