Schadenersatz wegen unberechtigter Datenweitergabe
Bei der Datenweitergabe von Beschäftigten ist auch innerhalb eines Unternehmens Vorsicht geboten.
Ein Verstoß gegen die Regeln der DSGVO kann schadenersatzpflichtig sein.
Das Bundesarbeitsgericht (BAG) hat ein Unternehmen zu Schadenersatz verurteilt. Personenbezogene Daten wurden unberechtigterweise innerhalb des Konzerns übertragen. Der Zweck war, eine Software für Personalverwaltung zu testen.
Darin sah das BAG einen Verstoß gegen die Datenschutz-Grundverordnung (DSGVO).
Darum ging´s
Ein Unternehmen plante eine Software für ein einheitliches Personal-Infosystem im Konzern einzuführen. Für einen Test wurden Daten eines Mitarbeiters aus dem alten System an die Konzern-Zentrale übertragen.
Der vorläufige Testbetrieb war in einer Betriebsvereinbarung geregelt. Demnach sollte es erlaubt sein, Namen, Eintrittsdatum, Arbeitsort, Firma sowie die geschäftliche Telefonnummer und E-Mail-Adresse der Beschäftigten innerhalb des Konzerns zu übermitteln.
Es wurden jedoch weitere Daten wie Gehaltsinformationen, private Wohnanschrift, Geburtsdatum, Familienstand, Sozialversicherungsnummer und die Steuer-ID übermittelt. Das erfolgte ohne Mitteilung und Zustimmung der Beschäftigten.
Dagegen wehrte sich ein Beschäftigter. Er forderte gemäß Art. 82 Abs. 1 DSGVO einen Schadenersatz in Höhe von 3.000 Euro, weil die Grenzen der Betriebsvereinbarung überschritten wurden. Dadurch sei dem Kläger ein immaterieller Schaden entstanden.
Das Urteil
Die Klage hatte vor dem BAG teilweise Erfolg. Nach BAG-Ansicht war die Weitergabe von anderen als den in der Betriebsvereinbarung festgelegten personenbezogenen Daten nicht erforderlich. Damit wurde gegen die DSGVO verstoßen.
Das BAG sprach dem Arbeitnehmer einen Schadenersatz zu. Dieser beträgt 200 Euro für den Kontrollverlust, der durch die Überlassung der personenbezogenen Daten an die Konzernobergesellschaft verursacht wurde.
Quelle: BAG, Urteil vom 8. Mai 2025, 8 AZR 209/21
