Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 8. Mai 2025 (Az. 8 AZR 209/21) einen wichtigen Meilenstein für Schadensersatzansprüche im Datenschutzrecht gesetzt: Ein Unternehmen haftet auf immateriellen DSGVO-Schadensersatz, wenn es im Rahmen eines Softwaretests personenbezogene Daten seiner Mitarbeiter ohne ausreichende Rechtsgrundlage an einen Cloud-Anbieter in den USA übermittelt.
Im zugrunde liegenden Fall testete ein internationaler Konzern eine neue Personalmanagement-Software und übermittelte dabei Echtdaten von Mitarbeitern an den Cloud-Anbieter mit Sitz in den USA. Unter den personenbezogenen Daten befanden sich auch sensible Informationen wie z.B. Privatadressen, Gehälter, Sozialversicherungsnummern und Steuer-IDs. Die Übermittlung dieser personenbezogenen Daten an Server außerhalb der EU erfolgte dabei ohne ausreichende rechtliche Grundlage, insbesondere ohne explizite Einwilligung der Betroffenen.
Die Richter des BAG erkannten diese Übermittlung der personenbezogenen Daten als Datenschutzverstoß an. Das Gericht bestätigte, dass bereits die Übermittlung der personenbezogenen Daten an den Cloud-Anbieter ohne ausreichende Rechtsgrundlage einen Kontrollverlust bedeutet. Der Kontrollverlust über personenbezogene Daten stelle einen ersatzfähigen immateriellen Schaden im Sinne der DSGVO dar. Dies gelte selbst dann, wenn keine weiteren konkreten Nachteile oder materiellen Schäden vorliegen.
Das Unternehmen wurde daher zur Zahlung von 200,00 Euro Schadensersatz an den betroffenen Mitarbeiter verpflichtet.
Empfehlung
Unternehmen sollten alle Prozesse rund um die Verarbeitung von Mitarbeiterdaten – auch bei einem Test einer neuen Software – sorgfältig planen und dokumentieren. Eine Übermittlung von personenbezogenen Daten darf ausschließlich auf einer klaren rechtlichen Grundlage oder mit Einwilligung der Betroffenen durchgeführt werden. Jeder Verstoß von den DSGVO-Vorgaben kann zu Schadensersatzansprüchen führen.
Für Betroffene bringt das Urteil weitere Klarheit in welchen Fällen Datenschutzverstöße zu einem Schadensersatzanspruch führen können und wieviel Schadensersatz in vergleichbaren Fällen erzielbar ist.
Bildquelle: KI-generiert
Bildquelle: KI-generiert
Bildquelle: KI-generiert
Bildquelle: KI-generiert