Eine nicht erforderliche Datenübermittlung innerhalb eines Konzerns kann sowohl einen Unterlassungsanspruch als auch einen Schadensersatzanspruch gegenüber dem Arbeitgeber begründen, urteilte das Landesarbeitsgericht (LAG) Hamm (Az.: 17 Sa 1185/20).
Der Sachverhalt
Ausgangsszenario für den vom LAG Hamm entschiedenen Rechtsstreit war die Übermittlung von personenbezogenen Daten der Klägerin durch ihren beklagten Arbeitgeber. Die Klägerin war seit dem 1. Oktober 2018 in einer Klinik der beklagten Krankenhausträgerin tätig. In dem zwischen den Parteien vereinbarten Arbeitsvertrag war bestimmt, dass die personenbezogenen Daten der Klägerin nur für Zwecke des Beschäftigtenverhältnisses verarbeitet werden durften.
Die Beklagte übermittelte jedoch innerhalb eines Klinikverbunds an eine weitere Dienstleistungsgesellschaft der Krankenhausträgergesellschaften personenbezogene Daten der Klägerin. Der Aufgabenbereich der Dienstleistungsgesellschaft lag in der Organisation des Management- und Personal-Controllings des Klinikverbunds. Die Dienstleistungsgesellschaft war weder eine personalverwaltende Stelle noch war dort die Personalabteilung verortet. Die Beklagte verfügte stattdessen über eine eigene Personalabteilung.
Aufgrund einer Abfrage der Dienstleistungsgesellschaft im Rahmen eines verbundweiten Personalmanagements übermittelte die Beklagte der Dienstleistungsgesellschaft eine Übersicht der Mitarbeiter mit einem Bruttojahresgehalt von mehr als 80.000 Euro. Intention der Umfrage war es, die Vergütungspraxis für außertarifliche Angestellte mit hohen Gehältern konzernweit einheitlich und widerspruchsfrei zu gestalten. Der übermittelte Datensatz beinhaltete die Gehaltsdaten, die Personalnummer, den Namen und Vornamen, die Konzerngesellschaft, bei der sie im Krankenhaus tätig ist, sowie auch die Privatadresse der Klägerin.
Hiergegen erhob die Klägerin vor dem Landgericht Bochum Klage und begehrte die Löschung der übermittelten Daten sowie Zahlung von Schadensersatz für den erlittenen immateriellen Schaden nach Art. 82 Abs.1 DSGVO.
Außerdem reichte die Klägerin eine weitere Klage beim Arbeitsgericht Herne gegen ihre Arbeitgeberin (Az. 1 Ca 982/19) ein. Hierbei verlangte die Klägerin von der Beklagten, es zu unterlassen, ihre personenbezogenen Daten an die Dienstleistungsgesellschaft weiterzugeben und den erlittenen immateriellen Schaden zu ersetzen.
Aktuelle Urteile zur DSGVO
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Zwei Urteile und Berufungsverfahren
Löschung und Schadensersatz
Dem Löschbegehren der Klägerin gab das Landgericht Bochum am 12. Februar 2020 statt und verurteilte die Dienstleistungsgesellschaft und die beklagte Arbeitgeberin gesamtschuldnerisch zur Zahlung von Schadensersatz in Höhe von 8.000 Euro.
Die Berufungsinstanz (OLG Hamm, Urteil vom 31. August 2021, Az.: I-9 U 56/20) änderte die Höhe des Schadensersatzanspruches auf 4.000 Euro und verurteilte zur alleinigen Zahlung die Dienstleistungsgesellschaft.
Unterlassung und immaterieller Schadensersatz
Das Arbeitsgericht Herne verurteilte die Beklagte zur Unterlassung und Zahlung von Schadensersatz in Höhe von 2.000 Euro (Urteil vom 15. Juli 2020, Az.: 1 Ca 982/19).
Das LAG Hamm wies die Berufung der Beklagten und die Anschlussberufung der Klägerin gegen das Urteil des Arbeitsgerichts Herne zurück. Das LAG führt in seiner Begründung an, dass der Klägerin ein Unterlassungsanspruch gegen die Übermittlung ihrer Daten an die Dienstleistungsgesellschaft nach §§ 1004 Abs.1 BGB, 823 Abs. 2 Satz 1 BGB im Vermessen mit Art. 5 Abs. 1 lit. a) Var. 1, 6 Abs.1 DSGVO zustehe, da die angeführten Artikel Schutzgesetze im Sinne von § 823 Abs. 2 Satz 1 BGB sind und die Übermittlung der Daten einen Verstoß gegen die DSGVO darstellt. Nach dem LAG fehlt es für die Übermittlung der Daten an einer hierfür erforderlichen Rechtsgrundlage nach Art.6 Abs. 1 lit. a-f DSGVO. Das LAG hebt vor allem hervor, dass keine Einwilligung vorliegt und eine Übermittlung auch nicht auf § 26 BDSG gestützt werden kann. Auch lehnt das LAG eine Übermittlung aus berechtigtem Interesse ab.
Ein berechtigtes Interesse an der Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe kann für interne Verwaltungszwecke angenommen werden. Das LAG führt in seinem Urteil an, dass grundsätzlich ein berechtigtes, wirtschaftliches Interesse sowohl der Beklagten als auch der Dienstleistungsgesellschaft an der Übermittlung der Gehaltsdaten der Klägerin zum Zwecke mit der Intention des Gehältervergleichs zur konzernweiten Vereinheitlichung der Gehälter angenommen werden kann. Allerdings führt das LAG auch an, dass die Übermittlung der Daten in ihrer konkreten Ausgestaltung nicht erforderlich war. Vielmehr hätten die Gehaltsdaten der Klägerin in pseudonymisierter Form übermittelt werden können.
Der Zweck der Datenübermittlung bestand darin, einen Überblick über das aktuelle Gehaltsgefüge der Mitarbeiter im Konzernverbund zu erhalten. Die Rechtsgrundlage nach Art. 6 Abs.1 lit. f DSGVO erlaubt eine Datenverarbeitung auf Grundlage des berechtigten Interesses aber nur, wenn kein milderes, gleich effektives Mittel zur Verfügung steht. Vorliegend hätte es zur Erreichung des Ziels – dem Überblick über das aktuelle Gehaltsgefüge der Mitarbeiter im Konzernverbund – ausgereicht, wenn lediglich die Gehaltsdaten übermittelt worden wären.
Dadurch, dass die Beklagte mehr Daten als erforderlich an die Dienstleistungsgesellschaft übermittelt hatte, hat sie nach Auffassung des LAG auch gegen den Grundsatz der Datenminimierung (Art.5 DSGVO) verstoßen.
Daneben betont das LAG in seinem Urteil, dass die Klägerin über die Übermittlung ihrer personenbezogenen Daten nicht gem. Art. 13 Abs. 3 DSGVO vorab informiert worden sei. Damit wurde der Klägerin keine Gelegenheit zur Stellungnahme eingeräumt und folglich das Transparenzgebot (Art. 5 Abs. 1lit.a Var. 3 DSGVO) nicht beachtet. Durch die Säumnis der Unterrichtung hatte die Klägerin nicht die Möglichkeit ihr Widerspruchsrecht nach Art. 21 DSGVO rechtzeitig und effektiv auszuüben.
Datenschutzrechtliche Beurteilung
Mit seinem Urteil verdeutlicht das LAG, dass auch innerhalb eines Konzernverbundes eine Übermittlung von Daten ohne Rechtsgrundlage nicht möglich ist. Ein grundsätzlich anzunehmendes sogenanntes Konzernprivileg ist dem Datenschutzrecht fremd. Das aus EG (48) hergeleitete sogenannte kleine Konzernprivileg sieht eine Privilegierung innerhalb der Konzerndatenverarbeitung ausschließlich für interne Verwaltungszwecke vor.
Hierneben bedarf es stets einer Rechtgrundlage für die Übermittlung. Da eine Einwilligung aufgrund der Rechtsfolgen in derartigen Fällen nicht praxistauglich ist, kommt eine Übermittlung regelmäßig nur aufgrund eines überwiegend berechtigten Konzerninteresses nach Art. 6 Abs. 1 lit f DSGVO oder zur Durchführung des Beschäftigungsverhältnisses in Betracht. Letztere Notwendigkeit muss im Arbeitsvertrag hineingelesen werden können. Das Urteil des LAG verdeutlicht diesbezüglich auch, dass die Rechtsgrundlage für Datenverarbeitungen im Beschäftigtenverhältnis nach § 26 BDSG restriktiv zu handhaben ist und nicht pauschal auf alle Verarbeitungen von personenbezogenen Daten der Beschäftigten Anwendung findet.
Die Legitimierung der Datenübermittlung auf Grundlage des Konzernprivilegs nach EG (48) zur Begründung des berechtigten Interesses nach Art. 6 Abs. 1 lit. f) DSGVO lehnt das Gericht vorliegend zu Recht ab.
Fazit
Das Urteil ist ein gutes Beispiel dafür, dass das Vorliegen eines überwiegend berechtigten Interesses nicht pauschal unter dem Vorwand von Nützlichkeits- und Bequemlichkeitserwägungen heraus unterstellt werden kann. Wie in der Praxis oft verkannt, bedarf auch die Konzernübermittlung nach Art. 6 Abs. 1 lit f) DSGVO einer substantiierten Abwägung. Insbesondere sind hiernach die allgemeinen Prinzipien aus Art. 5 DSGVO ausschlaggebend.
Dies unterstellt, wäre die Beklagte vorliegend auch in der Lage gewesen, an den Grundsatz der Datenminimierung zu denken sowie möglicherweise auch technische Maßnahmen wie Pseudonymisierung in den Abwägungsprozess mit einfließen zu lassen. Das Urteil wäre damit voraussichtlich anders ausgefallen und der ursprüngliche Zweck sogar realisierbar gewesen.
