Datenschutz und Arbeitsrecht – Löschen und Betroffenenrechte managen nach DSGVO
Zuletzt aktualisiert am 2. August 2026
Im Dezember 2021 hat das Arbeitsgericht Neuruppin einen Arbeitgeber zur Zahlung von Schadensersatz in Höhe von 1.000€ an eine ehemalige Arbeitnehmerin aus Art. 82 DSGVO verurteilt. Grund dafür war, dass die ehemalige Arbeitnehmerin nach Beendigung des Arbeitsverhältnisses vom Arbeitgeber weiterhin auf dessen Webseite erwähnt wurde.
Dies hätte durch ein effizientes Löschkonzept und ein nachhaltiges Management von Betroffenenrechten vermieden werden können. Was Sie dazu wissen müssen, erfahren Sie hier.
Der Fall – Schadensersatz nach Art. 82 DSGVO
Der Sachverhalt, den das Arbeitsgericht Neuruppin zu entscheiden hatte, gestaltet sich wie folgt: Die Klägerin war Arbeitnehmerin bei der Beklagten. Sie war als Mitarbeiterin im Büromanagement angestellt, verfügte aber auch über einen akademischen Abschluss als Biologin.
DATUREX GmbH stellt Ihnen einen externen Datenschutzbeauftragten nach Art. 37 DSGVO — inklusive Audit, Schulungen, VVT-Pflege und Datenpannen-Meldung. Kostenlose Ersteinschätzung in 30 Minuten.
→ Leistungen ansehenErsteinschätzung anfragenIm Rahmen der Beendigung des Arbeitsverhältnisses wies die Klägerin die Beklagte an darauf hin, dass auf der Webseite der Beklagten die Klägerin immer noch benannt sei, dies insbesondere als Biologin. In diesem Schreiben wurde gleichzeitig darauf hingewiesen, dass die Hinweise auf der Website nicht mehr zu führen seien und die Klägerin sich im Übrigen nach Ablauf aller bisher gesetzter Fristen an die Landesbeauftragte für Datenschutz gewendet habe.
Auf der Webseite der Beklagten erschien aber weiter ein Inhalt über die Klägerin, in der diese als mitarbeitende Biologin bezeichnet wurde. Daraufhin forderte die Klägerin eine Unterlassungserklärung und eine Geldentschädigung. Die Beklagte gab die Erklärung ab und zahlte 150€ an die Klägerin.
Die Klägerin reichte daraufhin Klage ein und forderte vor Gericht 5.000€ Schadensersatz.
Das Gericht sprach der Klägerin einen Anspruch in Höhe von 1.000€ (abzüglich der gezahlten Summe) aus Art. 82 DSGVO zu. Die Voraussetzungen des Art. 82 DSGVO (Verstoß gegen die DSGVO (Betroffenenrechte), dadurch eingetretener Schaden und Verantwortlichkeit) lägen vor. Den Nachweis eines konkreten Schadens hielt das Gericht dabei nicht für nötig. Die Höhe orientierte sich dabei an der aktuellen Rechtsprechung.
Das Arbeitsgericht Neuruppin setzt mit diesem Urteil die arbeitnehmerfreundliche Auslegung des Datenschutzrechts durch die Arbeitsgerichte fort und belegt eindrucksvoll die hohen Risiken für Unternehmen, wenn es zu (vermeintlichen) Verstößen gegen den Datenschutz kommt. Besonders brisant dabei ist, dass sich die Gesamtsumme der Schadensforderungen schnell erhöhen kann, wenn ein Verstoß mehrere Beschäftigte berührt.
Schutzmaßnahmen für Arbeitgeber
Um sich vor solchen Schadensersatzzahlungen zu schützen, ist für Arbeitgeber nicht nur ein effizientes Löschkonzept, sondern auch ein nachhaltiges Management von Betroffenenrechten nötig.
Löschkonzept nach DSGVO
Die DSGVO enthält nicht nur Vorgaben zur Erhebung und Speicherung, sondern auch zum Löschen von Daten und macht dieses sogar zur Pflicht. Dies kontrollieren dementsprechend auch die zuständigen Aufsichtsbehörden. Bei Verstößen drohen schon ohne Betroffenen als Kläger hohe Bußgelder.
Die Speicherung von Daten ist nur über den Zeitraum der Zweckdienlichkeit erlaubt (Speicherbegrenzung und Zweckbindung der Verarbeitung). Über ein Löschkonzept kann der Verantwortliche Regeln festlegen, wann welche Daten zu löschen sind. Damit ist ein Löschkonzept immer individuell auf den jeweiligen Verantwortlichen zugeschnitten. Um ein solches Löschkonzept zu erarbeiten, ist also eine genaue Analyse der Verarbeitungsvorgänge und betroffener Daten notwendig.
Zu beachten ist auch, dass die Daten am Ende wirklich gelöscht, also unkenntlich gemacht sind.
Management von Betroffenenrechten nach DSGVO
Die Betroffenenrechte aus der DSGVO dienen dazu, den Betroffenen die Kontrolle über ihre Daten zu geben. Besonders bezüglich Auskunftsersuchen müssen im Unternehmen geeignete Infrastrukturen vorliegen. Werden Auskunftsersuchen nicht ausreichend beachtet, drohen auch hier Bußgelder.
Ein Auskunftsverlangen kann sich in der Praxis als sehr umfangreich und komplex erweisen. Der Verantwortliche muss zunächst den Betroffenen identifizieren, sich bei der Beantwortung an Fristen halten und auch den Umfang des Ersuchens beachten.
Um dies nachhaltig umzusetzen, sind nach der DSGVO geeignete Datenschutzprozesse nötig. Der Verantwortliche sollte auf Auskunftsersuche vorbereitet sein, bevor ihn das erste erreicht. Dafür sind sowohl technische als auch personelle Kapazitäten notwendig.
Hierbei stehen unsere Experten Ihnen gern zur Seite!
Aktuelle Rechtsprechung zum Schadensersatz im Arbeitsverhältnis
Die Rechtsprechung zum Schadensersatz bei Datenschutzverstößen im Arbeitsverhältnis hat sich seit dem Urteil des Arbeitsgerichts Neuruppin weiterentwickelt. Mehrere Landesarbeitsgerichte haben inzwischen ebenfalls Schadensersatzansprüche aus Art. 82 DSGVO zugesprochen, wobei die zugesprochenen Beträge deutlich variieren.
Das Landesarbeitsgericht Düsseldorf sprach einem ehemaligen Mitarbeiter einen Schadensersatz von 5.000 Euro zu, weil der Arbeitgeber auf ein Auskunftsersuchen nach Art. 15 DSGVO nicht vollständig geantwortet hatte. Das Arbeitsgericht Oldenburg verurteilte einen Arbeitgeber zur Zahlung von 2.000 Euro, weil dieser die Personalakte des Klägers ohne Rechtsgrundlage an einen Prozessbevollmächtigten weitergegeben hatte.
Diese Urteile verdeutlichen, dass die Arbeitsgerichte zunehmend bereit sind, empfindliche Schadensersatzbeträge bei Datenschutzverstößen im Arbeitsverhältnis zuzusprechen. Für Arbeitgeber unterstreicht dies die Notwendigkeit, ein effektives Datenschutzmanagement zu implementieren und Betroffenenrechte ernst zu nehmen.
Aufbau eines wirksamen Löschkonzepts
Ein wirksames Löschkonzept ist für jedes Unternehmen nötig, um Datenschutzverstöße wie den im vorliegenden Fall zu vermeiden. Das Löschkonzept sollte systematisch erfassen, welche personenbezogenen Daten im Unternehmen verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht, wie lange die Daten gespeichert werden dürfen und wie die fristgerechte Löschung sichergestellt wird.
Die DIN 66398 bietet hierzu einen anerkannten Rahmen. Sie beschreibt einen dreistufigen Prozess: Zunächst werden die verschiedenen Datenarten identifiziert und in Löschklassen eingeteilt. Dann werden für jede Löschklasse Aufbewahrungsfristen und Löschregeln definiert. Schließlich wird ein Umsetzungskonzept erstellt, das festlegt, wie die Löschung technisch und organisatorisch durchgeführt wird.
Besonderheiten im Beschäftigungsverhältnis
Im Beschäftigungsverhältnis sind die Aufbewahrungsfristen besonders verschieden. Lohnabrechnungen und Sozialversicherungsdaten müssen beispielsweise sechs Jahre aufbewahrt werden, während Lohnsteuerunterlagen zehn Jahre aufzubewahren sind. Bewerbungsunterlagen abgelehnter Bewerber sollten in der Regel sechs Monate nach der Absage gelöscht werden, um potenzielle Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) abwarten zu können.
Management von Betroffenenrechten im Unternehmen
Neben dem Löschkonzept ist ein strukturiertes Management von Betroffenenrechten erforderlich. Die DSGVO gewährt betroffenen Personen umfangreiche Rechte, darunter das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).
Unternehmen müssen Prozesse etablieren, die sicherstellen, dass eingehende Anträge betroffener Personen fristgerecht bearbeitet werden. Die DSGVO sieht hierfür eine Frist von einem Monat vor, die in besonders komplexen Fällen um weitere zwei Monate verlängert werden kann.
Technische Umsetzung des Betroffenenrechte-Managements
Für die effiziente Bearbeitung von Betroffenenanfragen empfiehlt sich die Implementierung eines Ticket-Systems oder einer speziellen Software für Datenschutzanfragen. Diese Systeme ermöglichen die zentrale Erfassung, Nachverfolgung und fristgerechte Bearbeitung aller eingehenden Anfragen.
Wichtig ist dabei auch die Identitätsprüfung des Antragstellers. Der Verantwortliche muss sicherstellen, dass er Daten nur an die tatsächlich betroffene Person herausgibt und nicht an einen unbefugten Dritten.
Dokumentationspflichten des Arbeitgebers
Arbeitgeber sind nach Art. 5 Abs. 2 DSGVO verpflichtet, die Einhaltung der datenschutzrechtlichen Grundsätze nachweisen zu können (Rechenschaftspflicht). Im Kontext des Beschäftigtendatenschutzes bedeutet dies, dass alle datenschutzrelevanten Prozesse dokumentiert werden müssen.
Dazu gehört insbesondere die Dokumentation der Löschvorgänge, die Protokollierung von Betroffenenanfragen und deren Bearbeitung sowie die Dokumentation der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis. Auch die regelmäßige Schulung der Mitarbeiter zum Thema Datenschutz sollte dokumentiert werden.
Eine lückenhafte Dokumentation kann im Streitfall dazu führen, dass der Arbeitgeber die Rechtmäßigkeit seiner Datenverarbeitung nicht nachweisen kann und dadurch Schadensersatzansprüchen ausgesetzt ist. Eine strukturierte Dokumentation ist daher nicht nur eine rechtliche Pflicht, sondern auch ein wichtiger Schutz vor finanziellen Risiken.
Offboarding-Prozesse und DatenschutzDer vorliegende Fall des Arbeitsgerichts Neuruppin zeigt eindrücklich, wie wichtig ein strukturierter Offboarding-Prozess ist. Wenn ein Mitarbeiter das Unternehmen verlässt, müssen zahlreiche datenschutzrelevante Schritte unternommen werden:
Zunächst müssen alle öffentlich zugänglichen Informationen über den ehemaligen Mitarbeiter entfernt werden, insbesondere von der Unternehmenswebseite, aus Broschüren und Marketingmaterialien. Sodann sind alle Zugänge des Mitarbeiters zu IT-Systemen zu sperren und E-Mail-Konten zu deaktivieren.
Außerdem müssen alle personenbezogenen Daten des ehemaligen Mitarbeiters überprüft werden. Daten, für die kein Aufbewahrungsgrund mehr besteht, sind unverzüglich zu löschen. Daten, die noch aufbewahrt werden müssen, etwa aus steuer- oder sozialversicherungsrechtlichen Gründen, sind entsprechend zu kennzeichnen und nach Ablauf der jeweiligen Frist zu löschen.
Ein externer Datenschutzbeauftragter kann Unternehmen dabei unterstützen, wirksame Löschkonzepte zu entwickeln und Offboarding-Prozesse datenschutzkonform zu gestalten.
Professionelle Datenschutz-Unterstützung für Ihr Unternehmen
Als erfahrene Datenschutzexperten unterstützen wir Sie bei allen Anforderungen der DSGVO. Unsere Leistungen im Überblick:
- DSGVO-Beratung – Individuelle Beratung für Ihr Unternehmen
- Verarbeitungsverzeichnis – Professionelle Erstellung und Pflege
- Technisch-organisatorische Maßnahmen – TOM nach DSGVO
- Datenschutz-Schulungen – Mitarbeiterschulungen und Awareness
Verwandte Beiträge
Professioneller Datenschutz für Ihr Unternehmen
Die DATUREX GmbH ist Ihr zertifizierter externer Datenschutzbeauftragter — bundesweit, persönlich und DSGVO-konform. Ab 150 €/Monat.