Arbeitgeber dürfen die Verwaltung ihrer Personalakten nicht einfach nach außen abgeben. Eine Verwaltung „durch hierzu nicht befugte Dritte“ verstößt gegen die Datenschutz-Grundverordnung (DSGVO) und kann Schadenersatzansprüche der Beschäftigten auslösen, wie der Bundesgerichtshof (BGH) in Karlsruhe in einem am Mittwoch veröffentlichten Urteil entschied. (Az. VI ZR 365/22)

Er gab damit einer Bundesbeamtin recht, die bei einer Bundesanstalt in Hannover arbeitet. Die Personalaktenverwaltung wurde dort früher durch Bedienstete des Landes Niedersachsen vorgenommen. Die Beamtin hatte dagegen schon länger Bedenken. Nach einer von ihr angestoßenen Intervention des Bundesdatenschutzbeauftragten wurde die beanstandete Verwaltungspraxis 2019 geändert.

Mit ihrer Klage verlangte die Beamtin nun Schadenersatz. Anders als beide Vorinstanzen gab der BGH dem nun im Grundsatz statt. Die Dienststelle der Beamtin habe die Personalakten ohne Zustimmung an Dritte weitergegeben. Auch die Behörde selbst sei offenbar davon ausgegangen, dass dies gegen die DSGVO verstößt.

Mit der Weitergabe der Personalakten habe die Klägerin die Kontrolle über ihre dort enthaltenen Daten verloren. Nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) könne schon dies einen Schadenersatzanspruch auslösen. Einen solchen Schaden müsse der Bund der Beamtin ersetzen. Dabei stellten die Karlsruher Richter klar, dass Schadenersatzansprüche nach der DSGVO unabhängig von möglichen Ansprüchen nach nationalem Recht sind, hier nach den Grundsätzen der Amtshaftung.

Wegen formaler Besonderheiten hatte der BGH über die Höhe des Schadenersatzes nicht zu entscheiden. Sollten sich beide Seiten nicht einigen, müssten sie dies in einem weiteren Gerichtsverfahren klären.

xmw/ilo