Arbeitnehmer eines für die Datenverarbeitung Verantwortlichen sind grundsätzlich nicht als Empfänger anzusehen. – Etwas anderes gelte aber dann, wenn sie die Daten nicht unter der Aufsicht und im Einklang mit den Weisungen des Verantwortlichen verarbeiten. Das entschied nun das Landgericht Baden-Baden (Urteil vom 24.08.2023, Az. 3 S 13/23) und verurteilte das beklagte Unternehmen, der Kundin die Namen ihrer Mitarbeitenden zu nennen, die die Kundendaten privat verarbeitet hatten. Das Unternehmen hat nach dem Urteil nun zudem ihren Mitarbeitenden die fortgesetzte Verwendung der personenbezogenen Kundendaten auf ihren privaten Kommunikationsgeräten zu untersagen.
Hintergrund des Verfahrens war, dass die Kundin im Juni 2022 bei dem beklagten Unternehmen einen Fernseher nebst Wandhalterung gekauft, letztere aber wenige Tage später zurückgegeben hatte. Irrtümlicherweise wurde ihr jedoch der wesentlich höhere Kaufpreis für den Fernseher erstattet. Um dieses Versehen aufzuklären, kontaktierte eine Mitarbeiterin der Beklagten kurzerhand die Kundin – über ihren privaten Account auf Instagram. Auf diesem Wege bat sie die Kundin um Rückmeldung und, in einer weiteren Nachricht, darum, sich mit dem „Chef“ der Mitarbeiterin in Verbindung zu setzen.
Mit ihrer Klage begehrte die Kundin daraufhin, das Unternehmen zu verurteilen, der Klägerin Auskunft darüber zu erteilen, welchen Mitarbeitenden ihre personenbezogenen Daten zugänglich gemacht wurden sowie das Unternehmen zu verurteilen, seinen Mitarbeitenden die Verwendung dieser Daten auf privaten Kommunikationsgeräten zu untersagen. Nachdem das Amtsgericht Bühle die Klage abwies, entschied das Landgericht nun in der Berufungsinstanz und sprach der Klägerin beide Ansprüche zu. Die Revision ließ es nicht zu. Rechtsmittel sind mithin nicht statthaft.
Begründet hat das Landgericht dies damit, dass die Arbeitnehmer eines Verantwortlichen grundsätzlich nicht Empfänger seien, dies jedoch nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH, Urteil vom 22.06.2023, C-579/21, Rn. 75) nur dann gelte, wenn sie unter der Aufsicht des Verantwortlichen und im Einklang mit seinen Weisungen die Daten verarbeiten. Im vorliegenden Fall habe jedenfalls eine Mitarbeiterin die Kundin eigenmächtig über ihren privaten Instagram-Account kontaktiert. Da die Klägerin die Namen der Mitarbeitenden brauche, um die Rechtmäßigkeit der Verarbeitung ihrer Daten zu überprüfen und unter Umständen weitere Ansprüche gegen diese geltend machen zu können, die ihr nach der Datenschutzgrundverordnung (DSGVO) zustehen, bestehe vorliegend der Auskunftsanspruch. Die dem zugrundeliegende Abwägung der beiderseitigen Rechte und Freiheiten führe hinsichtlich der weisungswidrigen Nutzung der Kundendaten im Rahmen privater Accounts und entgegen den üblichen Gepflogenheiten des Unternehmens dazu, dass das Interesse der Mitarbeitenden, anonym zu bleiben, weniger schutzwürdig sei als das Klägerinteresse auf Geltendmachung ihrer datenschutzrechtlichen Ansprüche.
Darauf, dass das beklagte Unternehmen ihren Mitarbeitern, die die erhobenen personenbezogenen Daten der Klägerin auf privaten Kommunikationsgeräten verwendet haben, die fortgesetzte Verwendung untersage, bestehe darüber hinaus ein Anspruch nach §§ 823 Abs. 2, 1004 BGB analog i.V.m. Art. 6 Abs. 1 DSGVO. Das Unternehmen ist nach Wertung des Gerichts hierbei als mittelbare Handlungsstörerin verantwortlich und verpflichtet, eigenmächtige und weisungswidrige Verarbeitung von Kundendaten zu unterbinden, indem sie ihre Mitarbeitenden zur Unterlassung anzuhalten habe.
