Konzernweite Datenübermittlung

Das LAG Hamm hat mit Urteil vom 14.12.2021 (17 Sa 1185/20) entschieden, dass einem Arbeitnehmer ein Unterlassungsanspruch und immaterieller Schadensersatz in Höhe von 2.000 Euro zusteht, wenn der Arbeitgeber durch Datenweitergabe innerhalb des Konzerns, die nicht für die Durchführungen des Arbeitsverhältnisses erforderlich ist, gegen die Vorgaben der DSGVO verstößt.

Sachverhalt

Dem Urteil des LAG Hamm liegt folgender Sachverhalt zugrunde: Die Klägerin ist in einer Klinik beschäftigt, die Teil eines Klinikverbunds ist. Die Gesellschafterin der einzelnen Klinikgesellschaften hat zum Unternehmensgegenstand die Übernahme und Gewährleistung der Geschäftsführung von Krankenhausträgergesellschaften und im Krankenhausbereich tätigen Dienstleistungsgesellschaften. Die Gesellschafterin übernimmt Aufgaben der Organisation, des Managements und des Personalcontrollings im Klinikverbund, ist aber keine Personalabteilung oder personalverwaltende Stelle der Beklagten oder anderer Verbundkliniken. Die Beklagte verfügt über eine eigene Personalabteilung. Für IT-Fragen ist im Konzernverbund wiederum eine weitere Gesellschaft tätig.

Der Gesellschafterin der Beklagten steht ein Zustimmungsvorbehalt hinsichtlich der Einstellung von Mitarbeitern mit einem bestimmten Jahreseinkommen sowie in Bezug auf den Abschluss von Zielvereinbarungen mit dieser Arbeitnehmergruppe zu. Zur Vorbereitung einer Zielvereinbarung mit der Klägerin hat die Beklagte der Gesellschafterin – trotz datenschutzrechtlicher Bedenken – umfassende Auskunft über personenbezogenen Daten der Klägerin übermittelt.

Die Klägerin begehrt die Unterlassung der Datenübermittlung sowie einen angemessenen Schadensersatz für den immateriellen Schaden, dessen Höhe ausdrücklich in das Ermessen des erkennenden Gerichts gestellt wird, mindestens jedoch 10.000 Euro. Das Arbeitsgericht hat der Klage überwiegend stattgegeben und die Beklagte zur Unterlassung und zur Zahlung von Schadensersatz in Höhe von 2.000 Euro verurteilt. Die von beiden Parteien hiergegen eingelegten Berufungen waren erfolglos.

Entscheidungsgründe

Nach Auffassung des Berufungsgerichts vermochte die Beklagte sich auf einen Rechtfertigungsgrund für die Datenübermittlung nicht zu stützen. Insbesondere die Voraussetzungen von § 26 BDSG als speziellerer Vorschrift zu Art. 6 Abs. 1 lit b DSGVO sowie von Art. 6 Abs. 1 Buchstabe f DSGVO lägen im Streitfall nicht vor. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Für die Durchführung des Arbeitsverhältnisses ist eine Verarbeitung von personenbezogenen Daten danach erforderlich, wenn und soweit der Arbeitgeber sie benötigt, um die Pflichten zu erfüllen und die Rechte geltend machen zu können, welche im Hinblick auf das Arbeitsverhältnis in gesetzlichen Vorschriften, Kollektivverträgen und Individualvereinbarungen mit dem Arbeitnehmer geregelt sind. Die streitgegenständliche Datenübermittlung war zur Durchführung des Arbeitsverhältnisses mit der Klägerin nicht erforderlich. Die Gesellschafterin ist keine Personalabteilung oder personalverwaltende Stelle der Beklagten. Sämtliche das Arbeitsverhältnis der Klägerin betreffenden Abrechnungs- und Personalverwaltungsvorgänge werden ohne ihre Mitwirkung vorgenommen. Das Arbeitsverhältnis weist auch keinen anderweitigen Konzernbezug auf.

Gleichermaßen liegen die Voraussetzungen des Art. 6 Abs. 1 Buchstabe f DSGVO nicht vor. Die Übermittlung der Daten war in ihrer konkreten Ausgestaltung nicht erforderlich. Die Gehaltsdaten der Klägerin hätten – so das LAG – in pseudonymisierter Form übermittelt werden können.

Unter Berücksichtigung und Abwägung aller Umstände des Einzelfalls erachtet auch das Berufungsgericht den Schadensersatz in Höhe von 2.000 Euro als angemessen. Das Gericht berücksichtigt insoweit auch die Tatsache, dass die Beklagte sich zunächst der Datenübermittlung erwehrt und sogar ein Rechtsgutachten zu der streitgegenständlichen Frage eingeholt hatte.

Hinweise für die Praxis

Die steigende Zahl von datenschutzrechtlichen Auskunftsklagen und Schadenersatzforderungen sowie die zunehmende Bereitschaft der Aufsichtsbehörden, Datenschutzverstöße von Unternehmen mit Bußgeldern zu belegen, sollten hinreichende Signale für Arbeitgeber sein, den Datenschutz in der Unternehmenspraxis ernst zu nehmen. Das LAG Hamm hat nunmehr in einer ungewöhnlich ausführlichen Entscheidung entschieden, dass eine konzerninterne Übermittlung von Mitarbeiterdaten nach Art 6 Abs 1 lit f DSGVO nicht pauschal gerechtfertigt ist. Das Gericht befasst sich intensiv mit der Interessenabwägung und auch mit Erwägungsgrund 48. Danach gilt festzuhalten, dass pauschale Verweise auf die gesetzlichen Rechtfertigungstatbestände von Datenübermittlungen nicht ausreichend sind, sondern die detaillierte Prüfung deren tatsächlichen Voraussetzungen geboten ist. Der Ruf nach dem Konzernprivileg im Rahmen des Datenschutzrechts dürfte im Nachgang des Urteils wieder lauter werden.