14.07.2023 Datenschutz im Arbeitsrecht bei Verstoß durch den Arbeitgeber

Der Arbeitnehmer kommt nicht drum herum, persönliche Daten von sich preiszugeben. Dies ist schon allein für die Lohnabrechnung unumgänglich. Doch was passiert, wenn der Arbeitgeber diese Daten nicht pfleglich behandelt und diese abhandenkommen? Unter welchen Umständen hat ein Arbeitnehmer nach einem Datenschutzverstoß durch den Arbeitgeber Anspruch auf Schadensersatz? Dazu hat kürzlich der Europäische Gerichtshof (EuGH) ein Urteil gefällt.

Arbeitgeber müssen personen-bezogene Daten ihrer Mitarbeiter aufnehmen und verarbeiten. Dazu gehören Erhebung, Erfassung, Speicherung, Abfrage und Verwendung. Gemäß DSGVO ist für die Verarbeitung personen-bezogener Daten eine rechtliche Grundlage erforderlich. Das heißt, der Arbeitgeber muss ein berechtigtes Interesse an den persönlichen Daten der MItarbeiter haben. Das ist gegeben, schließlich hat er sonst nicht die Möglichkeit, den Lohn abzurechnen oder Personalakten zu führen.

Verarbeitung persönlicher Daten im Arbeitsverhältnis Pflicht

Bei Bewerbungen sowie während der Aufnahme, Durchführung und Beendigung eines Arbeits-Verhältnisses spielen personen-bezogene Daten eine wesentliche Rolle. Gemäß Art. 4 Nr. 1 DSGVO beziehen sich alle personen-bezogenen Daten auf eine identifizierte oder identifizierbare lebende Person. Dabei zählen auch Teilinformationen, die zur Identifizierung einer bestimmten Person führen, als personen-bezogene Daten. Um die rechtmäßige Verarbeitung solcher Daten zu gewährleisten, muss sich der Arbeitgeber auf eine rechtliche Grundlage stützen. Seit Mai 2018 gilt die DSGVO. Davor diente § 26 Abs. 1 S. 1 BDSG als rechtliche Grundlage für die Verarbeitung personen-bezogener Daten im Arbeitsverhältnis.

Urteil des EuGH zur DSGVO

Der EuGH beschäftigte sich in seinem Urteil mit der Frage, ob die Verarbeitung der personen-bezogenen Daten im Arbeitsverhältnis auch weiterhin unter § 26 BDSG fallen (C-34-21). Das BDSG-neu trat zeitgleich mit der DSGVO im Mai 2018 in Kraft. Die DSGVO gewährt den EU-Staaten Spielraum für ihre nationalen Datenschutz-Gesetze. Das BDSG regelt also das deutsche Datenschutzgesetz so, dass es mit der DSGVO vereinbar ist. Allerdings greift es nur, wenn es nicht möglich ist, die DSGVO anzuwenden.

Schadensersatz bei Datenschutz-Verstößen

Die Verarbeitung personen-bezogener Daten ohne rechtliche Grundlage ist datenschutzrechtlich unzulässig. In seinem Urteil vom 4. Mai 2023 (2023 - 300/21) beschäftigte sich der EuGH mit den Rechtsfolgen einer unrechtmäßigen Verarbeitung von Daten, insbesondere mit den Voraussetzungen eines Schadensersatz-Anspruchs gemäß Art. 82 DSGVO. Der EuGH stellte fest, dass ein Verstoß gegen die Bestimmungen der DSGVO nicht automatisch zu einem Schadensersatz-Anspruch führt (Urteil vom 4. Mai 2023 - Az.: C-300/21). Für einen Schadensersatz-Anspruch gemäß Art. 82 DSGVO muss ein materieller oder immaterieller Schaden vorliegen. Außerdem ist ein ursächlicher Zusammenhang zwischen dem Datenschutzverstoß und dem Schaden nachzuweisen. Ist allerdings ein Schaden entstanden, ist es nicht wichtig, wie gravierend der Schaden ausfällt.

Tragweite des EuGH-Urteils

Diese Entscheidung hat weitreichende Folgen für den Schadensersatz-Anspruch gemäß Art. 82 DSGVO. Unternehmen können nun nicht mehr argumentieren, dass sie einen Schadensersatz-Anspruch ablehenen, weil sie ihn für unerheblich halten. In Bezug auf die Höhe des Schadensersatzes hat der EuGH hinzugefügt: Eine Entschädigung gemäß Art. 82 DSGVO ist gegeben, wenn ein vollständiger Ausgleich des Schadens stattfindet.

Sie benötigen Hilfe im Arbeitsrecht? Wawra & Gaibler hilft!

Wir vertreten ausschließlich Arbeitnehmer und helfen Ihnen bei allen Problemen rund um das Thema Arbeitsrecht und Verbraucherschutz. Wenden Sie sich hierzu jederzeit schriftlich oder telefonisch an uns. Wir prüfen Ihren Fall in einer kostenfreien und unverbindlichen Erstberatung.

NUTZEN SIE HIER AUCH UNSERE KOSTENFREIE UND UNVERBINDLICHE ERSTEINSCHÄTZUNG.