Voraussichtliche Lesedauer: 3 Minuten
In einer wegweisenden Entscheidung hat das Landgericht Baden-Baden am 24. August 2023 ein Urteil gefällt, das die Nutzung von Kundendaten auf privaten Endgeräten von Mitarbeitern verbietet. Das Gericht forderte ein Unternehmen dazu auf, einer betroffenen Kundin die Namen der Mitarbeiter preiszugeben, die unerlaubterweise ihre Daten verwendet hatten (Aktenzeichen: 3 S 13/23).
Der konkrete Fall: Fehlerhafte Rückerstattung und private Kontaktaufnahme
Der Fall, der vor Gericht verhandelt wurde, drehte sich um eine Kundin, die einen Fernseher und eine Wandhalterung bei einem Unternehmen erworben hatte. Bei diesem Kauf wurden ihre persönlichen Daten, einschließlich Name und Anschrift, erfasst. Nach der Rückgabe der Wandhalterung wurde versehentlich der höhere Kaufpreis des Fernsehers erstattet. Nachdem das Unternehmen diesen Fehler bemerkt hatte, nahm eine Mitarbeiterin über ihren privaten Social-Media-Account Kontakt zur Kundin auf. Sie wies auf den Irrtum hin und bat um Rückmeldung. Zusätzlich erhielt die Kundin über Instagram eine Nachricht, in der sie aufgefordert wurde, sich mit dem „Chef“ der Mitarbeiterin in Verbindung zu setzen.
Rechtliche Grundlage und Auskunftsanspruch
Die Kundin berief sich auf Artikel 15 der EU-Datenschutzgrundverordnung (DSGVO), der ihr das Recht auf Auskunft über die Empfänger ihrer personenbezogenen Daten einräumt. Das Gericht stellte klar, dass Mitarbeiter eines Unternehmens im Allgemeinen nicht als Empfänger gelten. Allerdings verwies es auf eine Entscheidung des Europäischen Gerichtshofs (EuGH) vom 22. Juni 2023, die besagte, dass Mitarbeiter dann als Empfänger angesehen werden können, wenn sie personenbezogene Daten eigenmächtig verarbeiten, ohne der Aufsicht und den Anweisungen des Verantwortlichen zu folgen.
Namensnennung und Anweisung zur Datennutzung
Das Gericht entschied im vorliegenden Fall, dass die Nennung der Mitarbeiter, die eigenmächtig Kontakt zur Kundin aufgenommen hatten, notwendig sei, um die Rechtmäßigkeit der Datenverarbeitung zu überprüfen und gegebenenfalls rechtliche Schritte gegen die Mitarbeiter einzuleiten. Darüber hinaus legte das Urteil fest, dass das Unternehmen dafür verantwortlich sei, sicherzustellen, dass die Mitarbeiter keine personenbezogenen Kundendaten mehr auf privaten Kommunikationsgeräten verwenden dürfen. Dies sei notwendig, um zukünftige Verstöße zu verhindern.
Ein wegweisendes Urteil für den Datenschutz
Das Urteil des Landgerichts Baden-Baden stellt klar, dass Unternehmen verpflichtet sind, die Nutzung von Kundendaten auf privaten Endgeräten ihrer Mitarbeiter zu unterbinden. Zudem verdeutlicht es die Bedeutung der Auskunftspflicht bezüglich der Empfänger von personenbezogenen Daten. Dieses wegweisende Urteil hat möglicherweise weitreichende Auswirkungen auf die Art und Weise, wie Unternehmen Kundendaten handhaben und den Kontakt mit Kunden über private Accounts gestalten.
