Der Testlauf der neuen Personalverwaltungs-Software – und der Beschäftigtendatenschutz

Die Verarbeitung personenbezogener Daten, um eine neue Personalverwaltungs-Software zu testen, kann nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Arbeitgebers gerechtfertigt sein, sofern entpersonalisierte „Dummy-Daten“ zur Erreichung des Testzwecks nicht ausreichen.

In dem hier vom Bundesarbeitsgericht entschiedenen Fall streiten ein Arbeitnehmer und seine Arbeitgeberin in der Revision noch über einen Anspruch auf immateriellen Schadenersatz nach Art. 82 Abs. 1 DSGVO wegen einer Übertragung von Personaldaten in eine testweise konzernweit genutzte cloudbasierte Software „Workday“. Der Arbeitnehmer ist langjährig bei der Arbeitgeberin als Organisationsprogrammierer beschäftigt.Er ist der Vorsitzende des bei der Arbeitgeberin gebildeten Betriebsrats. Im hier relevanten Zeitraum gehörte die Arbeitgeberin mit Sitz in Deutschland zu einem internationalen Konzern, dessen Konzernobergesellschaft ihren Hauptsitz in Washington D.C. hatte. Die Arbeitgeberin verarbeitete bestimmte personenbezogene Daten ihrer Beschäftigten unter anderem zu Abrechnungszwecken mit einer Personalverwaltungs-Software. Im Jahr 2017 gab es Planungen, konzernweit Workday als neues einheitliches Personal-Informationsmanagementsystem einzuführen. Zwischen dem 24.04.und dem 18.05.2017 lud die Arbeitgeberin personenbezogene Daten des Arbeitnehmers aus ihrer Personalverwaltungs-Software auf eine Sharepoint-Seite der Konzernobergesellschaft mit Server-Standort in den USA, um sie in die Software Workday zu übertragen. Neben Informationen wie dem Namen, Vornamen, dienstlicher Telefonnummer und dienstlicher E-Mail-Adresse gehörten zu den übermittelten Daten unter anderem auch Gehaltsinformationen, die private Wohnanschrift, Geburtsdatum, Familienstand, die Sozialversicherungsnummer und die Steuer-ID des Arbeitnehmers. Am 3.07.2017 unterzeichneten die Arbeitgeberin und der bei ihr bestehende Betriebsrat eine „Duldungs-Betriebsvereinbarung über die Einführung von Workday“ (im Folgenden BV Duldung), mit der sie den vorläufigen Betrieb von Workday regelten. Nach der BV Duldung war es unter anderem untersagt, die Software während des Testzeitraums für die Personalverwaltung zu verwenden. Weiter war dort vereinbart, dass vor der Einführung des Systems als Produktivsystem eine Betriebsvereinbarung abgeschlossen werden muss, die die Anwendung von Workday regelt. In der Anlage 2 zur BV Duldung wurden die zur testweisen Nutzung der Software Workday aus der Personalverwaltungs-Software zu übermittelnden Daten aufgelistet: Personalnummer, Nachname, Vorname, Eintrittsdatum, Eintrittsdatum im Konzern, Arbeitsort, Firma, geschäftliche Telefonnummer und geschäftliche E-Mail-Adresse. Die Wirkungen der BV Duldung wurden bis zum Inkrafttreten einer unter dem 23.01.2019 im Rahmen eines Einigungsstellenverfahrens geschlossenen endgültigen Betriebsvereinbarung mehrfach verlängert.

Der Arbeitnehmer hat die Auffassung vertreten, ihm stehe nach Art. 82 Abs. 1 DSGVO immaterieller Schadenersatz in einer Größenordnung von 3.000, 00 € zu. Das Arbeitsgericht hat die ursprünglich auch auf Auskunft, Versicherung an Eides statt und Löschung gerichtete Klage abgewiesen. Das Landesarbeitsgericht Baden-Württemberg hat die nur noch auf immateriellen Schadenersatz gerichtete Berufung des Arbeitnehmers zurückgewiesen¹. Mit seiner vom Landesarbeitsgericht zugelassenen Revision verfolgt der Arbeitnehmer seinen Schadenersatzantrag weiter.

Das Bundesarbeitsgericht hat das Revisionsverfahren ausgesetzt und den Gerichtshof der Europäischen Union nach Art. 267 AEUV um Vorabentscheidung insbesondere über Rechtsfragen zur Auslegung von Art. 88 Abs. 1 DSGVO im Zusammenhang mit Betriebsvereinbarungen nach § 26 Abs. 4 BDSG ersucht². Über das Vorabentscheidungsersuchen hat der Unionsgerichtshof im Dezember 2024 entschieden³. In der Folge hat das Bundesarbeitsgericht das Berufungsurteil teilweise aufgehoben und das arbeitsgerichtliche Urteil dahin abgeändert, dass der Arbeitnehmer gegen die Arbeitgeberin einen Anspruch auf einen immateriellen Schadenersatz aus Art. 82 Abs. 1 DSGVO in Höhe von 200 € hat:

Der Arbeitnehmer hat gegen die Arbeitgeberin einen Anspruch auf Zahlung immateriellen Schadenersatzes in Höhe von 200, 00 Euro nebst Zinsen ab dem 26.05.2018. Ein Schadenersatzanspruch nach Art. 82 Abs. 1 DSGVO setzt einen Verstoß gegen die Datenschutz-Grundverordnung, das Vorliegen eines materiellen oder immateriellen Schadens sowie einen Kausalzusammenhang zwischen dem Schaden und dem Verstoß voraus, wobei diese drei Voraussetzungen kumulativ gegeben sein müssen⁴. Diese Voraussetzungen sind erfüllt.

Die Arbeitgeberin hat gegen Bestimmungen der Datenschutz-Grundverordnung im Sinne von Art. 82 Abs. 1 DSGVO verstoßen.

Der Arbeitnehmer hat seinen Schadenersatzanspruch zuletzt ausschließlich noch darauf gestützt, dass die Arbeitgeberin personenbezogene Daten verarbeitet hat, die von der BV Duldung nicht erfasst waren. Er hat diese Erklärung in der mündlichen Verhandlung vor dem Bundesarbeitsgericht am 8.05.2025 nach der Vorabentscheidung durch den Gerichtshof abgegeben. Der Arbeitnehmer beruft sich somit nicht mehr darauf, dass ein Verstoß gegen die Datenschutz-Grundverordnung auch in Bezug auf diejenigen Daten vorliege, deren Übertragung in Einklang mit der BV Duldung steht. Es kommt daher in Bezug auf die von der BV Duldung erfassten Daten nicht darauf an, ob § 26 Abs. 4 BDSG in Verbindung mit der BV Duldung als „spezifischere Vorschriften“ im Sinne von Art. 88 Abs. 1 DSGVO bewirken, dass ihre Adressaten die sich aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und Abs. 2 DSGVO ergebenden Anforderungen erfüllen⁵. Das Bundesarbeitsgericht hatte daher nicht zu prüfen, ob die Betriebsvereinbarung so ausgestaltet war, dass die Anforderungen der Datenschutz-Grundverordnung erfüllt wurden.

Die Arbeitgeberin hat gegen die Datenschutz-Grundverordnung verstoßen, indem sie die von der BV Duldung nicht erfassten personenbezogenen Daten des Arbeitnehmers auf eine Sharepoint-Seite der Konzernobergesellschaft übertragen hat, um damit Daten in die Software Workday einzuspeisen und diese dort zu verarbeiten. Dem steht nicht entgegen, dass die Arbeitgeberin die personenbezogenen Daten des Arbeitnehmers bereits in der Zeit zwischen dem 24.04.und dem 18.05.2017 und damit vor Geltung der Datenschutz-Grundverordnung ab dem 25.05.2018 (Art. 99 Abs. 2 DSGVO) in Workday übertragen hat. Auch nach der Übertragung war die Arbeitgeberin weiterhin Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Hierfür ist es nicht erforderlich, dass der Verantwortliche allein über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, dies kann nach Art. 4 Nr. 7 DSGVO auch gemeinsam mit anderen erfolgen. Die Arbeitgeberin hat sich ab dem Zeitpunkt der Geltung der Datenschutz-Grundverordnung nicht um eine Rückübertragung oder Löschung der Daten des Arbeitnehmers in Workday bemüht, eine solche hat auch nicht stattgefunden. Vielmehr hat die Arbeitgeberin – im Gegenteil – durch die mehrfache Verlängerung des Geltungs- und Nachwirkungszeitraums der BV Duldung, zuletzt bis zum 31.01.2019, zu erkennen gegeben, dass sie fortgesetzt aktiv als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO gehandelt hat, um den vorläufigen Betrieb von Workday durch den Abschluss weiterer Betriebsvereinbarungen sicherzustellen⁶.

Soweit die Arbeitgeberin von der BV Duldung nicht erfasste Daten wie private Kontaktdaten, Vertrags- und Vergütungsdetails, Sozialversicherungsnummer, Steuer-ID, Staatsangehörigkeit und Familienstand übertragen hat, handelt es sich um personenbezogene Daten des Arbeitnehmers im Sinne von Art. 4 Nr. 1 DSGVO.

Die Verarbeitung dieser vorgenannten personenbezogenen Daten zu Testzwecken in Workday ist nicht nach Art. 88 Abs. 1 DSGVO in Verbindung mit § 26 Abs. 1 BDSG zulässig. § 26 Abs. 1 BDSG hat unangewendet zu bleiben.

§ 26 Abs. 1 BDSG erfüllt nicht die Voraussetzungen der Öffnungsklausel des Art. 88 DSGVO. Spezifischere Vorschriften im Sinne von Art. 88 Abs. 1 DSGVO sind nur gegeben, wenn sie sich nicht auf eine Wiederholung der Bestimmungen der Datenschutz-Grundverordnung beschränken, sondern einen zum normierten Bereich passenden Regelungsgehalt haben, der sich von den allgemeinen Regeln der Datenschutz-Grundverordnung unterscheidet. Zudem müssen sie auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person im Sinne von Art. 88 Abs. 2 DSGVO umfassen⁷. Diese Anforderungen erfüllt § 26 Abs. 1 Satz 1 BDSG schon deshalb nicht, weil es an Schutzmaßnahmen im Sinne von Art. 88 Abs. 2 DSGVO fehlt⁸.

Nationale Rechtsvorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten von Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext müssen unangewendet bleiben, wenn sie nicht die in Art. 88 Abs. 1 und Abs. 2 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten, es sei denn, sie stellen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO dar, die den Anforderungen dieser Verordnung genügt⁹.

In Bezug auf die Verarbeitung von personenbezogenen Daten in dem vorliegend infrage stehenden Personal-Informationsmanagementsystem Workday stellt § 26 Abs. 1 BDSG keine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO dar¹⁰. Die Arbeitgeberin hat weder geltend gemacht noch ist sonst ersichtlich, dass die Verarbeitung der personenbezogenen Daten des Arbeitnehmers in Workday zur Erfüllung einer rechtlichen Pflicht im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. c DSGVO, oder für die Wahrnehmung einer Aufgabe, die im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO im öffentlichen Interesse liegt, erforderlich gewesen sei.

Soweit spezifischere Vorschriften fehlen, die die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen erfüllen, wird die Verarbeitung personenbezogener Daten im Beschäftigungskontext unmittelbar durch die Bestimmungen der Datenschutz-Grundverordnung geregelt¹¹. Nach den Bestimmungen der Datenschutz-Grundverordnung ist die Übertragung der von der BV Duldung nicht erfassten personenbezogenen Daten des Arbeitnehmers in die Software Workday zu Testzwecken nicht gerechtfertigt.

Die Überlassung dieser Daten an die Konzernobergesellschaft ist nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gerechtfertigt. Danach ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Eine Rechtfertigung der Verarbeitung personenbezogener Daten im vorläufigen Betrieb von Workday zu „Testzwecken“ ist nicht von vornherein ausgeschlossen, sofern entpersonalisierte sog. Dummy-Versuchsdaten nicht ausreichen, um den Testzweck zu erreichen¹². Ein vorläufiger Testbetrieb mit personenbezogenen Daten kann im Einzelfall zur Wahrung der berechtigten Interessen des Arbeitgebers erforderlich sein, um eine Softwareumstellung vorzubereiten. Allerdings stellt sich hier die überschießende Datenverarbeitung im Ergebnis schon deshalb als nicht erforderlich im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO dar, weil sie über die Erlaubnis in der BV Duldung hinausgeht¹³. Die Arbeitgeberin hat mit dem Betriebsrat in der BV Duldung vereinbart, dass bestimmte personenbezogene Daten zu Testzwecken an die Konzernobergesellschaft übertragen werden. Dabei handelt es sich um die Personalnummer, den Nachnamen, den Vornamen, das Eintrittsdatum, das Eintrittsdatum in den Konzern, den Arbeitsort, die Firma, die geschäftliche Telefonnummer und die geschäftliche E-Mail-Adresse. Nachdem die Arbeitgeberin und der Betriebsrat die Erlaubnis auf diese im Einzelnen aufgezählten personenbezogenen Daten beschränkt haben, ist davon auszugehen, dass lediglich diese Daten für Testzwecke erforderlich waren. Die Arbeitgeberin behauptet selbst nicht, dass die weiteren von ihr an die Konzernobergesellschaft übertragenen Daten erforderlich gewesen wären, um Workday zu testen.

Die Übertragung der über die Erlaubnis in der BV Duldung hinausgehenden Daten ist auch nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO gerechtfertigt. Danach ist die Verarbeitung rechtmäßig, wenn sie für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen. Zwar ist das Bundesarbeitsgericht im Vorlagebeschluss vom 22.09.2022 noch von einer möglichen Rechtfertigung nach Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO ausgegangen¹². Nach der inzwischen ergangenen Rechtsprechung des Gerichtshofs stellt die hier zu beurteilende Nutzung von personenbezogenen Echtdaten zu Testzwecken für eine Softwareumstellung wohl eine Weiterverarbeitung im Sinne von Art. 5 Abs. 1 Buchst. b DSGVO dar, die einem anderen Zweck dient als demjenigen, für den die Daten ursprünglich erhoben worden sind¹⁴. Die an die Konzernobergesellschaft zu Testzwecken übermittelten Daten dienten daher nicht mehr der Erfüllung des Arbeitsverhältnisses im Sinne von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO. Jedenfalls stellt sich die Übertragung der über die Erlaubnis in der BV Duldung hinausgehenden Daten im Rahmen von Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO ebenso wenig als erforderlich dar wie nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO.

Der Arbeitnehmer hat durch die Übertragung der von der BV Duldung nicht erfassten personenbezogenen Daten einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO erlitten.

Der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen, der einen Schadenersatzanspruch begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat¹⁵.

Der Schaden liegt in dem durch die Übertragung der personenbezogenen Daten an die Konzernobergesellschaft und deren weitere Verarbeitung in der Software Workday erlittenen Kontrollverlust¹⁶. Die hier gegebene Fallgestaltung einer Weitergabe der Daten unterscheidet sich von der verspäteten Auskunft nach Art. 15 DSGVO, die für sich genommen keinen Kontrollverlust über Daten iSd. Gefahr einer missbräuchlichen Verwendung, sondern nur einen Zeitverzug hinsichtlich der Auskunft begründet¹⁷.

Der Schaden in Gestalt des eingetretenen Kontrollverlustes ist auch kausal durch den Verstoß der Arbeitgeberin gegen die Datenschutz-Grundverordnung verursacht.

Das Bundesarbeitsgericht kann über die Höhe des immateriellen Schadenersatzes selbst entscheiden, da sämtliche entscheidungsrelevanten Tatsachen feststehen. Dem Arbeitnehmer steht ein immaterieller Schadenersatz in Höhe von 200, 00 Euro zu.

Bei der Bemessung der Höhe des nach Art. 82 Abs. 1 DSGVO geschuldeten Schadenersatzes haben die nationalen Gerichte in Ermangelung einer Bestimmung in der Datenschutz-Grundverordnung die innerstaatlichen Vorschriften der einzelnen Mitgliedstaaten über den Umfang der finanziellen Entschädigung anzuwenden, sofern die unionsrechtlichen Grundsätze der Äquivalenz und der Effektivität beachtet werden. Art. 82 Abs. 1 DSGVO verlangt dabei nicht, dass die Schwere des Verschuldens des Verantwortlichen bzw. des Auftragsverarbeiters berücksichtigt wird. Die Ausgleichsfunktion des in Art. 82 Abs. 1 DSGVO verankerten Schadenersatzanspruchs schließt es sogar aus, dass eine etwaige Vorsätzlichkeit des Verstoßes gegen die Datenschutz-Grundverordnung bei der Bemessung des Schadenersatzes berücksichtigt wird. Der Betrag ist jedoch so festzulegen, dass er den konkret aufgrund des Verstoßes gegen die Datenschutz-Grundverordnung erlittenen Schaden in vollem Umfang ausgleicht¹⁸.

Ausgehend von diesen Grundsätzen ist ein Schadenersatz in Höhe von 200, 00 € angemessen. Dieser Betrag ist erforderlich aber auch ausreichend, um den dem Arbeitnehmer entstandenen immateriellen Schaden auszugleichen. Dabei sind insbesondere die Sensibilität der konkret betroffenen personenbezogenen Daten unterhalb der Schwelle des Art. 9 DSGVO zu beachten, ebenso wie der größere, jedoch im Konzern begrenzte Empfängerkreis und die Dauer des Kontrollverlustes¹⁹. Keine Rolle bei der Bemessung der Höhe des Schadenersatzes konnte der Umstand spielen, dass personenbezogene Daten des Arbeitnehmers in ein Drittland übertragen worden sind. Der Arbeitnehmer hat erklärt, sich nicht auf Verstöße gegen Art. 44 ff. DSGVO zu berufen.

Bundesarbeitsgericht, Urteil vom 8. Mai 2025 – 8 AZR 209/21

1. LAG Baden-Württemberg 25.02.2021 – 17 Sa 37/20[↩]
2. BAG 22.09.2022 – 8 AZR 209/21 (A), BAG 179, 120[↩]
3. EuGH 19.12.2024 – C-65/23 [K GmbH][↩]
4. vgl. EuGH 4.10.2024 – C-200/23 – [Agentsia po vpisvaniyata] Rn. 140; 4.05.2023 – C-300/21 – [Österreichische Post] Rn. 32; BAG 20.02.2025 – 8 AZR 61/24, Rn. 10[↩]
5. vgl. dazu EuGH 19.12.2024 – C-65/23 – [K GmbH] Rn. 34 ff.[↩]
6. BAG 22.09.2022 – 8 AZR 209/21 (A), Rn.20, BAGE 179, 120[↩]
7. vgl. EuGH 30.03.2023 – C-34/21 – [Hauptpersonalrat der Lehrerinnen und Lehrer] Rn. 65, 71, 74; BAG 9.05.2023 – 1 ABR 14/22, Rn. 63, BAGE 181, 1[↩]
8. BAG 9.05.2023 – 1 ABR 14/22, Rn. 64, aaO[↩]
9. EuGH 30.03.2023 – C-34/21 – [Hauptpersonalrat der Lehrerinnen und Lehrer] Rn. 76 ff.[↩]
10. vgl. dagegen für Datenverarbeitung, um ein gesetzliches Recht der Arbeitnehmervertretungen zu erfüllen BAG 9.05.2023 – 1 ABR 14/22, Rn. 65 ff., BAGE 181, 1[↩]
11. EuGH 19.12.2024 – C-65/23 – [K GmbH] Rn. 53; 30.03.2023 – C-34/21 – [Hauptpersonalrat der Lehrerinnen und Lehrer] Rn. 82 ff.[↩]
12. BAG 22.09.2022 – 8 AZR 209/21 (A), Rn. 29, BAGE 179, 120[↩][↩]
13. vgl. BAG 22.09.2022 – 8 AZR 209/21 (A), Rn. 24, aaO[↩]
14. vgl. EuGH 20.10.2022 – C-77/21 – [Digi] Rn. 22 ff.[↩]
15. EuGH 4.10.2024 – C-200/23 – [Agentsia po vpisvaniyata] Rn. 150; 11.04.2024 – C-741/21 – 42; BAG 20.02.2025 – 8 AZR 61/24, Rn. 13; BGH 18.11.2024 – VI ZR 10/24, Rn. 30, BGHZ 242, 180[↩]
16. vgl. BGH 11.02.2025 – VI ZR 365/22, Rn. 16[↩]
17. BAG 20.02.2025 – 8 AZR 61/24, Rn. 17; BSG 24.09.2024 – B 7 AS 15/23 R, Rn. 32; vgl. Vorlagebeschluss an den Gerichtshof BGH 6.05.2025 – VI ZR 53/23, Rn. 40 ff.[↩]
18. vgl. EuGH 20.06.2024 – C-182/22 unter anderem – [Scalable Capital] Rn. 27 ff. mwN; EuG 8.01.2025 – T-354/22, Rn.192 ff.; BAG 25.07.2024 – 8 AZR 225/23, Rn. 36; vgl. BGH 28.01.2025 – VI ZR 183/22, Rn. 8 ff.; 18.11.2024 – VI ZR 10/24, Rn. 95 ff., BGHZ 242, 180[↩]
19. vgl. BGH 18.11.2024 – VI ZR 10/24, Rn. 99, BGHZ 242, 180[↩]