Cloudbasierte Personal-Sodtware: Schadensersatz wegen Datenschutzverstoß

Ein Arbeitnehmer kann einen Anspruch auf Schadenersatz wegen einer Verletzung der Datenschutz-Grundverordnung (DSGVO) haben, wenn der Arbeitgeber personenbezogene Echtdaten innerhalb des Konzerns an eine andere Gesellschaft überträgt, um die cloudbasierte Software für Personalverwaltung „Workday“ zu testen.

Eine Arbeitgeberin verarbeitete personenbezogene Daten ihrer Beschäftigten u.a. zu Abrechnungszwecken mit einer Personalverwaltungs-Software. Im Jahr 2017 gab es Planungen, konzernweit Workday als einheitliches Personal-Informationsmanagementsystem einzuführen. Die Arbeitgeberin übertrug personenbezogene Daten der Mitarbeiter aus der bisher genutzten Software an die Konzernobergesellschaft, um damit Workday zu Testzwecken zu befüllen.

Der vorläufige Testbetrieb von Workday war in einer Betriebsvereinbarung geregelt. Danach sollte es der Arbeitgeberin erlaubt sein, u.a. den Namen, das Eintrittsdatum, den Arbeitsort, die Firma sowie die geschäftliche Telefonnummer und E-Mail-Adresse zu übermitteln. Die Arbeitgeberin übermittelte darüber hinaus weitere Daten der Mitarbeiter wie Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, den Familienstand, die Sozialversicherungsnummer und die Steuer-ID.

Einer der betroffenen Mitarbeiter war der Ansicht, ihm stehe nach Art. 82 Abs. 1 DSGVO ein immaterieller Schadenersatz wegen einer Verletzung der seit dem 25.05.2018 geltenden DSGVO i.H.v. 3.000 EUR zu, da die Arbeitgeberin die Grenzen der Betriebsvereinbarung überschritten habe.

Dasd Arbeitsgericht und das Landesarbeitsgericht hatten die Klage abgewiesen. Dagegen wandte sich der Mitarbeiter mit einer Revision beim Bundesarbeitsgerichts. Das Bundesarbeitsgericht setzte das Revisionsverfahren aus und legte dem Europäischen Gerichtshof (EuGH) mehrere Rechtsfragen betreffend die Auslegung des Unionsrechts zur Vorabentscheidung vor. Nach Beantwortung dieser Fragen durch den EuGH hatte die Revision teilweise Erfolg.

Der Mitarbeiter hatte gegen die Arbeitgeberin einen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO i.H.v. 200 EUR.

Soweit die Arbeitgeberin andere als die nach der Betriebsvereinbarung erlaubten personenbezogenen Daten an die Konzernobergesellschaft übertragen hatte, war dies nicht erforderlich i.S.v. Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gewesen und hatte damit gegen die DSGVO verstoßen. Der immaterielle Schaden des Mitarbeiters lag in dem durch die Überlassung der personenbezogenen Daten an die Konzernobergesellschaft verursachten Kontrollverlust. Der Mitarbeiter hatte in der mündlichen Verhandlung beim Bundesarbeitsgericht klargestellt, dass er sich nicht weiter darauf berufe, auch die Übertragung der von der Betriebsvereinbarung erfassten Daten sei nicht erforderlich gewesen. Das Bundesarbeitsgericht hatte daher nicht zu prüfen, ob die Betriebsvereinbarung so ausgestaltet war, dass die Anforderungen der DSGVO erfüllt wurden.

Urteil des Bundesarbeitsgerichts vom 08.05.2025

Aktenzeichen: 8 AZR 209/21