Arbeitgeber trainiert Software mit Mitarbeiterdaten – Mitarbeiter erhält Schadenersatz

Als Praxisinhaber werden Sie die Daten Ihrer Mitarbeiter verarbeiten müssen. Dies ist auch von der Datenschutzgrundverordnung (DSGVO) gedeckt. Problematisch kann es jedoch werden, wenn Sie hier eine neue Software zu Trainingszwecken mit den Daten Ihrer Beschäftigten füttern möchten. Die Schadenersatzklage eines Arbeitnehmers vor dem Bundesarbeitsgericht (BAG) hatte Erfolg (Urteil von 08.05.2025, Az. 8 AZR 209/21). Auch wenn im vorliegenden Fall nur ein relativ geringer Schadenersatz zugesprochen wurde, sollten Sie stets vorsichtig bei dem Umgang mit den Daten der Mitarbeiter sein.

Firma testet "Workday" mit echten Daten, Mitarbeiter klagt erfolgreich

Ein Arbeitgeber hatte zu Testzwecken die Personal-Software "Workday" mit echten Daten der Mitarbeiter gefüttert. Mit dem Betriebsrat war abgestimmt, dass hier nur bestimmte Daten übertragen werden dürfen. Daran hielt sich der Arbeitgeber nicht und übertrug zusätzliche Daten wie Anschriften oder Sozialversicherungsnummern an das Programm. Hiergegen klagte ein Arbeitnehmer und verlangte 3.000 Euro Schadenersatz. Das BAG gab der Klage statt, hielt aber eine Schadenersatzzahlung i. H. v. 200 Euro für angemessen.

Darum sah das BAG einen Schadenersatzanspruch

Nach Auffassung des BAG war die Überlassung der Mitarbeiterdaten nicht nach Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO gerechtfertigt. Demnach wäre die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen (hier des Arbeitgebers) erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person (hier des Arbeitnehmers), die den Schutz personenbezogener Daten erfordern, überwiegen.

Eine Rechtfertigung der Verarbeitung personenbezogener Daten im vorläufigen Betrieb von Workday zu "Testzwecken" sei nicht von vornherein ausgeschlossen, sofern entpersonalisierte sog. Dummy-Versuchsdaten nicht ausreichen sollten, um den Testzweck zu erreichen. Das war hier jedoch nicht der Fall, da etwas anderes mit dem Betriebsrat abgestimmt war.

Der Kläger habe durch die Übertragung der "zusätzlichen" personenbezogenen Daten einen immateriellen Schaden i. S. v. Art. 82 Abs. 1 DSGVO erlitten. Der – selbst kurzzeitige – Verlust der Kontrolle über personenbezogene Daten kann einen immateriellen Schaden darstellen, der einen Schadenersatzanspruch begründet. Der Schaden in Gestalt des eingetretenen Kontrollverlustes war auch kausal durch den Verstoß der Beklagten gegen die DSGVO verursacht.