Unerlaubte Verwendung von Kundendaten auf privaten Kommunikationsgeräten durch Mitarbeiter

Das LG Baden-Baden (24.08.2023 – 3 S 13/23) hat ein Unternehmen dazu verurteilt, einer Kundin die Namen ihrer Mitarbeiter zu benennen, die in dem Unternehmen erhobene Kundendaten privat verarbeitet haben. Ferner wurde das Unternehmen verurteilt, den Mitarbeitern die fortgesetzte Verwendung der personenbezogenen Kundendaten auf ihren privaten Kommunikationsgeräten zu untersagen.

Sachverhalt

Dem Urteil des Landgerichts Baden-Baden liegt folgender Sachverhalt zugrunde: Eine Kundin des beklagten Unternehmens hatte im Juni 2022 einen Fernseher nebst Wandhalterung erworben. Im Rahmen des Kaufs wurden von ihr Name und Anschrift erfasst. Die Wandhalterung gab die Kundin wenige Tage später wieder zurück. Hierbei wurde versehentlich der wesentlich höhere Kaufpreis für den Fernseher erstattet.

Als das Versehen in dem Unternehmen bemerkt wurde, kontaktierte eine Mitarbeiterin des Unternehmens über ihren privaten Account eines sozialen Netzwerks die Kundin noch am gleichen Tag, wies auf das Versehen hin und bat um Rückmeldung. Darüber hinaus erhielt die Kundin ebenfalls noch an diesem Tag über Instagram eine weitere Nachricht, in der sie aufgefordert wurde, sich deshalb mit dem „Chef“ der Instagram-Nutzerin in Verbindung zu setzen.

Die Kundin hat mit ihrer gegen das Unternehmen gerichteten Klage die Auskunft begehrt, mitzuteilen, an welche Mitarbeiter der Beklagten ihre personenbezogenen Daten herausgegeben oder übermittelt wurden und darüber hinaus beantragt, die Beklagte zu verurteilen, den Mitarbeitern die Nutzung der personenbezogenen Daten der Kundin auf privaten Kommunikationsgeräten zu untersagen.

Das Amtsgericht wies die Klage ab. Der Auskunftsanspruch bestehe nicht, da Mitarbeiter eines Unternehmens keine „Empfänger“ im Sinne von Art. 15 Abs. 1 lit. c) DSGVO, Art. 4 Nr. 9 DSGVO seien. Die begehrte Verurteilung, den Mitarbeiter der Beklagten die Nutzung der personenbezogenen Daten der Kundin auf ihren privaten Kommunikationsgeräten zu untersagen, sei nicht begründet.

Entscheidungsgründe

Das Landgericht gab der Berufung statt. Die Datenschutzgrundverordnung (DSGVO) sehe einen Auskunftsanspruch der Kundin nach Art. 15 Abs. 1 lit. c) DSGVO vor, der sich auch darauf erstrecke, der klagenden Kundin die Mitarbeiter der Beklagten als Empfänger im Sinne von Art. 4 Ziff. 9 DSGVO zu benennen, denen gegenüber die personenbezogenen Daten der Klägerin offengelegt worden sind und die diese privat verarbeitet haben, etwa weil sie diese auf einem privaten Account eines sozialen Netzwerks genutzt haben.

Zwar seien Arbeitnehmer eines für die Datenverarbeitung Verantwortlichen grundsätzlich nicht als Empfänger anzusehen. Dies gelte aber nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH, Urteil vom 22.06.2023, C-579/21, Rn. 75) nur dann, wenn sie unter der Aufsicht des Verantwortlichen und im Einklang mit seinen Weisungen die Daten verarbeiteten. In dem zu entscheidenden Fall habe jedoch zumindest eine Mitarbeiterin der Beklagten zur Klärung von Fragen im Zusammenhang mit dem Kauf eines Fernsehers den Kontakt zu einer Kundin eigenmächtig über ihren privaten Account aufgenommen. Für die Kundin sei die Nennung der Mitarbeiter erforderlich, um die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten überprüfen und ggf. weitere nach der DSGVO zustehende Ansprüche gegen die Mitarbeiter geltend machen zu können. Daher bestehe ein Auskunftsanspruch auf Nennung der Mitarbeiter. Das Interesse der Kundin auf Geltendmachung ihrer Ansprüche nach der DSGVO überwiege das Interesse der Mitarbeiter, anonym zu bleiben. Dies auch, da die Nutzung der Kundendaten auf privaten Accounts entgegen den Weisungen und den üblichen Gepflogenheiten des Unternehmens eigenmächtig durch die Mitarbeiterin der Beklagten erfolgt sei.

Der Kundin stehe nach §§ 823 Abs. 2, 1004 BGB analog in Verbindung mit Art. 6 Abs. 1 DSGVO ferner ein Anspruch darauf zu, dass das beklagte Unternehmen ihren Mitarbeitern, die bei der Beklagten erhobene personenbezogene Daten der Klägerin auf privaten Kommunikationsgeräten verwendet haben, die fortgesetzte Verwendung untersage.

Das Unternehmen sei als mittelbare Handlungsstörerin verantwortlich und verpflichtet, die ihren Weisungen unterliegenden Mitarbeiter der Beklagten dazu anzuhalten, die weisungswidrige fortgesetzte Verwendung der in dem Unternehmen erhobenen personenbezogenen Daten der Kundin zu unterlassen.

Hinweis für die Praxis

Auch wenn das Urteil dem ersten Anschein zufolge den Eindruck einer Einzelfallentscheidung erweckt, verdeutlicht es doch die zunehmende Wichtigkeit datenschutzrechtlicher Aspekte in allen Bereichen des Rechts. Aus arbeitsrechtlicher Perspektive dürfte das Urteil neben dem streitgegenständlichen Punkt der Kundenkommunikation auch im Rahmen sogenannter „Bring-Your-Own-Device“-Abreden Relevanz entfalten. Arbeitgeber, die ihrer Belegschaft, die Nutzung privater Endgeräte erlauben und über diese ggf. sogar Kundenkommunikation betreiben und die Verarbeitung entsprechender Daten erfolgt, sollten die datenschutzrechtliche Compliance dringend überprüfen. Denn die Frage eines etwaigen Schadensersatzanspruchs ist durch das Urteil nicht beantwortet. Die Klägerin hatte einen solchen nicht geltend gemacht.