Zwar sind seit dem umfassenden Inkrafttreten der Datenschutzgrundverordnung (DSGVO) im Mai 2018 mittlerweile mehr als fünf Jahre vergangen. Dennoch sind wesentliche Fragen im Hinblick auf die Verarbeitung personenbezogener Daten noch nicht mit zufriedenstellender Sicherheit geklärt – dies gilt gerade für Datenverarbeitungen im Beschäftigungskontext. Seit einiger Zeit jedoch beschäftigen sich immer mehr Gerichte mit Rechtsfragen rund um die Verarbeitung personenbezogener Daten – diese Entwicklung ist, insbesondere vor dem Hintergrund, dass durch jede Entscheidung der juristische Erfahrungsschatz in diesem Bereich wächst, erfreulich.
Gerade im Beschäftigungskontext erlangt der Datenschutz eine immer größere Bedeutung, sodass Arbeitgeber gut daran tun, die sich in stetem Wandel befindliche Rechtsprechung nicht aus dem Blick zu verlieren. Heute stellen wir Ihnen eine aktuelle Berufungsentscheidung des Landgerichts Baden-Baden (Urteil vom 24. August 2023 – Az. 3 S 13/23) vor, welche sich unter anderem mit der Frage der Reichweite eines datenschutzrechtlichen Auskunftsverlangens auseinandersetzt.
Mit dieser Entscheidung verurteilte das Landgericht das beklagte Unternehmen, der Klägerin den Namen einer Mitarbeiterin mitzuteilen, welche unter Rückgriff auf bei der Beklagten gespeicherte personenbezogene Daten der Klägerin über private Social-Media-Kanäle mehrfach Kontakt zur dieser aufgenommen hatte. Darüber hinaus wurde die Beklagte verurteilt, den bei ihr beschäftigten Arbeitnehmer*innen die fortgesetzte Verwendung der personenbezogenen Kundendaten auf ihren privaten Kommunikationsgeräten zu untersagen.
Der Entscheidung lag der folgende Sachverhalt zugrunde:
Im Jahr 2022 erwarb die Klägerin beim beklagten Unternehmen einen Fernseher nebst Zubehör. Hierbei wurden personenbezogene Daten der Klägerin – unter anderem ihr Name und ihre Anschrift – erfasst und gespeichert. Einige Tage später gab sie das erworbene Zubehör zurück, sie behielt allerdings den Fernseher, wobei ihr seitens der Beklagten versehentlich der deutlich höhere Kaufpreis für das TV-Gerät erstattet wurde. Als dieser Fehler auffiel, kontaktierte eine Mitarbeiterin der Beklagten die Klägerin kurzerhand über private Accounts zweier Social-Media-Dienste, machte auf den Fehler und die Zuvielzahlung aufmerksam und bat die Kundin, diesbezüglich Kontakt zum beklagten Unternehmen aufzunehmen. Die Kontaktaufnahme erfolgte dabei unter Verwendung der bei der Beklagten gespeicherten personenbezogenen Daten der Klägerin.
Die Kundin erhob daraufhin Klage vor dem Amtsgericht (AG Bühl, Urteil vom 21. Februar 2023 – Az. 3 C 210/22) und verlangte Auskunft, an welche konkreten Mitarbeiter*innen der Beklagten ihre personenbezogenen Daten herausgegeben bzw. übermittelt wurden. Darüber hinaus beantragte sie, die Beklagte zu verurteilen, den bei ihr beschäftigten Arbeitnehmer*innen die Nutzung ihrer personenbezogenen Daten auf privaten Kommunikationsgeräten sowie –kanälen zu untersagen.
Nachdem die Klägerin vor dem Amtsgericht unterlag, war sie mit der Berufung zum Landgericht Baden-Baden erfolgreich, und die Beklagte wurde antragsgemäß verurteilt. Nach den Ausführungen des Gerichts ergab sich der Auskunftsanspruch der Klägerin aus Art. 15 Abs. 1 Buchstabe c) DSGVO, weil die Mitarbeiter*innen der Beklagten im konkreten Fall als Datenempfänger im Sinne des Art. 4 Nr. 9 DSGVO anzusehen seien. Mit dieser Einschätzung stellte sich das Landgericht auf den ersten Blick einer jüngst ergangenen Entscheidung des Europäischen Gerichtshofs (Urteil vom 22. Juni 2023 – Az. C-579/21) entgegen, wonach Arbeitnehmer*innen grundsätzlich nicht als Datenempfänger im Sinne der DSGVO anzusehen seien. Doch auch der EuGH machte von diesem Grundsatz bereits insoweit eine Ausnahme, als dass dies nur dann gelte, wenn Mitarbeiter*innen die Daten im Beschäftigungskontext „unter Aufsicht und im Einklang mit den Weisungen des Verantwortlichen“ verarbeiteten. Im hier diskutierten Fall erfolgte die Verarbeitung jedoch gerade nicht innerhalb dieser Grenzen, weil die für die Kontaktaufnahme verantwortliche Mitarbeiterin eigenmächtig und unter Verwendung ihrer privaten Social-Media-Accounts handelte. Für die Klägerin sei die Nennung der entsprechenden Mitarbeiter*innen auch zwingend erforderlich, um die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überprüfen und gegebenenfalls weitere Maßnahmen ergreifen zu können. Gegenüber diesem Interesse sei ein etwaiges Interesse der Mitarbeiterin nach fortbestehender Anonymität jedenfalls weniger schutzwürdig und müsse daher zurückstehen.
Auch mit dem geltend gemachten Unterlassungsanspruch hatte die Klägerin Erfolg. Das Landgericht sah die Beklagte insoweit in der Pflicht, als sie die personenbezogenen Daten der Klägerin entweder weitergegeben, jedenfalls aber nicht ausreichend vor unberechtigtem Zugriff und Verwendung gesichert habe. Das beklagte Unternehmen sei dafür verantwortlich und dazu verpflichtet, die bei ihr beschäftigten Mitarbeiter*innen ausdrücklich dazu anzuhalten, die weisungswidrige fortgesetzte Verwendung der im Rahmen der Kundenbeziehung erhobenen personenbezogenen Daten der Klägerin zu unterlassen.
Diese etwas ungewöhnliche Entscheidung zeigt, dass der Auskunftsanspruch gem. Art. 15 DSGVO von Unternehmen nicht unterschätzt werden darf. Jeder Auskunftsanspruch, sei es im Beschäftigungskontext oder darüber hinaus, ist sorgfältig zu prüfen und zu beantworten.
Gerade Arbeitgeber sollten mit Blick auf diese Entscheidung prüfen und sicherstellen, dass alle personenbezogenen Daten, mit denen sie aufgrund ihrer Tätigkeit in Berührung kommen, ausschließlich im Rahmen ihrer Tätigkeit und nach entsprechender Weisung verarbeitet werden. Jegliche Nutzung „mit privatem Anstrich“ (wie im diskutierten Fall) sollte unbedingt vermieden werden.
Foto: Shutterstock – Isara Naksanee
