1. Werden personenbezogene Daten von Beschäftigten über den 24. Mai 2018 hinaus verarbeitet (gespeichert), ist dies ab dem 25. Mai 2018 am Maßstab der DSGVO zu messen. 2. Erfolgt die Verarbeitung/Spei

DSGVO 3. Aufl. Art. 4 Nr. 7 Rn. 13) - ggf. mitbestimmt - über die Zwecke und Mittel der Verarbeitung personenbezogener Daten; ihr sind die datenschutzrechtlichen Handlungen innerhalb ihrer Organisation zuzurechnen, weshalb sie Verantwortliche nach Art. 4 Nr. 7 DSGVO ist.

1. c)Es liegt auch ein "Verstoß gegen diese Verordnung" iSv. Art. 82 Abs. 1 DSGVO vor.
2. aa)Unter einem "Verstoß gegen diese Verordnung" ist nicht nur ein Verstoß gegen Bestimmungen der DSGVO zu verstehen, sondern auch gegen Vorschriften des Unionsrechts die aufgrund delegierter Rechts- und Durchführungsrechtsakten erlassen wurden und gegen solche Rechtsvorschriften der Mitgliedsstaaten, welche die Bestimmungen der DSGVO präzisieren (vgl. Erwägungsgrund 146 Satz 5). Damit sind auch sämtliche Verstöße gegen Rechtsvorschriften erfasst, welche aufgrund einer Öffnungsklausel der DSGVO erlassen wurden, wie bspw. Verstöße gegen § 26 BDSG, mit dessen Normierung von der Öffnungsklausel des Art. 88 DSGVO Gebrauch gemacht wurde (vgl. EUArbR/Franzen Art. 82 DSGVO Rn. 11; Frenzel in: Paal/Pauly DSGVO 3. Aufl. Art. 82 Rn. 9).
3. bb)Nach allgemeinen Grundsätzen trägt zwar die betroffene Person die Beweislast für die anspruchsbegründenden Umstände, dh. auch für einen "Verstoß gegen diese Verordnung". Allerdings ist zu beachten, dass nach Art. 24 Abs. 1 Satz 1 DSGVO der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzt, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Nach dem Erwägungsgrund 74 betrifft die Regelung der Verantwortungszuweisung auch die Frage der Haftung. Art. 24 Abs. 1 DSGVO als Überblicks- und Generalnorm ist dabei insgesamt als Ausdruck eines risikobasierten Ansatzes der DSGVO zu verstehen (vgl. Hartung in: Kühling/

Art. 24Rn.

11). Zudem ist der Verantwortliche für die Einhaltung der Bestimmungen des Art. 5 Abs. 1 DSGVO (Rechtsmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit) verantwortlich und muss die Einhaltung nachweisen können (Rechenschaftspflicht). Auf der Ebene der Darlegungs- und Beweislast hat dies zur Folge, dass der Anspruchsteller lediglich darlegen und ggf. beweisen muss, dass der Anspruchsgegner irgendwie an der Verarbeitung beteiligt war, während der Anspruchsgegner darlegen und ggf. beweisen (Vollbeweis) muss, sämtliche Vorschriften iSv. Art. 82 Abs. 1, Abs. 2 DSGVO eingehalten zu haben (vgl. Bengt in: Kühling/

Art. 82Rn. 48; EU-Arb

R/Franzen Art. 82 Rn. 16). cc) Die Beklagte hat - nachdem deren Beteiligung als Verantwortliche an der ab Geltung der DSGVO zum 25. Mai 2018 fortgesetzten Speicherung und Datenverarbeitung von personenbezogenen Daten des Klägers in der D. Workday-Cloud unstreitig ist - nicht dargelegt, dass diese fortgesetzte Datenspeicherung, dh. Verarbeitung iSv. Art. 4 Nr. 2 DSGVO verordnungskonform erfolgt ist.

/Petri in: Kühling/

Art. 6DSGVO Rn.

11; LAG Düsseldorf 11. März 2020 - 12 Sa 186/19 - Rn. 133, NZA-RR 2020, 348 ; vgl. schon zum nationalen Recht: BAG 15. November 2012 - 6 AZR 339/11 - Rn. 16, BAGE 143, 343 ). (

1. b)Art. 6 Abs. 1 DSGVO bestimmt, dass die Verarbeitung nur rechtmäßig ist, wenn mindestens eine der in Buchst. a bis f genannten Bedingungen erfüllt ist. Nach Art. 6 Abs. 2 DSGVO können die Mitgliedstaaten spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchst. c und e beibehalten oder einführen, indem sie spezifischere Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßige und nach Treu und Glauben erfolgende Verarbeitung zu gewähren, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX. Im Kapitel IX hat der europäische Verordnungsgeber in Art. 88 Abs. 1 DSGVO für die Datenverarbeitung im Beschäftigungskontext eine Öffnungsklausel zur Schaffung von spezifischeren Rechtsvorschriften durch die Mitgliedsstaaten geschaffen, wovon der deutsche Gesetzgeber in § 26 BDSG, der wiederum § 32 BDSG aF mit dem gesetzgeberischen Willen, die richterrechtliche geprägte Rechtslage fortzuschreiben und zu konkretisieren, ablöste, Gebrauch gemacht hat (vgl. ErfK/Franzen 21. Aufl. § 26 BDSG Rn. 1 f.). § 26 Abs. 4 BDSG lässt dabei die Verarbeitung von Beschäftigtendaten auf der Grundlage von Kollektivvereinbarungen (Tarifverträge und Betriebsvereinbarungen) ausdrücklich zu, wovon die Rechtsprechung auch bei der bis zum 24. Mai 2018 maßgeblichen Rechtslage ausging (vgl. BAG 25. September 2013 - 10 AZR 270/12 - Rn. 32, BAGE 146, 109 ). (
2. c)Die fortgesetzte Datenverarbeitung (Speicherung) von personenbezogenen Daten des Klägers in dem von der Beklagten vorgenommenen Umfang kann weder auf § 26 Abs. 4 BDSG iVm. der Duldungs-BV vom 3. Juli 2017, deren Geltung bis zum 31. Januar 2019 verlängert wurde, noch auf § 26 Abs. 1 BDSG oder Art. 6 Abs. 1 DSGVO gestützt werden. Der vorläufige Testbetrieb von Workday in der Phase der Verhandlungen in der Einigungsstelle über die BV Workday und BV IT war nur in dem von der Duldungs-BV bestimmten Umfang verordnungskonform. Die Duldungs-BV erlaubt - dies ergibt sich eindeutig aus ihrem Wortlaut - allerdings die Verwendung von Echtdaten der Beschäftigten in Bezug auf die Datenkategorien der Anlage 2. Andernfalls hätte es den Einschränkungen (bspw. Aus- und Verwertungsverbot nach § 3 der Duldungs-BV) und damit auch der Betriebsvereinbarung insgesamt (§ 87 Abs. 1 Nr. 6 BetrVG) gar nicht bedurft. (
3. aa)Das fortgesetzte Speichern von personenbezogenen Daten des Klägers in dem von der Beklagten vorgenommenen Umfang kann nicht auf der Grundlage der Duldungs-BV gerechtfertigt werden. Gerechtfertigt war allein die Datenverarbeitung in dem durch die Anlage 2 der Duldungs-BV genannten Umfang (Datenkategorien) zu den normierten (Test-)Zwecken. (aaa) Zwar kann eine Betriebsvereinbarung mit Rücksicht auf § 26 Abs. 4 BDSG eine ansonsten unzulässige Datenverarbeitung rechtfertigen (vgl. ErfK/Franzen § 26 BDSG Rn. 47), jedoch müssen die von den Betriebsparteien normierten Voraussetzungen vorliegen und die Betriebsparteien haben nach § 26 Abs. 4 Satz 2 BDSG die Bestimmung des Art. 88 Abs. 2 DSGVO zu beachten, dh. sie müssen angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb der Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz vorsehen. Die Duldungs-BV sieht in diesem Zusammenhang vor, dass mit ihr der vorläufige Betrieb des cloudbasierten Personal-Informationssystems Workday geregelt wird (§ 2 Abs. 1 Satz 1 Duldungs-BV), wobei dieses in den Anlagen 1 bis 2 abschließend dokumentiert wird (§ 2 Abs. 1 Satz 2 Duldungs-BV). Nach § 2 Abs. 3 Duldungs-BV muss vor Einführung des Systems als Produktivsystem eine Betriebsvereinbarung abgeschlossen werden, die die Einführung und die Anwendung von Workday spezifisch regelt, welche die Duldungs-BV ersetzt. Vor Abschluss der zu erstellenden Betriebsvereinbarung dürfen Reporte jeglicher Art nur zu Testzwecken erstellt werden (§ 2 Abs. 4 Duldungs-BV) und während des Testzeitraums darf Workday nicht für HR Standardprozesse wie Leistungsbewertung, Einstellungen, Kündigungen, Entlohnung etc. verwendet werden (§ 2 Abs. 5 Duldungs-BV). § 3 der Duldungs-BV sieht ein Aus- und Verwertungsverbot für den Testzeitraum vor. Während die Anlage 1 die zu Testzwecken erlaubten Nutzungen regelt, bestimmt die Anlage 2 abschließend den Umfang der zu Testzwecken erlaubten Datenkategorien mit: D. Personalnummer, Nachname, Vorname, Telefonnummer, Eintrittsdatum, Konzern Eintrittsdatum, Arbeitsort, Firma (K./De.), Arbeitsort, Firma, Geschäftliche Telefonnummer, Geschäftliche Emailadresse. (bbb) Unstreitig verarbeitete die Beklagte bereits vor Unterzeichnung der Duldungs-BV, während deren Geltung und auch noch im Zeitpunkt des Inkrafttretens der DSGVO (bzw. von § 26 BDSG nF) über die erlaubten Datenkategorien hinaus auch das Jahresgehalt, Monatsgehalt, den Umfang leistungsabhängiger Vergütung, die private Wohnanschrift des Klägers, dessen Geburtsdatum, Alter, Familienstand, die Sozialversicherungsnummer und die Steuer-ID des Klägers (Bl. 76 bis 85 d. Akte ArbG). Weiter auch die Mitgliedschaft des Klägers im Betriebsrat als Funktionsbezeichnung "Works Council", die Art der Anstellung ("unbefristet"), ob eine Vollzeit- oder Teilzeitbeschäftigung vorliegt, die für den Kläger maßgebliche "Berichtskette", einschließlich der Namen derjenigen Mitarbeiter, zu denen die Berichtskette besteht, die Kostenstelle, das für den Kläger maßgebliche Tarifwerk einschließlich der Eingruppierung des Klägers, das Geschlecht und die Nationalität des Klägers (Bl. 84 d. Akte ArbG). All diese Datenkategorien durfte die Beklagte nicht - auch nicht zu Testzwecken bzw. vorläufig - verarbeiten. Die Duldungs-BV stellt daher keine Rechtsgrundlage für die Verarbeitung dieser Daten dar, bei denen es sich durch den Bezug zum Kläger um personenbezogene Daten iSv. Art. 4 Nr. 1 DSGVO handelt. (
4. bb)Ebenso wenig bietet § 26 Abs. 1 BDSG eine Grundlage für die Datenverarbeitung personenbezogener Daten des Klägers in der Testphase der Plattform Workday bis zu deren Einführung auf der Grundlage der abgeschlossenen BV Workday vom 23. Januar 2019. (aaa) Nach § 26 Abs. 1 Satz 1 BDSG dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung des Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Erlaubt ist eine Datenverarbeitung nur, wenn sie "erforderlich" ist. Nachdem der Gesetzgeber es ausdrücklich bei der bisherigen Rechtslage belassen wollte, kann für den Begriff der Erforderlichkeit an der bisherigen Rechtsprechung angeknüpft werden (vgl. Maschmann in: Kühling/

§ 26BDSG Rn. 19; Erf

K/Franzen § 26 BDSG Rn. 9). Das Bundesarbeitsgericht hat zur früheren Rechtslage eine Verhältnismäßigkeitsprüfung durchgeführt, dh. die Geeignetheit, Erforderlichkeit und Angemessenheit geprüft (vgl. BAG

1. Juni 2013 - 2 AZR 546/12 - Rn. 28, BAGE 145, 278 ). Geeignet ist die Maßnahme des Arbeitgebers, wenn der angestrebte Zweck gefördert werden kann. Auf der Stufe der Erforderlichkeit ist zu prüfen, ob dem Arbeitgeber kein anderes gleich geeignetes und wirksames Mittel zur Verfügung steht, welches das allgemeine Persönlichkeitsrecht des Arbeitnehmers weniger belastet (vgl. BAG
2. Juni 2013 - 2 AZR 546/12 - aaO). Mit dem Kriterium der Erforderlichkeit der Datenverarbeitung ist sichergestellt, dass ein an sich legitimes Datenverarbeitungsziel nicht zum Anlass genommen wird, überschießend personenbezogene Daten zu verarbeiten. Bei einer auf Beschäftigtendaten bezogenen datenverarbeitenden Maßnahme des Arbeitgebers bedingt dies entsprechend der Bekundung des Gesetzgebers - welcher hierbei an die bis
3. Mai 2018 geltenden datenschutzrechtlichen Bestimmungen und die hierzu ergangene höchstrichterliche Rechtsprechung anknüpft (vgl. BT-Drs. 18/11325 S. 97 ) - eine Abwägung widerstreitender Grundrechtspositionen im Wege praktischer Konkordanz sowie eine Verhältnismäßigkeitsprüfung (vgl. BAG
4. Mai 2019 - 1 ABR 53/17 - Rn. 42, BAGE 166, 309 ). Auf der Ebene der Angemessenheit sind die schutzwürdigen Belange des Arbeitgebers und des Arbeitnehmers abzuwägen. (bbb) Danach fehlt es in jedem Fall an der Erforderlichkeit der Verarbeitung von personenbezogenen Daten in einem bzw. auf einer nicht zu Personalverwaltung genutzten Plattform (Workday). Auch die Beklagte behauptet nicht, sie sei zur Durchführung der Arbeitsverhältnisse darauf angewiesen gewesen, bereits vor Einführung von Workday auf der Grundlage der BV Workday, Beschäftigtendaten in der Workday-Cloud zu Testzwecken zu verarbeiten bzw. durch die Konzernmutter verarbeiten zu lassen. Die Beklagte behauptet auch nicht, Workday bereits vor der Einführung auf der Grundlage der BV Workday produktiv genutzt zu haben, sondern behauptet auch nur die Nutzung zu Testzwecken. Sämtliche von der Beklagten bis zur Einführung von Workday auf der Basis der Betriebsvereinbarung vom
5. Januar 2019 durchgeführten Datenverarbeitungsprozesse waren nicht erforderlich zur Durchführung der Arbeitsverhältnisse. Sämtliche Abrechnungs- und Personalverwaltungsvorgänge wurden in der Testphase weiterhin über SAP vorgenommen. Eine Datenverarbeitung von personenbezogenen Daten in einem nicht zur Personalverwaltung produktiv genutzten "Zweitsystem" kann nicht auf der Grundlage von § 26 Abs. 1 BDSG gerechtfertigt sein, sondern nur auf der Grundlage einer Kollektivvereinbarung (§ 26 Abs. 4 BDSG), welche vorliegend aber nicht den von der Beklagten durchgeführten Umfang der Datenverarbeitung abdeckte. Zudem behauptet auch die Beklagte nicht, die Betriebsparteien hätten die für eine Testphase notwendigen Datenkategorien verkannt und der Katalog der Anlage 2 der Duldungs-BV sei für einen Test des Systems ungeeignet gewesen. (cc) Schließlich war die Datenverarbeitung von personenbezogenen Daten des Klägers bis zur Einführung von Workday auf der Grundlage der Betriebsvereinbarung vom
6. Januar 2019 auch nicht auf der Grundlage von Art. 6 Abs. 1 DSGVO, insb. nicht nach Art. 6 Abs. 1 Buchst. f DSGVO erlaubt. Nachdem eine Einwilligung des Klägers zur Verarbeitung seiner personenbezogenen Daten nicht vorliegt (Art. 6 Abs. 1 Buchst. a DSGVO) und der auf der Grundlage von Art. 88 Abs. 1 DSGVO erlassene § 26 BDSG gegenüber Art. 6 Abs. 1 Buchst. b DSGVO als speziellere Norm vorgeht (vgl.

/Petri in: Kühling/

Art. 6DSGVO Rn.

49 f.), kommt zur Rechtfertigung allenfalls Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. (aaa) Nach Art. 6 Abs. 1 Buchst. f DSGVO ist eine Datenverarbeitung auch dann rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Damit wird letztlich ein Erlaubnistatbestand auf der Grundlage einer Interessenabwägung geschaffen, wobei eine dreistufige Prüfung vorzunehmen ist. Zu beachten ist jedoch, dass Art. 6 Abs. 1 Buchst. f DSGVO nicht als Auffang-, sondern als Ausnahmeregelung zu sehen ist, was sich insb. aus der systematischen Stellung und dem Schutzzweck der DSGVO ergibt (vgl. von dem Bussche/Voigt/v. d. Bussche Konzerndatenschutz 2. Aufl. Teil 3 Kap. 3 Rn. 52). Zunächst ist zu klären, ob zum Zeitpunkt der Verarbeitung überhaupt ein berechtigtes Interesse des Verantwortlichen oder eines Dritten, dem die Daten übermittelt werden, vorliegt. Anschließend ist zu prüfen, ob die Datenverarbeitung zur Verwirklichung des berechtigten Interesses erforderlich ist und schließlich ist eine Interessenabwägung im konkreten Einzelfall vorzunehmen (vgl.

/Petri in: Kühling/

Art. 6DSGVO Rn.

146). Aus den Erwägungsgründen 47 und 48 ergeben sich Anhaltspunkt für das Vorliegen eines berechtigten Interesses. Nach dem Erwägungsgrund 47 könnte ein berechtigtes Interesse beispielsweise vorliegen, wenn eine maßgebliche und angemessene Beziehung zwischen der betroffenen Person und dem Verantwortlichen besteht, z. B. wenn die betroffene Person ein Kunde des Verantwortlichen ist oder in seinen Diensten steht. Auf jeden Fall wäre das Bestehen eines berechtigten Interesses besonders sorgfältig abzuwägen, wobei auch zu prüfen sei, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen könne, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen müsse, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen. Da es dem Gesetzgeber obliegt, per Rechtsvorschrift die Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch die Behörden zu schaffen, sollte diese Rechtsgrundlage nicht für Verarbeitungen durch Behörden gelten, die diese in Erfüllung ihrer Aufgaben vornehmen. Die Verarbeitung personenbezogener Daten im für die Verhinderung von Betrug unbedingt erforderlichen Umfang stelle ebenfalls ein berechtigtes Interesse des jeweiligen Verantwortlichen dar. Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung könne als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden. Nach dem Erwägungsgrund 48 können Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln. Die Grundprinzipien für die Übermittlung personenbezogener Daten innerhalb von Unternehmensgruppen an ein Unternehmen in einem Drittland bleiben unberührt. Für die Frage der Erforderlichkeit (2. Stufe) ist zu klären, ob die konkrete Datenverarbeitung zur Wahrung des berechtigten Interesses tatsächlich erforderlich ist, dh. kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen (vgl.

/Petri in: Kühling/

Art. 6DSGVO Rn.

147a). (bbb) Danach kann die parallele Datenverarbeitung von "echten" Beschäftigtendaten zu bloßen Testzwecken - mit denen die Beschäftigten angesichts der stattfindenden Datenverarbeitung mittels SAP nicht zu rechnen brauchten -, nicht auf Art. 6 Abs. 1 Buchst. f DSGVO gestützt werden. Es fehlt in jedem Fall an der Erforderlichkeit einer Datenverarbeitung, die nicht der Personalverwaltung/Abrechnung etc. dient, sondern allein ein System testen soll. Mildere Mittel, um das System zu testen wäre in jedem Fall die Verwendung von Daten fiktiver Beschäftigten ("Max Mustermann") gewesen. Hätte die Beklagte eine Vielzahl von fiktiven Beschäftigten mit entsprechenden fiktiven personenbezogenen Daten in ihrem System angelegt, wäre in gleicher Weise ein Testlauf möglich gewesen. Jedenfalls ist das von der Beklagten angedeutete Vorbringen, zu Testzwecken hätten Echtdaten verwendet werden müssen, nicht mit einem konkreten Vorbringen der maßgeblichen (technischen und organisatorischen) Zusammenhänge nachvollziehbar gemacht. Eine produktive konzernweite Personaldatenverarbeitung bereits vor Einführung von Workday auf der Grundlage der BV Workday behauptet die Beklagte nicht. (

1. d)Es kann allerdings nicht davon ausgegangen werden, dass die Beklagte gegen die Vorschriften in Kapitel V der DSGVO zur Übermittlung von personenbezogenen Daten in Drittländer oder an internationale Organisationen verstoßen hat. (
2. aa)Nach Art. 44 Satz 1 DSGVO ist jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung verarbeitet werden sollen, nur zulässig, wenn der Verantwortliche und der Auftragsdatenverarbeiter die in Kapitel V der DSGVO niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden. Der Begriff der Übermittlung iSv. Art. 44 DSGVO ist nicht durch den Verordnungsgeber definiert und bei seiner Auslegung ist der Zweck der Art. 44 ff. DSGVO, jedweden Datentransfer von personenbezogenen Daten außerhalb der Europäischen Union bzw. an eine internationale Organisation besonderen Schutzvorschriften zu unterwerfen, zu beachten. Dies wird auch im Erwägungsgrund 101 angedeutet und besonders durch Art. 44 Satz 3 DSGVO deutlich, wonach alle Bestimmungen dieses Kapitels anzuwenden sind, um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird. Übermittlung ist daher jedwedes Zugänglichmachen solcher Daten zugunsten Dritter, und sei es durch das Einräumen von Zugriffsrechten an außerhalb der Europäischen Union belegene Dritte, ohne dass es darauf ankäme, ob diese Daten tatsächlich abgerufen werden (vgl. Schröder in: Kühling/

Art. 44DSGVO Rn. 16; Zerdick in: Ehmann/Selmayr DSGVO 2. Aufl. Art. 44 Rn. 7; Kamp/Beck in: Beck

OK Datenschutzrecht Art. 44 Rn. 15). Dient die Datenübermittlung dazu, dass derjenige, an den die Daten übermittelt werden, diese im Anschluss verarbeiten soll, bspw. als Auftragsverarbeiter, so ist mit dem Transfer der Daten und dem Speichern der Daten beim Empfänger zugleich die Datenübermittlung beendet. Art. 45 DSGVO sieht die Möglichkeit der Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses der Kommission vor, sofern ein solcher besteht. Daneben besteht die Möglichkeit der Datenübermittlung vorbehaltlich geeigneter Garantien, Art. 46 DSGVO. Eine zulässige Datenübertragung an ein Drittland iSv. Art. 44 DSGVO setzt aber nicht nur voraus, dass die Voraussetzungen nach den Bestimmungen des Kapitels V vorliegen, sondern darüber hinaus auch, dass "die sonstigen Bestimmungen dieser Verordnung eingehalten werden". Art. 44 Satz 1 DSGVO erfordert damit eine Zweistufenprüfung (vgl. Schröder in: Kühling/

Art. 44DSGVO Rn. 20; Kühling/Klar/Sackmann Datenschutzrecht 4. Aufl. Rn. 556; vgl. auch schon zur RL/95/46EG: Eu

GH

1. November 2003 - C-101/01 - Rn. 63, Slg 2003, I-12971 ). (bb) Bei Berücksichtigung dessen ergibt sich zunächst, dass die Beklagte, die auch nach dem Vorbringen des Klägers die personenbezogenen Daten des Klägers im Zeitraum
2. April bis
3. Mai 2017 auf die Sharepoint-Seite des D.-Konzerns hochgeladen hat, um eine (Auftrags-)Datenverarbeitung auf der cloudbasierten Plattform Workday zu ermöglichen und diese Daten in der Workday-Cloud von der Konzernmutter speichern zu lassen, jedenfalls schon deshalb nicht gegen Art. 44 ff. DSGVO verstoßen hat, weil im Verhältnis des Klägers zur Beklagten die Bestimmungen der DSGVO zum Zeitpunkt des Datentransfers nicht in Geltung waren, Art. 99 Abs. 2 DSGVO. (aaa) Die DSGVO "gilt" iSv. Art. 288 Abs. 2 AEUV seit dem
4. Mai 2018, dh. sie entfaltet gegenüber dem Einzelnen ab diesem Zeitpunkt unmittelbar Bindungswirkung (vgl. Kühling/Raab in: Kühling/

Art. 99DSGVO Rn.

2; von Lewinski in: Auernhammer DSGVO/BDSG 7. Aufl. Art. 99 DSGVO Rn. 6). Daran ändert auch Art. 99 Abs. 1 DSGVO nichts, wonach die DSGVO am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft getreten ist, was am 24. Mai 2016 der Fall war. Damit ist keine, die Beklagte ab dem 24. Mai 2016 verpflichtende "Vorwirkung" verbunden. Vielmehr brachte die Umstellung von der Richtlinie 95/46/EG hin zur DSGVO einen umfassenden Handlungs- und Anpassungsbedarf - nicht zuletzt wegen der geschaffenen Öffnungsklauseln - für die nationalen Gesetzgeber mit sich, weshalb der europäische Verordnungsgeber einen zweijährigen Übergangszeitraum vorgesehen hat. In diesem Übergangszeitraum waren jedoch nur die Mitgliedstaaten zu Anpassung verpflichtet, ohne dass damit unmittelbare Wirkungen zulasten der Privatrechtssubjekte verbunden waren (vgl. zu diesen Fragestellungen: Kibler/Sandhu NVwZ 2018, 528 ff.). (bbb) Unerheblich ist, ob die Beklagte bei der Datenübermittlung im Zeitraum 24. April bis 18. Mai 2017 gegen den damals geltenden § 4b Abs. 2 BDSG aF verstoßen hat, da ein etwaiger Verstoß jedenfalls nicht die Verpflichtung zum Ersatz immaterieller Schäden nach der DSGVO auslösen kann. Ungeachtet des Umstands, dass der Kläger ausdrücklich einen immateriellen Schadensersatz wegen Verletzung der DSGVO begehrt, gewährte § 7 BDSG aF auch keinen Ersatz für immaterielle Schäden (vgl. BGH 29. November 2016 - VI ZR 530/15 - Rn. 11 ff., NJW 2017, 800 ; NK-GA/Gola/Brink § 7 BDSG Rn. 5; Däubler/Klebe/Wedde/Weichert BDSG 4. Aufl. § 7 Rn. 19). Der Ersatz für immaterielle Schäden konnte nach der bis zum 24. Mai 2018 geltenden Rechtslage gegenüber Privaten nur auf der Grundlage von § 823 Abs. 1 BGB iVm. Art. 2 Abs. 1, Art. 1 Abs. 1 GG, was regelmäßig eine schwerwiegende Persönlichkeitsrechtsverletzung voraussetzte, oder gegenüber öffentlichen Stellen auf § 8 BDSG aF gestützt werden. Diese Fallkonstellationen liegen nicht vor und bilden nicht den Streitgegenstand des Rechtsstreits. Soweit die Beklagte ab dem Geltungszeitpunkt der DSGVO in ihrem Auftrag Daten durch die Konzernmutter in den USA hat verarbeiten lassen, hat die Beklagte jedenfalls ab dem 25. Mai 2018 nicht gegen Bestimmungen des Kapitel V (Art. 45 bzw. 46 DSGVO) verstoßen. (ccc) Da ein Verstoß gegen Vorschriften der Art. 44 ff. DSGVO ausscheidet, kann auch dahinstehen, ob bei einer Übermittlung von personenbezogenen Daten in die USA trotz der Entscheidung des Europäischen Gerichtshofs vom 16. Juli 2020 - C 311/18 - ( NJW 2020, 2613 ), wonach der Angemessenheitsbeschluss der Kommission vom 12. Juli 2016 (EU/2016/1250; privacy shield) ungültig ist, sich der Verantwortliche gleichwohl auf Art. 45 DSGVO und den Angemessenheitsbeschluss stützen kann, wenn die Datenübertragung vor Verkündung der Entscheidung des EuGH stattgefunden hat, da die Befugnis zur Ungültig- bzw. Nichtigkeitserklärung nur dem EuGH zusteht (vgl. EuGH 16. Juli 2020 - C-311/18 - Rn. 156, aaO; 6. Oktober 2015 - C-362/14 - Rn. 61 f., NJW 2015, 3151 ), mit der Folge, dass bis zu diesem Zeitpunkt Datenübertragungen auf dieser Grundlage - soweit die übrigen Voraussetzungen vorliegen - als verordnungskonform zu behandeln sind. Voraussetzung für eine Datenübertragung auf der Grundlage von privacy shield, dh. des Beschlusses der Kommission vom 12. Juli 2016, ist zudem, dass die aus der Europäischen Union übermittelten Daten an eine Organisation in den USA erfolgt, welche in der "Datenschutzschild-Liste" (privacy shild list; https://www.privacyshield.gov/list) aufgeführt ist, erfolgt. In Bezug auf die Konzernmutter der Beklagten (D. Corp.) ist dies nicht der Fall und wird auch von der Beklagten nicht behauptet. Daher konnte zu keinem Zeitpunkt eine Datenübermittlung auf Art. 45 DSGVO bzw. den Angemessenheitsbeschluss der Kommission vom 12. Juli 2016 gestützt werden. (

1. e)Die Beklagte hat auch nicht deshalb gegen die DSGVO verstoßen, weil sie ab deren Geltungszeitpunkt (25. Mai 2018) die bereits bei der Konzernmutter angelangten personenbezogenen Daten des Klägers in ihrem Auftrag durch die Konzernmutter hat (weiter) speichern und damit verarbeiten lassen. Indem die Beklagte Standardvertragsklauseln iSd. der Anlage des Beschlusses der Kommission vom 5. Februar 2010 (2010/87/EU) abgeschlossen und diese weitergehend durch Anlagen und weitere Verträge ergänzt hat, genügte die Beklagte den durch Art. 28 DSGVO gestellten Anforderungen. (
2. aa)Art. 28 DSGVO regelt die Verarbeitung im Auftrag des Verantwortlichen. Nach Art. 28 Abs. 1 DSGVO arbeitet der Verantwortliche nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Die Verarbeitung durch einen Auftragsverarbeiter erfolgt nach Art. 28 Abs. 3 DSGVO auf der Grundlage eines Vertrages oder eines anderen Rechtsinstituts nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind (Satz 1). Dieser Vertrag bzw. dieses andere Regelungsinstrument sieht nach Art. 28 Abs. 3 Satz 2 DSGVO insbesondere die in Buchst. a bis h genannten Inhalte bzw. Garantien vor. (
3. bb)Falls kein Angemessenheitsbeschluss nach Art. 45 Abs. 3 DSGVO vorliegt, darf ein Verantwortlicher oder ein Auftragsdatenverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsdatenverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen, Art. 46 Abs. 1 DSGVO. Nach Art. 46 Abs. 2 DSGVO können die in Absatz 1 genannten Garantien, ohne dass hierzu eine besondere Genehmigung einer Aufsichtsbehörde erforderlich wäre, nach Buchst. c in Standardvertragsklauseln bestehen, die von der Kommission gemäß dem Prüfverfahren nach Art. 93 Abs. 2 DSGVO erlassen werden. Zudem bestimmt Art. 46 Abs. 5 DSGVO, dass von einem Mitgliedsstaat oder einer Aufsichtsbehörde auf der Grundlage von Art. 26 Absatz 2 der Richtlinie 95/46/EG erteilte Genehmigungen so lange gültig bleiben, bis sie erforderlichenfalls von dieser Aufsichtsbehörde geändert, ersetzt oder aufgehoben werden (Satz 1). Von der Kommission auf der Grundlage von Artikel 26 Absatz 4 der Richtlinie 95/46/EG erlassene Feststellungen bleiben so lange in Kraft, bis sie erforderlichenfalls mit einem nach Absatz 2 des Art. 46 DSGVO erlassenen Beschluss der Kommission geändert, ersetzt oder aufgehoben werden. (
4. cc)Die Beklagte hat am Vortag des Inkrafttretens der DSGVO umfangreiche Verträge mit der Konzernmutter unterzeichnet und im Rechtsstreit vorgelegt (in deutscher Übersetzung: Bl. 253 bis 312 d. Akte ArbG), die sich gliedern in die "D. Corporation Globale Datenschutzvereinbarung" (GDPA), deren Anlage 1 ("Übermittlung zwischen mehreren Verantwortlichen") und die Anlage 2 ("Standardvertragsklauseln 2010 für Auftragsverarbeiter") nebst deren Zusätzen. Bei der Anlage 2 "Standardvertragsklauseln 2010 für Auftragsverarbeiter" handelt es sich eindeutig um diejenigen Standardvertragsklauseln der Anlage des Beschlusses der Kommission vom 5. Februar 2010 (2010/87/EU), wie sie auch der Entscheidung des EuGHs vom 16. Juli 2020 (- C-311/18 -) zugrunde lagen. Die Anlage 2 "Standardvertragsklauseln 2010 für Auftragsdatenverarbeiter" enthält mit den Klauseln 1 ("Begriffsbestimmungen"), Klausel 2 ("Einzelheiten der Übermittlung"), Klausel 3 ("Drittbegünstigtenklausel"), Klausel 4 ("Pflichten des Datenexporteuers"), Klausel 5 ("Pflichten des Datenimporteurs"), Klausel 6 ("Haftung"), Klausel 7 ("Schlichtungsverfahren und Gerichtsstand"), Klausel 8 ("Zusammenarbeit und Kontrollstellen"), Klausel 9 ("Anzuwendendes Recht"), Klausel 10 ("Änderung des Vertrags"), Klausel 11 ("Auftragsverarbeitung"), Klausel 12 ("Pflichten nach Beendigung der Datenverarbeitungsdienste") inhaltlich identische Inhalte zur Anlage des Beschlusses der Kommission vom 5. Februar 2010 (2010/87/EU), welche die Beklagte - wie auch in der Anlage des Beschlusses 2010/87/EU vorgesehen, mit zwei (umfangreichen) Anhängen (in der deutschen Übersetzung Zusätze genannt) ergänzt bzw. ausgefüllt hat. So enthält der Zusatz 1 (Bl. 291 ff. d. Akte ArbG), auf den Artikel 2 ("Einzelheiten der Übermittlung") Bezug nimmt ua. auch sämtliche Datenkategorien, auf die sich die Übermittlung personenbezogener Daten beziehen und nennt dort auch all diejenigen Datenkategorien, denen die vom Kläger übermittelten Daten (bspw. Personenstand oder Sozialversicherungsnummer) zuzuordnen sind. Der Zusatz 2 (Bl. 300 ff. d. Akte ArbG), auf die Klausel 4 ("Pflichten des Datenexporteurs") in Buchst. c zu den vom Datenimporteur zu gewährleistenden hinreichenden Garantien bzgl. der zu beschreibenden technischen und organisatorischen Sicherheitsmaßnahmen führt diese auf nicht weniger als sieben Seiten insb. zu folgenden Sicherheitsmaßnahmen im Einzelnen aus: Zugangskontrollen zu den Verarbeitungsbereichen, Zugriffskontrollen zu den Datenverarbeitungssystemen, Zugriffskontrolle für die Nutzung spezifischer Bereiche des Datenverarbeitungssystems, Verfügbarkeitskontrolle, Kontrolle von Übermittlungen, Eingabekontrolle, Trennung der Verarbeitung für unterschiedliche Zwecke, Dokumentation, Überwachung, Vorschriften zu Sicherheitsverfahren, Verfahrensvorschriften für Sicherungskopien und Wiederherstellung, Tests, Audits der Sicherheitsmaßnahmen, Berichtigung, Löschung und Sperrung von Daten, Informationspflicht. Die Beklagte hat mit der Konzernmutter die Standardvertragsklauseln der Anlage des Beschlusses 2010/87/EU abgeschlossen und die ausfüllungsbedürftigen Regelungsgegenstände durch zwei Zusätze umfänglich einer Regelung zugeführt. Die Prüfung des Beschlusses 2010/87/EU der Kommission vom 5. Februar 2010 über Standardvertragsklauseln durch den EuGH hat nichts ergeben, was seine Gültigkeit berühren könnte (EuGH 16. Juli 2020 - C-311/18 - Rn. 122 ff. [149], aaO). Nachdem die von der Beklagten verwendete Standardvertragsklauseln auf einem Beschluss der Kommission beruhen und nur der EuGH berufen ist, solche Durchführungsrechtsakte für ungültig zu erklären, bleiben diese bis zu ihrer Ersetzung/Aufhebung verbindlich, Art. 288 Abs. 4 AEUV (vgl. Lange/Filip in: BeckOK Datenschutzrecht Art. 46 DSGVO Rn. 25a). (
5. dd)Zudem ist davon auszugehen, dass die Beklagte durch die Verwendung der Standardvertragsklauseln der Anlage des Beschlusses vom 5. Februar 2010 (2010/87/EU) und deren Ergänzung durch weitere Verträge und Bestimmungen (insb. im GDPA) gleichzeitig auch die Anforderungen des Art. 28 DSGVO zur Auftragsverarbeitung, der gleichzeitig eine privilegierte Datenverarbeitung, dh. ohne weitergehende Notwendigkeit der Prüfung der Art. 6 ff. DSGVO begründet (vgl. Hartung in: Kühling/

Art. 28DSGVO Rn.

15 ff.; Paal/Pauly Art. 28 DSGVO Rn. 8a), erfüllt hat. (aaa) Zwar erfüllen die Standardvertragsklauseln des Beschlusses der Kommission vom 5. Februar 2010 (2010/87/EU) nicht sämtliche Anforderungen des Art. 28 Abs. 3 DSGVO (vgl. dazu: von dem Bussche/Voight/Voight/v.d. Bussche Konzerndatenschutz Teil 4 Kap. 3 Rn. 27; Lange/Filip in: BeckOK Datenschutzrecht Art. 46 DSGVO Rn. 43; Schröder in: Kühling/

Art. 46DSGVO Rn.

33a). Zu beachten ist jedoch, dass nach Art. 46 Abs. 5, wonach die von der Kommission auf der Grundlage von Art. 26 Absatz 4 der Richtlinie 95/46/EG erlassenen Feststellungen so lange in Kraft bleiben, bis sie erforderlichenfalls mit einem nach Art. 46 Abs. 2 DSGVO erlassenen Beschluss der Kommission geändert, ersetzt oder aufgehoben werden, eine die Anforderungen von Art. 28 Abs. 3 DSGVO überlagernde Bestimmung getroffen wurde, mit der Folge, dass die bisherigen Standardvertragsklauseln genügen, um die DSGVO-Anforderungen zu erfüllen (vgl. von dem Bussche/Voight/Voight v.d. Bussche Konzerndatenschutz Teil 4 Kap. 3 Rn. 28; aA Lange/Filip in: BeckOK Datenschutzrecht Art. 46 DSGVO Rn. 43). (bbb) Aber selbst dann, wenn man es wegen der weiterreichenden Inhalte des Art. 28 Abs. 3 DSGVO für erforderlich halten sollte, dass die Standardvertragsklauseln für eine zulässige Auftragsdatenverarbeitung zu ergänzen sind (vgl. Lange/Filip in: BeckOK Datenschutzrecht Art. 46 aaO), hat die Beklagte in ausreichender Weise die Standardvertragsklauseln durch die weiteren Vertragswerke bzw. Zusätze ergänzt, um auch den Anforderungen des Art. 28 Abs. 3 DSGVO gerecht zu werden. (aaaa) So bestimmt bereits Ziffer 2.2.1 GDPA, dass sich die Auftragsverarbeitung der personenbezogenen Daten ausschließlich gemäß der dokumentierten Weisung der anweisenden Gesellschaft und ihrer Anweisung beschränken, sofern aufgrund anzuwendenden Rechts keine anderweitige Pflicht besteht. Damit ist eine Bestimmung iSv. Art. 28 Abs. 3 Buchst. a DSGVO getroffen. (bbbb) Der Vertragsinhalt nach Art. 28 Abs. 3 Buchst. b DSGVO findet sich in Ziffer 2.2.3 GDPA. Danach muss im Rahmen der Auftragsdatenverarbeitung der Auftragsdatenverarbeiter, dh. die Konzernmutter gewährleisten, dass alle handelnden Personen, Mitarbeiter und Subunternehmer, die personenbezogenen Daten verarbeiten, zu angemessener Geheimhaltung verpflichtet werden. (cccc) Der Zusatz 2 zu den Standardvertragsklauseln sehen Maßnahmen zur Datensicherheit iSv. Art. 28 Abs. 3 Buchst. c DSGVO vor, auf den Ziffer 2 ("Allgemeine Anforderungen an den Datenschutz") in Ziffer 2.1.4 Bezug nimmt. Danach verpflichten sich alle Gesellschaften zum Treffen technischer und organisatorischer Maßnahmen, um ein Schutzniveau zu gewährleisten, das den bei der Auftragsverarbeitung vorhandenen Risiken angemessen ist, einschließlich der in Zusatz 2 zu den Standardvertragsklauseln genannten technischen und organisatorischen Maßnahmen. (dddd) Die nach Art. 28 Abs. 3 Buchst. d DSGVO vorzusehenden Regelungen ergeben sich bereits aus den Standardvertragsklauseln Klausel 5 und Klausel 11. (eeee) Der nach Art. 28 Abs. 3 Buchst. e DSGVO vorzusehende Inhalt ergibt sich aus Ziffer 2.2.8 GDPA, der nach Art. 28 Abs. 3 Buchst. f DSGVO vorzusehende Inhalt ergibt sich aus Ziffer 2.2, insb. 2.2.7 GDPA, die sich nach Art. 28 Abs. 3 Buchst. g und Buchst. h DSGVO ergeben sich aus Ziffer 7.4.2 GDPA und Klausel 12 der Standardvertragsklauseln bzw. Ziffer 2.2 ff. GDPA, wie sich auch insgesamt nach Art. 28 Abs. 3 DSGVO notwendigen Inhalte aus der Rahmenvereinbarung (GDPA) iVm. den Standardvertragsklauseln und ihren beiden Zusätzen ergeben. Insgesamt hat die Beklagte sich nicht auf den bloßen Abschluss der Standardvertragsklauseln beschränkt, sondern diese sehr umfangreich ergänzt und sämtliche nach Art. 28 Abs. 3 DSGVO notwendige Inhalte vereinbart und gleichzeitig vorgesehen, dass im Falle eines Widerspruchs zwischen den Standardvertragsklauseln und den weiteren Vertragsinhalten die Standardvertragsklauseln vorgehen (Ziffer 2.7 GDPA). Daher findet die Auftragsverarbeitung bei der Konzernmutter auf einer ausreichenden vertraglichen Grundlage iSv. Art. 28 DSGVO statt. d) Das Vorbringen des Klägers ist grundsätzlich geeignet, einen immateriellen Schaden iSv. Art. 82 DSGVO darzulegen. aa) Der Erwägungsgrund 146 Satz 3 führt aus, dass der Begriff des Schadens im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden soll, die den Zielen der Verordnung in vollem Umfang entspricht. Der Anspruch soll nach Satz 6 des Erwägungsgrundes 146 sicherstellen, dass die betroffenen Personen einen vollständigen und wirksamen Schadensersatz für den erlittenen Schaden erhalten. Das schließt ein, dass Schadensersatzforderungen abschrecken und weitere Verstöße unattraktiv machen sollen (vgl. Bergt in: Kühling/

Art. 82DSGVO Rn.

17; Paal MMR 2020, 14, 16; Diekmann r+s 2018, 345, 352). Der Begriff des Schadens in Art. 82 DSGVO ist autonom auszulegen, dh. es kommt nicht darauf an, ob ein bestimmter Schaden nach nationalem Recht als Schaden angesehen werden könnte (vgl. Bergt in: Kühling/

Art. 82DSGVO aa

O; vgl. in diesem Zusammenhang auch: BVerfG

1. Januar 2021 - 1 BvR 2853/19 - Rn. 20, juris). Allerdings muss der Schaden "erlitten" (Erwägungsgrund 146) worden, also tatsächlich entstanden sein und darf nicht lediglich befürchtet werden (vgl. Frenzel in: Paal/Pauly Art. 82 DSGVO Rn. 10; Klein GRUR-Prax 2020, 433). Der bloße Verstoß gegen eine Bestimmung der DSGVO reicht daher nicht aus (vgl. Frenzel in: Paal/Pauly Art. 82 DSGVO aaO). Mit Geltung des Art. 82 DSGVO ist es aber nicht mehr vertretbar, einen immateriellen Schadensersatz nur bei einer schwerwiegenden Persönlichkeitsrechtsverletzung anzunehmen (vgl. Paal MMR 2020, 14, 16). So findet sich auch in den Erwägungsgründen kein Hinweis darauf, dass geringfügige Schäden (Bagatellschäden) nicht auszugleichen wäre. Vielmehr sieht Erwägungsgrund 148 Satz 2 vor, dass (ausnahmsweise) bei geringfügigen Verstößen auf die Verhängung einer Geldbuße verzichtet werden kann. Deshalb kann ein Schaden auch bereits in einem unguten Gefühl liegen, dass personenbezogene Daten Unbefugten bekannt geworden sind, wenn nicht ausgeschlossen werden kann, dass die Daten unbefugt weiterverwendet werden. Der Erwägungsgrund 75 führt als mögliche Schäden etwa Diskriminierungen, ein Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteile, aber auch den Verlust, die personenbezogenen Daten kontrollieren zu können, auf (vgl. auch: ArbG Dresden
2. August 2020 - 13 Ca 1046/20 - Rn. 15, ZD 2021, 54; ArbG Düsseldorf
3. März 2020 - 9 Ca 6557/18 - Rn. 102, NZA-RR 2020, 409 ; Klein GRUR-Prax 2020, 433, 434). Der Kontrollverlust kann in diesem Zusammenhang nur einen immateriellen Schaden meinen (vgl. Bergt in: Kühling/

Art. 82DSGVO Rn.

18b). Bei der Bestimmung des immateriellen Schadens kann ua. auch der Wert der Daten und ihre Nutzung und ihre Nutzung aus Sicht des Verantwortlichen abgestellt werden, insb. in Fällen, in denen die personenbezogenen Daten des Betroffenen kommerzialisiert werden und sich der Verantwortliche bewusst über die Interessen des Betroffenen hinwegsetzt, um eigene Erwerbsinteressen durchzusetzen (vgl. Fuhlrott/Oltmanns ArbRAktuell 2020, 565).

1. bb)Zur Begründung seines immateriellen Schadens macht der Kläger das Folgende geltend: der Kläger habe sich in dem Zeitraum der unzulässigen Nutzung von Workday einer permanenten Missbrauchsgefahr, nicht nur von Ermittlungsbehörden, sondern vor allem der Beklagten selbst bzw. anderen Gesellschaften des D.-Konzerns gegenübergesehen. Die Daten seien zudem in ein Land übermittelt worden, das letztlich keinen wirksamen Schutz von personenbezogenen Daten gegenüber den dortigen Behörden garantiere. Ein Daten-Abfluss führe in jedem Fall zu einem immateriellen Schaden. Auch liege ein Schaden darin, dass sich der Kläger einer Bloßstellung seiner Person gegenüber anderen (unberechtigten) Personen und Institutionen ausgesetzt sah, was umso mehr gelte, als der Kläger über einen verhältnismäßig langen Zeitraum in einen Stand der Unsicherheit versetzt worden sei. Es sei nicht klar, wer in den USA Zugriff auf die Daten des Klägers hatte. Der vom Kläger breit umschriebene Kontrollverlust ist nach dem Vorstehenden - zumal unter Berücksichtigung der Rechtsprechung des Europäischen Gerichtshofs, wonach die USA kein gleichwertiges, angemessenes Datenschutzniveau bieten, weshalb insb. der Angemessenheitsbeschluss (privacy shield) für ungültig erklärt wurde (vgl. EuGH 16. Juli 2020 - C-311/18 - NJW 2020, 2613 ), grundsätzlich geeignet, einen auszugleichenden immateriellen Schaden zu bilden.
2. e)Gleichwohl steht dem Kläger ein Anspruch auf Ersatz des von ihm geltend gemachten immateriellen Schadens deshalb nicht zu, weil der vom Kläger geltend gemachte Schaden nicht dem festgestellten Verordnungsverstoß zugeordnet werden kann bzw. tatsächlich nicht eingetreten ist, dh. nicht "erlitten" wurde.
3. aa)Der Verstoß muss für den Schaden kausal sein. Der Schaden muss gerade durch den Rechtsverstoß entstanden sein. Es genügt nicht, dass der Schaden durch eine Verarbeitung entstanden ist, in deren Rahmen es (irgendwann) zu einem Rechtsverstoß gekommen ist. Wenn der Schaden "wegen eines Verstoßes gegen diese Verordnung" entstanden sein muss, kann nicht davon ausgegangen werden, dass bspw. ein Rechtsverstoß bei einer Datenverarbeitung vor dem Geltungszeitpunkt der DSGVO die fortgesetzte Datenverarbeitung "infiziert" und zu einem Schadensersatzanspruch führt (vgl. Bergt in: Kühling/

Art. 82DSGVO Rn.

42). Allenfalls dann, wenn durch den Verstoß die gesamte Datenverarbeitung rechtswidrig wird, kann angenommen werden, dass es keiner Zuordnung des Schadens zu einem konkreten Verordnungsverstoß bedarf (vgl. Bergt in: Kühling/

Art. 82DSGVO aa

O). Zudem ist auch unionsrechtlich anerkannt, dass die Kausalitätsprüfung verhindern soll, dass es zu einer uferlosen Schadensersatzpflicht für alle möglichen, noch so entfernten Schäden kommt, für die ein rechtswidriges Verhalten eine Ursache iSe "conditio sine qua non" gesetzt hat (vgl. zu einer kartellrechtlichen Fragestellung: Kokott Schlussanträge in der Rechtssache - C-557/12 - Rn. 33, 30. Januar 2014, juris). Eine alleinige Kausalität ist aber nicht gefordert, es genügt eine Mitursächlichkeit des Verstoßes für den Schaden, wobei ein hinreichend unmittelbarer Zusammenhang zu fordern ist (vgl. Bergt in: Kühling/

Art. 82DSGVO Rn.

44 f.) und der Schaden muss für den Schädiger vorhersehbar gewesen sein (vgl. Bergt in: Kühling/

Art. 82DSGVO Rn. 45). bb) Danach hat der Kläger keinen durch die Beklagte infolge eines Verordnungsverstoßes verursachten immateriellen Schaden erlitten.