Arbeitgeberin hält Betriebsvereinbarung nicht ein
Der Fall: Die Arbeitgeberin entschied im Jahr 2017, das cloudbasierte Personalverwaltungssystem „Workday“ konzernweit einzuführen und dieses statt des bis dato genutzten SAP-Systems zu nutzen. Die Server von Workday stehen in den USA.
Wie bei der Einführung komplizierter IT-Systeme üblich, sollte Workday in einem Testbetrieb vorab ausprobiert werden. Bei solchen Testbetrieben ist es zudem üblich, dass nach einer gewissen Phase nicht nur sogenannte Dummy-Daten genutzt werden, sondern vielmehr Echtdaten der Beschäftigten verwendet werden.
Um die Mitbestimmungsrechte des Betriebsrats bei der Einführung von IT-Systemen zu wahren, einigten sich der Arbeitgeber und der Betriebsrat auf eine Betriebsvereinbarung. Diese ermöglichte es dem Arbeitgeber, bestimmte personenbezogene Daten der Arbeitnehmerinnen und Arbeitnehmer an die Software zu übermitteln. Zu den in diesem Rahmen erlaubten Daten gehörten Name, Eintrittsdatum, Arbeitsort sowie geschäftliche Kontaktdaten wie geschäftliche Telefonnummer und E-Mail-Adresse.
Allerdings hielt sich der Arbeitgeber nicht an die Vorgaben. Im Testbetrieb wurden mehr Daten übermittelt, als die Betriebsvereinbarung vorsah.
Arbeitnehmer stellt Missbrauch fest
Ein Arbeitnehmer, der Betriebsratsvorsitzende, fand heraus, dass während des Testbetriebs auch sensible Daten wie Gehaltsdaten, seine private Wohnanschrift und Steuer-IDs an die Konzernmuttergesellschaft weitergegeben wurden. Der Arbeitnehmer war mit der Übertragung nicht einverstanden. Er forderte deshalb Schadenersatz in Höhe von 3.000 € nach Art. 82 Abs. 1 DSGVO.
Seine Forderung begründete er damit, dass der Arbeitgeber nicht befugt gewesen sei, ihn betreffende personenbezogene Daten, die über die Regelungen in der Betriebsvereinbarung hinausgehen, im Rahmen des Testbetriebs zu verarbeiten.
Erfolg vor dem EuGH
Vor dem Landesarbeitsgericht Baden-Württemberg hatte er keinen Erfolg (25.2.2021, Az. 17 Sa 37/20). Das Gericht begründete seine ablehnende Entscheidung damit, dass reine Befürchtungen, US-Behörden und Konzerngesellschaften könnten unbefugt auf Daten zugreifen, keinen ersatzfähigen Schaden darstellen.
Der Arbeitnehmer zog deshalb vor das BAG. Dieses legte die Sache zunächst dem Europäischen Gerichtshof (EuGH) vor, der daraufhin klarstellte, dass Regelungen in Betriebsvereinbarungen stets den Vorgaben der DSGVO entsprechen müssen (EuGH, 19.12.2024, Az. C-65/23).
BAG spricht Schadenersatz für Kontrollverlust zu
Die Entscheidung: Das BAG orientierte sich an der Rechtsprechung des EuGH. Es sprach dem Arbeitnehmer einen Anspruch auf Schadenersatz zu – allerdings nur in Höhe von 200 €. In ihrer Begründung wiesen die Richter darauf hin, dass der Arbeitgeber mehr personenbezogene Daten an die Konzernobergesellschaft übermittelt habe, als es die Betriebsvereinbarung zulasse.
Das Gericht stellte zudem klar, dass die Übertragung im Testbetrieb nicht notwendig gewesen sei. Deshalb habe der Arbeitgeber insoweit gegen die DSGVO verstoßen.
