Workday-Test mit Echtdaten: 200 Euro Schadensersatz

Softwaretest mit echten Personaldaten

Neue Personalsoftware muss vor dem Start getestet werden. Am bequemsten geht das mit Daten, die ohnehin vorhanden sind: den echten Daten der Beschäftigten. Diesen Weg ging ein Unternehmen im Jahr 2017, und dafür hat das Bundesarbeitsgericht mit Urteil vom 8. Mai 2025 (8 AZR 209/21) Schadensersatz zugesprochen. Der Betrag von 200 Euro ist überschaubar. Die Begründung ist für jede Personalabteilung lesenswert, die gerade eine Cloud-Lösung einführt.

Der Fall: Ein Konzern plante, die cloudbasierte Software Workday als einheitliches System für die Personalverwaltung einzuführen. Eine deutsche Konzerngesellschaft übertrug dafür personenbezogene Daten ihrer Beschäftigten aus der bisherigen Personalsoftware an die Konzernobergesellschaft in den USA. Mit diesen Daten wurde Workday zu Testzwecken befüllt. Der Kläger, Organisationsprogrammierer und Vorsitzender des Betriebsrats, war einer der Betroffenen.

Was die Betriebsvereinbarung erlaubte

Den vorläufigen Testbetrieb regelte eine Betriebsvereinbarung, also eine Vereinbarung zwischen Arbeitgeber und Betriebsrat. Die Vereinbarung erlaubte die Übermittlung bestimmter Daten, darunter Name, Eintrittsdatum, Arbeitsort, Firma sowie geschäftliche Telefonnummer und E-Mail-Adresse.

Die Arbeitgeberin übermittelte deutlich mehr: Gehaltsinformationen, die private Wohnanschrift, das Geburtsdatum, den Familienstand, die Sozialversicherungsnummer und die Steuer-ID. Der Kläger verlangte deshalb 3.000 Euro als Ersatz für seinen immateriellen Schaden. Sein Argument: Die Arbeitgeberin habe die Grenzen der Betriebsvereinbarung überschritten.

Arbeitsgericht und Landesarbeitsgericht wiesen die Klage ab. Das Bundesarbeitsgericht setzte das Verfahren 2022 aus und legte dem Europäischen Gerichtshof Fragen zur Auslegung des Unionsrechts vor. Der EuGH beantwortete sie mit Urteil vom 19. Dezember 2024 (C-65/23). Die Revision des Klägers hatte teilweise Erfolg.

Schadensersatz nach Art. 82 DSGVO

Grundlage des Anspruchs ist Art. 82 Abs. 1 DSGVO. Wem durch einen Verstoß gegen die DSGVO ein Schaden entsteht, der kann vom Verantwortlichen Ersatz verlangen. Das gilt auch für einen immateriellen Schaden, also einen Nachteil, der sich nicht in Geld beziffern lässt. Drei Dinge müssen zusammenkommen: ein Verstoß, ein Schaden und ein Zusammenhang zwischen beiden.

Der Verstoß lag für das BAG auf der Hand. Arbeitgeberin und Betriebsrat hatten die Erlaubnis auf eine Liste von Datenarten beschränkt. Daraus folgt für das Gericht, dass nur diese Daten für den Test erforderlich waren. Die Arbeitgeberin behauptete selbst nicht, dass sie Gehalt, Adresse oder Steuer-ID für den Test gebraucht hätte. Die überschießende Übermittlung war damit nicht erforderlich und verstieß gegen die DSGVO.

Auf die allgemeine deutsche Vorschrift zum Beschäftigtendatenschutz konnte sich die Arbeitgeberin nicht stützen. Das BAG ließ sie unangewendet, weil ihr die Schutzmaßnahmen fehlen, die die DSGVO für solche nationalen Sonderregeln verlangt.

Kontrollverlust und die 200 Euro

Der Schaden liegt nach dem BAG im Kontrollverlust. Wer seine Daten bei einer anderen Konzerngesellschaft wiederfindet, ohne dass eine Erlaubnis das deckt, hat die Kontrolle darüber verloren. Das genügt, auch wenn der Verlust nur kurz dauert und der Schaden gering ausfällt. Nachweisen muss der Betroffene nur, dass er diesen Kontrollverlust erlitten hat.

Bemerkenswert ist der zeitliche Ablauf. Die Daten flossen bereits 2017, die DSGVO gilt erst seit dem 25. Mai 2018. Die Arbeitgeberin blieb aber auch danach Verantwortliche für die Daten in Workday. Um Rückübertragung oder Löschung bemühte sie sich nicht, und beides fand auch nicht statt. Wer Testdaten einmal hochlädt und dann vergisst, verarbeitet sie weiter.

Der Kläger wollte 3.000 Euro, bekommen hat er 200 Euro nebst Zinsen. Für die Höhe berücksichtigte das BAG drei Umstände: die Sensibilität der Daten, den größeren, aber auf den Konzern begrenzten Empfängerkreis und die Dauer des Kontrollverlusts. Besonders geschützte Daten wie Gesundheitsdaten waren nicht dabei.

Dass die Daten in die USA gingen, spielte für die Höhe keine Rolle. Ebenso wenig zählte, ob der Verstoß absichtlich geschah. Der Anspruch soll den Schaden ausgleichen, nicht den Arbeitgeber bestrafen. 200 Euro waren nach Ansicht des Senats erforderlich, aber auch ausreichend.

Was das Urteil für Unternehmen bedeutet

Die erste Nachricht ist beruhigend. Das BAG schließt Tests mit echten Daten nicht aus. Solche Tests können durch das berechtigte Interesse des Arbeitgebers gerechtfertigt sein, wenn entpersonalisierte Dummy-Daten für den Testzweck nicht ausreichen. Wer Echtdaten nutzen will, braucht also eine Antwort darauf, warum erfundene Testdaten nicht genügen. Und er darf nur die Datenarten übertragen, die der Test wirklich braucht.

Die zweite Nachricht betrifft die Betriebsvereinbarung. Im Urteil ist sie zum Maßstab dafür geworden, welche Daten erforderlich waren. Wer mit dem Betriebsrat eine Liste von Datenarten vereinbart, legt sich damit fest. Jede Übermittlung darüber hinaus ist schon deshalb ein Verstoß. Betriebsvereinbarung und Datenfluss müssen deshalb übereinstimmen, und zwar Feld für Feld. Vor dem Export aus dem Altsystem gleicht jemand die Exportfelder mit der Liste in der Vereinbarung ab. Für Betriebsräte ist die Entscheidung ein Argument, in Vereinbarungen zu IT-Systemen die Datenarten genau aufzulisten. Genau diese Liste hat dem Kläger den Anspruch verschafft.

Drittens endet die Verantwortung nicht beim Upload. Der Arbeitgeber bleibt Verantwortlicher, auch wenn die Daten beim Mutterkonzern in den USA liegen und mehrere Stellen gemeinsam über Zwecke und Mittel entscheiden. Solange die Daten im Testsystem bleiben, dauert der Kontrollverlust an. Ein Testbetrieb braucht deshalb ein festes Ende und einen Termin für die Löschung.

Was das BAG offengelassen hat

Ob die Betriebsvereinbarung selbst den Anforderungen der DSGVO genügte, hat das BAG nicht geprüft. Der Kläger hatte in der mündlichen Verhandlung klargestellt, dass er die Übertragung der erlaubten Daten nicht mehr angreift. Das Urteil beantwortet deshalb nicht, wann eine Betriebsvereinbarung als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten ausreicht. Die Unterschrift des Betriebsrats allein garantiert also nicht, dass ein Test rechtmäßig ist.