DSGVO im Alltag: Eigenmächtiger Mitarbeiterkontakt mit Konsequenzen

Das Landgericht Baden-Baden hat am 24. August 2023 ein Urteil gefällt, das den Schutz personenbezogener Daten in Unternehmen neu justiert und klare rechtliche Leitplanken für die Kommunikation mit Kunden setzt. Unter dem Aktenzeichen 3 S 13/23 wurde das beklagte Unternehmen dazu verpflichtet, der Kundin die Namen der Mitarbeiter mitzuteilen, die Kundendaten unzulässig auf ihren privaten Endgeräten verwendet hatten.

Sachverhalt

Die beklagte Partei, ein Unternehmen aus dem Einzelhandel, verkaufte an die Klägerin einen Fernseher sowie eine Wandhalterung. Bei der Erfassung des Kaufs wurden die personenbezogenen Daten der Klägerin, insbesondere Name und Anschrift, registriert. Als die Klägerin die Wandhalterung zurückgab, wurde ihr durch einen administrativen Fehler der höhere Kaufpreis des Fernsehers erstattet. In der Folge kontaktierte eine Mitarbeiterin des Unternehmens die Klägerin über einen privaten Social-Media-Account, um auf das Versehen hinzuweisen und eine Rückmeldung zu erbitten. Eine weitere Nachricht folgte am selben Tag über Instagram, in welcher die Kundin aufgefordert wurde, sich mit dem "Chef" der Instagram-Nutzerin in Verbindung zu setzen.

Rechtliche Aspekte und DSGVO-Bezug

In dem nachfolgenden Rechtsstreit machte die Klägerin ihren Auskunftsanspruch gemäß Artikel 15 der EU-Datenschutzgrundverordnung (DSGVO) geltend. Dieser Artikel erstreckt sich ausdrücklich auch auf "Empfänger oder Kategorien von Empfängern", was das Urteil des Europäischen Gerichtshofs (EuGH) vom 22. Juni 2023 konkretisiert hat. Hierbei ist festgestellt worden, dass Mitarbeiter eines Unternehmens in der Regel nicht als Empfänger im Sinne des Artikels 15 DSGVO zu betrachten sind, sofern sie "unter der Aufsicht des Verantwortlichen und im Einklang mit seinen Weisungen" die Daten verarbeiten.

Im vorliegenden Fall ging das Gericht davon aus, dass die betroffene Mitarbeiterin eigenmächtig und somit nicht "im Einklang mit den Weisungen" des Unternehmens gehandelt hatte. Die Kundin hat daher nicht nur einen Auskunftsanspruch über die Namen der betreffenden Mitarbeiter, sondern das Unternehmen ist auch dazu verpflichtet, sicherzustellen, dass die personenbezogenen Daten der Kundin nicht auf privaten Kommunikationsgeräten verwendet werden.

Unternehmerische Konsequenzen und Handlungsempfehlungen

Dieses Urteil legt eine signifikante Bürde auf Unternehmen in Bezug auf die Schulung ihrer Mitarbeiter und die Implementierung effektiver Kontrollmechanismen. Der Einsatz privater Kommunikationsmittel für geschäftliche Zwecke stellt nun ein klares datenschutzrechtliches Risiko dar, das durch umfassende Compliance-Maßnahmen minimiert werden muss. Ein Verstoß gegen diese Bestimmungen birgt nicht nur erhebliche finanzielle Risiken in Form von Bußgeldern und Schadensersatzansprüchen, sondern könnte auch den Ruf des Unternehmens irreparabel schädigen.

Fazit und Ausblick

Das Urteil des Landgerichts Baden-Baden dient als Präzedenzfall für zukünftige rechtliche Auseinandersetzungen und hat das Potenzial, die betrieblichen Datenschutzpraktiken grundlegend zu verändern. Unternehmen sind gut beraten, ihre internen Richtlinien zu überprüfen und gegebenenfalls anzupassen. Der Fall demonstriert eindringlich, dass die Einhaltung der DSGVO kein optionales Übel, sondern eine unternehmerische Notwendigkeit ist, die ernsthafte und durchdachte Anstrengungen erfordert.