Das Landgericht Baden-Baden hat entschieden, dass ein beklagtes Unternehmen die Namen der Mitarbeitenden nennen muss, die unzulässigerweise die Daten einer Kundin genutzt haben. Zudem hat die Kundin einen Anspruch darauf, dass das Unternehmen seinen Mitarbeiter:innen untersagt, die personenbezogenen Daten der Kundin auf privaten Kommunikationsgeräten zu nutzen.

Laut der Pressemitteilung soll die Kundin im Juni 2022 einen Fernseher und eine Wandhalterung bei dem beklagten Unternehmen erworben haben. Um den Kauf abzuschließen, wurden ihr Name und ihre Anschrift erfasst.

Wenige Tage später habe die Kundin die Wandhalterung zurückgegeben. Anstatt ihres Kaufpreises wurde ihr aber ein wesentlich höherer Preis erstattet.

Als das Problem innerhalb des Unternehmens bekannt wurde, habe eine Mitarbeiterin die Kundin über ihren privaten Account einer Social-Media-Plattform kontaktiert. In ihrer privaten Nachricht an die Kundin habe die Mitarbeiterin auf das besagte Problem aufmerksam gemacht und um Rückmeldung gebeten.

In einer weiteren Nachricht via Instagram sei die Kundin von der Mitarbeiterin dazu aufgefordert worden, sich diesbezüglich mit dem „Chef“ der Mitarbeiterin in Verbindung zu setzen.

Die Kundin hat mit ihrer Klage Auskünfte über ihre personenbezogenen Daten gefordert. Konkret geht es darum, der Kundin zu übermitteln, welche Mitarbeitenden des Unternehmens die personenbezogenen Daten der Kundin herausgeben haben oder wem sie übermittelt wurden. Darüber hinaus hat die Kundin beantragt, die Nutzung ihrer personenbezogenen Daten auf privaten Kommunikationsgeräten zu untersagen.

Das Amtsgericht hat die Klage abgewiesen. Die Begründung: Der Auskunftsanspruch bestehe nicht, da Mitarbeiter eines Unternehmens keine „Empfänger“ im Sinne von Art. 15 Abs. 1 lit. c) DSGVO, Art. 4 Nr. 9 DSGVO seien.

Bei Art. 15 DSGVO handelt es sich um „das Recht auf Auskunft“ oder „das Auskunftsrecht der betroffenen Person“. Betroffene Personen können demnach Auskunft darüber verlangen, welche Daten bei den für die „Datenverarbeitung Verantwortlichen“ gespeichert und weiterverarbeitet werden.

Art. 15 DSGVO umfasst alle Daten und Informationen mit Bezug zur eigenen Person, die bei den Verantwortlichen vorhanden sind. Das Auskunftsrecht bezieht sich nicht nur auf die sogenannten Stammdaten, wie Adresse oder Name, sondern zum Beispiel auch auf Auskünfte über die Verarbeitungszwecke oder über die Empfänger:innen, an die ihre Daten übermittelt werden.

Die Kundin hatte Berufung gegen das Urteil eingereicht. Denn das Auskunftsrecht erstreckt sich, wie bereits genannt, auch auf „die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“.

Am 24. August 2023 hat das Landgericht Baden-Baden in seinem Urteil entschieden, dass das beklagte Unternehmen der betroffenen Kundin die Namen der Mitarbeitenden nennen muss, die ihre Daten unzulässigerweise genutzt haben.

Des Weiteren wird den Mitarbeitenden die „Verwendung der Daten auf privaten Kommunikationsgeräten“ untersagt. Zwar seien die Arbeitnehmer:innen des Unternehmens grundsätzlich nicht als „Empfänger“ anzusehen, das gilt aber nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH, Urteil vom 22.06.2023, C-579/21, Rn. 75 ) nur dann, wenn die Daten im Einklang mit den Weisungen und unter der Aufsicht des Verantwortlichen verarbeitet werden. Im Fall der Kundin mit dem Fernseher hat mindestens eine Mitarbeiterin den Kontakt zur Kundin eigenmächtig über einen privaten Account hergestellt. Das steht entgegen den Weisungen und den üblichen Gepflogenheiten des Unternehmens.