Erfurt (epd). Arbeitgeber dürfen bei einem Software-Test nur erforderliche personenbezogene Daten ihrer Mitarbeitenden verarbeiten. Leiten sie zu Testzwecken für eine Personalverwaltungs-Software mehr Personaldaten an eine Konzernobergesellschaft weiter als in einer Betriebsvereinbarung geregelt, müssen sie für diesen Datenschutzverstoß Schadenersatz an den betroffenen Beschäftigten zahlen, urteilte das Bundesarbeitsgericht (BAG) am Donnerstag laut Mitteilung. (AZ: 8 AZR 209/21) Im Streitfall sprachen die Erfurter Richter dem klagenden Arbeitnehmer für seinen erlittenen Kontrollverlust über seine personenbezogenen Daten 200 Euro Schadenersatz zu.
Der Arbeitgeber, ein Konzern aus Baden-Württemberg, wollte im Jahr 2017 eine bestimmte cloudbasierte Personalverwaltungssoftware testen und dabei prüfen, ob diese konzernweit eingeführt werden soll. Der vorläufige Testbetrieb der Software war in einer Betriebsvereinbarung geregelt. Diese sah vor, dass der Arbeitgeber unter anderem den Namen, das Eintrittsdatum, den Arbeitsort, die geschäftliche Telefonnummer und E-Mail-Adersse an die Konzernobergesellschaft übermittelt. Dann sollten die Daten in die Software übertragen werden. Tatsächlich wurden aber mehr Daten übermittelt, darunter etwa Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, der Familienstand und auch die Steuer-ID.
Der Kläger sah darin eine Verletzung der Datenschutz-Grundverordnung (DSGVO). Er verlangte von seinem Arbeitgeber 3.000 Euro Schadenersatz. Das BAG legte den Fall dem Europäischen Gerichtshof (EuGH) in Luxemburg vor. Nach dessen Urteil am 19. Dezember 2024 entschied nun das Bundesgericht, dass der Arbeitgeber einen Datenschutzverstoß nach der DSGVO begangen habe. Indem mehr personenbezogene Daten als in der Betriebsvereinbarung geregelt übermittelt worden seien, habe der Kläger einen Kontrollverlust über seine Daten erlitten. Dieser Datenschutzverstoß begründe einen Schadenersatzanspruch. Allerdings seien nicht 3.000 Euro, sondern nur 200 Euro hier angemessen.
