Verstoß: Unerlaubte Weitergabe von Arbeitnehmerdaten (Gehaltsdaten)

Tenor

1. Die Beklagte wird verurteilt, sämtliche über die Klägerin gespeicherten personenbezogenen Daten, für die diese nicht über eine ausdrückliche Einwilligung der Klägerin verfügt, insbesondere

• den mit dem L bestehenden Arbeitsvertrag der Klägerin (ganz oder teilweise)

• den Namen und Vornamen der Klägerin

• ihr Einstellungsdatum bei der L

• das zwischen ihr und dem L vereinbarte Jahresbruttogehalt

• die zwischen ihr und dem L vereinbarten oder nicht vereinbarten Prämien und Tantiemen

• die zwischen ihr und dem L vereinbarten oder nicht vereinbarten sonstigen Leistungen (Wert und Höhe p. A.)

unabhängig von der Art des Speichermediums, sei es in einer Cloud, Datenbank, in Excel- oder ähnlichen Dateien, auf externen oder mobilen Speichermedien und insbesondere auf Tablets, Handys oder PC`s der Mitarbeiter, Geschäftsführer oder sonstigen Angehörigen des Leistungsgremiums der Beklagten zu löschen.

2. Die Beklagte wird verurteilt, an die Klägerin 8.000,00 EUR zu zahlen, jedoch nur als Gesamtschuldnerin neben der in der Arbeitsgerichtsbarkeit gesondert in Anspruch genommenen L.

3. Im Übrigen wird die Klage abgewiesen.

4. Die Kosten des Rechtsstreits tragen die Klägerin zu 2/15 und die Beklagte zu 13/15.

5. Das Urteil ist vorläufig vollstreckbar, für die Klägerin aber nur gegen Sicherheitsleistung, und zwar hinsichtlich des Tenors zu 1) i. H.v. 6.000,00 € und hinsichtlich des Tenors zu 2) sowie wegen der Kosten i. H.v. 120 % des jeweils zu vollstreckenden Betrages. Im Übrigen bleibt der Klägerin nachgelassen, die Vollstreckung durch die Beklagte durch Sicherheitsleistung in Höhe von 120 % des aufgrund des Urteils vollstreckbaren Betrages abzuwenden, wenn nicht die Beklagte vor der Vollstreckung Sicherheit leistet i. H.v. 120 % des jeweils zu vollstreckenden Betrages.

Tatbestand

Die Klägerin begehrt die Löschung bestimmter personenbezogener Daten sowie Zahlung eines angemessenen Schmerzensgeldes.

Die Klägerin ist Mitarbeiterin der L, S1, deren Hauptgesellschafterin die E in C (E1) ist. Bei der Beklagten handelt es sich um eine Tochtergesellschaft im Verbund des L1, deren einzige Gesellschafterin die E1 ist und die als Abstimmungs- und Leitungsgremium innerhalb des Konzerns für die Geschäftsführung der verschiedenen Kliniken der L2, an denen diese mit mehr als 50 % beteiligt ist (also u.a. auch der Arbeitgeberin der Klägerin), fungiert. Die Arbeitgeberin der Klägerin gab im März 2019 bestimmte, im Tenor näher bezeichnete personenbezogene Daten, insbesondere das Jahresbruttogehalt sowie Prämien und sonstige Leistungen, an die Beklagte weiter. Zweck dieser Datenübermittlung war die Erhebung von Vergleichswerten für neue Verträge. Die Parteien streiten über die Rechtmäßigkeit dieser Datenübermittlung. Die Klägerin verklagte in einem Parallelprozess ihre Arbeitgeberin wegen der Datenweitergabe vor dem Arbeitsgericht Herne. Der dortige Rechtsstreit ist noch nicht rechtskräftig abgeschlossen.

Die Klägerin behauptet, in die Datenverarbeitung nicht eingewilligt zu haben. Der Datenweitergabe sei vielmehr ein heftiger Widerstand der Klägerin vorausgegangen. Allein wegen dieses Widerstandes greife der verschärfte Maßstab für die Datenverarbeitung des Art. 21 I DSGVO ein. Die Beklagte könne sich aber auch ohne Berücksichtigung dieses verschärften Maßstabes nicht auf berechtigte Interessen i.S.d. Art. 6 I lit. f) DSGVO berufen, da hier eine Datensammlung in einem besonders vertraulichen Bereich vorliege, die zur Durchführung des Arbeitsverhältnisses nicht erforderlich sei. Vielmehr stehe das bloße Datensammelinteresse eines betriebsfremden Dritten im Vordergrund, der einen Überblick über die Namen, die Funktionen und die jeweiligen Entgelte in den konzernangehörigen Gesellschaften gewinnen wolle. Angesichts des Geheimhaltungsinteresses der Klägerin sowie der besonders schutzwürdigen Daten (insbesondere Gehaltsdaten) wäre jedenfalls eine Pseudonymisierung erforderlich gewesen. Dies ergebe sich auch aus dem Grundsatz der Datensparsamkeit. Die Beklagte könne sich auch nicht auf das sog. "kleine Konzernprivileg" (Erwägungsgrund Nr. 48 DSGVO) berufen, da keine ausdrückliche (zusätzlich erforderliche) konkrete Ermächtigung vorliege (z.B. eine gesetzliche Ermächtigung oder kollektive/individuelle Einwilligung). Der (Schmerzengeld-) Antrag zu 2) rechtfertige sich aus Art. 82 DSGVO und müsse, um eine abschreckende Wirkung zu entfalten, wenigstens i.H.v. 10.000,00 € zugesprochen werden.

Die Klägerin beantragt,

1. wie erkannt;

2. die Beklagte zu verurteilen, an die Klägerin einen angemessenen Schadensersatz für den erlittenen immateriellen Schaden, dessen Höhe ausdrücklich in das Ermessen des erkennenden Gerichtes gestellt wird, der nach hiesiger Vorstellung in erheblicher Größenordnung zu liegen hat, mindestens jedoch 10.000,00 EUR betragen sollte, zu zahlen.

Die Beklagte beantragt,

die Klage abzuweisen.

Sie beruft sich auf die Geschäftsordnung der Geschäftsführung der Beklagten. Nach deren § 7 II lit. e) bedarf der Abschluss von Arbeitsverträgen mit bestimmten Inhalten der Zustimmung des Haupt-Geschäftsführers der Beklagten. Um entsprechende Vergleichswerte zu haben, sei die Beklagte auf die Daten u.a. der Klägerin angewiesen, da der Aufbau einer Datenbank ausschließlich mit Neuverträgen zu lange dauern würde und in der Vergangenheit § 7 II lit. e) der Geschäftsordnung der Geschäftsführung der Beklagten (bzw. deren Vorgängervorschriften) de facto nicht angewandt worden sei. Die Beklagte habe daher ein billigenswertes Interesse an einem einheitlichen, vergleichbaren und nachvollziehbaren Personalwesen. Dieses Interesse korreliere mit dem Interesse der Mitarbeiter an einer Transparenz des Lohngefüges. Ein "berechtigtes Interesse" i.S.d. Art. 6 I lit. f) DSGVO liege damit insbesondere unter Berücksichtigung von Erwägungsgrund Nr. 48 DSGVO vor. Die Datenübermittlung sei auch erforderlich gewesen, da die insoweit gebotene Interessenabwägung nicht zu einem überwiegenden Interesse der Klägerin führe. Der mit dem Antrag zu 2) geltend gemacht immaterielle Schadensersatzanspruch sei zum einen übersetzt, zum anderen würde die Beklagte jedenfalls nur gesamtschuldnerisch neben der Arbeitgeberin der Klägerin haften.

Zur Ergänzung des Sach- und Streitstandes wird auf die von den Parteien gewechselten Schriftsätze nebst Anlagen Bezug genommen.

Gründe

Die zulässige Klage ist in dem aus dem Tenor ersichtlichen Umfang begründet.

Der mit dem Antrag zu 1) verfolgte Löschungsanspruch ergibt sich aus Art. 17 I DSGVO.

Die DSGVO ist auf vorliegenden Sachverhalt anwendbar, da eine nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, vorliegt, Art. 2 I DSGVO. Soweit die DSGVO unmittelbar Anwendung findet, verdrängt sie zudem das BDSG (§ 1 V BDSG).

Die Beklagte kann sich nicht auf ein berechtigtes Interesse i.S.d. Art. 6 I lit. f) DSGVO berufen. Dabei ist es unerheblich, ob das sog. "kleine Konzernprivileg" der Nr. 48 der Erwägungsgründe eingreift. Denn selbst, wenn dem so wäre, wäre gleichwohl eine Abwägung im Einzelfall erforderlich. Diese fällt vorliegend zugunsten der Klägerin aus.

Bereits die Erforderlichkeit der Datenverarbeitung ist zu verneinen. Gemäß Nr. 39 S. 9 der Erwägungsgründe zur DSGVO sollen personenbezogene Daten nämlich nur dann verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Hier gäbe es aber ein "anderes Mittel" dergestalt, dass die Beklagte eine Datenbank über neu abgeschlossene Verträge aufbaut.

Insoweit vermag die Beklagte sich nicht mit Erfolg darauf zu berufen, dass dies zu viel Zeit in Anspruch nehmen würde. Denn schon nach dem eigenen Vortrag der Beklagten wurde § 7 II lit. e) der Geschäftsordnung der Geschäftsführung der Beklagten (bzw. deren Vorgängervorschriften), auf deren Einhaltung die Beklagte die Notwendigkeit der Datenverarbeitung maßgeblich stützt, bis 2019 grundsätzlich nicht angewandt. Die Beklagte hat folglich das Fehlen geeigneter Vergleichswerte für Neueinstellungen selbst zu vertreten.

Ferner ist zu beachten, dass die Beklagte ihr Ziel, Vergleichswerte in ausreichender Zahl zu erheben, auch bei einer Pseudonymisierung erreicht hätte. Darauf, dass trotz einer Pseudonymisierung die Klägerin ggf. identifizierbar wäre, kann sich die Beklagte nicht berufen, denn die Klägerin hat sich im Prozess auf die Möglichkeit einer Pseudonymisierung im Rahmen des Rechtsstreits selbst berufen und ist augenscheinlich mit dieser einverstanden.

Zudem ist zu beachten, dass die Klägerin der Datenverarbeitung widersprochen hat (Art. 21 I DSGVO). Ein solcher Widerspruch ist nach dem Wortlaut der Vorschrift "jederzeit" möglich und führt zu einer Umkehr der Darlegungslast (BeckOK-DatSR Art. 6 DSGVO Rn. 52). An den Widerspruch sind dabei keine hohen Anforderungen zu stellen. Es reicht aus, wenn der Betroffene die Verarbeitung schlicht nicht wünscht, dies ausführt und derart sein Grundrecht auf Schutz personenbezogener Daten (Art. 8 GRCh) ausübt (BeckOK DatenschutzR/Forgó, 30. Ed. 1.11.2019, DS-GVO Art. 21 Rn. 8). Dies ist hier jedenfalls nach der streitgegenständlichen Datenverarbeitung geschehen.

Der Schmerzensgeldantrag zu 2) ist dem Grunde nach gegeben und ergibt sich aus Art. 82 DSGVO. Bei der Höhe ist zu berücksichtigen, dass der immaterielle Schadensersatzanspruch aus Art. 82 DSGVO gerade auch eine abschreckende Wirkung haben soll (Kühling/Buchner/Bergt, 2. Aufl. 2018, DS-GVO Art. 82 Rn. 18). Insoweit sind die ausgeurteilten 8.000,00 € erforderlich, aber auch ausreichend. Insoweit war zugunsten der Beklagten immerhin zu berücksichtigen, dass diese ein durchaus legitimes Informationsinteresse hat, auch wenn dieses nicht das zur Zweckerreichung erfolgte Vorgehen rechtfertigt.

Die Beklagte haftet jedoch nur gesamtschuldnerisch mit der in der Arbeitsgerichtsbarkeit verklagten Arbeitgeberin der Klägerin. Dies ergibt sich aus Art. 82 IV, V DSGVO (vgl. auch BeckOK-DatenschutzR/Quaas, DS-GVO Art. 82 Rn. 44).

Eine Schriftsatzfrist auf den letzten Beklagtenschriftsatz war der Klägerin nicht einzuräumen, da der Schriftsatz innerhalb der Fristen des § 132 ZPO zugestellt werden konnte.

Die Nebenentscheidungen folgen aus §§ 92 I, 708 Nr. 11 Var. 2, 709, 711 ZPO.

Der Streitwert wird auf 15.000,00 EUR festgesetzt.