LAG Hamm: Schadensersatz wegen unverhältnismäßiger Datenübermittlung im Konzern

Die Parteien streiten über Unterlassungs- und Schadensersatzansprüche im Anwendungsbereich der DSGVO. Die Klägerin ist seit dem 01.10.2018 bei der Beklagten beschäftigt. Die Beklagte, eine Klinikbetreiberin, übermittelte ohne Einwilligung ihrer Arbeitnehmer personenbezogene Daten an eine konzernzugehörige Gesellschaft, die Aufgaben der Organisation, des Managements und des Personalcontrollings im Klinikverbund wahrnahm, allerdings nicht mit der Personalverwaltung befasst war, die vielmehr von dem Klinikbetreiber selbst durchgeführt wurde. Zu den übermittelten, weder anonymisierten noch pseudonymisierten Daten gehörten Namen und Vornamen, Arbeitsverträge, Einstellungsdaten, Gehälter sowie Ansprüche auf Prämien und Tantiemen. Die Klägerin verklagte zunächst die Managementgesellschaft vor dem Landgericht (LG) Bochum und in der Berufung vor dem Oberlandesgericht (OLG) Hamm auf Löschung der an sie übermittelten Daten und auf Schadensersatz, der ihr vom LG Bochum in Höhe von 8.000,00 EUR und vom OLG Hamm in Höhe von 4.000,00 EUR rechtskräftig zugesprochen wurde. In einem weiteren Prozess vor dem Arbeitsgericht Herne verklagte die Klägerin die Beklagte auf Unterlassung der Datenweitergabe an die Managementgesellschaft sowie auf Schadensersatz in Höhe von mindestens 10.000,00 EUR. Das Arbeitsgericht gab der Unterlassungsklage vollständig und der Schadensersatzklage in Höhe von 2.000,00 EUR statt (Urteil vom 15.07.2020, 1 Ca 982/19).

Das LAG Hamm hat nun die Berufung der Beklagten und die Anschlussberufung der Klägerin gegen das Urteil des Arbeitsgerichts Herne zurückgewiesen. Zur Begründung führt das LAG aus, dass der Klägerin ein Anspruch auf Unterlassung der Übermittlung der streitgegenständlichen Daten aus §§ 1004 Abs. 1 BGB, 823 Abs. 2 Satz 1 BGB i.V.m. Art. 5 Abs. 1 lit. a) Var. 1, 6 Abs. 1 DSGVO zustehe, da die genannten Artikel der DSGVO Schutzgesetze i.S.d. § 823 Abs. 2 Satz 1 BGB seien und die Beklagte mit der Übermittlung der Daten gegen die DSGVO verstoßen habe. Für die Übermittlung fehle es an einer Rechtsgrundlage nach Art. 6 Abs. 1 Buchstabe a bis f DSGVO. Es läge insbesondere keine Einwilligung vor und die Übermittlung sei auch nicht als nach § 26 BDSG erforderlich anzusehen. Ebenso lehnt das LAG ein berechtigtes Interesse an der Übermittlung ab. Die Gehaltsdaten der Klägerin hätten in pseudonymisierter Form übermittelt werden können.

Bezüglich des Schadensersatzes lehnt das LAG Hamm eine Erheblichkeitsschwelle ausdrücklich ab und hält unter Berücksichtigung und Abwägung aller Umstände des Einzelfalls, die im Urteil ausführlich dargelegt werden, ein Schmerzensgeld in Höhe von 2.000 Euro für angemessen.

Das LAG ließ die Revision zum Bundesarbeitsgericht (BAG) zu, wo der Fall inzwischen liegt (Aktenzeichen des BAG: 2 AZR 81/22).

Die Entscheidung gibt eine Orientierung, wie Daten im Konzern verarbeitet werden dürfen. Im vorliegenden Fall ist klar, dass u.a. Name, Vorname, Personalnummer, Geburtsdatum, Privatadresse und Arbeitsvertrag zum Zwecke eines Gehaltsvergleich innerhalb eines Konzerns nicht auf Grundlage des Art. 6 Abs. 1 Buchstabe f DSGVO (an Dritte) weitergeleitet werden dürfen.

Das Gericht schließt aber die Weitergabe personenbezogener Daten nicht pauschal aus, sondern misst die Rechtmäßigkeit an dem verfolgten Zweck. Gleichzeitig geht aus der Entscheidung hervor, dass die Frage, ob auch personenbezogene, Daten im Rahmen von konzerninternen Untersuchungen und Vergleichen weitergegeben werden, immer im Einzelfall zu prüfen ist.

Die Entscheidung lässt sich auch auf Fälle übertragen, in denen der kirchliche Datenschutz (KDG) zur Anwendung kommt.