Datenweitergabe muss Grenzen einer Betriebsvereinbarung einhalten

Bundesarbeitsgericht (BAG), Urteil vom 08.05.2025 (8 AZR 209/21). In diesem Urteil hat das BAG den Beklagten zur Zahlung von 200 Euro Schadensersatz an den Kläger gem. Art. 82 DS-GVO verurteilt, weil der Beklagte über die Betriebsvereinbarung hinausgehende personenbezogene Daten an die Konzernmuttergesellschaft übertragen hatte.

Die Beklagte hatte im Rahmen eines Tests für eine neue Personalverwaltungssoftware „Workday“ personenbezogene Daten an die Konzernobergesellschaft übermittelt. In einer Duldungsvereinbarung mit dem Betriebsrat wurde vereinbart, dass folgende begrenzte Datenkategorien übermittelt werden dürfen: die Personalnummer, der Nachname, der Vorname, das Eintrittsdatum in den Konzern, der Arbeitsort, die Firma, die geschäftliche Telefonnummer und die geschäftliche E-Mail-Adresse. Weiterhin wurden im Rahmen des Testverfahrens jedoch auch seine privaten Kontaktdaten, Vertrags- und Vergütungsdetails, seine Sozialversicherungsnummer, seine Steuer-ID, seine Staatsangehörigkeit und sein Familienstand übertragen.

Der Kläger war der Ansicht, für die Übertragung der Daten habe über die Duldungsvereinbarung hinaus keine Rechtsgrundlage, insbesondere kein berechtigtes Interesse nach Art. 6 Abs.1 lit. f) DS-GVO bestanden. Er meint, es stehe ihm dafür ein immaterieller Schadenersatz gem. Art. 82 DS-GVO zu.

Das Gericht stellte fest, der Beklagte habe mit der Übermittlung der über die Datenkategorien der Duldungsvereinbarung hinausgehenden Übertragung an die Konzernobergesellschaft in den USA gegen die Grundsätze der DSGVO verstoßen. Das berechtigte Interesse gem. Art. 6 Abs.1 lit. f) DS-GVO greift nicht als Rechtsgrundlage, da es schon an der Erforderlichkeit der Datenübermittlung fehlt. Grundsätzlich wären auch entpersonalisierte Daten für den Test denkbar gewesen. Hier wurden im Rahmen der Duldungsvereinbarung mit dem Betriebsrat entsprechende zu übermittelnde Datenkategorien festgelegt. Schon dies ist ein Indiz dafür, dass es an der Erforderlichkeit fehlt, wenn zusätzlich sensiblere Daten übermittelt werden. Das Gericht stellte somit einen Datenschutzverstoß fest und verurteilte den Beklagten zur Zahlung von 200 Euro immateriellen Schadensersatz wegen des erlittenen Kontrollverlustes des Klägers über seine Daten.

Zurück