Nur ein Softwaretest? Für die Weitergabe seiner Gehaltsdaten bekam ein Mitarbeiter 200 Euro
Eine neue Personalsoftware sollte getestet werden. Dafür übertrug ein Arbeitgeber echte Beschäftigtendaten an die Konzernobergesellschaft – darunter auch Gehalt, Privatanschrift und Steuer-ID. Ein betroffener Mitarbeiter verlangte 3.000 Euro Schadensersatz. Das Bundesarbeitsgericht sprach ihm mit Urteil vom 8. Mai 2025 zwar deutlich weniger zu, bestätigte aber den Datenschutzverstoß.
Die Testvereinbarung erlaubte nicht den gesamten Datensatz
Im Konzern war geplant, Workday als einheitliches System für Personalinformationen einzuführen. Die Arbeitgeberin verwendete bis dahin eine andere Software und übertrug daraus Daten ihres Mitarbeiters an die Konzernobergesellschaft. Für den vorläufigen Testbetrieb gab es eine Betriebsvereinbarung.
Diese ließ bestimmte Angaben zu, etwa Name, Eintrittsdatum, Arbeitsort, Firma sowie dienstliche Telefonnummer und E-Mail-Adresse. Tatsächlich wurden zusätzlich Gehaltsinformationen, private Wohnanschrift, Geburtsdatum, Familienstand, Sozialversicherungsnummer und Steuer-ID übermittelt. Gerade diese Überschreitung der vereinbarten Grenzen wurde für den Prozess entscheidend.
Ein Konzern ist kein datenschutzfreier Raum
Die Vorinstanzen hatten die Klage abgewiesen. Das BAG befasste zunächst den Europäischen Gerichtshof mit Fragen zur Auslegung des Unionsrechts. Nach dessen Entscheidung vom 19. Dezember 2024 entschied der Achte Senat den Streit teilweise zugunsten des Mitarbeiters.
Die zusätzlichen Daten waren für die Übermittlung nicht erforderlich. Die Verarbeitung ließ sich insoweit nicht auf berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f DSGVO stützen. Dass Empfängerin eine andere Gesellschaft desselben Konzerns war und die Daten einem Softwaretest dienten, machte die Weitergabe nicht automatisch zulässig. Auch intern veranlasste Konzernprojekte müssen den rechtlich zulässigen Datenumfang beachten.
Der Schaden lag im Verlust der Kontrolle
Das BAG erkannte einen immateriellen Schaden nach Artikel 82 DSGVO an. Durch die Weitergabe an die Konzernobergesellschaft hatte der Mitarbeiter die Kontrolle über die betreffenden persönlichen Informationen verloren. Er erhielt dafür 200 Euro. Die verlangten 3.000 Euro setzte das Gericht nicht fest.
Die Summe ist keine allgemeine Preisliste für Datenschutzverstöße. Das Urteil bewertet den konkreten Vorgang und den damit verbundenen Schaden. Es sagt weder, dass jede fehlerhafte Datenverarbeitung automatisch denselben Betrag auslöst, noch dass zusätzliche finanzielle Verluste zwingend nachgewiesen werden müssen, bevor ein immaterieller Schaden in Betracht kommt.
Was das Gericht ausdrücklich nicht prüfte
Der Mitarbeiter stellte im Verfahren klar, dass er die Übertragung der von der Betriebsvereinbarung erfassten Daten nicht weiter angreifen wollte. Deshalb musste das BAG nicht entscheiden, ob die Vereinbarung selbst sämtliche Anforderungen der DSGVO erfüllte. Aus dem Urteil lässt sich somit keine pauschale Bestätigung ableiten, dass eine Betriebsvereinbarung jeden Test mit echten Personaldaten rechtfertigt.
Für Arbeitgeber folgt daraus eine konkrete Prüfaufgabe: Welche Daten werden tatsächlich exportiert, welche werden für den Test benötigt und welche Rechtsgrundlage deckt gerade diese Übermittlung? Der Umfang einer technisch leicht erstellten Exportdatei kann erheblich größer sein als das rechtlich Zulässige.
Betroffene Beschäftigte sollten möglichst genau festhalten, welche zusätzlichen Daten an wen gelangt sind. Für die Beurteilung reicht die allgemeine Aussage, es sei eine neue Software eingeführt worden, regelmäßig nicht aus. Die Kanzlei Steinwachs berät zu Rechten im Arbeitsverhältnis, auch wenn Personalverwaltung, Betriebsvereinbarungen und Datenschutz zusammenwirken.
Quelle: Bundesarbeitsgericht, Urteil vom 8. Mai 2025 – 8 AZR 209/21; Pressemitteilung des Bundesarbeitsgerichts vom 8. Mai 2025; dort auch der Verfahrensgang zum EuGH, C-65/23.