TL;DR voor de FG
Twee uitspraken van dezelfde Duitse kamer trekken de grens: verlies van controle over gegevens die zonder rechtsgrond zijn verstrekt is vergoedbare schade, ook als het klein is; vertraging bij het beantwoorden van een inzageverzoek niet. Wie een HR-systeem migreert, hoeft één ding vast te leggen: waarom dummygegevens niet volstonden.
De zaak
Een Duitse werkgever, onderdeel van een groep met een moedermaatschappij in de Verenigde Staten, bereidt de overstap voor naar één cloudsysteem voor personeelsbeheer. Tussen 24 april en 18 mei 2017 laadt hij werknemersgegevens uit zijn eigen HR-software naar een omgeving van de moedermaatschappij, om het nieuwe systeem in test te voeden. Op 3 juli 2017 tekent hij met de ondernemingsraad een gedoogovereenkomst die precies opsomt welke velden voor testdoeleinden mogen worden overgedragen: personeelsnummer, achternaam, voornaam, datum indiensttreding, datum toetreding tot de groep, werkplek, vennootschap, zakelijk telefoonnummer en zakelijk e-mailadres. Negen gegevens. Overgedragen werden echter ook salaris, privéadres, geboortedatum, burgerlijke staat, sofinummer en fiscaal nummer.
Testen met echte gegevens is niet verboden
"De verwerking van persoonsgegevens om nieuwe HR-software te testen kan gerechtvaardigd zijn door het gerechtvaardigd belang van de werkgever op grond van artikel 6, lid 1, eerste alinea, onder f), mits gedepersonaliseerde „dummygegevens" niet volstaan om het testdoel te bereiken."
Dit is het punt dat vrijwel elk verslag oversloeg. Het hof zei niet dat echte gegevens in een testomgeving verboden zijn: het zei dat het meerdere niet noodzakelijk was. En het leidde dat af uit de overeenkomst zelf: als partijen vastlegden dat negen velden volstaan om te testen, hebben zij zwart op wit geschreven dat het tiende niet nodig was. De werkgever had zijn eigen noodzakelijkheidsargument al doorgestreept.
Tweehonderd euro, en hoe die zijn berekend
Artikel 82 vergt drie cumulatieve voorwaarden: een inbreuk, schade — ook immateriële — en een causaal verband. De schade is hier het verlies van controle over de gegevens, dat ook meetelt als het kort duurde, mits de betrokkene het aantoont. In de hoogte wogen mee: de gevoeligheid van de gegevens — onder de drempel van artikel 9 —, de ruimere maar tot de groep beperkte kring van ontvangers, en de duur van het controleverlies. De ernst van de schuld woog niet mee: artikel 82 heeft een compenserende functie en het hof sloot een verhoging wegens opzet uit.
Vertraging bij inzage levert daarentegen niets op
In het arrest van 20 februari 2025 (8 AZR 61/24) wees dezelfde kamer een vordering op grond van een late reactie op artikel 15 af: de vertraging levert op zichzelf geen verlies van controle op, alleen uitstel van de informatie. Ongemak of een negatieve gemoedstoestand zijn niet genoeg; vereist is een concrete, door de rechter toetsbare vrees voor misbruik. Dat onderscheid is het waard om aan cliënten uit te leggen vóór het eerste verzoek binnenkomt: het inzagerecht blijft volledig afdwingbaar en toezichthouders beboeten schendingen — het Noorse besluit van januari laat dat goed zien — maar de individuele schadevergoeding loopt langs een ander en smaller spoor.
De ondernemingsovereenkomst verlaagt het AVG-niveau niet
Een les die veel verder reikt dan Duitsland, overal waar collectieve afspraken doorwerken in de verwerking van werknemersgegevens. Het hof liet § 26 lid 1 van de Duitse federale privacywet buiten toepassing omdat die niet aan artikel 88 voldoet: een nationale arbeidsregel geldt alleen als specifiekere bepaling wanneer zij passende en specifieke maatregelen toevoegt ter bescherming van de menselijke waardigheid en de grondrechten, niet wanneer zij de verordening herhaalt. Ontbreken die, dan wordt verwerking in de arbeidsrelatie rechtstreeks door de AVG beheerst.
Wat nu te doen, in de praktijk
1) Maak bij elke migratie van een HR-systeem een notitie die zegt of dummygegevens volstaan en, zo nee, waarom: die notitie is de verdediging, niet de overeenkomst; 2) behandel de overdracht aan de moedermaatschappij als verstrekking aan een derde, niet als een interne verplaatsing; 3) de afgesproken veldenlijst wordt het plafond: die overschrijden sluit noodzakelijkheid uit nog vóór enige belangenafweging; 4) controleer dat de artikel 15-procedures de maandtermijn halen, los van schadevergoeding: een boete van de toezichthouder en een individuele claim zijn twee afzonderlijke risico's.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
