Schadenersatz nach Datenschutz-Grundverordnung (DSGVO) - Betrie­bs­ver­ein­barung - Workday

Die Beklagte verarbeitete perso­nen­be­zogene Daten ihrer Beschäftigten ua. zu Abrech­nungs­zwecken mit einer Perso­na­l­ver­waltungs-Software. Im Jahr 2017 gab es Planungen, konzernweit Workday als einheitliches Personal-Infor­ma­ti­o­ns­ma­na­ge­ment­system einzuführen. Die Beklagte übertrug perso­nen­be­zogene Daten des Klägers aus der bisher genutzten Software an die Konzer­no­ber­ge­sell­schaft, um damit Workday zu Testzwecken zu befüllen. Der vorläufige Testbetrieb von Workday war in einer Betrie­bs­ver­ein­barung geregelt. Danach sollte es der Beklagten erlaubt sein, ua. den Namen, das Eintrittsdatum, den Arbeitsort, die Firma sowie die geschäftliche Telefonnummer und E-Mail-Adresse zu übermitteln. Die Beklagte übermittelte darüber hinaus weitere Daten des Klägers wie Gehalts­in­for­ma­tionen, die private Wohnanschrift, das Geburtsdatum, den Familienstand, die Sozia­l­ver­si­che­rungs­nummer und die Steuer-ID.

Der Kläger hat die Auffassung vertreten, ihm stehe nach Art. 82 Abs. 1 DSGVO ein immaterieller Schadenersatz wegen einer Verletzung der ab dem 25. Mai 2018 geltenden Datenschutz-Grundverordnung iHv. 3.000 Euro zu. Die Beklagte habe die Grenzen der Betrie­bs­ver­ein­barung überschritten.

Die Vorinstanzen haben die Klage abgewiesen. Mit Beschluss vom 22. September 2022 (- 8 AZR 209/21 (A) – BAGE 179, 120) hatte der Senat das Revisi­ons­ver­fahren ausgesetzt und den Gerichtshof der Europäischen Union (EuGH) um die Beantwortung von Rechtsfragen betreffend die Auslegung des Unionsrechts ersucht. Der EuGH hat diese mit Urteil vom 19. Dezember 2024 (- C-65/23 – [K GmbH]) beantwortet.

Die Revision des Klägers hatte vor dem Achten Senat des Bundes­a­r­beits­ge­richts teilweise Erfolg. Der Kläger hat gegen die Beklagte einen Anspruch auf Schadenersatz nach Art. 82 Abs. 1 DSGVO iHv. 200,00 Euro. Soweit die Beklagte andere als die nach der Betrie­bs­ver­ein­barung erlaubten perso­nen­be­zogenen Daten an die Konzer­no­ber­ge­sell­schaft übertragen hat, war dies nicht erforderlich iSv. Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO und verstieß damit gegen die Datenschutz-Grundverordnung. Der immaterielle Schaden des Klägers liegt in dem durch die Überlassung der perso­nen­be­zogenen Daten an die Konzer­no­ber­ge­sell­schaft verursachten Kontrollverlust. Der Kläger hat in der mündlichen Verhandlung vor dem Senat klargestellt, dass er sich nicht weiter darauf beruft, auch die Übertragung der von der Betrie­bs­ver­ein­barung erfassten Daten sei nicht erforderlich gewesen. Der Senat hatte daher nicht zu prüfen, ob die Betrie­bs­ver­ein­barung so ausgestaltet war, dass die Anforderungen der Datenschutz-Grundverordnung erfüllt wurden.