TL;DR für den Datenschutzbeauftragten
Zwei Urteile desselben Senats ziehen die Grenze: Der Kontrollverlust über ohne Rechtsgrundlage übermittelte Daten ist ein ersatzfähiger Schaden, auch wenn er gering ist; die Verzögerung bei der Auskunft dagegen nicht. Wer ein Personalverwaltungssystem migriert, muss genau eines schriftlich festhalten: warum Dummy-Daten nicht ausreichten.
Der Fall
Ein deutscher Arbeitgeber, Teil eines Konzerns mit Obergesellschaft in den USA, bereitet die Umstellung auf ein konzernweit einheitliches cloudbasiertes Personal-Informationsmanagementsystem vor. Zwischen dem 24. April und dem 18. Mai 2017 lädt er Beschäftigtendaten aus seiner Personalverwaltungs-Software auf eine Seite der Konzernobergesellschaft, um sie in das neue System zu Testzwecken einzuspeisen. Am 3. Juli 2017 unterzeichnet er mit dem Betriebsrat eine Duldungs-Betriebsvereinbarung, die genau auflistet, welche Daten zu Testzwecken übermittelt werden dürfen: Personalnummer, Nachname, Vorname, Eintrittsdatum, Eintrittsdatum im Konzern, Arbeitsort, Firma, geschäftliche Telefonnummer und geschäftliche E-Mail-Adresse. Neun Angaben. Tatsächlich übertragen wurden auch Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, der Familienstand, die Sozialversicherungsnummer und die Steuer-ID.
Der Test mit Echtdaten ist nicht verboten
"Die Verarbeitung personenbezogener Daten, um eine neue Personalverwaltungs-Software zu testen, kann nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO zur Wahrung der berechtigten Interessen des Arbeitgebers gerechtfertigt sein, sofern entpersonalisierte „Dummy-Daten" zur Erreichung des Testzwecks nicht ausreichen."
Das ist der Punkt, den fast alle Berichte übersprungen haben. Der Senat hat nicht gesagt, Echtdaten im Testbetrieb seien untersagt: Er hat gesagt, die überschießende Verarbeitung war nicht erforderlich. Und er hat das der Vereinbarung selbst entnommen: Wenn die Betriebsparteien festgelegt haben, dass neun Felder zum Testen genügen, haben sie damit schriftlich erklärt, dass das zehnte nicht nötig war. Die Erforderlichkeit hatte sich der Arbeitgeber so bereits selbst abgeschnitten.
Zweihundert Euro, und wie sie bemessen wurden
Art. 82 verlangt drei kumulative Voraussetzungen: einen Verstoß, einen materiellen oder immateriellen Schaden und einen Kausalzusammenhang. Der Schaden liegt hier im Kontrollverlust über die Daten, der auch bei kurzer Dauer zählt, sofern die betroffene Person ihn nachweist. In die Bemessung flossen die Sensibilität der Daten – unterhalb der Schwelle des Art. 9 –, der größere, jedoch im Konzern begrenzte Empfängerkreis und die Dauer des Kontrollverlusts ein. Die Schwere des Verschuldens floss nicht ein: Art. 82 hat Ausgleichsfunktion, eine etwaige Vorsätzlichkeit darf den Betrag nicht erhöhen.
Die verspätete Auskunft dagegen zahlt sich nicht aus
Im Urteil vom 20. Februar 2025 (8 AZR 61/24) hat derselbe Senat eine Klage wegen verspäteter Auskunft nach Art. 15 abgewiesen: Die Verzögerung begründet für sich genommen keinen Kontrollverlust im Sinne der Gefahr missbräuchlicher Verwendung, sondern nur einen Zeitverzug. Ein bloßes Störgefühl oder eine negative Gefühlslage genügen nicht; erforderlich ist eine substantiierte, gerichtlich überprüfbare Befürchtung des Missbrauchs. Diese Unterscheidung sollte man Mandanten erklären, bevor der erste Antrag eintrifft: Das Auskunftsrecht bleibt voll durchsetzbar und die Aufsichtsbehörden ahnden Verstöße – die norwegische Entscheidung vom Januar zeigt es deutlich –, aber der individuelle Schadenersatz läuft auf einer anderen, engeren Spur.
Die Betriebsvereinbarung senkt das Schutzniveau der DSGVO nicht
Ein Befund, der weit über Deutschland hinausreicht, überall dort, wo Kollektivvereinbarungen in die Verarbeitung von Beschäftigtendaten hineinwirken. Der Senat hat § 26 Abs. 1 BDSG unangewendet gelassen, weil die Vorschrift die Anforderungen des Art. 88 nicht erfüllt: Eine nationale Regelung im Beschäftigungskontext ist nur dann eine spezifischere Vorschrift, wenn sie geeignete und besondere Maßnahmen zur Wahrung der Menschenwürde und der Grundrechte enthält, nicht wenn sie die Verordnung wiederholt. Fehlt es daran, richtet sich die Verarbeitung im Beschäftigungsverhältnis unmittelbar nach der DSGVO.
Was jetzt konkret zu tun ist
1) Erstellen Sie bei jeder Migration eines Personalsystems einen Vermerk, ob Dummy-Daten genügen und, wenn nicht, warum: dieser Vermerk ist die Verteidigung, nicht die Betriebsvereinbarung; 2) behandeln Sie die Übertragung an die Konzernobergesellschaft als Offenlegung gegenüber einem Dritten, nicht als internen Vorgang; 3) die vereinbarte Feldliste wird zur Obergrenze: Wer sie überschreitet, hat die Erforderlichkeit schon vor jeder Abwägung verloren; 4) prüfen Sie, dass die Auskunftsprozesse die Monatsfrist einhalten, unabhängig vom Schadenersatz: Bußgeld und Individualanspruch sind zwei getrennte Risiken.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
