Das Landgericht Baden-Baden hat entschieden, dass ein Unternehmen einer Kundin den Namen seiner Mitarbeiterin herausgeben muss. Diese Mitarbeiterin hatte zuvor Kundendaten verwendet und die Kundin über ihren privaten Instagram-Account angeschrieben. Wie es zu diesem recht kuriosen Urteil gekommen ist und inwiefern das Auskunftsrecht nach Art. 15 DSGVO weiter geschärft wird, klären wir in diesem Beitrag.
Der Inhalt im Überblick
Was war geschehen?
Im vorliegenden Fall vor dem Landgericht Baden-Baden (Az. 3 S 13/23) ging es um eine Mitarbeiterin, die unter Zuhilfenahme von Daten, die sie im Rahmen ihrer beruflichen Tätigkeit verarbeitet hat, eine Kundin angeschrieben hat. Die Kundin hat im vergangenen Jahr beim beklagten Unternehmen einen Fernseher und eine Wandhalterung erworben. In dem Zusammenhang wurden von ihr der Name und ihre Anschrift erfasst. Wenige Tage darauf gab sie die Wandhalterung wieder zurück, wobei ihr versehentlich der wesentlich höhere Kaufpreis für den Fernseher erstattet wurde.
Die Mitarbeiterin bemerkte kurz darauf ihren Fehler und schrieb die Kundin über ihren privaten Instagram-Account an. Darin klärte sie über ihren Fehler auf und bat die Kundin in einer zweiten Nachricht, sich in dieser Sache an ihren „Chef“ zu wenden.
Die Kundin war mit diesem Vorgehen nicht einverstanden und verlangte von dem Unternehmen Auskunft darüber, an welche Empfänger ihre personenbezogenen Daten übermittelt worden sind – Mitarbeiterinnen und Mitarbeiter eingeschlossen. Das zunächst angerufene Amtsgericht Bühl wies die Klage auf Auskunft ab (Az. 3 C 210/22). Mit der Berufung vor dem LG Baden-Baden hatte die Kundin und Betroffene nun doch Erfolg.
Entscheidung des Landgerichts
Das Landgericht hatte neben der Frage der Reichweite des Auskunftsanspruchs auch darüber zu entscheiden, ob es dem beklagten Unternehmen untersagen kann, die personenbezogenen Daten der Klägerin auch auf den privaten Geräten der Mitarbeiterinnen und Mitarbeiter zu verarbeiten.
Anspruch auf Auskunft – Mitarbeiter können Datenempfänger sein
Schwerpunkt der Entscheidung war die Reichweite des Auskunftsanspruchs. Grundsätzlich sind vom Recht auf Auskunft auch Angaben über die Empfänger der Daten erfasst, Art. 15 Abs. 1 lit. c) DSGVO. Gemäß Legaldefinition in Art. 4 Nr. 9 DSGVO ist
„‚Empfänger‘ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht.“
Die Frage, ob Mitarbeiter eines verantwortlichen Unternehmens auch Empfänger im Sinne des Art. 4 Nr. 9 DSGVO sind, ist der Schwerpunkt dieses Falles. Das LG Baden-Baden führt zu diesem Punkt aus, dass Arbeitnehmer eines für die Datenverarbeitung Verantwortlichen grundsätzlich nicht als Empfänger anzusehen sind. Dies gelte aber nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH, Urteil vom 22.06.2023, C-579/21) nur dann, wenn sie unter der Aufsicht des Verantwortlichen und im Einklang mit seinen Weisungen die Daten verarbeiteten.
In der angesprochenen Entscheidung hat sich der Europäische Gerichtshof erst vor wenigen Wochen zu einem ähnlichen Sachverhalt geäußert und dabei bestätigt, dass die Namen von Angestellten grundsätzlich nicht Teil eines Auskunftsanspruchs nach Art. 15 DSGVO sind. Das Gericht sah eine Ausnahme von diesem Grundsatz jedoch in solchen Fällen gegeben, wenn diese Informationen (= Name des Angestellten) unerlässlich sind, um der betroffenen Person es zu ermöglichen, die ihr durch diese DSGVO verliehenen Rechte wirksam wahrzunehmen, und vorausgesetzt, dass die Rechte und Freiheiten dieser Arbeitnehmer berücksichtigt werden.
Auf diesen rechtlichen Erwägungen aufbauend stellte das Landgericht also fest, dass die Mitarbeiterin nicht mehr im Einklang mit den Weisungen ihres Arbeitgebers handelte, als sie die Kundendaten nutzte, um die Kundin auf Instagram mit ihrem privaten Account anzuschreiben. Auch unter Berücksichtigung der Rechte und Freiheiten der Arbeitnehmerin sei für die Kundin die Nennung der Mitarbeiterin erforderlich, um die Rechtmäßigkeit der Verarbeitung ihrer personenbezogenen Daten zu überprüfen und ggf. weitere nach der DSGVO zustehende Ansprüche geltend machen zu können.
Untersagung der Verwendung von Kundendaten auf privaten Geräten
Neben dem Anspruch auf Auskunft urteilte das LG Baden-Baden zudem, dass die Kundin gegenüber dem Unternehmen einen Anspruch darauf habe, dass es seinen Mitarbeitern, die personenbezogene Daten der Kundin auf deren privaten Geräten verwendeten, diese fortgesetzte Verwendung untersagt. Ein solcher Anspruch ergebe sich aus § 823 Abs. 2, 1004 BGB analog in Verbindung mit Art. 6 Abs. 1 DSGVO.
Unternehmen sollten Mitarbeiter sensibilisieren
Anhand dieses Urteils wird deutlich, wie kompliziert ein vermeintlich einfach gelagerter Auskunftsanspruch in der Praxis werden kann. Die Entscheidung zeigt aber in jedem Fall auf, dass auch die Gerichte gewillt sind, den Betroffenen den in der DSGVO angelegten Schutz auch zu ermöglichen – notfalls mit sehr filigranen Abgrenzungen. Dabei kann es auch dazu kommen, dass die eigenen Mitarbeiter als „Empfänger“ von Daten im Sinne des Art. 15 Abs. 1 lit. c DSGVO gelten.
Unternehmen sollten aus dieser Entscheidung mitnehmen, ihren Mitarbeiterinnen und Mitarbeitern klare Anweisungen und Prozesse an die Hand zu geben, mit welchen Mitteln und unter Einsatz welcher Kanäle eine Kundenansprache vorgenommen werden darf. Dies ist unerlässlich, um ressourcenbindende Klageverfahren wie das hier vorgestellte zu vermeiden.
Das Urteil scheint mir über das Ziel hinauszuschießen. Der EuGH hat entschieden, dass Mitarbeiter grundsätzlich keine Empfänger sind. Diese haben kein eigenes Recht zur Verarbeitung von personenbezogenen Daten. Sie leiten ihre Rechte von ihrem Arbeitgeber aus dessen Rolle als Verantwortlicher ab, siehe Art. 29 DSGVO.
Ob die Verarbeitung durch die Mitarbeiterin rechtmäßig war oder nicht, kann man auch beantworten ohne deren Namen zu kennen. Da dies wahrscheinlich in den AGBs oder sonst wo nicht vorgesehen ist, durfte das Unternehmen die Daten der Kundin auf Instagram nicht nutzen, und damit die Mitarbeiterin ebenfalls nicht.
Die Mitarbeiterin ist nach außen zur Kundin nicht als eigene Verantwortliches aufgetreten, sondern als jemand, der zu dem Unternehmen gehört, wo die Kundin etwas gekauft hat. In welcher Rolle sollte die Mitarbeiterin „selbständig“ Daten von der Kundin herausgeben oder sonst verarbeiten dürfen? Aus welcher Rolle heraus sollten/könnten/müssten ihr gegenüber welche Rechte geltend gemacht werden? Die Kundin kann alle Rechte gegenüber dem Unternehmen geltend machen und zwar so, dass alle ihre Ansprüche beachtet werden. Wenn man es erlaubt, dass Unternehmen Namen von Mitarbeitern herausgeben müssen, damit gegen diese vorgegangen werden kann, besteht auch die Gefahr, dass sich Unternehmen aus ihrer Verantwortung schleichen können wenn sie behaupten, dass der Mitarbeiter interne Gepflogenheiten missachtet haben.
Untern Strich wird man sicher über die vom EuGH vorgenommene Abgrenzung von eigener und zurechenbarer Verantwortlichkeit streiten können. Im konkreten Fall dürfte wohl aber maßgeblich sein, dass es klare Kommunikationskanäle seitens des Arbeitgebers gab, die die Mitarbeiter auch zu nutzen haben. Insofern agierte die Mitarbeiterin klar außerhalb der Weisungen ihres Arbeitgebers, als sie die Kunden über Instagram anschrieb (Stichwort: Mitarbeiterexzess). Hierauf stellt der EuGH auch primär ab und sieht die Ansprüche der Kundin insofern als schutzwürdiger an im Verhältnis zu den (zu berücksichtigenden) Rechten der Mitarbeiter.