BAG: Personalverwaltungs-Software nur mit erforderlichen Daten
Arbeitgeber müssen bei der Verarbeitung personenbezogener Daten ihrer Beschäftigten stets den Grundsatz der Datensparsamkeit beachten und dürfen nur die erforderlichen Daten verarbeiten. Geben sie zu Testzwecken für eine Personalverwaltungs-Software mehr Personaldaten an eine Konzernobergesellschaft weiter als in einer Betriebsvereinbarung geregelt ist, liegt ein schadenersatzpflichtiger Datenschutzverstoß vor, urteilte am Donnerstag, 08.05.2025, das Bundesarbeitsgericht (BAG) (AZ: 8 AZR 209/21). Im Streitfall sprachen die Erfurter Richter dem klagenden Arbeitnehmer 200,00 € Schadenersatz für den erlittenen Kontrollverlust über seine personenbezogenen Daten zu.
Im konkreten Fall ging es um einen Konzern, der im Jahr 2017 die cloudbasierte SAP-Software „Workday“ testen und gegebenenfalls konzernweit einführen wollte. Die in dem einheitlichen Personal-Informationsmanagementsystem enthaltenen Personaldaten sollten auf einem Server der Muttergesellschaft mit Standort in den USA gespeichert werden.
Der vorläufige Testbetrieb der Software wurde in einer Betriebsvereinbarung geregelt. Diese sah vor, dass der Arbeitgeber unter anderem den Namen des Mitarbeiters, das Eintrittsdatum, den Arbeitsort, die dienstliche Telefonnummer und die E-Mail-Adresse an die Konzernobergesellschaft übermittelt. Entgegen der Vereinbarung wurden jedoch weitere Mitarbeiterdaten in die Software übertragen.
Dazu gehörten etwa Gehaltsinformationen, die Privatanschrift des Mitarbeiters, das Geburtsdatum, der Familienstand oder auch die Steuer-Identifikationsnummer.
Der Kläger sah darin einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Er verlangte von seinem Arbeitgeber Schadenersatz in Höhe von 3.000,00 €.
Das BAG legte den Fall dem Europäischen Gerichtshof (EuGH) in Luxemburg vor. Nach dessen Urteil vom 19.12.2024 entschieden die obersten Arbeitsrichter nun, dass der Arbeitgeber einen Datenschutzverstoß nach der DSGVO begangen habe, indem er entgegen der Betriebsvereinbarung mehr personenbezogene Daten als erforderlich übermittelt habe. Dadurch habe der Kläger einen Kontrollverlust über seine Daten erlitten. Dieser Datenschutzverstoß begründe einen Schadenersatzanspruch. Allerdings seien hier nicht 3.000,00 €, sondern nur 200,00 € angemessen, urteilte das BAG.
Bildnachweis: © Trueffelpix – Fotolia.com
Gesunde Arbeitskultur JETZT
In puncto gesunder Arbeitskultur bin ich deutschlandweit, insbesondere in Baden-Württemberg tätig, vor allem aber in den Orten Dornhan, Rottweil, Horb am Neckar, Villingen-Schwenningen, Nagold, Oberndorf am Neckar, Altensteig, Sulz am Neckar, Schramberg, Dunningen, Eutingen im Gäu, Empfingen, Fluorn-Winzeln, Waldachtal, Starzach, Pfalzgrafenweiler, Balingen, Haigerloch, Bondorf, Mössingen, Trossingen.
Podcast Arbeitsrecht
In unserem Podcast Arbeitsrecht wollen mein Kollege Jürgen Sauerborn und ich unterhaltsam, kurzweilig und in leicht verständlicher Sprache über Wichtiges und Neues aus dem Arbeitsrecht und dem angrenzenden Sozialrecht informieren.
Monatlicher Newsletter
In meinem monatlich erscheinenden Newsletter berichte ich über Wissenswertes und Kurioses aus den Bereichen Arbeitsrecht, Mediation, Betriebliches Eingliederungsmangement, Coaching und aus meinem beruflichen Alltag.
Werden auch Sie Abonnent! Ganz unverbindlich und kostenlos…
Warum nicht mal Mediation probieren?
Vielleicht sollten es Streitparteien öfters mal mit Mediation versuchen. Ziel einer Mediation ist eine “win-win”-Lösung, bei der am Ende beide Streitparteien als Gewinner hervorgehen und eine eventuell langjährige Geschäftsbeziehung wertschätzend fortgesetzt werden kann.
Neueste Kommentare