Nach der EuGH-Rechtsprechung (Urt. v. 4.7.2023, C-252/21) sind Verarbeitungen personenbezogener Daten nach Art. Art. 6 Abs. 1 lit. f) DSGVO unter drei kumulativen Voraussetzungen rechtmäßig: Was als berechtigtes Interesse zu gelten hat, bestimmt Art. 6 Abs. 1 lit f) DSGVO zwar nicht ausdrücklich näher. Anhalt bietet jedoch der Erwägungsgrund Nr. 47 zur DSGVO. Darin wird die Betrugsprävention ausdrücklich genannt.

Ein Arbeitnehmer kann einen Anspruch auf Schadenersatz wegen einer Verletzung der DSGVO haben, wenn der Arbeitgeber personenbezogene Echtdaten innerhalb des Konzerns an eine andere Gesellschaft überträgt, um die cloudbasierte Software für Personalverwaltung "Workday" zu testen.