Duisburg – Ein aktuelles Urteil beim Arbeitsgericht Duisburg sorgt für Aufschrei in der Datenschutzszene. Erstmals wurde eine Strafe – persönlich haftend – wegen einem DSGVO Verstoß in einem Vereinsrundschreiben zu einer persönlichen Strafe von 10.000 EUR verurteilt.
10.000 € persönliche Haftung für einen einzigen DSGVO-Fehler
– was bedeutet das für Unternehmen nach einem Hackerangriff?
Das aktuelle Urteil des Arbeitsgerichts Duisburg (Az. 3 Ca 77/24) zeigt, wie real und existenziell die persönliche Haftung für Datenschutzverstöße geworden ist. Ein Vereinsvorstand verschickte ein Rundschreiben mit dem Inhalt „Unser Leiter ist im Krankenstand“ – Ergebnis: 10.000 € Schadensersatz aus eigener Tasche, weil keine Einwilligung vorlag und sensible Gesundheitsdaten offengelegt wurden.
Was bedeutet das Urteil für Vorstände und Geschäftsführer?
Das Duisburger Urteil ist ein Einschnitt: Es zeigt, dass schon ein einziger, scheinbar kleiner Fehler zu einer hohen persönlichen Haftung führen kann. Während hier eine E-Mail genügte, um eine fünfstellige Summe fällig werden zu lassen, sind die Risiken bei einem Hackerangriff ungleich größer. Denn nach einem erfolgreichen Cyberangriff landen oft massenhaft sensible Kundendaten, Gehaltsdaten oder Gesundheitsinformationen im Darknet – und damit wird für alle sichtbar, wie gravierend die DSGVO-Verstöße im Unternehmen tatsächlich sind.
Persönliche Haftung bei DSGVO-Verstoß
Was war im o.g. Fall geschehen?
Das Urteil des Arbeitsgerichts Duisburg (Az. 3 Ca 77/24) vom 26.09.2024 betrifft die unzulässige Weitergabe von Gesundheitsdaten eines Arbeitnehmers durch den Arbeitgeber und hat für erhebliches Aufsehen im Datenschutzrecht gesorgt.
Sachverhalt:
Ein technischer Leiter eines Luftsport-Verbands war seit November 2022 längerfristig erkrankt. Die Präsidentin des Vereins informierte am 11.06.2023 in einer E-Mail rund 10.000 Vereinsmitglieder darüber, dass sich dieser Mitarbeiter „im Krankenstand“ befinde. In derselben Mail wurden zudem interne Konflikte und der Vorwurf des Vortäuschens der Erkrankung thematisiert.
Rechtliche Bewertung:
Das Gericht stellte fest, dass es sich bei der Information über den Krankenstand eindeutig um ein Gesundheitsdatum handelt. Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung solcher besonderer personenbezogener Daten grundsätzlich verboten, es sei denn, es liegt eine ausdrückliche Einwilligung oder eine andere Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vor. Eine solche Einwilligung lag hier nicht vor.
Welche DSGVO Handlungsempfehlungen spreche ich als Datenschutzbeauftragter aus?
- Keine Information über die krankheitsbedingte Abwesenheit einzelner Mitarbeiter
– via Newsletter
– via WhatsApp
– via SocialMedia Account (auch nicht in geschlossenen nicht öffentlichen Gruppen!) - Arbeitsanweisung an alle Mitarbeiter solche Informationen vertraulich zu behandeln
- Information solcher Abwesenheiten ausschließlich an leitende Angestellte aus der entsprechenden Abteilung. Hier liegt ein berechtigtes Interesse (Personalplanung) vor.
Brauchen Sie einen externen Datenschutzbeauftragten? Dann buchen Sie jetzt ein kostenfreies Erstgespräch.
