Inhalt dieses Beitrags
Die Recherche im Facebook-Profil des Prozessgegners ist datenschutzrechtlich zulässig, der Arbeitgeber muss aber die Informationspflicht aus Art 14 DSGVO erfüllen – Schadensersatz kostet ihn der Verstoß gleichwohl nur, wenn der Gegner einen kausalen Schaden darlegt. Das Landesarbeitsgericht Köln hat eine Klage auf immateriellen Schadensersatz nach Art 82 DSGVO abgewiesen, obwohl es einen Verstoß gegen Art 14 DSGVO ausdrücklich festgestellt hat (LAG Köln, Teil-Versäumnis- und Schlussurteil v. 25.06.2026 – 6 SLa 116/26). Ausschlaggebend war, dass der Kläger die betroffenen Daten in seinem Facebook-Profil selbst auf „öffentlich" geschaltet hatte.
Worum ging es?
Ein Bewerber hatte eine Personalberatung auf Entschädigung nach dem AGG verklagt und dabei vorgetragen, er sei auf die Stelle angewiesen, ohne Beschäftigung und mittellos, weshalb er Prozesskostenhilfe beantrage und um eine Videoverhandlung im Gütetermin bitte. Die Arbeitgeberin bestritt das und trug in ihrer Klageerwiderung vor, nach Recherchen in Facebook sei der Kläger Student der Rechtswissenschaften und durchaus nicht mittellos. Als Beleg übersandte sie einen Screenshot seines Facebook-Profils als Anlage zum Schriftsatz an das Gericht.
Der Kläger erweiterte daraufhin seine Klage um 1.000 Euro Schadensersatz nach Art 82 DSGVO. Er habe unter dem Verlust der Kontrolle über seine Daten gelitten, weil die Arbeitgeberin ihn zuvor nicht über die Datenerhebung und Datenverarbeitung nach Art 14 DSGVO informiert habe. Damit habe sie ihn zum bloßen Objekt der Datenverarbeitung gemacht. Zum AGG-Teil desselben Urteils und der Absage an eine Regelentschädigung haben wir gesondert berichtet.
Ist die Recherche im Profil des Prozessgegners erlaubt?
Ja, hier war die Datenerhebung rechtmäßig – und zwar auf zwei Grundlagen. Eine Einwilligung des Klägers lag nicht vor, war aber auch nicht erforderlich. Nach Art 6 Abs. 1 Satz 1 lit b DSGVO ist die Verarbeitung rechtmäßig, wenn sie zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen, also beispielsweise auf eine Stellenbewerbung oder auf eine Klageerhebung hin (so bereits LAG Düsseldorf v. 10.04.2024 – 12 Sa 1007/23 Rn. 192 ff.). Zusätzlich trug Art 6 Abs. 1 Satz 1 lit f DSGVO: Die mit der Klage konfrontierte Arbeitgeberin hatte ein berechtigtes Interesse daran herauszufinden, wer sie da verklagt und ob es richtig sein kann, dass der Kläger für seine Klage Prozesskostenhilfe beantragt.
Der Vorwurf, die Datenerhebung sei anlasslos geschehen, ging deshalb fehl. Wichtig war dem Gericht außerdem, dass die Arbeitgeberin die Recherche nicht im Geheimen durchgeführt hat. Sie hat den Screenshot direkt als Anlage zum Schriftsatz dem Gericht und damit auch dem Kläger mitgeteilt.
Welche Informationspflicht verlangt Art 14 DSGVO?
Mehr als die Übersendung des Screenshots. Trotz der sofortigen Offenlegung ist die Arbeitgeberin ihrer Informationspflicht aus Art 14 DSGVO nicht vollständig nachgekommen. Das Gericht listet die Lücken konkret auf:
- Die Kontaktdaten des Datenschutzbeauftragten hat sie nicht genannt.
- Die Kategorien der Verwendung der personenbezogenen Daten hat sie nicht mitgeteilt.
- Über die beabsichtigte Dauer der Speicherung hat sie keine Auskunft gegeben.
- Die berechtigten Interessen, die sie mit der Datenverarbeitung verfolgt hat, hat sie nicht ausdrücklich benannt – auch wenn sie sich schlüssig aus dem Schriftsatz ergaben.
Damit lag ein Verstoß gegen Art 14 DSGVO vor. Die Rechtmäßigkeit der Datenerhebung nach Art 6 DSGVO und die Erfüllung der Informationspflichten nach Art 14 DSGVO sind zwei getrennte Fragen, und die zweite hat die Arbeitgeberin verfehlt. Welche Auskunfts- und Informationsrechte im Arbeitsverhältnis daneben bestehen, ordnet unser Grundlagenbeitrag Auskunftsanspruch nach Art. 15 DSGVO im Arbeitsverhältnis ein.
Führt der Verstoß gegen Art 14 DSGVO zu Schadensersatz?
Nein, nicht ohne kausalen Schaden. Der bloße Verstoß gegen eine Bestimmung der DSGVO reicht nicht aus, um einen immateriellen Schadensersatzanspruch zu begründen (EuGH v. 04.05.2023 – C-300/21 Rn. 28 ff. und Rn. 42). Ein Schaden muss also eingetreten sein. Zugleich gibt es keine Bagatellgrenze (EuGH C-300/21 Rn. 43 ff.), und der Nachteil muss weder spürbar noch die Beeinträchtigung objektiv sein (EuGH v. 14.12.2023 – C-456/22 Rn. 20). Die Hürde liegt nicht in der Schwere des Schadens, sondern in seiner Darlegung. Einen materiellen Schaden hatte der Kläger selbst nicht konkret bezeichnet.
Wann liegt ein Kontrollverlust über eigene Daten vor?
Wenn die betroffene Person die begründete Befürchtung eines Datenmissbrauchs hegt. Als Schaden kommt der Verlust der Kontrolle über die eigenen Daten in Betracht, und der Gerichtshof der Europäischen Union versteht darunter eine Situation, in der die betroffene Person genau diese begründete Befürchtung hat (dazu BAG v. 20.02.2025 – 8 AZR 61/24 Rn. 17 bis 19 und BSG v. 24.09.2024 – B 7 AS 15/23 R Rn. 31). Das bloße Berufen auf eine bestimmte Gefühlslage genügt nicht. Zu prüfen ist, ob das Gefühl unter Berücksichtigung der konkreten Umstände als begründet angesehen werden kann (EuGH v. 14.12.2023 – C-340/21 Rn. 85). Das setzt einen objektiven Maßstab voraus (BAG v. 25.07.2024 – 8 AZR 225/23 Rn. 33 und BAG v. 20.06.2024 – 8 AZR 124/23 Rn. 15). Je gravierender die Folgen eines Verstoßes sind, desto näher liegt eine begründete Befürchtung. Eine nur verspätete Auskunft begründet nach der Rechtsprechung des Bundessozialgerichts keinen Kontrollverlust, sondern lediglich einen Zeitverzug (BSG v. 24.09.2024 – B 7 AS 15/23 R Rn. 32).
Warum scheiterte der Kontrollverlust an den selbst veröffentlichten Daten?
Weil der Kläger die Daten in seinem Facebook-Profil selbst auf „öffentlich" geschaltet hatte. Die Stichworte „Kontrollverlust" und „Degradierung zum bloßen Objekt der Datenerhebung" blieben pauschal und standen im Widerspruch zum eigenen Verhalten des Klägers. Konkrete Befürchtungen einer missbräuchlichen Verwendung seiner Daten hatte er nicht dargelegt.
Das Gericht arbeitet den Widerspruch deutlich heraus. Der Kläger hatte sich autonom dafür entschieden, persönliche Daten öffentlich zu machen, und teilte sie ausweislich seines Profils mit 3.231 Followern. Mit der Erstellung eines Facebook-Profils hatte er zudem in die Nutzungsbedingungen und die Datenschutzrichtlinie von Meta eingewilligt. Wer die Kontrolle über bestimmte Daten bewusst weggibt, kann einen denkbaren Kontrollverlust nicht als fremdverursacht darstellen. Die Arbeitgeberin hat mit der Betrachtung des Profils genau das getan, was der Kläger mit dessen Erstellung bezweckt hat: Sie hat sich anhand der von ihm selbst zur Verfügung gestellten Informationen ein Bild gemacht.
Das unterscheidet den Fall ausdrücklich von der anlasslosen Google-Recherche. Dort trifft die recherchierende Person nicht nur auf Daten, die die betroffene Person selbst auf öffentlich geschaltet hat, sondern auch auf Daten, die Dritte über sie ins Netz gestellt haben. Eine Abweichung von der Rechtsprechung des LAG Düsseldorf (12 Sa 1007/23) sah die Kammer deshalb nicht.
Konsequenzen für Arbeitgeber
Die Entscheidung eröffnet einen brauchbaren Weg für die Prozessvorbereitung, verlangt dafür aber eine saubere Umsetzung.
- Recherche anlassbezogen führen. Der Anlass war die Klage und der darin enthaltene Vortrag zur Bedürftigkeit, nicht allgemeine Neugier über einen Bewerber. Wer ohne konkreten Anlass in Profilen sucht, bewegt sich näher an der anlasslosen Recherche, die das Gericht ausdrücklich abgrenzt.
- Fundstellen offenlegen statt sammeln. Dass der Screenshot unmittelbar als Anlage zum Schriftsatz an das Gericht und damit an den Kläger ging, war für die Beurteilung wichtig. Heimlich gehaltene Rechercheergebnisse stehen erheblich schlechter da.
- Art 14 DSGVO abarbeiten. Eine kurze, standardisierte Datenschutzinformation an die Gegenseite mit Kontaktdaten des Datenschutzbeauftragten, Kategorien der verwendeten Daten, Speicherdauer und ausdrücklich benannten berechtigten Interessen kostet nichts und nimmt dem Gegner den Verstoß. Dass hier trotz des Verstoßes kein Schadensersatz floss, lag am fehlenden Schadensvortrag, nicht an einem sauberen Verfahren.
- Den Schadensvortrag angreifen, nicht nur die Rechtswidrigkeit bestreiten. Stichworte wie „Kontrollverlust" tragen keinen Anspruch. Wer darlegt, dass konkrete Befürchtungen einer missbräuchlichen Verwendung fehlen und dass die Daten öffentlich zugänglich waren, entzieht der Forderung die Grundlage.
- Den Anwendungsbereich nicht überdehnen. Getragen ist die Entscheidung von Daten, die der Betroffene selbst auf öffentlich geschaltet hat. Für nicht öffentliche Inhalte und für Daten, die Dritte über ihn ins Netz gestellt haben, sagt sie nichts.
Wie sich Recherche- und Kontrollmaßnahmen im Kündigungsschutzprozess auf die Verwertbarkeit auswirken, behandelt unser Beitrag zum Beweisverwertungsverbot im Kündigungsschutzprozess.
Häufige Fragen zur Social-Media-Recherche im Arbeitsgerichtsprozess
Darf der Arbeitgeber im laufenden Prozess das Facebook-Profil des Klägers auswerten?
Nach dem LAG Köln (6 SLa 116/26) ja. Die Datenerhebung war nach Art 6 Abs. 1 Satz 1 lit b DSGVO gerechtfertigt, weil sie zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person erforderlich war, und zusätzlich nach lit f DSGVO wegen des berechtigten Interesses herauszufinden, wer klagt und ob der Vortrag zur Prozesskostenhilfe stimmen kann.
Was muss der Arbeitgeber nach Art 14 DSGVO mitteilen?
Im entschiedenen Fall fehlten die Kontaktdaten des Datenschutzbeauftragten, die Kategorien der verwendeten personenbezogenen Daten, die beabsichtigte Speicherdauer und die ausdrückliche Benennung der berechtigten Interessen. Dass sich die Interessen schlüssig aus dem Schriftsatz ergaben, genügte nicht. Auch die sofortige Übersendung des Screenshots heilte den Verstoß nicht.
Führt ein Verstoß gegen Art 14 DSGVO zu Schadensersatz?
Nicht automatisch. Der bloße Verstoß gegen eine Bestimmung der DSGVO genügt nicht. Ein Schaden muss tatsächlich eingetreten sein und ist von der klagenden Partei darzulegen. Eine Bagatellgrenze gibt es dabei nicht, der Nachteil muss weder spürbar noch die Beeinträchtigung objektiv sein.
Reicht die Behauptung eines Kontrollverlusts über eigene Daten aus?
Nein. Kontrollverlust setzt eine Situation voraus, in der die betroffene Person die begründete Befürchtung eines Datenmissbrauchs hegt. Das Berufen auf eine bestimmte Gefühlslage genügt nicht, es gilt ein objektiver Maßstab. Wer Daten selbst auf öffentlich geschaltet hat, kann den Kontrollverlust nicht als fremdverursacht darstellen.
Gilt das auch für nicht öffentliche Profile oder für Daten Dritter?
Dazu sagt die Entscheidung nichts. Sie ist ausdrücklich auf den Fall der bewussten Datenweggabe durch die Schaltung auf öffentlich im eigenen Profil zugeschnitten. Von der anlasslosen Google-Recherche, bei der auch Daten auftauchen, die Dritte über die betroffene Person ins Netz gestellt haben, grenzt die Kammer ihren Fall gerade ab.
Als Anwalt für Arbeitsrecht in Köln und als Kanzlei für Arbeitsrecht beraten wir Arbeitgeber im Beschäftigtendatenschutz, bei der Gestaltung von Kontroll- und Überwachungsmaßnahmen und in der Prozessführung vor den Arbeitsgerichten – einschließlich der Abwehr von Schadensersatzforderungen nach Art 82 DSGVO.
Sie wollen wissen, welche Recherche über einen Bewerber oder Prozessgegner zulässig ist und was Sie dabei mitteilen müssen? Nehmen Sie Kontakt mit uns auf – die Erstberatung ist für Sie kostenfrei.
