Personaldaten im Testsystem: Wann ein Schaden zählt

Das Archivdatum dient der Sortierung und bezeichnet keine frühere Veröffentlichung.

Was die Entscheidung für Betroffene bedeutet

Wenn Arbeitgeber eine neue Personalsoftware testen, können reale Beschäftigtendaten in weitere Systeme gelangen. Die Frage ist dann nicht allein, ob ein Projekt betriebliche Vorteile bietet, sondern welche Daten für welchen Test tatsächlich erforderlich waren. Beschäftigte sollten einen konkreten Kontrollverlust beschreiben können; Unternehmen benötigen eine nachvollziehbare Begrenzung des Testumfangs. Das BAG hat 2025 einen solchen Fall nach europarechtlicher Klärung entschieden. Das Ergebnis war ein überschaubarer individueller Ersatzbetrag und kein pauschaler Entschädigungstarif für jeden Datenverstoß.

Worauf es bei der Prüfung ankommt

Art. 82 DSGVO setzt einen Verstoß, einen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang voraus. Der Ersatz dient dem Ausgleich eines Schadens und ist keine private Strafzahlung. Für die Verarbeitung gelten zugleich Zweckbindung und Datenminimierung. Im Testprojekt sollte deshalb für jede Datenkategorie erklärt werden können, weshalb sie erforderlich ist und ob Dummy-Daten denselben Zweck erfüllen. Eine Betriebsvereinbarung ersetzt diese Prüfung nicht vollständig. Aus Beschäftigtensicht hilft die Unterscheidung zwischen einer objektiv rechtswidrigen Übermittlung und den persönlichen Folgen. Allgemeine Empörung beschreibt diese Folgen weniger präzise als ein belegter Verlust der Kontrolle über bestimmte sensible Informationen.

Diese Unterlagen helfen bei der Einordnung

Sichern Sie Datenschutzinformationen, Projektmitteilungen, einschlägige Betriebsvereinbarungen und Auskünfte zum Empfänger, zu Datenkategorien und Speicherzeiträumen. Beschreiben Sie, wann Sie von der zusätzlichen Verarbeitung erfahren haben und welche Informationen betroffen waren. Eine Auskunftsanfrage sollte einen erkennbaren Vorgang betreffen und keine ungesicherte Behauptung über sämtliche Systeme enthalten. Arbeitgeber sollten Testkonzept, Berechtigungskonzept, Löschregeln und die Prüfung alternativer Testdaten dokumentieren. Screenshots oder Schreiben dürfen nur auf rechtmäßigem Weg gesichert werden; ein Zugriff auf fremde Personalakten schafft zusätzliche Probleme.

Fristen und nächste Schritte

Für Auskunftsersuchen gilt nach Art. 12 DSGVO grundsätzlich eine Monatsfrist, mit gesetzlich geregelten Verlängerungsmöglichkeiten. Diese Antwortfrist ist von Verjährung und möglichen arbeitsvertraglichen Fristfragen eines Zahlungsanspruchs zu unterscheiden. Wer eine Geldforderung erwägt, sollte Anspruch, Zeitraum und persönliche Folgen zeitnah prüfen lassen. Eine Beschwerde bei einer Datenschutzaufsicht führt nicht automatisch zu einer Auszahlung. Auch die tatsächliche Löschung oder Begrenzung einer Verarbeitung kann ein eigenständiges Ziel sein. Entscheiden Sie zunächst, welche Information, Abhilfe oder Entschädigung Sie konkret benötigen.

Welche Grenzen die Entscheidung hat

Die zugesprochenen 200 Euro sind keine allgemeine Obergrenze und kein Mindestbetrag. Das Urteil rechtfertigt auch nicht die Verarbeitung beliebiger echter Daten zu Testzwecken. Umfang, Erforderlichkeit, Kontrollverlust und weitere nachgewiesene Folgen unterscheiden sich von Fall zu Fall und müssen gesondert bewertet werden.

Sie möchten Ihre Unterlagen und die nächsten Schritte besprechen? Kontaktieren Sie MANDATI in Essen unter 0201 890 722 40. Ob und wie ein Vorgehen sinnvoll ist, hängt von Ihrem konkreten Fall ab.