Arbeitsrecht
Datenweitergabe: Arbeitgeber zu Schadenersatz verurteilt
Bei der Weitergabe von Mitarbeiterdaten innerhalb eines Unternehmens oder eines Konzerns ist Vorsicht geboten. Ein Arbeitnehmer kann einen Anspruch auf Schadenersatz wegen einer Verletzung der Datenschutz-Grundverordnung (DSGVO) haben, wenn der Arbeitgeber personenbezogene Echtdaten überträgt, um eine cloudbasierte Personalsoftware zu testen. Das Bundesarbeitsgericht hat einen Arbeitgeber zur Zahlung von Schadenersatz verurteilt, weil er personenbezogene Daten unberechtigterweise innerhalb des Konzerns an eine andere Gesellschaft übertragen hatte, um eine Personalsoftware zu testen. Darin sah das BAG einen Verstoß gegen die DSGVO (Urteil vom 8. Mai 2025, 8 AZR 209/21).
Details zum Sachverhalt
Ein Unternehmen plante, konzernweit ein einheitliches Personal-Informationsmanagementsystem einzuführen. Aus diesem Grund wurden personenbezogene Daten aus der Personalverwaltungssoftware an die Konzernobergesellschaft übertragen, um damit die neue Software zu Testzwecken zu befüllen. Der vorläufige Testbetrieb war in einer Betriebsvereinbarung geregelt. Demnach sollte es dem Arbeitgeber erlaubt sein, unter anderem den Namen, das Eintrittsdatum und den Arbeitsort sowie die geschäftliche Telefonnummer und eMail-Adresse zu übermitteln. Darüber hinaus wurden jedoch weitere Daten wie Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, der Familienstand, die Sozialversicherungsnummer und die Steuer-ID übertragen.
Ein Mitarbeiter wehrte sich dagegen und forderte gemäß Art. 82 Abs. 1 DSGVO einen immateriellen Schadenersatz in Höhe von 3.000 EUR. In der Revision vor dem BAG hatte die Klage teilweise Erfolg. Das BAG sprach dem Kläger einen Anspruch auf Schadenersatz in Höhe von 200 EUR zu. Nach Ansicht der Erfurter Richter war die Weitergabe von anderen Daten als den in der Betriebsvereinbarung festgelegten nicht erforderlich im Sinne der DSGVO, sie werteten das Vorgehen des Arbeitgebers im vorliegenden Fall als Verstoß gegen die Datenschutzbestimmungen. Der immaterielle Schaden des Klägers liege in dem durch die Überlassung der personenbezogenen Daten verursachten Kontrollverlust.
