BAG, Urt. 8.5.2025 - 8 AZR 209/21
Immaterieller Schadensersatz wegen rechtswidriger Nutzung personenbezogener Mitarbeiterdaten
Autor: RA FAArbR Axel GroegerRAin Ira Kemmerling, LL.M., Redeker Sellner Dahs, Bonn
Aus: Arbeits-Rechtsberater, Heft 09/2025
Aus: Arbeits-Rechtsberater, Heft 09/2025
Die Verarbeitung personenbezogener Daten, um eine neue Personalverwaltungs-Software zu testen, kann nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Arbeitgebers gerechtfertigt sein, sofern entpersonalisierte „Dummy-Daten“ zur Erreichung des Testzwecks nicht ausreichen.
DSGVO Art. 82 Abs. 1, Art. 6 Abs. 1 Unterabs. 1 Buchst. f
2017 übertrug die Beklagte während einer Testphase personenbezogene Daten des Klägers aus ihrer Personalverwaltungs-Software auf eine Sharepoint-Seite der Konzernobergesellschaft in den USA, damit diese in „Workday“ eingespeist und darin verarbeitet werden konnten. Für die Testphase schloss die Beklagte mit dem Betriebsrat eine „Duldungs-Betriebsvereinbarung über die Einführung von Workday“ (Duldungs-BV), welche die zu nutzenden Daten im Einzelnen auflistete.
Der Kläger verlangt wegen der nach Art und Umfang über die von der Duldungs-BV erfassten Datenübertragungen hinausgehende Übertragung seiner personenbezogenen Daten und des damit verbundenen Kontrollverlustes über seine Daten nach Art. 82 Abs. 1 DSGVO immateriellen Schadensersatz i.H.v. 3.000 €. Er ist der Ansicht, der Beklagten sei es nach der DSGVO und den einschlägigen Bestimmungen des BDSG nicht erlaubt gewesen, in dem cloudbasierten System personenbezogene Echtdaten zu verarbeiten. Vielmehr hätten für die Testphase sog. Dummy-Versuchsdaten ausgereicht.
In den Vorinstanzen ist die Klage erfolglos geblieben.
Dem Kläger steht aufgrund des Kontrollverlustes über seine Daten gegen die Beklagte ein Anspruch auf immateriellen Schadenersatz aus Art. 82 Abs. 1 DSGVO i.H.v. 200 € zu. Die Beklagte hat gegen die Bestimmungen der DSGVO verstoßen, indem sie auch von der Duldungs-BV nicht erfasste personenbezogene Daten des Klägers auf eine Sharepoint-Seite der Konzernobergesellschaft übertragen hat, um damit Daten in die Software Workday einzuspeisen und diese dort zu verarbeiten.
Die Verarbeitung dieser Daten zu Testzwecken in Workday ist nicht nach Art. 88 Abs. 1 DSGVO i.V.m. § 26 Abs. 1 BDSG zulässig. § 26 Abs. 1 BDSG hat unangewendet zu bleiben.
Eine Rechtfertigung der Verarbeitung personenbezogener Daten im vorläufigen Betrieb zu „Testzwecken“ ist zwar nicht von vornherein ausgeschlossen, wenn sog. Dummy-Versuchsdaten nicht ausreichen, um den Testzweck zu erreichen. Vorliegend stellt sich aber die überschießende Datenverarbeitung im Ergebnis als nicht erforderlich i.S.v. Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dar, weil sie über die Erlaubnis in der Duldung-BV hinausgeht; gleiches gilt für Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO.
DSGVO Art. 82 Abs. 1, Art. 6 Abs. 1 Unterabs. 1 Buchst. f
Das Problem
Im Konzern, dem die Beklagte angehört, sollte ein einheitliches Personal-Informationsmanagementsystem („Workday“) eingeführt werden.2017 übertrug die Beklagte während einer Testphase personenbezogene Daten des Klägers aus ihrer Personalverwaltungs-Software auf eine Sharepoint-Seite der Konzernobergesellschaft in den USA, damit diese in „Workday“ eingespeist und darin verarbeitet werden konnten. Für die Testphase schloss die Beklagte mit dem Betriebsrat eine „Duldungs-Betriebsvereinbarung über die Einführung von Workday“ (Duldungs-BV), welche die zu nutzenden Daten im Einzelnen auflistete.
Der Kläger verlangt wegen der nach Art und Umfang über die von der Duldungs-BV erfassten Datenübertragungen hinausgehende Übertragung seiner personenbezogenen Daten und des damit verbundenen Kontrollverlustes über seine Daten nach Art. 82 Abs. 1 DSGVO immateriellen Schadensersatz i.H.v. 3.000 €. Er ist der Ansicht, der Beklagten sei es nach der DSGVO und den einschlägigen Bestimmungen des BDSG nicht erlaubt gewesen, in dem cloudbasierten System personenbezogene Echtdaten zu verarbeiten. Vielmehr hätten für die Testphase sog. Dummy-Versuchsdaten ausgereicht.
In den Vorinstanzen ist die Klage erfolglos geblieben.
Die Entscheidung des Gerichts
Nachdem das BAG den EuGH um Vorabentscheidung ersucht hatte, über die der Gerichtshof am 19.12.2024 entschieden hat (EuGH, Urt. v. 19.12.2024 – C-65/23 – K GmbH, ArbRB 2025, 162 [Markowski]), war die Revision des Klägers teilweise begründet.Dem Kläger steht aufgrund des Kontrollverlustes über seine Daten gegen die Beklagte ein Anspruch auf immateriellen Schadenersatz aus Art. 82 Abs. 1 DSGVO i.H.v. 200 € zu. Die Beklagte hat gegen die Bestimmungen der DSGVO verstoßen, indem sie auch von der Duldungs-BV nicht erfasste personenbezogene Daten des Klägers auf eine Sharepoint-Seite der Konzernobergesellschaft übertragen hat, um damit Daten in die Software Workday einzuspeisen und diese dort zu verarbeiten.
Die Verarbeitung dieser Daten zu Testzwecken in Workday ist nicht nach Art. 88 Abs. 1 DSGVO i.V.m. § 26 Abs. 1 BDSG zulässig. § 26 Abs. 1 BDSG hat unangewendet zu bleiben.
Eine Rechtfertigung der Verarbeitung personenbezogener Daten im vorläufigen Betrieb zu „Testzwecken“ ist zwar nicht von vornherein ausgeschlossen, wenn sog. Dummy-Versuchsdaten nicht ausreichen, um den Testzweck zu erreichen. Vorliegend stellt sich aber die überschießende Datenverarbeitung im Ergebnis als nicht erforderlich i.S.v. Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dar, weil sie über die Erlaubnis in der Duldung-BV hinausgeht; gleiches gilt für Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO.