In einem Berliner Unternehmen wurde auf Weisung der Geschäftsführung eine tabellarische Übersicht über alle Beschäftigten in der Probezeit erstellt. Die Weiterbeschäftigung von mehreren Personen wurde offen als „kritisch“ oder „sehr kritisch“ eingestuft wurde, zur Begründung wurden sensible personenbezogene Daten, wie Inanspruchnahme einer Psychotherapie oder Interesse an der Gründung eines Betriebsrates, aufgeführt. Auch persönliche Äußerungen sowie gesundheitliche und außerbetriebliche Gründe wurden hier genannt. Zum Teil hatten die Beschäftigten die aufgeführten Informationen selbst für die Dienstplanung mitgeteilt. Die Weiterverarbeitung in der Liste war ihnen jedoch nicht bekannt.
Die Datenschutzbeauftragte erklärte, dass Daten, welche zu Überlegungen zur Weiterbeschäftigung von Mitarbeitern verwendet werden, nur Rückschlüsse auf Verhalten oder Leistung zulassen dürfen, welche unmittelbar mit dem Beschäftigungsverhältnis zusammenhängen. Die hier erfolgte Nutzung genannter personenbezogener Daten hingegen ist nicht rechtmäßig.
Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit, erläutert: „Die Erhebung, Speicherung und Verwendung von Beschäftigtendaten müssen stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen. Das war in diesem Fall nicht gegeben. Insbesondere Gesundheitsdaten sind besonders sensitive Informationen, die nur in engen Grenzen verarbeitet werden dürfen.“
Drei weitere Bußgelder von insgesamt 40.000 EUR wurden aufgrund der fehlender Beteiligung der betrieblichen Datenschutzbeauftragten bei Erstellung der Liste, die fehlende Erwähnung dieser im Verarbeitungsverzeichnis sowie die verspätete Meldung einer Datenpanne verhängt.
Bei der Bemessung der Bußgelder berücksichtigte die BlnBDI den Umsatz des Unternehmens und die Anzahl der betroffenen Beschäftigten. Außerdem wurde berücksichtigt, dass insbesondere die Verarbeitung von Gesundheitsdaten ohne Rechtsgrundlage einen besonders schwerwiegenden Verstoß darstellt. Bußgeldmindernd wurde u. a. berücksichtigt, dass das Unternehmen umfassend mit der BlnBDI kooperiert hat und den Verstoß nach öffentlichem Bekanntwerden bereits ohne Aufforderung von sich aus abgestellt hat.
Verletztes Recht
Art. 9 Abs. 1 DSGVO
Art. 6 DSGVO
Quelle
Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) - www.datenschutz-berlin.de
zurück