Die DSGVO enthält an unterschiedlichen Stellen Bestimmungen über die Verarbeitung von Daten im Beschäftigungskontext. Diese differenzieren bisweilen nach Datenkategorien und ermächtigen zum Teil auch zur Regelung durch innerstaatliche Vorschriften. Gerhartl gibt einen Überblick über die Regelungsebenen, Rechtfertigungsgründe und die Öffnungsklausel in Art 88 DSGVO. Eine Verarbeitung von Arbeitnehmerdaten durch den Arbeitgeber könne auf unterschiedliche Rechtsgrundlagen gestützt werden (zB Vertragserfüllung, rechtliche Verpflichtung, überwiegendes Interesse). Dabei verbleibe für eine Einwilligungserklärung des Arbeitnehmers in der Praxis ein äußerst schmaler Anwendungsbereich. Wesentlich sei aber die Differenzierung zwischen einzelnen Datenkategorien, da die einschlägigen Rechtsgrundlagen die Verarbeitung von besonders schutzwürdigen Daten (für das Arbeitsverhältnis primär relevant: Gesundheitsdaten) an strengere Voraussetzungen binden. Als Rechtsgrundlagen für Datenverarbeitungen kommen im Beschäftigungskontext auch Kollektivverträge und Betriebsvereinbarungen in Betracht. Aufgrund der diesen Gestaltungsmitteln nach der innerstaatlichen Rechtslage eingeräumten Regelungsbefugnisse verbleibe dafür allerdings nur ein schmaler (unmittelbarer) Anwendungsbereich. Allerdings können derartige Normen in die Abwägung einfließen, ob ein überwiegendes Interesse des Arbeitgebers an einer bestimmten Datenverarbeitung besteht.
