Cloud, Kontrolle, Konzern – DSGVO-Schadenersatz bei interner Datenweitergabe
Der digitale Wandel in Unternehmen macht auch vor der Personalverwaltung nicht halt. Cloudbasierte HR-Systeme wie „Workday“ versprechen Effizienz und Transparenz – werfen aber auch heikle Datenschutzfragen auf. Das Bundesarbeitsgericht hat nun in einer Entscheidung vom 8. Mai 2025 (Az. 8 AZR 209/21) klargestellt: Wer ohne Rechtsgrundlage personenbezogene Echtdaten von Beschäftigten überträgt, kann auf Schadenersatz haften – auch wenn es „nur“ um einen Testbetrieb geht.
Hintergrund: Datenweitergabe für Testzwecke
Der Fall beginnt mit einem technischen Projekt: Ein Unternehmen will die konzernweite Einführung des HR-Systems „Workday“ vorbereiten. Dazu werden Personaldaten von Beschäftigten – darunter auch der Name des Klägers – an die Konzernobergesellschaft übermittelt. Ziel: Das neue System mit realistischen Daten testweise befüllen. Geregelt war das Ganze in einer Betriebsvereinbarung, die die Übermittlung ausgewählter Daten (Name, Eintrittsdatum, geschäftliche Kontaktdaten etc.) zuließ.
Was jedoch übersehen wurde: Auch besonders schützenswerte Informationen wie Gehalt, Wohnanschrift, Geburtsdatum, Familienstand und sogar Steuer-ID wurden weitergegeben – und damit ging die Beklagte über die Vereinbarung hinaus.
Der Kläger wehrt sich – mit Erfolg
Der betroffene Arbeitnehmer klagte. Sein Argument: Die Datenübertragung verstieß gegen die Datenschutz-Grundverordnung (DSGVO), insbesondere gegen Art. 6 Abs. 1 lit. f DSGVO – denn sie sei weder erforderlich noch verhältnismäßig gewesen. Zudem habe er einen Anspruch auf immateriellen Schadenersatz nach Art. 82 DSGVO – konkret in Höhe von 3.000 Euro. Das Argument: Der Kontrollverlust über seine sensiblen Daten habe eine spürbare Beeinträchtigung dargestellt.
Die Vorinstanzen lehnten die Klage zunächst ab. Doch das Bundesarbeitsgericht sah das – nach Einschaltung des Europäischen Gerichtshofs – teilweise anders.
BAG: Ja, ein DSGVO-Verstoß – aber nur 200 Euro Schadenersatz
In seinem Urteil vom 8. Mai 2025 stellte der Achte Senat des BAG fest: Die Übermittlung der über die Betriebsvereinbarung hinausgehenden Daten war nicht erforderlich im Sinne der DSGVO – und damit rechtswidrig.
Ein besonderes Augenmerk verdient die Frage, ob eine konzerninterne Datenweitergabe überhaupt auf Art. 6 Abs. 1 lit. f DSGVO – also das berechtigte Interesse des Verantwortlichen – gestützt werden kann. Zwar erkennen Aufsichtsbehörden und Rechtsprechung grundsätzlich an, dass auch innerhalb eines Konzerns berechtigte Interessen bestehen können, etwa zur internen Verwaltung oder Effizienzsteigerung. Doch der bloße Umstand, dass Unternehmen verbunden sind, genügt nicht: Es bedarf einer konkreten Interessenabwägung, bei der das Interesse des datenverarbeitenden Unternehmens die Grundrechte und –freiheiten der betroffenen Person nicht überwiegen darf. Gerade bei sensiblen Daten wie Gehalt oder Sozialversicherungsnummern sind die Anforderungen an die Erforderlichkeit besonders hoch. Zudem muss die Verarbeitung transparent, zweckgebunden und auf das notwendige Maß beschränkt sein. Das BAG hat mit seiner Entscheidung deutlich gemacht: Die bloße Konzernstruktur ersetzt keine Rechtsgrundlage – die DSGVO macht keine Ausnahmen für interne Testläufe.
Bemerkenswert: Der Senat stellte nicht auf eine spürbare psychische Belastung oder nachweisbare Folgen ab. Der bloße Kontrollverlust reichte aus – was die Schwelle für Schadenersatzforderungen weiter senkt.
Betriebsvereinbarungen schützen – aber nicht grenzenlos
Ein weiterer Aspekt: Die Betriebsvereinbarung selbst wurde nicht näher geprüft, weil der Kläger in der mündlichen Verhandlung klargestellt hatte, sich auf deren Unwirksamkeit nicht zu stützen. Das lässt offen, ob eine solche Vereinbarung überhaupt geeignet gewesen wäre, den Anforderungen der DSGVO zu genügen.
Das bedeutet für die Praxis: Betriebsvereinbarungen müssen DSGVO-konform ausgestaltet sein – insbesondere, wenn sie eine Datenverarbeitung auf Grundlage von „berechtigten Interessen“ regeln. Unternehmen sollten also sorgfältig prüfen, welche Datenkategorien wirklich notwendig sind – und was davon eventuell zu viel ist.
Fazit: Auch Testsysteme brauchen Datenschutz
Diese Entscheidung reiht sich ein in eine zunehmende Klarstellung der Arbeitsgerichte zur DSGVO-Praxis im Betrieb. Auch interne Prozesse wie Softwaretests sind kein rechtsfreier Raum. Unternehmen können sich nicht darauf berufen, dass Daten „nur intern“ und „nur zum Testen“ verarbeitet werden. Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO – in vollem Umfang.
Die Lehre aus dem Fall:
-
DSGVO-Verstöße können auch bei internen Tests zu echten Haftungsrisiken führen.
-
Schon der Kontrollverlust des Betroffenen kann eine Entschädigungspflicht auslösen.
-
Betriebsvereinbarungen müssen klar und beschränkt regeln, welche Daten in welchem Umfang übermittelt werden dürfen.
-
Pauschale Datenweitergaben ohne klare Rechtsgrundlage sind ein haftungsträchtiges Risiko.
