Schadensersatzanspruch eines Arbeitnehmers wegen Übermittlung seiner personenbezogenen Daten zur Testung der „Workday“-Software
Bundesarbeitsgericht, Urteil vom 8. Mai 2025 – 8 AZR 209/21
Der Sachverhalt:
Ein Arbeitnehmer war bei einer Arbeitgeberin beschäftigt, die zur Lohnabrechnung eine Personalverwaltungssoftware nutzte.
Im Jahr 2017 plante der Konzern, konzernweit die cloudbasierte Personalverwaltungssoftware „Workday“ einzuführen.
Zu Testzwecken übermittelte die Arbeitgeberin personenbezogene Daten des Arbeitnehmers aus der bisherigen Software an die Konzernobergesellschaft, um Workday mit Echtdaten zu befüllen.
Für den vorläufigen Testbetrieb von Workday existierte eine Betriebsvereinbarung.
Diese erlaubte die Übermittlung bestimmter Daten wie Name, Eintrittsdatum, Arbeitsort, Firma sowie geschäftliche Telefonnummer und E-Mail-Adresse.
Die Arbeitgeberin übermittelte jedoch darüber hinaus weitere sensible Daten des Arbeitnehmers, darunter Gehaltsinformationen,
die private Wohnanschrift, das Geburtsdatum, den Familienstand, die Sozialversicherungsnummer und die Steuer-ID.
Die Klage des Arbeitnehmers:
Der Arbeitnehmer war der Ansicht, dass ihm aufgrund der unbefugten Weitergabe seiner personenbezogenen Daten
ein Anspruch auf immateriellen Schadensersatz in Höhe von 3.000,00 Euro gemäß Art. 82 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) zustehe.
Er argumentierte, dass die Arbeitgeberin die Grenzen der bestehenden Betriebsvereinbarung überschritten habe.
Schadensersatzanspruch eines Arbeitnehmers wegen Übermittlung seiner personenbezogenen Daten zur Testung der „Workday“-Software
Die Entscheidungen der Vorinstanzen:
Sowohl das Arbeitsgericht als auch das Landesarbeitsgericht Baden-Württemberg wiesen die Klage des Arbeitnehmers in den vorherigen Instanzen ab.
Die Entscheidung des Bundesarbeitsgerichts (BAG) nach Vorlage an den EuGH:
Auf die Revision des Arbeitnehmers setzte das Bundesarbeitsgericht das Verfahren zunächst aus und legte dem Gerichtshof der Europäischen Union (EuGH) Rechtsfragen zur Auslegung des Unionsrechts vor.
Nachdem der EuGH diese Fragen beantwortet hatte, entschied das BAG über die Revision des Arbeitnehmers und gab dieser teilweise statt.
Das BAG sprach dem Arbeitnehmer einen Schadensersatz in Höhe von 200,00 Euro zu.
Das Gericht stellte fest, dass die Übermittlung derjenigen personenbezogenen Daten an die Konzernobergesellschaft, die über die in der Betriebsvereinbarung genannten Daten hinausgingen,
nicht erforderlich im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO war und somit einen Verstoß gegen die Datenschutz-Grundverordnung darstellte.
Art. 6 Abs. 1 Buchst. f DSGVO erlaubt die Verarbeitung personenbezogener Daten nur, wenn dies zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist,
sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Das BAG begründete den immateriellen Schaden des Arbeitnehmers in dem Kontrollverlust, der durch die unbefugte Weitergabe seiner personenbezogenen Daten an die Konzernobergesellschaft entstanden sei.
Beschränkung des Prüfumfangs durch den Arbeitnehmer:
In der mündlichen Verhandlung vor dem Bundesarbeitsgericht stellte der Arbeitnehmer klar, dass er sich nicht mehr darauf berufe,
dass bereits die Übertragung der von der Betriebsvereinbarung erfassten Daten unzulässig gewesen sei.
Aus diesem Grund musste das BAG nicht mehr prüfen, ob die Betriebsvereinbarung selbst den Anforderungen der DSGVO genügte.
Schadensersatzanspruch eines Arbeitnehmers wegen Übermittlung seiner personenbezogenen Daten zur Testung der „Workday“-Software
Zusammenfassend lässt sich festhalten:
Das Bundesarbeitsgericht entschied, dass die unbefugte Übermittlung von über die Betriebsvereinbarung hinausgehenden, sensiblen personenbezogenen Daten eines Arbeitnehmers an eine
Konzernobergesellschaft zu Testzwecken der „Workday“-Software einen Verstoß gegen die DSGVO darstellt und einen Anspruch auf immateriellen Schadensersatz begründen kann.
Der Schaden liegt in dem Kontrollverlust über die eigenen Daten.
Die Höhe des Schadensersatzes wurde im konkreten Fall auf 200,00 Euro festgesetzt.
Die Gültigkeit der Betriebsvereinbarung hinsichtlich der ursprünglich erlaubten Datenübermittlung wurde aufgrund der Einschränkung des Klageantrags durch den Arbeitnehmer nicht weiter geprüft.
