Wann liegt ein Kontrollverlust von personenbezogenen Daten vor?

Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 8. Mai 2025 (Az. 8 AZR 209/21) einen wichtigen Meilenstein für Schadensersatzansprüche im Datenschutzrecht gesetzt: Ein Unternehmen haftet auf immateriellen DSGVO-Schadensersatz, wenn es im Rahmen eines Softwaretests personenbezogene Daten seiner Mitarbeiter ohne ausreichende Rechtsgrundlage an einen Cloud-Anbieter in den USA übermittelt.

Im zugrunde liegenden Fall testete ein internationaler Konzern eine neue Personalmanagement-Software und übermittelte dabei Echtdaten von Mitarbeitern an den Cloud-Anbieter mit Sitz in den USA. Unter den personenbezogenen Daten befanden sich auch sensible Informationen wie z.B. Privatadressen, Gehälter, Sozialversicherungsnummern und Steuer-IDs. Die Übermittlung dieser personenbezogenen Daten an Server außerhalb der EU erfolgte dabei ohne ausreichende rechtliche Grundlage, insbesondere ohne explizite Einwilligung der Betroffenen.​

Die Richter des BAG erkannten diese Übermittlung der personenbezogenen Daten als Datenschutzverstoß an. Das Gericht  bestätigte, dass bereits die Übermittlung der personenbezogenen Daten an den Cloud-Anbieter ohne ausreichende Rechtsgrundlage einen Kontrollverlust bedeutet. Der Kontrollverlust über personenbezogene Daten stelle einen ersatzfähigen immateriellen Schaden im Sinne der DSGVO dar. Dies gelte selbst dann, wenn keine weiteren konkreten Nachteile oder materiellen Schäden vorliegen.

Das Unternehmen wurde daher zur Zahlung von 200,00 Euro Schadensersatz an den betroffenen Mitarbeiter verpflichtet.