Mitarbeiterdaten in Odoo und der Datenschutz

Was § 26 BDSG erlaubt

Die Datenschutz-Grundverordnung regelt den Beschäftigtendatenschutz nicht abschließend. Art. 88 Abs. 1 DSGVO überlässt den Mitgliedstaaten spezifischere Vorschriften für personenbezogene Beschäftigtendaten, und Deutschland hat davon mit § 26 BDSG Gebrauch gemacht. Die Vorschrift erlaubt Verarbeitung; sie verlangt sie nicht. Jede Angabe über eine beschäftigte Person, die Sie in Odoo erfassen, braucht deshalb einen Erlaubnistatbestand: die Erforderlichkeit für das Beschäftigungsverhältnis nach § 26 Abs. 1 BDSG, eine Einwilligung nach § 26 Abs. 2 BDSG oder eine Kollektivvereinbarung nach § 26 Abs. 4 BDSG; für besondere Kategorien gilt § 26 Abs. 3 BDSG. Enthält ein Feld dagegen die Daten einer anderen Person, etwa eines Notfallkontakts oder des Ehepartners, deckt § 26 BDSG das nicht ab, weil die Vorschrift nach Abs. 1 nur personenbezogene Daten von Beschäftigten betrifft; für solche Daten brauchen Sie einen Erlaubnistatbestand nach Art. 6 Abs. 1 DSGVO, etwa die Einwilligung der betroffenen Person (Buchst. a), eine rechtliche Verpflichtung (Buchst. c) oder ein berechtigtes Interesse des Arbeitgebers, das die Interessen oder Grundrechte dieser Person nicht überwiegt (Buchst. f).

Der Kreis der Beschäftigten ist weiter als der der Arbeitnehmer. § 26 Abs. 8 BDSG zählt unter anderem Leiharbeitnehmer im Verhältnis zum Entleiher, zu ihrer Berufsbildung Beschäftigte, Freiwillige und Beamte des Bundes dazu; Bewerber und Personen, deren Beschäftigungsverhältnis beendet ist, gelten ebenfalls als Beschäftigte. Für Bewerbungen gilt dieselbe Prüfung (dazu Bewerbermanagement in Odoo).

§ 26 BDSG nennt neben der Erforderlichkeit weitere Erlaubnistatbestände. Eine Einwilligung ist nach § 26 Abs. 2 BDSG möglich, aber nur als freiwillige: Zu würdigen sind die Abhängigkeit im Beschäftigungsverhältnis und die Umstände der Erteilung; freiwillig kann sie sein, wenn der beschäftigten Person ein rechtlicher oder wirtschaftlicher Vorteil erwächst oder beide Seiten gleichgelagerte Interessen verfolgen. Sie muss schriftlich oder elektronisch erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist, und der Arbeitgeber muss über Zweck und Widerrufsrecht in Textform aufklären. Nach § 26 Abs. 4 BDSG ist die Verarbeitung auch auf Grundlage einer Kollektivvereinbarung zulässig; dabei ist Art. 88 Abs. 2 DSGVO zu beachten. Zur Aufdeckung von Straftaten dürfen Beschäftigtendaten nach § 26 Abs. 1 Satz 2 BDSG nur verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der beschäftigten Person an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Gesundheitsdaten wie eine Schwerbehinderung gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, deren Verarbeitung diese Vorschrift verbietet. § 26 Abs. 3 BDSG lässt die Verarbeitung zu, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt; daneben gilt § 26 Abs. 2 BDSG auch für die Einwilligung in diese Daten, die sich ausdrücklich auf sie beziehen muss (Satz 2), und § 22 Abs. 2 BDSG gilt entsprechend.

Welche Angabe welche Grundlage hat und wer sie sieht

Die Tabelle ordnet die Felder des Mitarbeiterformulars der Rechtsgrundlage und der Rechtegruppe zu, die sie im öffentlichen Community-Zweig 20.0 sieht. „Sachbearbeiter“ bedeutet die Gruppe Sachbearbeiter: Alle Mitarbeiter verwalten (Officer: Manage all employees), „Administrator“ die Gruppe Administrator, die die erste einschließt. Ob ein Feld in Ihrer Datenbank steht, hängt von der Lokalisierung ab.

Angabe in Odoo 20.0	Rechtsgrundlage in Deutschland (Stand 14. Oktober 2026)	Wer sie sieht
Name	§ 26 Abs. 1 BDSG: zur Identifizierung im Beschäftigungsverhältnis erforderlich	Alle internen Benutzer
Bild (Foto)	§ 26 Abs. 1 BDSG nur mit einem konkreten Zweck; ein Foto ist nicht für jedes Beschäftigungsverhältnis erforderlich	Alle internen Benutzer
Geschäftliche E-Mail-Adresse, geschäftliche Telefon- und Mobilnummer	§ 26 Abs. 1 BDSG	Alle internen Benutzer
Abteilung, Stelle, Berufsbezeichnung, Vorgesetzter, Arbeitsort, Arbeitszeiten (Reiter Arbeit)	§ 26 Abs. 1 BDSG; Art. 88 Abs. 1 DSGVO nennt Management, Planung und Organisation der Arbeit als Zwecke	Alle internen Benutzer
Vertragsbeginn, Vertragsende, Befristung, Probezeit	§ 26 Abs. 1 BDSG; die wesentlichen Vertragsbedingungen sind nach § 2 Abs. 1 NachwG schriftlich niederzulegen, wobei Satz 2 unter den dort genannten Bedingungen Textform und elektronische Übermittlung zulässt und Satz 6 Arbeitnehmer in Wirtschaftsbereichen nach § 2a Abs. 1 SchwarzArbG ausnimmt	Sachbearbeiter und Administrator
Monatsbruttolohn und Vergütungsstruktur (Reiter Personalabrechnung im Modul hr)	§ 26 Abs. 1 BDSG: für die Entgeltabrechnung erforderlich; dazu kommen steuer- und sozialversicherungsrechtliche Pflichten	Nur Administrator (Gruppe hr.group_hr_manager)
Rechtlicher Name, Geburtstag, Geburtsort, Geschlecht	§ 26 Abs. 1 BDSG; für den Lohnsteuerabzug teilt die beschäftigte Person Identifikationsnummer und Tag der Geburt mit (§ 39e Abs. 4 Satz 1 Nr. 1 EStG), und bei unbekannter Versicherungsnummer nimmt die Sozialversicherungsanmeldung Name, Geburtsname, Geburtsdatum, Geburtsort, Geburtsland, Geschlecht, Staatsangehörigkeit und Anschrift auf (§ 5 Abs. 7 DEÜV)	Nur Sachbearbeiter und Administrator
Familienstand, Zahl der unterhaltsberechtigten Kinder	§ 26 Abs. 1 BDSG nur, soweit der Lohnsteuerabzug sie erfordert: Steuerklasse und Zahl der Kinderfreibeträge sind Lohnsteuerabzugsmerkmale nach § 38b Abs. 1 und 2 EStG (§ 39e Abs. 1 Satz 1 EStG)	Nur Sachbearbeiter und Administrator
Gesetzlicher Name und Geburtsdatum des Ehepartners	Daten einer anderen Person als der beschäftigten; § 26 BDSG gilt nicht, sondern Art. 6 Abs. 1 DSGVO: Einwilligung der betroffenen Person (Buchst. a) oder eine rechtliche Verpflichtung, die die Angabe erfordert (Buchst. c); § 38b EStG knüpft die Steuerklasse an den Familienstand und regelt die Kinderfreibeträge, einen Bedarf an den Personendaten des Ehepartners begründet er nicht	Nur Sachbearbeiter und Administrator
Schwerbehinderung (Behindert, je nach Lokalisierung)	Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung; § 26 Abs. 3 BDSG lässt sie zu, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der beschäftigten Person an dem Ausschluss der Verarbeitung überwiegt, oder wenn sich eine Einwilligung ausdrücklich auf diese Daten bezieht (Satz 2); § 22 Abs. 2 BDSG gilt entsprechend	Nicht geprüft: Die Dokumentation beschreibt das Feld, belegt aber keine Rechtegruppe; im Modul hr des öffentlichen Community-Zweigs 20.0 kommt es nicht vor
Staatsangehörigkeit, Identifikationsnummer, Passnummer, Visum- und Arbeitserlaubnisnummer samt Ablaufdaten	§ 26 Abs. 1 BDSG, soweit für das Beschäftigungsverhältnis oder eine gesetzliche Pflicht erforderlich	Nur Sachbearbeiter und Administrator
Notfallkontakt mit Telefonnummer	Daten einer anderen Person als der beschäftigten; § 26 BDSG gilt nicht, sondern Art. 6 Abs. 1 DSGVO: berechtigtes Interesse des Arbeitgebers an der Notfallvorsorge, sofern die Interessen oder Grundrechte der Kontaktperson nicht überwiegen (Buchst. f), oder Einwilligung der Kontaktperson (Buchst. a)	Nur Sachbearbeiter und Administrator
Privatadresse, Arbeitsweg in Kilometern (Standort)	§ 26 Abs. 1 BDSG, soweit erforderlich, etwa für Homeoffice oder Fahrkostenzuschuss	Nur Sachbearbeiter und Administrator
Private E-Mail-Adresse, private Telefonnummer	§ 26 Abs. 1 BDSG; darüber hinausgehende Nutzung nur mit Einwilligung nach § 26 Abs. 2 BDSG	Nur Sachbearbeiter und Administrator
Bankverbindung	§ 26 Abs. 1 BDSG: für die Entgeltzahlung erforderlich	Sachbearbeiter und Administrator; interne Benutzer sind durch eine Zugriffsregel ausgeschlossen
Dokumente: Ausweiskopie (ID Card Copy), Führerschein	§ 26 Abs. 1 BDSG, nur wenn für den verfolgten Zweck erforderlich	Nur Sachbearbeiter und Administrator (im Modul hr 20.0 tragen die Felder id_card und driving_license die Gruppe hr.group_hr_user)
Dokumente: Kopie der SIM-Karte, Rechnung Internetvertrag	§ 26 Abs. 1 BDSG, nur wenn für den verfolgten Zweck erforderlich	Nicht geprüft: Die Dokumentation der Version 20.0 beschreibt beide Felder, im Modul hr des öffentlichen Community-Zweigs 20.0 kommt kein solches Feld vor und keine Rechtegruppe ist belegt
PIN und Ausweisnummer für Anwesenheiten, Kasse und Werkstatt	§ 26 Abs. 1 BDSG: für die Zeiterfassung und die Anmeldung am Kiosk erforderlich	Nur Sachbearbeiter und Administrator

Wer in Odoo welche Daten sieht

Odoo trennt zwei Ebenen. Auf der Modellebene weist der öffentliche Community-Zweig 20.0 das Recht, Mitarbeiterdatensätze zu lesen, nur den HR-Gruppen zu: der Gruppe Sachbearbeiter: Alle Mitarbeiter verwalten und dem Administrator, der die Sachbearbeiterrechte einschließt; dazu kommt der Systemadministrator mit eigenem Leserecht. Alle internen Benutzer lesen dagegen ausschließlich das reduzierte Modell mit Name, Bild, Abteilung, Stelle, Berufsbezeichnung, Vorgesetztem, Arbeitsort, Zeitzone und den geschäftlichen Kontaktangaben. Das deckt sich mit der Dokumentation, nach der die Registerkarte Arbeit für alle Mitarbeiter sichtbar ist.

Auf der Feldebene tragen die Privatdaten im Mitarbeitermodell eine Gruppenbeschränkung auf die Sachbearbeiter- und Administratorrechte; die Odoo-Entwicklerdokumentation beschreibt das Attribut so, dass es den Feldzugriff auf die Nutzer dieser Gruppen beschränkt. Die Formularansicht des Moduls hr setzt die Registerkarte Persönlich auf dieselbe Gruppenbeschränkung und die Registerkarte Personalabrechnung auf die Gruppe Administrator (hr.group_hr_manager); dort stehen auch der Monatsbruttolohn und die Vergütungsstruktur. Im Verzeichnis addons des öffentlichen Community-Zweigs 20.0 steht kein Modul hr_payroll; die eigenständige App Personalabrechnung und ihre Rechtegruppe sind hier nicht geprüft. Bankverbindungen von Beschäftigten sind zusätzlich für interne Benutzer durch eine Zugriffsregel ausgeschlossen.

Ein Beispiel ist der Geburtstag. Der Schalter Geburtstag der Mitarbeiter anzeigen steht im Mitarbeiterdatensatz, ist standardmäßig aus und nur für Sachbearbeiter und Administratoren bedienbar. Ist er eingeschaltet, zeigt die Mitarbeiterübersicht nur Tag und Monat, nicht das Jahr.

Prüfen lässt sich das im Benutzerformular: Einstellungen ‣ Benutzer & Unternehmen ‣ Benutzer, Benutzer öffnen, Registerkarte Zugriffsrechte, Abschnitt Personalwesen, Einstellung Mitarbeiter. Rufen Sie die Ansicht mit einem Testbenutzer ohne HR-Rechte auf.

Wann Sie die Beschäftigten informieren müssen

Die Informationspflicht trifft Sie unabhängig vom gewählten Rechtsgrund. Nach Art. 13 Abs. 1 und 2 DSGVO teilen Sie der beschäftigten Person zum Zeitpunkt der Erhebung die dort genannten Angaben mit, unter anderem Zwecke und Rechtsgrundlage, Empfänger, Speicherdauer, die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sowie das Widerrufsrecht bei einer Einwilligung. Die Pflicht gilt für Daten, die Sie bei der beschäftigten Person selbst erheben; stammen Angaben von dritter Seite, etwa aus einem Arbeitszeugnis, gilt Art. 14 DSGVO. Nach Art. 13 Abs. 4 müssen Sie nicht informieren, soweit die beschäftigte Person über die Informationen bereits verfügt; wollen Sie die Daten für einen anderen Zweck weiterverarbeiten, informieren Sie nach Abs. 3 vorher über diesen Zweck.

Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit beantworten Sie nach Art. 12 Abs. 3 DSGVO innerhalb eines Monats nach Eingang. Die Frist verlängert sich um weitere zwei Monate, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist; über die Verlängerung und ihre Gründe müssen Sie innerhalb des ersten Monats unterrichten. Halten Sie die Angaben zu den Feldern, die Sie tatsächlich erfassen, in Textform fest.

Seit wann die Regeln gelten

Die DSGVO ist ab dem 25. Mai 2018 anzuwenden (Art. 99 Abs. 2 DSGVO), und das BDSG vom 30. Juni 2017 ist an demselben Tag in Kraft getreten (Art. 8 Abs. 1 Satz 1 des Gesetzes). Nach dem amtlichen Vollzitat gilt es zuletzt in der Fassung durch Artikel 3 des Gesetzes vom 3. Juli 2026 (BGBl. 2026 I Nr. 199). Rechtsstand dieses Artikels: 14. Oktober 2026.

Wann Daten gelöscht werden müssen

Beschäftigtendaten dürfen nur so lange gespeichert bleiben, wie die Identifizierung für den Zweck erforderlich ist (Art. 5 Abs. 1 Buchst. e DSGVO). Fällt der Zweck weg oder ist einer der anderen Gründe des Art. 17 Abs. 1 DSGVO erfüllt, sind die Daten unverzüglich zu löschen; eines Verlangens der betroffenen Person bedarf es dafür nicht, ihr Recht, die Löschung zu verlangen, steht daneben (Art. 17 Abs. 1 Buchst. a DSGVO). Das gilt nicht, soweit Art. 17 Abs. 3 DSGVO die Verarbeitung erlaubt: Erforderlich bleiben kann sie etwa zur Erfüllung einer rechtlichen Verpflichtung (Buchst. b) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Buchst. e), was gerade nach dem Ausscheiden eines Beschäftigten Bedeutung hat. Odoo stellt für das Ausscheiden die Austrittsphase bereit, die den Mitarbeiterdatensatz aktualisiert, den Austrittsgrund erfasst und offene Aktivitäten schließt, und kennt die Archivierung über das Feld Aktiv — in der Formularansicht erscheint dann das Band Archiviert. Eine Archivierung ist kein Löschkonzept, weil der Datensatz weiter vorgehalten wird; halten Sie für jede Angabe eine Frist fest (dazu Mitarbeiter scheidet aus: Odoo-Zugänge richtig sperren).

Was bei einem Verstoß droht

Verstöße gegen die Grundsätze für die Verarbeitung einschließlich der Bedingungen für die Einwilligung nach Art. 5, 6, 7 und 9 DSGVO und gegen die Rechte der betroffenen Person nach Art. 12 bis 22 DSGVO können mit einer Geldbuße von bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). § 43 Abs. 1 BDSG nennt als Ordnungswidrigkeiten Verstöße gegen § 30 BDSG über Verbraucherkredite; nach § 43 Abs. 2 BDSG kann die Geldbuße bis 50.000 Euro betragen.

Checkliste für Ihren Betrieb

1. Schreiben Sie zu jedem angelegten Feld den Zweck auf, bevor Sie es befüllen; streichen Sie Felder, für die keiner existiert, und halten Sie für Felder mit Daten Dritter (etwa Notfallkontakt oder Ehepartner) eine eigene Grundlage nach Art. 6 Abs. 1 DSGVO fest.
2. Setzen Sie die HR-Rechte bewusst: Wer Sachbearbeiter und wer Administrator ist, entscheiden Sie im Benutzerformular (Einstellungen ‣ Benutzer & Unternehmen ‣ Benutzer, Registerkarte Zugriffsrechte, Abschnitt Personalwesen) selbst.
3. Lassen Sie den Schalter Geburtstag der Mitarbeiter anzeigen aus, solange Sie ihn nicht begründen können.
4. Trennen Sie Pflichtangaben von Kür: Für private Telefonnummer, Ausweiskopie oder Führerschein prüfen Sie zuerst die Erforderlichkeit und danach eine Einwilligung nach § 26 Abs. 2 BDSG.
5. Prüfen Sie bei den Anwesenheitseinstellungen (Mitarbeiter ‣ Konfiguration ‣ Einstellungen), ob Sie die Berechnung über E-Mails oder IP-Adressen brauchen und ob der Betriebsrat zu beteiligen ist (§ 87 Abs. 1 Nr. 6 BetrVG).
6. Legen Sie die Löschfristen je Angabe fest und prüfen Sie sie beim Ausscheiden; die Archivierung im Datensatz erledigt das nicht. Prüfen Sie dabei, ob eine Ausnahme des Art. 17 Abs. 3 DSGVO — etwa eine rechtliche Verpflichtung (Buchst. b) oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Buchst. e) — die weitere Verarbeitung erfordert.
7. Informieren Sie die Beschäftigten zum Zeitpunkt der Erhebung (Art. 13 Abs. 1 und 2 DSGVO; nach Abs. 4 entfällt die Information, soweit die Person sie bereits hat, für Angaben von dritter Seite gilt Art. 14 DSGVO) und beantworten Sie Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit innerhalb eines Monats nach Eingang, der sich nach Art. 12 Abs. 3 DSGVO um zwei weitere Monate verlängern kann, wenn Sie die Verlängerung innerhalb des ersten Monats mit den Gründen mitteilen.