Fehlgeleitete Bewerberdaten: BGH spricht DSGVO-Schadensersatz zu — so prüfen Sie Ihre HR-Prozesse jetzt

Ein versehentlich an den falschen Empfänger weitergeleitetes Bewerbungsdokument auf Xing — und der Bundesgerichtshof spricht dem Bewerber DSGVO-Schadensersatz zu. Das Urteil verdeutlicht, was viele Unternehmen noch unterschätzen: Datenpannen im Bewerbungsprozess sind keine Bagatelle, auch wenn sie „nur“ eine einzelne Nachricht betreffen.

Der Fall klingt zunächst wie ein alltäglicher Fehler: Eine Personalverantwortliche leitet eine Bewerbungsnachricht über die Plattform Xing versehentlich an eine dritte Person weiter — statt an die zuständige Stelle im Unternehmen. Ein Klick zu viel, falscher Empfänger. Der Bundesgerichtshof (BGH) hat nun klargestellt, dass solche Fehler unter die DSGVO fallen und einen Anspruch auf immateriellen Schadensersatz begründen können.

Für Datenschutzrechtler ist das keine Überraschung. Für viele Personalverantwortliche und IT-Abteilungen dürfte es ein Weckruf sein.

Was der BGH entschieden hat

Der Bundesgerichtshof hat festgehalten, dass eine fehlerhafte Weiterleitung von Bewerberdaten an Dritte einen Verstoß gegen die DSGVO darstellt, der Schadensersatzansprüche nach Artikel 82 DSGVO auslöst. Entscheidend: Die betroffene Person muss dabei keinen konkreten materiellen Schaden nachweisen. Der Kontrollverlust über die eigenen personenbezogenen Daten genügt als immaterieller Schaden.

Das entkräftet ein verbreitetes Missverständnis in Unternehmen: Nur schwere oder absichtliche Datenverstöße hätten Konsequenzen. Ein versehentlicher Klick im falschen Chatfenster kann nach diesem Urteil ausreichen — und das ist nicht der erste BGH-Entscheid, der in diese Richtung weist.

Warum gerade Bewerberdaten ein Risiko sind

Bewerberdaten sind strukturell heikel. Sie enthalten Wohnadressen, Geburtsdaten, berufliche Lebensläufe — manchmal auch Angaben zu Gesundheit oder Schwerbehinderung. Gleichzeitig werden diese Daten häufig über externe Plattformen verwaltet, per E-Mail weitergeleitet und in unstrukturierten Prozessen geteilt. Genau dieser Mix schafft den Fehlerraum, der hier vor dem BGH landete.

Dazu kommt: In vielen Unternehmen läuft die Bewerberkommunikation über Xing- oder LinkedIn-Profile einzelner HR-Mitarbeitender — nicht über dedizierte Unternehmensaccounts mit geregelter Zugriffssteuerung. Das ist organisatorisch bequem, aber datenschutzrechtlich riskant.

Die Einschätzung

Aus unserer Sicht ist das Urteil kein Anlass zur Panik — aber ein klarer Hinweis, dass DSGVO-Compliance im HR-Bereich keine Einmalaktion ist. Unternehmen, die keine klaren Prozesse für Bewerberdaten haben, riskieren nicht nur Bußgelder von Aufsichtsbehörden, sondern direkte zivilrechtliche Ansprüche der Betroffenen.

Datenschutz ist keine Checkbox, die einmal abgehakt wird. Er muss in IT-Systemen, Zugriffsrechten und internen Schulungen operativ verankert sein — gerade dort, wo Daten regelmäßig zwischen Menschen und Systemen wechseln.

Was Sie jetzt prüfen sollten

Wenn Ihr Unternehmen Bewerbungen über externe Plattformen wie Xing oder LinkedIn empfängt, lohnt sich eine kurze Überprüfung:

• Zugriffskontrolle: Welche Personen haben Zugriff auf eingehende Bewerbungsnachrichten? Gibt es eine klare Rollentrennung?
• Account-Struktur: Läuft die Bewerberkommunikation über persönliche Profile oder über dedizierte Unternehmensaccounts mit geregelten Zugriffsrechten?
• Weiterleitungsregeln: Gibt es interne Vorgaben, welche Kanäle für die Weiterleitung von Bewerberdaten erlaubt sind — und welche nicht?
• Löschfristen: Werden Bewerberdaten nach Abschluss des Prozesses fristgerecht gelöscht, und ist das nachvollziehbar dokumentiert?

Eine kurze interne Prüfung dieser Punkte kostet wenig Zeit. Ein BGH-Verfahren kostet erheblich mehr.

Quellen: heise — „Fehlgeleitete Xing-Nachricht: BGH spricht Bewerber DSGVO-Schadenersatz zu“ (https://www.heise.de/news/Fehlgeleitete-Xing-Nachricht-BGH-spricht-Bewerber-DSGVO-Schadenersatz-zu-11380985.html)