Arbeitgeber verarbeiten zahlreiche personenbezogene Daten ihrer Beschäftigten. Dazu gehören neben Namen und Kontaktdaten häufig auch Gehaltsinformationen, Bankverbindungen, Steuerdaten, Krankheitszeiten und Angaben zur Sozialversicherung.
Bei der Einführung digitaler Personalverwaltungsprogramme werden solche Daten teilweise an externe Dienstleister oder andere Unternehmen innerhalb eines Konzerns weitergegeben. Das Bundesarbeitsgericht hat nun klargestellt, dass Arbeitgeber dabei nur die tatsächlich erforderlichen Daten verarbeiten dürfen.
Eine Datenübermittlung innerhalb eines Konzerns ist nicht automatisch erlaubt.
Arbeitgeber testete neue Personalsoftware
Ein Unternehmen plante die Einführung der cloudbasierten Personalverwaltungssoftware „Workday“. Für den vorläufigen Testbetrieb übermittelte die Arbeitgeberin personenbezogene Daten ihrer Beschäftigten an die in den USA ansässige Konzernobergesellschaft.
Eine Betriebsvereinbarung regelte, welche Daten für den Test verwendet werden durften. Erfasst waren unter anderem die Personalnummer, der Name, das Eintrittsdatum, der Arbeitsort sowie die geschäftliche Telefonnummer und E-Mail-Adresse.
Die Arbeitgeberin übermittelte jedoch weitere Daten. Dazu gehörten Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, der Familienstand, die Sozialversicherungsnummer und die Steuer-ID des Arbeitnehmers.
Der Arbeitnehmer verlangte daraufhin einen immateriellen Schadensersatz in Höhe von 3.000,- EUR.
Bundesarbeitsgericht spricht 200,- EUR zu
Die Vorinstanzen hatten die Klage abgewiesen. Vor dem Bundesarbeitsgericht hatte der Arbeitnehmer teilweise Erfolg.
Das Gericht sprach ihm einen immateriellen Schadensersatz in Höhe von 200,- EUR zu. Die vollständigen Entscheidungsgründe sind im Urteil des BAG vom 08.05.2025, Az. 8 AZR 209/21 veröffentlicht.
Nach Auffassung des Gerichts war die Verarbeitung der zusätzlichen Daten nicht erforderlich. Die Betriebsvereinbarung hatte genau festgelegt, welche Beschäftigtendaten für den Testbetrieb genutzt werden durften. Die Arbeitgeberin konnte nicht erklären, weshalb darüber hinaus auch private Kontaktdaten, Gehaltsinformationen, Sozialversicherungsnummer und Steuer-ID benötigt wurden.
Entscheidend war nicht allein, dass sich der Server in den USA befand. Der Arbeitnehmer hatte seine Klage zuletzt nicht mehr auf einen möglichen Verstoß gegen die Vorschriften über die Übermittlung von Daten in ein Drittland gestützt. Maßgeblich war vielmehr, dass mehr Daten verarbeitet wurden, als für den angegebenen Zweck erforderlich waren.
Auch ein Kontrollverlust kann ein Schaden sein
Ein Anspruch nach Art. 82 DSGVO setzt einen Datenschutzverstoß, einen materiellen oder immateriellen Schaden und einen Zusammenhang zwischen beiden voraus.
Nicht jeder formale Verstoß gegen die DSGVO führt daher automatisch zu einer Zahlung. Der betroffene Arbeitnehmer muss darlegen können, dass ihm tatsächlich ein Schaden entstanden ist.
Das Bundesarbeitsgericht sah den Schaden in diesem Fall im Verlust der Kontrolle über die personenbezogenen Daten. Die Informationen waren an die Konzernobergesellschaft übermittelt und dort in der Personalsoftware verarbeitet worden. Der Arbeitnehmer konnte nicht mehr selbst beeinflussen, wer innerhalb des Empfängerkreises Zugriff auf diese Daten hatte und wie lange sie verarbeitet wurden.
Nach der Entscheidung kann bereits ein kurzzeitiger Kontrollverlust einen immateriellen Schaden darstellen. Eine nachweisbare missbräuchliche Verwendung der Daten ist nicht zwingend erforderlich.
Weshalb waren es nur 200,- EUR?
Der Arbeitnehmer hatte einen Schadensersatz in einer Größenordnung von 3.000,- EUR verlangt. Das Bundesarbeitsgericht hielt jedoch 200,- EUR für angemessen und ausreichend.
Bei der Bemessung berücksichtigte das Gericht insbesondere die Art und Sensibilität der betroffenen Daten, die Dauer des Kontrollverlustes und den Empfängerkreis. Die Daten waren zwar sensibel, gehörten aber nicht zu den besonders geschützten Datenkategorien des Art. 9 DSGVO. Zudem blieb der Empfängerkreis auf den Konzern beschränkt.
Der Schadensersatz nach der DSGVO soll den tatsächlich erlittenen Nachteil ausgleichen. Er dient nicht dazu, den Arbeitgeber zusätzlich zu bestrafen. Auch ein vorsätzlicher Datenschutzverstoß führt deshalb nicht automatisch zu einem besonders hohen Schadensersatz.
Dürfen für einen Softwaretest überhaupt Echtdaten verwendet werden?
Das Bundesarbeitsgericht hat die Verwendung echter Beschäftigtendaten für Testzwecke nicht generell ausgeschlossen. Sie kann ausnahmsweise gerechtfertigt sein, wenn anonyme oder frei erfundene Testdaten nicht ausreichen, um die Funktionsfähigkeit der Software zuverlässig zu überprüfen.
Der Arbeitgeber muss jedoch darlegen können, weshalb die Verwendung echter Daten notwendig ist. Zudem dürfen nur diejenigen Angaben verarbeitet werden, die für den konkreten Testzweck tatsächlich benötigt werden.
Im entschiedenen Fall hatte die Arbeitgeberin selbst nicht behauptet, dass Gehaltsinformationen, die private Anschrift, der Familienstand, die Sozialversicherungsnummer oder die Steuer-ID für den Test erforderlich gewesen seien.
Eine Betriebsvereinbarung setzt die DSGVO nicht außer Kraft
Auch eine mit dem Betriebsrat geschlossene Vereinbarung erlaubt keine unbegrenzte Verarbeitung von Beschäftigtendaten.
Der Europäische Gerichtshof hatte in dem vorausgegangenen Verfahren bereits entschieden, dass Betriebsvereinbarungen die allgemeinen Anforderungen der DSGVO einhalten müssen. Dazu gehören insbesondere die Zweckbindung, die Datenminimierung und das Erfordernis einer ausreichenden Rechtsgrundlage. Die Entscheidung ist als Urteil des EuGH vom 19.12.2024, Az. C-65/23 öffentlich abrufbar.
Eine Betriebsvereinbarung kann konkret festlegen, welche Daten für welchen Zweck verarbeitet werden dürfen. Sie kann jedoch keine Datenverarbeitung rechtfertigen, die das Schutzniveau der DSGVO unterschreitet.
Welche Rechte haben Arbeitnehmer?
Arbeitnehmer können nach Art. 15 DSGVO Auskunft darüber verlangen, welche personenbezogenen Daten der Arbeitgeber verarbeitet. Der Auskunftsanspruch kann sich auch auf die Verarbeitungszwecke, die Datenkategorien, die Empfänger und die vorgesehene Speicherdauer beziehen.
Stellt sich heraus, dass Daten ohne ausreichende Rechtsgrundlage weitergegeben wurden, kommen abhängig vom Einzelfall Berichtigungs-, Löschungs- oder Schadensersatzansprüche in Betracht.
Für einen Schadensersatzanspruch sollte möglichst genau dokumentiert werden, welche Daten betroffen waren, an wen sie übermittelt wurden, wie lange der Kontrollverlust bestand und welche konkreten Beeinträchtigungen dadurch entstanden sind.
Fazit
Arbeitgeber dürfen Beschäftigtendaten nicht allein deshalb umfassend weitergeben, weil eine neue Personalsoftware eingeführt oder innerhalb eines Konzerns getestet wird. Auch im Arbeitsverhältnis gelten die Grundsätze der Zweckbindung und Datenminimierung.
Werden mehr Daten verarbeitet, als für den angegebenen Zweck erforderlich sind, kann dem Arbeitnehmer ein Anspruch auf Schadensersatz zustehen. Dessen Höhe richtet sich allerdings nach dem konkret nachgewiesenen Schaden und nicht allein nach der Schwere des Datenschutzverstoßes.
Wenn Sie vermuten, dass Ihr Arbeitgeber Beschäftigtendaten unzulässig verarbeitet oder weitergegeben hat, sollte zunächst geprüft werden, welche Auskunfts- und Schadensersatzansprüche bestehen.
Verfasst und juristisch geprüft von
Rechtsanwalt und Fachanwalt für Arbeitsrecht Jan Oskar Höffmann
Höffmann & Partner Rechtsanwälte
Cloppenburg