Bundesarbeitsgericht, Urteil vom 08.05.2025 – 8 AZR 209/21, Pressemitteilung Nr. 20/25 vom 08.05.2025
Hintergrund
Der Kläger dieses Verfahrens war bei der beklagten Arbeitgeberin seit dem Jahr 1984 als Organisationsprogrammierer angestellt. Obendrein ist er Vorsitzender des Betriebsrates des beklagten Unternehmens. Die Beklagte ist seit dem Jahr 2022 eingegliedert in einen finnischen Mutterkonzern.
Insbesondere, jedoch nicht ausschließlich, im Rahmen der Abrechnung verarbeitete die Beklagte personenbezogene Daten ihrer Beschäftigten mittels einer SAP-Software zur Personalverwaltung. Zu diesem Zwecke wurden zwischen der Beklagten und dem Betriebsrat mehrere sogenannte Betriebsvereinbarungen geschlossen. Im Kontext des Betriebsverfassungsgesetzes (BetrVG) können Betriebsvereinbarungen, die formelle und materielle Arbeitsbedingungen oder auch anderweitige betriebsverfassungsrechtliche Fragen zum Inhalt haben, zwischen dem Arbeitgeber und dem Betriebsrat geschlossen werden.
Im Jahr 2017 wurde geplant, innerhalb des Mutterkonzerns konzernweit die Software Workday als einheitliches Personal-Informationsmanagementsystem einzuführen. Daher übertrug die Beklagte die personenbezogenen Daten des Klägers aus dem SAP-Programm auf eine Sharepoint-Seite der Konzernobergesellschaft mit einem Server-Standort in den USA zum Zwecke der Einpflegung der Daten in die Software Workday.
Die Beklagte und der Betriebsrat unterzeichneten im Juli 2017 eine Betriebsvereinbarung zur Einführung der Software Workday, innerhalb derer der vorläufige Testbetrieb geregelt und der Beklagten die Erlaubnis erteilt wurde, Daten wie etwa die Personalnummer, den Namen, das Eintrittsdatum, die Firma, die geschäftliche Telefonnummer und E-Mailadresse sowie den Arbeitsort des jeweiligen Arbeitnehmers zu übermitteln. Zu den übermittelten Daten gehörten obendrein die Gehaltsinformationen, die Wohnanschrift, das Geburtsdatum, die Sozialversicherungsnummer und Steuer-ID des Klägers sowie dessen Alter und Familienstand.
Seit April 2017 forderte der Kläger – ebenso wie einige andere Beschäftigte – die Beklagte mehrfach auf, ihm über die in der Software Workday gespeicherten Informationen Auskunft zu erteilen. Ab deren Geltungszeitpunkt am 25.05.2018 stützte er sich dabei auf die Datenschutzgrundverordnung (DGSVO). Er vertrat obendrein die Ansicht, dass ihm ein immaterieller Schadensersatz gemäß Art. 82 Abs. 1 DSGVO zustünde, da die Beklagte die Reichweite der Betriebsvereinbarung überschritten habe, indem sie all diese Informationen in die Software einpflegte.
Klageweise machte der Arbeitnehmer daher zunächst vor dem Arbeitsgericht Ulm einen Zahlungsanspruch in Höhe von 3.000 € geltend, der jedoch abgewiesen wurde. Auch das Landesarbeitsgericht Baden-Württemberg lehnte einen Anspruch im Berufungsverfahren ab. Das daraufhin befasste Bundesarbeitsgericht setzte das Verfahren in der Revisionsinstanz aus und legte dieses dem Gerichtshof der Europäischen Union im Wege eines Vorabentscheidungsverfahrens vor.
Der Gerichtshof der Europäischen Union beantwortete die ihm vorgelegten Fragen im Dezember 2024 und stellte in diesem Zuge fest, dass Betriebsvereinbarungen sich im Rahmen der Regelungen der DSGVO bewegen müssen und eine Datenverarbeitung, die mittels einer Betriebsvereinbarung geregelt wird, nach der DSGVO rechtlich zulässig sein muss. Das Bundesarbeitsgericht urteilte daraufhin über die Revision des Klägers unter Beachtung dieser Vorabentscheidung.
Gründe
Die Revision des Klägers hatte teilweise Erfolg, da ihm ein Anspruch auf Schadensersatz in Höhe von 200 € gegen die Beklagte zugesprochen wurde. Gemäß Art. 82 Abs. 1 DSGVO kann einer Person, der aufgrund eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, ein Anspruch auf Schadensersatz gegen den Verantwortlichen zustehen. Diese Norm dient also als Anspruchsgrundlage für derartige Schäden.
Eine Verletzung der DSGVO lag vorliegend darin, dass die Beklagte auch Informationen in die Software Workday übertrug, deren Übertragung nicht in der Betriebsvereinbarung vorgesehen und somit nicht erforderlich war. Dadurch kam es zu einem Kontrollverlust des Klägers hinsichtlich seiner personenbezogenen Daten an die Konzernobergesellschaft der Beklagten. Ob die Betriebsvereinbarung an sich in Konkordanz zu den Regelungen der DSGVO stand, war seitens des Bundesarbeitsgerichts nicht mehr zu prüfen, da der Kläger in der mündlichen Verhandlung erläuterte, einen Anspruch nicht mehr auf die Betriebsvereinbarung an sich zu stützen.
Bewertung
Gemäß Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen. Ein solcher immaterieller Schaden ist gegeben, wenn die betroffene Person einen Verlust der Kontrolle über die eigenen personenbezogenen Daten erleidet, also etwa nicht mehr beurteilen kann, wer auf welche Informationen über sie zugreifen kann. Liegt ein kausal durch einen Verstoß gegen die DSGVO entstandener – materieller oder immaterieller – Schaden vor, so besteht ein Schadensersatzanspruch.
Auch im Rahmen von Betriebsvereinbarungen darf nicht von den Vorschriften der DSGVO abgewichen werden. Eine Verarbeitung von personenbezogenen Informationen darf daher auch bei Betriebsvereinbarungen nur erfolgen, wenn diese zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Die Interessen der betroffenen Person dürfen dabei nicht überwiegen. Vorliegend waren die in die neue Software eingepflegten Daten teilweise noch nicht einmal von der Betriebsvereinbarung gedeckt, sodass allein insofern schon ein Kontrollverlust des Klägers bestand. Die Überschreitung der Reichweite einer Betriebsvereinbarung kann daher einen datenschutzrechtlichen Schadensersatzanspruch begründen.
Dr. iur. Christoph Roos
Fachanwalt für Arbeitsrecht
Unsere Fachanwälte in Bonn betreuen seit vielen Jahren sowohl Arbeitgeber- als auch die Arbeitnehmerseite zu allen entscheidenden arbeitsrechtlichen Fragen. Lesen Sie mehr zu den Tätigkeitsschwerpunkten unserer Kanzlei unter www.rnsp.de.