Geht ein Gehaltswunsch auf Reisen

Na, wäre das ein Angebot? 80.000 Euro plus variable Vergütung? Für eine Händlerstelle in einer Berliner Privatbank? Nein? Für den Bewerber war es das auch nicht, er hatte höhere Gehaltsvorstellungen. Die beiden Parteien kamen nicht zusammen. Soweit ein alltäglicher Vorgang in der Berufswelt. 

Daher dürfte der Mann bass erstaunt gewesen sein, als sich plötzlich ein ehemaliger Kollege von ihm meldete: Ob er auf Jobsuche sei? Die Bank hatte ihre vertrauliche Nachricht mit dem Gehaltsangebot über das Karriereportal Xing nicht nur an den Bewerber, sondern versehentlich auch an eine dritte Person verschickt, den Ex-Kollegen. Der meldete sich daraufhin mit obiger Nachfrage beim Bewerber. Das war am 23. Oktober 2018.

Was folgte, ist ein bis heute andauernder Rechtsstreit. Denn der am Ende abgelehnte Bewerber machte Schadenersatz geltend: Er müsse befürchten, dass der ehemalige Kollege die Informationen weitergegeben habe. Dieser habe sich durch seinen Informationsvorsprung sogar einen Vorteil für den Fall verschaffen können, dass sich beide auf die gleichen Stellen beworben hätten. Ohnehin empfand der Kläger es den Gerichtsakten zufolge als „Schmach“, in den Gehaltsverhandlungen unterlegen gewesen zu sein. Das hätte er anderen gegenüber nie eingeräumt. Erst recht nicht potenziellen Konkurrenten gegenüber.

So nahm die Klage ihren Lauf vom Landgericht Darmstadt über das Oberlandesgericht (OLG) Frankfurt, zum Bundesgerichtshof (BGH), zum Europäischen Gerichtshof (EuGH) und wieder über den BGH (Az.: VI ZR 97/22, Urteil vom 23. Juni 2026) zurück zum OLG Frankfurt. Die ersten Instanzen hatten sehr unterschiedlich geurteilt, doch mit den höchstrichterlichen Ausführungen des EuGH und des BGH besteht nun zumindest juristisch Klarheit. 

Erstens handelt es sich um einen Verstoß gegen die Europäische Datenschutz-Grundverordnung (DSGVO), so der BGH. Die Bank habe durch die Übermittlung der Nachricht personenbezogene Daten des Klägers einem Dritten offenbart. Noch wichtiger ist in diesem Zusammenhang die Interpretation des DSGVO-Artikels 82, Abs. 1: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“

Das OLG Frankfurt hatte einen solchen Anspruch verneint, weil der Kläger nicht habe nachweisen können, dass ihm ein konkreter Schaden entstanden sei. Selbst die von ihm empfundene „Schmach“ sei nicht als immaterieller Schaden zu bewerten. Schließlich habe er nicht angegeben, welches Gehalt er selbst verlangt hatte. Somit sei auch unklar, ob die angebotene Summe mit einer Diskreditierung verbunden gewesen war. Will heißen: 80.000 statt 85.000 Euro ist etwas anderes als 80.000 statt 160.000 Euro. 

Der EuGH und der BGH haben nun anders geurteilt. Der Europäische Gerichtshof verwies darauf, dass ein Schaden auch der „bloße Verlust der Kontrolle“ über die eigenen personenbezogenen Daten sein kann, selbst wenn konkret keine missbräuchliche Verwendung der Daten erfolgt sein sollte. Folglich kann auch die „(empfundene) Befürchtung einer betroffenen Person“, dass die Daten von Dritten missbräuchlich verwendet werden, einen immateriellen Schaden darstellen. Zumindest, sofern diese Befürchtungen samt ihrer negativen Folgen „ordnungsgemäß nachgewiesen“ seien. 

Im konkreten Fall fiel es nicht schwer, diesen Beweis zu führen: Der Kontrollverlust blieb nicht folgenlos, denn der unbeteiligte Dritte nahm Kontakt zum Bewerber auf. Auch die Befürchtung des Klägers, dass der in derselben Branche arbeitende Ex-Kollege sich die Daten für eigene Bewerbungen zunutze machen könnte, sahen die Richter als hinreichend begründet an. Über die konkrete Höhe des Schadenersatzes muss nun das OLG Frankfurt entscheiden. Ursprünglich gefordert waren mindestens 2.500 Euro.

Für Betriebsräte ist es wichtig, das Urteil und seine Auswirkungen zu kennen. Schließlich ist es gut möglich, dass sich Betroffene einer Datenpanne zunächst an sie wenden. Dem Gremium kommt außerdem nach § 80 Abs. 1 Nr. 1 BetrVG die Aufgabe zu, darüber zu wachen, dass die zugunsten der Arbeitnehmer*innen geltenden Verordnungen durchgeführt und eingehalten werden. Dazu zählen auch die Vorschriften der DSGVO und des Bundesdatenschutzgesetzes. Mit dem Urteil des BGH ist die Schwelle, ab der ein Verstoß haftungsrelevant werden könnte, gesunken. 

Des Weiteren können Betriebsräte das Urteil als Argument nehmen, stärker auf technische und organisatorische Schutzmaßnahmen bei der Personalkommunikation zu drängen. Gleichwohl sollte nicht mit Steinen werfen, wer im Glashaus sitzt: Auch der Betriebsrat muss seine Datenverarbeitung kritisch überprüfen, denn ihm kann ein nachlässiger Umgang mit personenbezogenen Daten ebenso zur Last gelegt werden.

Für Arbeitgeber kann die Moral von der Geschichte nur lauten, den versehentlichen Versand von Nachrichten mit vertraulichen persönlichen Angaben bestmöglich zu unterbinden. Ein Verbot der fortgeschrittenen Bewerberkommunikation über Karriereplattformen oder ein Vier-Augen-Prinzip vor dem Versenden hätten die „Schmach“ in diesem Fall wohl vermeiden können.