Datenschutzverstoß kostet Unternehmen teuer: BAG gewährt Entschädigung nach Workday-Datenaffäre

‍

Das Bundesarbeitsgericht hat eine richtungsweisende Entscheidung zum Datenschutz am Arbeitsplatz gefällt. Bei unzulässiger Datennutzung winkt Beschäftigten finanzielle Kompensation – selbst wenn ein Einsatz der Daten für Testzwecke betrieblich vereinbart war.

Kontrollverlust als ersatzfähiger Schaden anerkannt

In einem aktuellen Grundsatzurteil vom 8. Mai 2025 (Az. 8 AZR 209/21) stellte das Bundesarbeitsgericht (BAG) klar: Der Verlust der Kontrolle über die eigenen Informationen stellt einen immateriellen Schaden dar, für den Arbeitgeber haften. Ein Mitarbeiter hatte erfolgreich gegen seinen Arbeitgeber geklagt, nachdem dieser im Rahmen eines Softwaretests hochsensible Personaldaten wie Gehaltsdetails, Privatadressen und Steuer-IDs an die Konzernmutter übermittelt hatte – weit mehr als in der zugrundeliegenden Betriebsvereinbarung gestattet.

EuGH prägt Auslegung der DSGVO

Nach Vorlage durch das BAG hatte der Europäische Gerichtshof (Urt. v. 19.12.2024, Az. C-65/23) bereits Leitplanken gesetzt: Selbst Betriebsvereinbarungen unterliegen vollumfänglich den DSGVO-Anforderungen – besonders den Grundsätzen der Zweckbindung und Speicherbegrenzung. Eine schlichte Einigung zwischen Betriebsrat und Unternehmen genügt nicht, wenn die Verarbeitung nicht auch nach Art. 6 und 9 DSGVO rechtmäßig ist.

Lessons Learned für HR-Praxis

Für Arbeitgeber bedeutet die Entscheidung: Bei der Einführung digitaler HR-Systeme wie dem cloudbasierten "Workday" reicht eine Betriebsvereinbarung als Absicherung nicht aus. Die tatsächliche Datennutzung muss strikt im vereinbarten Rahmen bleiben. Das BAG knüpft an frühere Rechtsprechung an, verlangt aber mehr als ein bloßes "Störgefühl" des Betroffenen für einen Schadensersatzanspruch.

‍