Schadenersatz wegen konzernweiter Datenübermittlung

Der Arbeitgeber darf Daten der Beschäftigten verarbeiten, wenn dies für die Durchführung des Beschäftigungsverhältnisses – also beispielsweise die Honorarabrechnung – erforderlich ist. Darüber hinausgehend wird es schwierig.

Das war der Fall

In einem großen Klinikverbund übermitteln die einzelnen Kliniken pauschal Namen und Daten der Beschäftigten ab einem Jahresgehalt von 80.000 € per E-Mail an eine zentrale Stelle im Konzern. Laut demArbeitgeber geht es um die Schaffung einer konzernweit einheitlichen Vergütungsstruktur.

Die Datenübermittlung enthält Personalnummer, Name und Vorname, Dienstart sowie weitere personenbezogene Daten der jeweils betroffenen Beschäftigten. Dagegen wehrt sich eine Beschäftigte des Klinikverbunds, die mit dieser zentralen Datenübermittlung nicht einverstanden ist. Sie verlangt Unterlassung und Schadenersatz.

Das sagt das Gericht

Das Gericht gibt der Beschäftigten recht. Sie kann Unterlassung verlangen und bekommt Schadenersatz in Höhe von 2.000 € für die unzulässige und daher datenschutzwidrige Übermittlung ihrer personenbezogenen Daten.

Personenbezogenen Daten dürfen nur erhoben werden, wenn gemäß der Datenschutzgrundverordnung (DSGVO) eine Rechtfertigung dafür vorliegt. Dies ist beispielsweise der Fall, wenn

• der Betroffene in die Verarbeitung einwilligt
• einer der allgemeinen Fälle des Art. 6 Abs. 1 DSGVO vorliegt
• oder – was im Beschäftigungskontext relevant ist – die Datenverarbeitung „erforderlich“ ist, um die Durchführung des Beschäftigungsverhältnisses zu gewährleisten (§ 26 Bundesdatenschutzgesetz – BDSG).

Da es hier nicht um die üblichen Aufgaben der Personalabteilung (Gehaltsabrechnung) geht, ist fraglich, ob die Datenübermittlung im Rahmen des Beschäftigungsverhältnisses „erforderlich“ ist. Das Gericht kommt hier zu dem Ergebnis, dass es durchaus ein legitimes Ziel der Konzernverwaltung sein könne, die Vergütungspraxis für außertarifliche Angestellte mit hohen Gehältern konzernweit einheitlich und widerspruchsfrei zu gestalten.  

Anonyme Datenübermittlung ausreichend

Allerdings hätte hier zum Abgleich der Konzerngehälter als milderes Mittel eine Datenübermittlung in anonymisierter Form ausgereicht. Zur Beurteilung des Gehaltsgefüges innerhalb des Konzerns sei ein Personenbezug nicht erforderlich gewesen. Außerdem hätte der Arbeitgeber die Beschäftigten in Kenntnis setzen müssen.

Das muss der Betriebsrat wissen

Auch für den Datenaustausch innerhalb des Konzerns bedarf es immer einer Rechtsgrundlage zur Übermittlung personenbezogener Daten nach der DSGVO. Es gibt kein Konzernprivileg im Datenschutzrecht. Grundsätzlich müssen alle datenschutzrechtlichen Regelungen der DSGVO nicht nur eingehalten, sondern auch lückenlos nachweisbar sein. Zwar hat das Gericht hier ausgiebig geprüft und dargelegt, dass es durchaus auch außerhalb der Routineaufgaben der Personalabteilung legitime Gründe für Datenübermittlung geben kann (eben die Schaffung von einheitlichen Vergütungsstrukturen), aber es ist genau zu prüfen, ob nicht anonyme Daten dafür ausreichen.

© bund-verlag.de (fro)