Arbeitnehmer können einen Anspruch auf Schadensersatz wegen eines Verstoßes gegen die Datenschutzgrundverordnung (DSVGO) gegen Ihren Arbeitgeber durchsetzen. Dies hat das Bundesarbeitsgerichts (BAG) am 8. Mai 2025 (8 AZR 209/21) entschieden. 

Ein Arbeitnehmer hat Anspruch auf Schadenersatz nach Art. 82 DSGVO, weil sein Arbeitgeber personenbezogene Daten über das in einer Betriebsvereinbarung erlaubte Maß hinaus an die Konzernobergesellschaft übermittelt hat, um eine HR-Software zu testen. Die Übertragung umfasste sensible Daten des Arbeitnehmers wie Gehalt, Adresse und Sozialversicherungsnummer, obwohl laut Vereinbarung mit dem Betriebsrat nur Basisdaten übermittelt werden durften. Der EuGH hatte zuvor in einer Vorabentscheidung die Voraussetzungen für Schadenersatz nach DSGVO klargestellt: die zusätzliche Datenübermittlung war für den Testlauf der HR-Software nicht erforderlich und verstieß somit gegen Art. 6 Abs. 1 lit. f DSGVO. Das BAG erkannte dem Kläger 200 Euro als immateriellen Schadenersatz zu. Der Schaden bestand darin, dass der Arbeitnehmer die Kontrolle über seine persönlichen Daten verloren habe, die jetzt von der Konzerngesellschaft zu Testzwecken verarbeitet werden. Die ursprüngliche Forderung des Arbeitnehmers von 3.000 Euro wurde von dem BAG nicht vollumfänglich anerkannt. Die Klage hatte daher nur teilweise Erfolg. 

Fazit: Arbeitgeber müssen sicherstellen, dass sie sich bei der Verarbeitung personenbezogener Daten ihrer Arbeitnehmer konsequent an die Vorgaben von Betriebsvereinbarungen und die Erforderlichkeitsgrenze der DSGVO halten, um Schadenersatzansprüche zu vermeiden.