LAG Hamm, Urteil vom 14.12.2021, Az. 17 Sa 1185/20

17. Kammer | REWIS RS 2021, 355

EUROPA- UND VÖLKERRECHT EUROPÄISCHER GERICHTSHOF (EUGH) DATENSCHUTZ SCHADENSERSATZ DSGVO ART. 82 DSGVO

Tags hinzufügen

Sie können dem Inhalt selbst Schlagworten zuordnen. Geben Sie hierfür jeweils ein Schlagwort ein und drücken danach auf sichern, bevor Sie ggf. ein neues Schlagwort eingeben.

Beispiele: "Befangenheit", "Revision", "Ablehnung eines Richters"

QR-Code

Gegenstand

Datenübermittlung im Konzern - Immaterieller Schadensersatz nach Art. 82 Abs. 1 DSGVO


Leitsatz

1. Art. 5 Abs. 1 Buchstabe a Var. 1 DSGVO („Grundsatz der Rechtmäßigkeit der Verarbeitung“) und Art. 6 Abs. 1 DSGVO sind Schutzgesetze im Sinne von § 823 Abs. 2 Satz 1 BGB.

2. Eine Datenverarbeitung nach Art. 6 Abs. 1 Buchstabe f DSGVO ist nur erforderlich, wenn kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen.

3. Im Rahmen der Abwägung nach Art. 6 Abs. 1 Buchstabe f DSGVO ist neben der berechtigten Erwartungshaltung der betroffenen Person maßgeblich zu berücksichtigen, ob der Verantwortliche seinen Informationspflichten nach der DSGVO gegenüber der betroffenen Person nachgekommen ist und dieser die Möglichkeit gegeben hat, ihre nach der DSGVO bestehenden Rechte wahrzunehmen.

Tenor

Die Berufung der Beklagten und die Anschlussberufung derKlägerin gegen das Urteil des [X.] vom 15.07.2020 – 1 Ca 982/19 – werden zurückgewiesen.

Die Kosten des Berufungsverfahrens haben die Beklagte zu 47% und die Klägerin zu 53% zu tragen.

Die Revision wird zugelassen.

Tatbestand

Die Parteien streiten über Unterlassungs- und Schadensersatzansprüche im Anwendungsbereich der [X.].

Die Klägerin ist seit dem 01.10.2018 bei der [X.] auf der Grundlage des Arbeitsvertrags vom 29.06.2018 ([X.]. 11 ff. [X.]) beschäftigt. Im Rubrum des Arbeitsvertrags sind der Name, das Geburtsdatum und die Privatadresse der Klägerin angegeben. Der Arbeitsvertrag enthält unter anderen folgenden Regelungen:

§ 1

[X.]eginn des Arbeitsverhältnisses und Tätigkeit

[X.] ist das [X.] [X.], [X.] 151, “0000 [X.]. Die Parteien sind sich darüber einig, dass die Arbeitgeberin den Arbeitnehmer auch an anderen Orten innerhalb des Unternehmens einsetzen kann, soweit der Geschäftsbetrieb dies erfordert.

§ 2

Arbeitszeit und Entgelt

[X.]Es wird ein jährliches [X.]ruttogehalt von € 80.500,00 (in Worten: achtigtausendfünfhundert Euro) vereinbart, welches in 12 gleichen Raten gezahlt wird. Das Gehalt wird jeweils am letzten Werktag des jeweiligen Kalendermonats fällig, in dem die Arbeit geleistet wird. Die Zahlung erfolgt bargeldlos auf das der Arbeitgeberin benannte Konto der Arbeitnehmerin.

(3) Neben dem in Abs. 2 festgesetzten [X.]ruttogehalt wird der Arbeitnehmerin eine jährliche Tantieme von bis zu € 4.500,00 (in Worten: viertausendfünfhundert Euro) brutto in Abhängigkeit von Erreichen der vereinbarten Ziele gezahlt. Über die jeweilige Höhe und die jeweiligen Zeile entscheidet die Geschäftsführung der Arbeitnehmerin, möglichst zu [X.]eginn des Geschäftsjahres. Für das Geschäftsjahr 2018 findet die zwischen den Parteien geschlossene Zielvereinbarung Anwendung (die Höhe der Tantieme für das [X.] ist auf 1500,- Euro begrenzt). Die Tantieme gehört nicht zum gesamtversorgungsfähigen Entgelt. Die Tantieme wird nach Feststellung des Jahresabschlusses ausgezahlt.

§ 10

[X.]etriebsvereinbarungen, Freiwilligkeitsvorbehalt, Datenspeicherung

(3) Die Arbeitnehmerin ist darüber informiert, dass ihre personenbezogenen Daten für Zwecke des [X.]eschäftigungsverhältnisses erhoben, gespeichert, verarbeitet und genutzt werden. Sie wird Änderungen der persönlichen Angaben (z. [X.]. Heirat, Ehescheidung, Geburt eines Kindes, Wohnungswechsel) unverzüglich der Arbeitgeberin in Textform mitteilen.“

Die [X.]eklagte betreibt das [X.] in [X.] und die [X.] in [X.] Mehrheitsgesellschafter der [X.] ist die Deutsche Rentenversicherung Knappschaft-[X.]ahn-See (fortan: [X.] K[X.]S). Neben der [X.]eteiligung an der [X.] unterhält die [X.] K[X.]S deutschlandweit Mehrheitsbeteiligungen an fünf weiteren [X.], die jeweils in der Rechtsform einer GmbH geführt werden.

Die [X.] K[X.]S ist zudem Alleingesellschafterin der [X.] (fortan: [X.]). Ausweislich des Handelsregisters ([X.]. 290 [X.]) und Gesellschaftsvertrags ([X.]. 185ff. [X.]) ist Unternehmensgegenstand der [X.] die Übernahme und Gewährleistung der Geschäftsführung von [X.] und im Krankenhausbereich tätigen Dienstleistungsgesellschaften, an denen die [X.] K[X.]S mehrheitlich beteiligt ist. Die [X.] übernimmt Aufgaben der Organisation, des Managements und des [X.] im [X.].

Die [X.] ist keine Personalabteilung oder personalverwaltende Stelle der [X.] oder anderer [X.]. Die [X.]eklagte verfügt über eine eigene Personalabteilung.

Für [X.] ist im Konzernverbund die [X.] (fortan: [X.]) zuständig.

Zwischen der [X.] und der [X.] wurde im Jahre 2016 ein [X.] geschlossen ([X.]. 148 ff. [X.]), der auszugsweise lautet:

[X.]

Die Auftraggeberin ist Trägerin mehrerer Krankenhäuser bzw. eines Krankenhauses mit mehreren [X.]etriebsstellen (im Folgenden „Krankenhaus“ genannt)

Zweck dieses Vertrages ist die Sicherstellung der Geschäftsführung der Auftraggeberin durch die Auftragnehmerin. Auf der Grundlage und nach Maßgabe des nachfolgenden Vertrages übernimmt die Auftragnehmerin die Geschäftsführung der Auftraggeberin im Sinne einer Geschäftsbesorgung und unterstützt diese durch konzeptionelle Weiterentwicklung und die Umsetzung von Synergieeffekten im [X.] durch [X.] von der Auftragnehmerin geführten Gesellschaften.

§ 1

Vertragsgegenstand

(1) Neben der Unterstützung der Auftraggeberin durch konzeptionelle Weiterentwicklung und die Umsetzung von Synergieeffekten im [X.] von der Auftragnehmerin durch [X.] geführten Gesellschaften stellt die Auftragnehmerin zur Erfüllung ihrer Verpflichtung die Geschäftsführung der Auftraggeberin sicher.

Zur Erfüllung dieser Verpflichtung stellt die Auftragnehmerin einen oder mehrere Geschäftsführer (im Folgenden „der Geschäftsführer“ genannt) an, die von der Auftraggeberin zu Geschäftsführern der Auftraggeberin bestellt werden und auf der Grundlage des Dienstvertrages mit der Auftragnehmerin die Geschäfte der Auftraggeberin führen.

§ 4

Dienst- und Arbeitsverhältnisse

(3) Die Arbeits- und Dienstverträge zwischen der Auftraggeberin und den bei ihr beschäftigten Arbeitnehmern werden durch diesen Vertrag nicht berührt. Neuabschlüsse und Änderungen von Arbeits- und Dienstverträgen mit Arbeitnehmern der Auftraggeberin erfolgen durch die Auftragnehmerin im Namen und für Rechnung der Auftraggeberin.“

Die Geschäftsordnung für die Geschäftsführung der [X.] vom 03.05.2018 ([X.]. 197 ff. [X.], fortan: GO-[X.]) lautet auszugsweise:

㤠7 Kompetenzregelungen

……

(2) Vor Abgabe rechtsgeschäftlicher Erklärungen für eine geführte Gesellschaft in den folgenden Angelegenheiten ist die Zustimmung des [X.] einzuholen (…)

e. Abschluss oder Änderungen von Arbeitsverträgen mit [X.] oberhalb eines [X.]rutto-Jahresgehaltes von 80.000,-- €, maßgeblich ist der TV [X.] K[X.]S, sowie der Abschluss von Zielvereinbarungen mit Tantiemen bei [X.] oder AT-Angestellten mit einem [X.]rutto-Jahreswert oberhalb von 5.000,00 €.“

§ 7 Abs. 2 [X.]uchstabe e GO-[X.] wurde bis zum [X.] nur in wenigen Ausnahmefällen angewendet. Zu [X.]eginn des Jahres 2019 wurde das bei der [X.] bestehende Referat „[X.]“ mit [X.] besetzt. In einer Konferenz der Geschäftsführer der [X.] vom 09.01.2019 wurden diese gebeten, den in § 7 Abs. 2 [X.]uchstabe e GO-[X.] geregelten Zustimmungsvorbehalt zugunsten der [X.] zukünftig zu beachten. Gleichzeitig wurde [X.] beauftragt, eine Abfrage über den aktuellen Ist-Stand in [X.]ezug auf die unter die Regelung fallenden Verträge und Zielvereinbarungen über die Personalleiter der [X.] durchzuführen. Ergänzend wird auf den Protokollauszug der [X.] vom 09.01.2019 ([X.]. 201 [X.]) [X.]ezug genommen. In den Anwendungsbereich von § 7 Abs. 2 [X.]uchstabe e GO-[X.] fielen zu diesem Zeitpunkt 156 Mitarbeiter im gesamten [X.], davon 21 Mitarbeiter der [X.].

Mit E-Mail vom 10.01.2019 ([X.]. 154 [X.]) wandte sich [X.] an die Personalleiter der sechs [X.], unter anderem auch an den Personalleiter der [X.] [X.], und wies auf die Entscheidung in der [X.] vom 09.01.2019 hin. [X.] übersandte mit der E-Mail eine von ihm vorbereitete, aus zwei Tabellenblättern bestehende Übersicht und bat die Personalleiter, die Daten bis zum [X.] zu ergänzen und die Übersicht einschließlich der jeweiligen Verträge und Änderungsverträge der [X.]eschäftigten an ihn zu senden. Das erste mit der E-Mail übermittelte Tabellenblatt ([X.]. 155 [X.]) betraf Mitarbeiter mit [X.] mit einem [X.]ruttojahresentgelt von mehr als 80.000,00 €. Abgefragt wurden in diesem Tabellenblatt das Krankenhaus, die Personalnummer, Name und Vorname, die betriebliche Organisationseinheit, die Dienstart, die Funktion, das [X.], eine etwaige [X.]efristung, das [X.], die Zielprämie/Tantieme sowie die sonstigen gewährten Leistungen nach [X.]ezeichnung und Höhe.

Mit E-Mail vom [X.] ([X.]. 157 [X.]) teilte der Personalleiter der [X.] [X.] [X.] mit, dass er die Angaben in den vorbereiteten Listen soweit eingetragen habe, wie es ihm aus datenschutzrechtlichen Gründen möglich sei. Zugleich wies er darauf hin, dass er zum jetzigen Zeitpunkt keine Angaben machen dürfe, aus denen abgeleitet werden könnte, um welche Person es sich jeweils handele. Aus dem gleichen Grund könne er auch die gewünschten Kopien der Arbeits- und Änderungsverträge nicht zur Verfügung stellen. Er bot an, an die Mitarbeiter heranzutreten und um ein schriftliches Einverständnis zu bitten, sofern dies von der [X.] gewünscht sei.

Die [X.] entschloss sich daraufhin zur Einholung eines rechtlichen Gutachtens bezüglich der Zulässigkeit des Transfers der personenbezogenen Daten an die [X.]. Mit dem Gutachten wurde Herr Rechtsanwalt und Fachanwalt für Arbeitsrecht und Informationstechnologierecht [X.] beauftragt. Am 05.03.2019 legte [X.] eine rechtliche Stellungnahme vor. Diese kommt zu dem Ergebnis, dass eine Übermittlung der personenbezogenen Daten an die [X.] auf [X.]asis von Art. 6 Abs. 1 [X.]uchstabe f [X.], ggf. auch nach § 26 [X.]DSG, zulässig sei, wobei darauf hingewiesen wird, dass zu dieser Thematik noch keine behördlichen oder gerichtlichen Entscheidungen vorlägen. In dem Gutachten wird unter anderem ausgeführt, dass die Datenerhebung über das für die Zweckerreichung erforderliche Maß nicht hinausgehen dürfe. [X.]eispielsweise habe eine anonymisierte Weitergabe der Arbeitsverträge der [X.]eschäftigten Vorrang, wenn die Vorgaben der Geschäftsführer auch durch eine solche Übermittlung erreicht werden könnten. Das Gutachten weist zudem auf die nach der [X.] bestehenden Informationspflichten des Verantwortlichen gegenüber den [X.]etroffenen hin. Ergänzend wird auf die Kopie des Gutachtens ([X.]. 158 ff. [X.]) [X.]ezug genommen.

In der [X.] vom 06.03.2019 wurde das Ergebnis des Gutachtens thematisiert und daraufhin an dem Vorhaben der Datenübermittlung festgehalten. Ergänzend wird auf das Protokoll der [X.] vom 06.03.2019 ([X.]. 173 [X.]) verwiesen.

Mit E-Mail vom 06.03.2019 ([X.]. 174 [X.]) wandte sich [X.] erneut an die Personalleiter der sechs [X.], unter anderem auch an den Personalleiter der [X.] [X.] Er wies darauf hin, dass die Zulässigkeit der Datenweitergabe zwischenzeitlich intern und ergänzend extern geprüft und bestätigt worden sei und bat erneut darum, die beigefügte Übersicht vollständig auszufüllen und sie ihm gemeinsam mit den dazugehörigen Vertragsunterlagen bis zum 15.03.2019 zukommen zu lassen.

Mit E-Mail vom 15.03.2019, 9:30 Uhr ([X.]. 26 [X.]) informierte der Personalleiter der [X.] [X.] die Klägerin über den vorstehenden Sachverhalt und teilte ihr mit, dass auch ihre Daten im Laufe des Tages an die [X.] geschickt würden.

Mit E-Mail vom 15.03.2019, 16:01 Uhr ([X.]. 175 [X.]), übermittelte der Personalleiter der [X.] [X.] [X.] die angeforderten Daten, darunter auch diejenigen der Klägerin.

Die Klägerin befand sich am 15.03.2019 im Urlaub. Nachdem sie am darauffolgenden Montag, den [X.], die E-Mail des Personalleiters der [X.] [X.] gelesen hatte, suchte sie ihn noch am selben Tag auf und teilte ihm mit, dass sie mit einer Weitergabe ihrer Daten nicht einverstanden sei.

Mit anwaltlichem Schreiben vom 08.04.2019 ([X.]. 27f. [X.]) wurde die [X.]eklagte unter Fristsetzung bis zum [X.] aufgefordert, Auskunft darüber zu erteilen, welche Daten der Klägerin in welchem Umfang an Dritte weitergegeben worden seien. Darüber hinaus wurde die [X.]eklagte zur Auskunft nach Art. 15 Abs. 1 [X.] aufgefordert.

Mit E-Mail vom 15.04.2019 ([X.]. 29 [X.]) teilte [X.] der Klägerin mit, dass die [X.] personenbezogene Daten von ihr erhebe und verarbeite, dies zweckgebunden, ausschließlich zur Umsetzung verbundinterner Richtlinien. Der E-Mail war ein mit „Information gemäß Art. 14 Abs. 1 und 2 [X.] aufgrund der Erhebung von personenbezogenen Daten“ überschriebenes Dokument beigefügt ([X.]. 30f. [X.]). Mit einem an die Prozessbevollmächtigten der Klägerin gerichteten Schreiben vom 16.04.2019 ([X.]. [X.]. [X.]) bestätigte die [X.], dass personenbezogene Daten der Klägerin von der [X.] verarbeitet würden. Zudem erteilte die [X.] Auskünfte nach Art. 15 Abs. 1 [X.].

[X.]ereits am [X.] schlossen die [X.]eklagte und der bei ihr bestehende [X.]etriebsrat eine „[X.]etriebsvereinbarung über die Einführung der Software [X.] der Firma [X.]“ (fortan: [X.]V [X.]). Zweck der eingesetzten Software ist es gemäß § 4 [X.]V [X.], die bei der [X.] vorhandenen Informationen über die einzelnen [X.]eschäftigten in eine zentrale Datenbank zu überführen und diese für Controlling- und [X.]enchmark-Zwecke unter anderem der [X.] zur Verfügung zu stellen. Gemäß der Anlage 1 der [X.]V [X.] werden die für die Software genutzten Daten der [X.]eschäftigten pseudonymisiert. Ergänzend wird auf die Kopie der [X.]V [X.] ([X.]. 528ff. [X.]) [X.]ezug genommen.

Am [X.] wurde mit der Klägerin über die Zielvereinbarung für das [X.] gesprochen. Mit Schreiben vom 16.01.2020 ([X.]. 224 [X.]) wandte sich der Personalleiter der [X.] [X.] an die Klägerin. Das Schreiben lautet:

„Sehr geehrte Frau H.,

ich habe von der Geschäftsführung einen Vorschlag zum Abschluss einer Zielvereinbarung für das [X.] erhalten. Diese Zielvereinbarung erhält folgende Anlage:

„Information und Einverständniserklärung zur Verarbeitung und Übermittlung von [X.]eschäftigtendaten im Rahmen der Personalverwaltung insbesondere nach Art. 6 Abs. 1 [X.]“.

Ich bitte Sie, die dem jetzigen Schreiben beigefügte Einverständniserklärung zu unterschreiben ([X.]. 7) und um Rückgabe an die Personalabteilung. Die Zielvereinbarung für 2020 wird Ihnen dann anschließend zwecks Unterschrift zugeleitet. Es handelt sich hierbei um einen mit der [X.] abgestimmtes Verfahren.“

Am 12.06.2019 erhob die Klägerin vor dem Landgericht [X.]ochum Klage gegen die [X.] ([X.].: [X.]) und begehrte von dieser die Löschung der an sie übermittelten Daten sowie die Zahlung von [X.] nach Art. 82 Abs. 1 [X.]. Durch Urteil vom 12.02.2020 ([X.]. 317ff. [X.]) gab das Landgericht [X.]ochum dem Löschungsantrag der Klägerin statt und verurteilte die [X.] zur Zahlung von Schadensersatz in Höhe von 8000,00 €, dies als Gesamtschuldnerin gemeinsam mit der [X.]. Durch Urteil des [X.] vom [X.] ([X.].: I-9 U 56/20) wurde der Ausspruch zum Schadensersatz dahingehend abgeändert, dass die [X.] allein zur Zahlung von 4.000,00 € verurteilt wurde; im Übrigen wurden die [X.]erufungen beider Parteien gegen das Urteil des Landgerichts [X.]ochum zurückgewiesen ([X.]. 504f. [X.]). Das Urteil des [X.] ist rechtskräftig.

Mit ihrer am [X.] beim [X.] eingegangen Klage verlangt die Klägerin von der [X.], es zu unterlassen, ihre personenbezogen Daten an die [X.] weiterzugeben. Darüber hinaus begehrt sie die Zahlung von Schadensersatz für den ihr entstandenen immateriellen Schaden. Sie hat die Auffassung vertreten, dass die Übermittlung der Daten an die [X.] nicht rechtmäßig gewesen sei. Für die Durchführung des Arbeitsverhältnisses mit der Klägerin sei die Übermittlung nicht erforderlich gewesen. Es bestehe auch kein berechtigtes Interesse der [X.] an der Weiterleitung der Daten. Die Ermächtigungsgrundlage in der GO-[X.] sei nicht einschlägig, weil es hier nicht um eine Änderung oder den Abschluss eines Vertrags gegangen sei; vielmehr solle eine Datensammlung betrieben werden, um ein anlassloses Informationsbedürfnis auf Seiten der [X.] zu befriedigen.

In ihrer konkreten Ausgestaltung sei die Übermittlung der Daten auch nicht erforderlich gewesen. Der Zweck einer Schaffung homogener Vergütungsstrukturen innerhalb des Konzerns könne auch erreicht werden, wenn die Daten anonymisiert bzw. ohne [X.]ezug zu einer konkreten Person übermittelt würden. Hierzu bedürfe es nicht der Angabe des Namens, der Personalnummer, der Übermittlung der Arbeitsverträge und der Nennung des Krankenhauses, in dem der jeweilige Mitarbeiter beschäftigt ist. Es sei auch nicht verständlich, weshalb der [X.] nicht lediglich bestimmte [X.]andbreiten der Vergütung in aggregierter Form hätten mitgeteilt werden können.

Die Datensammlung betreffe einen besonders vertraulichen [X.]ereich. Die [X.] seien ein wesentlicher Ausdruck der persönlichen Lebensstellung eines Arbeitnehmers und der damit verbundenen Möglichkeiten, am [X.] Leben teilzunehmen. Arbeitnehmer hätten ein berechtigtes Interesse daran, über ihre Gehaltssituation nur aus eigener Veranlassung oder mit dem von ihnen ausgewählten Vertragspartnern zu sprechen, nicht aber zum Objekt einer [X.]eurteilung durch Dritte zu werden. Dies gelte in besonderer Weise im AT-[X.]ereich, weil die [X.] hier durch Dritte nicht annähernd abgeschätzt werden könne. [X.]ei konzernweiten Vergleichen von Stellen und Gehaltsdaten neigten zudem viele Arbeitgeber dazu, dass besonders teure Mitarbeiter in ihrer Vergütung beschränkt oder im Extremfall sogar aus dem Arbeitsverhältnis heraus gedrängt würden. Es sei auch zu berücksichtigen, dass die Klägerin aufgrund der fehlenden Unterrichtung durch die [X.]eklagte nicht in der Lage gewesen sei, ihr Widerspruchsrecht nach Art. 21 [X.] auszuüben.

Soweit die [X.]eklagte vortrage, dass ausschließlich [X.] Zugriff auf die übermittelten Daten habe, werde dies mit Nichtwissen bestritten. Zudem habe [X.] die Aufgabe, für den [X.] die entsprechenden Daten zusammen zu stellen und vorzutragen. Es seien hier Daten, die bei der [X.] vorhanden und abrufbar sind, durch Übermittlung an eine andere Gesellschaft schlicht und ergreifend verdoppelt worden, was im Widerspruch zum Grundsatz der Datensparsamkeit stehe. Das von der [X.] eingeholte Gutachten habe die Datenweitergabe auch nicht ohne weiteres legitimiert.

Aufgrund der unrechtmäßigen Verarbeitung der personenbezogenen Daten der Klägerin sei die [X.]eklagte verpflichtet, derartige Maßnahmen in Zukunft zu unterlassen. Darüber hinaus sei sie gemäß Art. 82 [X.] verpflichtet, der Klägerin einen angemessenen Schadensersatz für den von ihr erlittenen immateriellen Schaden zu zahlen. Die Klägerin sei in ihrer persönlichen Ehre und Rechtsstellung als Arbeitnehmerin der [X.] ernsthaft und nachhaltig verletzt worden, da sie hier vorsätzlich und bewusst zum Spiel bei der unlimitierten und unkontrollierten Datenvermehrung im Konzern gemacht worden sei. Die [X.]eklagte habe trotz besserer Rechtseinschätzung und trotz bestehender [X.] gegenüber der Klägerin davon Abstand genommen, sich dem Übermittlungsbegehren der Schwestergesellschaft zu entziehen. Die Schadensersatzzahlung müsse geeignet sein, den Schädiger zukünftig zu vertragstreuem Verhalten anzuhalten. Der Schadensersatz nach Art. 82 [X.] müsse eine wirklich abschreckende Wirkung entfalten. Im diesem Zusammenhang sei zu berücksichtigen, dass die [X.]eklagte Teil eines der mächtigsten Konzerne in [X.] sei. Selbst wenn man nicht die [X.] K[X.]S als Konzernobergesellschaft, sondern die [X.]eklagte allein für die Frage der [X.]emessung eines angemessenen Schadensersatzes betrachte, sei festzuhalten, dass ein Klinikum mit weit über 1000 Angestellten und einem Umsatz in Millionenhöhe nur schwer von einer Schadensersatzzahlung zu beeindrucken sei, die unterhalb der [X.] bei der [X.]ilanzerstellung liegen würde. Die [X.]eklagte habe allein für das [X.] im Unternehmensregister einen Umsatz von [X.] bei einem Überschuss von 3.225.934,27 € ausgewiesen. Angesichts der vorstehenden Erwägungen müsse der Schadensersatz mindestens 10.000,00 € betragen, weil er ansonsten für die [X.]eklagte unmerklich sei.

Die [X.]eklagte hafte für den Datenschutzverstoß allein und nicht als Gesamtschuldnerin gemeinsam mit der [X.]. Die [X.]eklagte und die [X.] hätten jeweils einen eigenen, separaten Verstoß gegen datenschutzrechtliche Vorschriften begangen.

Die Klägerin hat zuletzt beantragt,

die [X.]eklagte zu verurteilen,

1. es zukünftig zu unterlassen, ohne ihre Einwilligung folgende Daten an die [X.] zu übermitteln:

- ihren Arbeitsvertrag (ganz oder teilweise)

- ihren Namen und Vornamen

- ihr Einstellungsdatum

- das mit ihr vereinbarte Jahresbruttogehalt

- die mit ihr vereinbarten Prämien und Tantiemen

- die ihr zustehenden bzw. vereinbarten sonstigen Leistungen (Wert und Höhe p. A.),

es sei denn, in einer anonymisierten und pseudonomysierten Form;

2. sowie an sie einen angemessenen Schadensersatz für ihren immateriellen Schaden zu leisten, dessen Höhe ausdrücklich in das Ermessen des erkennenden Gerichts gestellt wird, mindestens jedoch 10.000 € zu zahlen.

Die [X.]eklagte hat beantragt,

die Klage abzuweisen.

Die [X.]eklagte hat behauptet, im [X.] herrsche ein hohes Datenschutzniveau. Die [X.] sei peinlich genau darauf bedacht, nur die für ihre Tätigkeit tatsächlich erforderlichen personenbezogenen Daten über Mitarbeiter der [X.] zu erheben. Die [X.] habe für die Sicherheit der übermittelten Daten gesorgt, indem sie die [X.]erechtigungsverwaltung im Hinblick auf diese Daten so konfiguriert habe, dass ausschließlich [X.] Zugriff auf die erhobenen Daten habe. Dies habe die [X.] in einem Schreiben vom 17.01.2019 ([X.]. 65 [X.]) gegenüber der [X.] bestätigt. [X.] sei auch nicht verpflichtet, die Daten gegenüber anderen Personen offen zu legen. Es bestehe insbesondere keine Auskunftspflicht gegenüber den Geschäftsführern der [X.].

Die Zulässigkeit der Datenübermittlung sei zunächst intern durch das Referat Compliance geprüft worden. Nachdem der Personalleiter der [X.] [X.] in seiner E-Mail vom [X.] [X.]edenken geäußert hatte, sei das Vorhaben neben einer externen rechtlichen Prüfung auch noch einmal ausführlich intern vom Referat Compliance geprüft worden.

Nachdem die Daten an die [X.] übermittelt worden waren, seien diese Daten durch [X.] initial überprüft und nicht benötigte Daten und Vertragsbestandteile der Klägerin gelöscht worden, abhängig davon, ob konkrete Datensätze für das Ziel einer Vergleichsdatenbildung erforderlich seien oder nicht. So seien in den Arbeitsverträgen die Geburtsdaten und Anschriften der Mitarbeiter durch Schwärzungen entfernt und für die Aufgabenerfüllung der [X.] nicht relevante Regelungen in den Arbeitsverträgen gelöscht worden.

Die [X.]eklagte hat die Auffassung vertreten, dass die Übermittlung der Daten an die [X.] rechtmäßig gewesen sei. Die Datenübermittlung sei zwar für die Durchführung des Arbeitsverhältnisses mit der Klägerin nicht erforderlich gewesen. Im Rahmen des Art. 6 Abs. 1 [X.]uchstabe f [X.] sei dies jedoch keine Voraussetzung. Für die Weitergabe der Daten an die [X.] hätte ein berechtigtes Interesse bestanden. Die Datenübermittlung an die [X.] sei zum Zwecke der Vergleichsdatenbildung erfolgt, um dem [X.]edürfnis eines einheitlichen und nachvollziehbaren Personalwesens innerhalb der [X.] Rechnung zu tragen. Die Erhebungen im Hinblick auf das Festgehalt und variable Vergütungskomponenten stellten die [X.]asis für die künftige [X.]eantwortung von [X.] nach § 7 Abs. 2 [X.]uchstabe e GO-[X.] bei Neueinstellungen und Nachverhandlungen dar. Der Zweck der Verarbeitung liege allein in der Herstellung homogener Arbeitsbedingungen innerhalb der Unternehmensgruppe. Die Daten würden nicht genutzt, um die weitere Gehaltsentwicklung zu bremsen. Die Datenübermittlung liege auch im Interesse der Mitarbeiter, weil ein [X.] zu mehr Lohngerechtigkeit führe. Auch hinsichtlich der Zielvereinbarungen ermögliche erst die zentrale Verwaltung eine Erfassung der Schwankungen. Auch für die Klägerin könne der [X.] positive Auswirkungen haben, weil [X.] immer nur nach oben denkbar seien. Das in Fallgestaltungen wie der hier vorliegenden ein berechtigtes Interesse der verantwortlichen Person vorliegen könne, folge auch aus Erwägungsgrund 48 der [X.]. Es sei anerkannt, dass Verantwortliche, die Teil einer Unternehmensgruppe seien, ein berechtigtes Interesse haben könnten, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke zu übermitteln.

Die Datenübermittlung sei in ihrer konkreten Ausgestaltung auch erforderlich gewesen. Die [X.]eklagte und die [X.] hätten alles getan, um die entsprechende Datenverarbeitung auf ein Minimum zu reduzieren. Eine Pseudonymisierung der Daten hätte den Interessen der Klägerin nicht weiter gedient. Aufgrund des kleinen Personenkreises, der von der Datenverarbeitung betroffen gewesen sei, wäre ein Rückschluss auf die jeweilige Person möglich gewesen. Zum Teil arbeite in den einzelnen Unternehmen nur jeweils eine Person mit einem entsprechenden Tätigkeitsfeld, was auch auf die Klägerin zutreffe. Daher könne bereits durch die Angabe ihres Aufgabenbereichs auch ohne den Namen und weitere persönliche Daten eine Zuordnung erfolgen. Gleiches gelte im Hinblick auf die in den Unternehmen beschäftigten Personalleiter. Durch die Übermittlung der ungeschwärzten Verträge an [X.] habe verhindert werden sollen, dass Daten durcheinander geraten, insbesondere falsche Zuordnungen erfolgen. Es sei davon auszugehen, dass ein Großteil der Daten ohnehin schon bei der [X.] vorhanden gewesen sei.

Die Interessen der Klägerin müssten hinter den Interessen der [X.] an einer Weiterverarbeitung der Daten zurückstehen. Zwar sei das Recht der Klägerin auf informationelle Selbstbestimmung betroffen. Der Eingriff sei jedoch nur von geringer Qualität und bewusst abgemildert. Es habe sich um die einmalige Erhebung eines minimalen Datenbestandes gehandelt, auf die nur eine einzige Person Zugriff habe und die diese Daten ausschließlich für zukünftige Verträge nutze. Lediglich Name und Gehalt sowie etwaige Prämien seien erhoben worden. Andere personenbezogene Daten wie das Geburtsdatum oder die Adresse seien von der [X.] geschwärzt worden. Zudem stelle die [X.] sicher, dass die erhobenen Daten sicher verwahrt und vor dem Zugriff Dritter geschützt werden.

Die Übermittlung der Daten an die [X.] sei somit rechtmäßig gewesen. Ein Unterlassungsanspruch der Klägerin scheide daher ebenso aus wie ein Schadensersatzanspruch. Im Übrigen setze Art. 82 Abs. 1 [X.] voraus, dass der Klägerin tatsächlich ein Schaden entstanden sei. Einen solchen immateriellen Schaden habe die Klägerin jedoch nicht nachvollziehbar dargelegt. Zudem müsse bei der [X.]emessung eines Schadens berücksichtigt werden, dass sich die [X.] vorbildlich verhalten habe, indem sie die streitgegenständliche Datenerhebung auf einer [X.] thematisiert, intern geprüft und unmittelbar nach dem Aufkommen von Zweifeln durch ein externes Rechtsgutachten habe prüfen lassen. Im Übrigen obliege die Sanktionierung von Datenschutzverstößen nach der Systematik der [X.] den zuständigen Aufsichtsbehörden.

Soweit man einen Schadensersatzanspruch der Klägerin bejahe, komme eine Haftung der [X.] allenfalls als Gesamtschuldnerin gemeinsam mit der [X.] in [X.]etracht. Nach der [X.] hafteten mehrere Verantwortliche nach außen gemeinsam als Gesamtschuldner, wenn sie - wie im vorliegenden Fall - an derselben Verarbeitung beteiligt gewesen seien.

Mit Urteil vom 15.07.2020 hat das [X.] der Klage überwiegend stattgegeben und die [X.]eklagte zur Unterlassung und zur Zahlung von Schadensersatz in Höhe von 2.000,00 € verurteilt. Dies hat es im Wesentlichen wie folgt begründet: Die Datenübermittlung an die [X.] unterfalle dem Anwendungsbereich der [X.]. Sie sei nicht rechtmäßig, weil keiner der in Art. 6 Abs. 1 [X.] genannten Tatbestände erfüllt sei. Insbesondere lasse sich die Datenverarbeitung nicht auf Art. 6 Abs.1 [X.]uchstabe f [X.] stützen. Es seien schon keine berechtigten Interessen der [X.] festzustellen, weil die Übermittlung vorrangig den Interessen der [X.] diene. Zudem sei die Datenübermittlung in dem vorgenommenen Umfang nicht erforderlich gewesen. Vielmehr hätte eine Datenübermittlung in anonymisierter bzw. pseudonymisierter Form ausgereicht. Durch geeignete Vorkehrungen, z.[X.]. durch Übermittlung der Informationen in einem neutralen Umschlag, der keinen Hinweis auf den Absender beinhaltet, könne sichergestellt werden kann, dass eine Zuordnung zu einem einzelnen Unternehmen und damit einem dort beschäftigten Arbeitnehmer ausgeschlossen werde. Darüber hinaus überwögen im Streitfall die Interessen der Klägerin diejenigen der [X.]. Daher könne die Klägerin von der [X.] die Unterlassung vergleichbarer Übermittlungsvorgänge verlangen. Die [X.]eklagte sei zudem gemäß Art. 82 Abs. 1 [X.] zur Zahlung von [X.] verpflichtet. Unter [X.]erücksichtigung der Umstände des Streitfalls sei insoweit ein [X.]etrag von 2.000,00 € ausreichend und angemessen. Für diesen [X.]etrag hafte die [X.]eklagte allein und nicht als Gesamtschuldnerin mit der [X.], weil hier verschiedene Verarbeitungsvorgänge betroffen seien, einerseits die Übermittlung durch die [X.]eklagte, andererseits die weitere Nutzung durch die [X.].

Gegen das der [X.] am 27.08.2020 zugestellte Urteil richtet sich deren am 25.09.2020 beim [X.] eingegangene [X.]erufung, die sie mit einem am 27.10.2020 beim [X.] eingegangenen Schriftsatz begründet hat. Die [X.]erufungsbegründung wurde der Klägerin am 29.10.2020 zugestellt. [X.]ereits mit Schriftsatz vom 07.10.2020 hatte die Klägerin Anschlussberufung eingelegt und sie hat diese innerhalb der bis zum 30.12.2020 verlängerten [X.]erufungsbeantwortungsfrist begründet.

Die [X.]eklagte begründet ihre [X.]erufung unter Wiederholung und Vertiefung ihres erstinstanzlichen Vortrags im Wesentlichen wie folgt: Entgegen der Rechtsauffassung des [X.]s habe die [X.]eklagte die personenbezogenen Daten der Klägerin rechtmäßig verarbeitet. Rechtsgrundlage für die Datenverarbeitung sei Art. 6 Abs. 1 [X.]uchstabe f [X.]; andere Erlaubnistatbestände seien offensichtlich nicht einschlägig.

Die [X.]eklagte habe ein eigenes Interesse daran, ihre Arbeitnehmer angemessen zu bezahlen, halten zu können und gleichzeitig in der Lage zu sein, qualifizierte neue Arbeitnehmer zu gewinnen. Zudem sei es im Interesse der [X.], wirtschaftlich zu handeln. All dies begründe das berechtigte Interesse der [X.], personenbezogene Daten von Mitarbeitern an die [X.] zu übermitteln, um insofern nach Durchführung des Gehältervergleichs durch die [X.] bei der Mitarbeiterentwicklung entsprechend agieren zu können. Die Daten müssten der [X.] nicht unmittelbar selbst zugutekommen, um ein eigenes Interesse an der Datenverarbeitung zu begründen. Auch ein mittelbarer Nutzen, wie hier bei der Unterstützung des Personalmanagements durch die [X.], stelle ein berechtigtes Interesse dar.

Die Datenerhebung sei auch erforderlich gewesen. Eine Anonymisierung sei als milderes Mittel nicht zielführend gewesen. Die vom [X.] gegebenen [X.]eispiele für eine anonymisierte Übermittlung seien nicht praxistauglich. Auch die vom [X.] durchgeführte Interessenabwägung überzeuge nicht. Zum einen stellten auch tatsächliche, wirtschaftliche und ideelle Interessen berechtigte Interessen in Sinne des Art. 6 Abs. 1 [X.]uchstabe f [X.] dar. Zum anderen bedeute ein Datenschutzverstoß immer einen Eingriff in das verfassungsrechtlich geschützte Recht auf informationelle Selbstbestimmung.

Mangels eines Verstoßes gegen die [X.] bestehe auch kein Anspruch der Klägerin auf Schadensersatz. Sie habe auch in der [X.]erufungsinstanz nicht nachvollziehbar dargelegt, in welcher Form ihr ein immaterieller Schaden entstanden sein soll. Für den Schadensersatz nach Art. 82 [X.] gelte eine Erheblichkeitsschwelle, die hier nicht überschritten sei. Jedenfalls trügen die Ausführungen des [X.]s nicht die von ihm festgesetzte Höhe des Schadensersatzes. Es sei zu berücksichtigen, dass die [X.]eklagte nicht schuldhaft gehandelt habe. Sie sei insbesondere aufgrund des eingeholten Rechtsgutachtens der Überzeugung gewesen, rechtmäßig zu handeln. Dieses Gutachten habe hinsichtlich der Heranziehung des berechtigten Interesses sowie des [X.] als Rechtsgrundlage zwar nicht vorbehaltlose Zustimmung geäußert. Dies beruhe jedoch auf dem Umstand, dass zu dem konkreten Vorhaben noch keine gerichtlichen Entscheidungen ergangen seien. Ausgehend von diesem Sachverhalt hätten die [X.]eklagte und die [X.] sich im Hinblick auf die streitgegenständliche Datenverarbeitung eine vertretbare Rechtsauffassung gebildet. Gleichzeitig seien Vorkehrungen getroffen worden, um die Daten so sicher wie möglich zu verwahren. Insbesondere die eingerichteten Zugriffsbeschränkungen und die [X.]etreuung der IT-Infrastruktur durch die [X.] belegten das Ziel der [X.] und der [X.], Datensicherheit zu gewährleisten. Die zahlreichen zugunsten der [X.] sprechenden Aspekte (einmaliger Verstoß, nachvollziehbarer Anlass, keine Weitergabe an außenstehende Dritte, kein vorsätzliches Handeln, keine Nachteile auf Seiten der [X.]) sprächen alle gegen ein Schmerzensgeld in der vom [X.] festgelegten Höhe.

Eine Haftung der [X.] käme schließlich allenfalls als Gesamtschuldnerin gemeinsam mit der [X.] in [X.]etracht. Die Datenerhebung bei der Klägerin, die Weitergabe an die [X.] sowie die Speicherung und Nutzung durch die [X.] stellten rechtlich gesehen einen einzigen Verarbeitungsvorgang dar.

Die [X.]eklagte beantragt,

das Urteil des [X.] vom 15.07.2020 - 1 Ca 982/19 - teilweise abzuändern und die Klage insgesamt abzuweisen.

Die Klägerin beantragt,

1. die [X.]erufung zurückzuweisen;

2. im Wege der Anschlussberufung das Urteil des [X.] vom 15.07.2020 - 1 Ca 982/19 - teilweise abzuändern und die [X.]eklagte über die vom [X.] zugesprochene Summe hinaus zu verurteilen, an die Klägerin einen angemessenen Schadensersatz für den immateriellen Schaden der Klägerin zu zahlen, dessen Höhe in das Ermessen des erkennenden Gerichts gestellt wird, den [X.]etrag von 10.000,00 € jedoch nicht unterschreiten sollte.

Die [X.]eklagte beantragt,

die Anschlussberufung zurückzuweisen.

Die Klägerin wiederholt und vertieft ihre erstinstanzlichen Ausführungen und führt ergänzend aus: Zutreffend habe das [X.] festgestellt, dass die Verarbeitung der personenbezogenen Daten der Klägerin nicht rechtmäßig gewesen sei. Es bestehe schon kein berechtigtes Interesse der [X.] oder der [X.] an der Übermittlung der streitgegenständlichen Daten. Für das von der [X.] vorgegebene Ziel würde die Erhebung von pseudonymisierten oder anonymisierten Daten genügen. Auch die Übermittlung von aggregierten Zahlen würde ausreichen. Die vom [X.] durchgeführte Interessenabwägung sei ebenfalls nicht zu beanstanden. Die Klägerin habe ein berechtigtes Interesse an der Geheimhaltung ihrer Daten.

Das [X.] habe die [X.]eklagte auch zu Recht zur Zahlung von Schadensersatz verurteilt. Die Höhe der vom [X.] zugesprochenen Summe sei jedoch mit den Vorgaben des europäischen Verordnungsgebers nicht vereinbar. Der Schadensersatz nach Art. 82 [X.] müsse wirksam, verhältnismäßig und abschreckend sein. Dies folge auch aus der Wertung des Art. 83 Abs. 5 [X.]. Trotz besserer Rechtseinschätzung und trotz bestehender [X.] gegenüber der Klägerin habe die [X.]eklagte davon Abstand genommen, sich dem [X.]egehren der Schwestergesellschaft zu entziehen. Die [X.]eklagte habe die Informationen an die [X.] weitergegeben, ohne vorab den Versuch zu unternehmen, eine Einwilligung zu erhalten oder ihr die Möglichkeit zu geben, der Maßnahme zu widersprechen. Angesichts dieser Aspekte müsse als Schadensersatz ein für die [X.]eklagte fühlbarer [X.]etrag zugesprochen werden, den die Klägerin mit 10.000,00 € schon am untersten Rand dessen bemessen habe, was für die [X.]eklagte überhaupt fühlbar sei.

Es liege auch keine Gesamtschuld vor, weil hier zwei separate Verstöße vorlägen: zum einen die Herausgabe der Daten durch die [X.]eklagte, zum anderen die dauerhafte Weiterverarbeitung dieser Daten durch die [X.].

Wegen des weiteren Sach- und Rechtsvortrags der Parteien wird auf die gewechselten Schriftsätze nebst Anlagen und die ausweislich der Sitzungsprotokolle abgegebenen Erklärungen ergänzend [X.]ezug genommen.

Entscheidungsgründe

1

A. Die Berufung der [X.] ist zulässig, aber unbegründet.

2

I. Die Klage ist zulässig.

3

1. Der Klageantrag zu 1) ist zulässig, insbesondere hinreichend bestimmt iSd.§ 253 Abs. 2 Nr. 2 ZPO.

4

a) Ein Unterlassungsantrag muss eindeutig erkennen lassen, was vom Schuldner verlangt wird. Soll der Schuldner zur zukünftigen Unterlassung einzelner Handlungen verpflichtet werden, müssen diese so genau bezeichnet sein, dass kein Zweifel besteht, welches Verhalten im Einzelnen betroffen ist. Für den Schuldner muss aufgrund des [X.] erkennbar sein, welche Handlungen oder Äußerungen er künftig zu unterlassen hat, um sich rechtmäßig verhalten zu können. Die Prüfung, welche Maßnahmen der Schuldner vorzunehmen oder zu unterlassen hat, darf grundsätzlich nicht in das Vollstreckungsverfahren verlagert werden ([X.] 22.01.2020– 7 ABR 18/18– Rn. 14).

5

b) Der Klageantrag zu 1) genügt diesen Anforderungen. Er enthält die einzelnen Daten, deren Übermittlung der [X.] untersagt werden soll. Darüber hinaus lässt er auch die Bedingungen erkennen, unter denen die grundsätzliche [X.] nicht bestehen soll, nämlich bei Einwilligung der Klägerin sowie im Falle der Übermittlung der Daten in anonymisierter bzw. pseudonymisierter Form. Die Anforderungen an eine Einwilligung und eine Pseudonymisierung ergeben sich aus der [X.] ([X.]) 2016/679(Datenschutz-Grundverordnung; fortan: DSG[X.]), insbesondere aus Art. 4 Nr. 5 und 11 DSG[X.]. Auch der Begriff der Anonymisierung ist hinreichend konkret. Er beinhaltet das Verändern personenbezogener Daten derart, dass die hinter den Angaben stehende betroffene Person nicht bzw. nicht mehr identifiziert werden kann (vgl. Erwägungsgrund 26 Satz 5 und 6 DSG[X.]).

6

2. Auch der Klageantrag zu 2) ist zulässig und insbesondere hinreichend bestimmt iSd.§253 Abs.2 Nr.2 ZPO. Wenn dem Gericht bei der Bestimmung der Höhe der Entschädigung ein Ermessenspielraum eingeräumt ist, ist eine Bezifferung des [X.] nicht notwendig ([X.] 27.08.2020 – 8 [X.]/19–Rn. 16[X.].). Erforderlich ist allein, dass der Kläger Tatsachen, die das Gericht bei der Bestimmung des Betrags heranziehen soll, benennt und die Größenordnung der geltend gemachten Forderung angibt ([X.] 14.11.2013– 8 AZR 997/12– Rn. 16). Diesen Anforderungen genügt die Antragstellung der Klägerin. Sie hat mit 10.000,00 € eine Größenordnung der Forderung angegeben und in der Begründung vorgetragen, auf welche Tatsachen bei der Bemessung der Höhe des Schadensersatzes abzustellen ist.

7

II. Die Klage ist in dem vom Arbeitsgericht ausgeurteilten Umfang auch begründet.

8

1. Die Klägerin hat gegen die [X.] einen Anspruch auf Unterlassung der Übermittlung der streitgegenständlichen Daten an die [X.]. Der Anspruch folgt aus § 1004 Abs. 1 BGB, § 823 Abs. 2 Satz 1 BGB iVm. Art. 5 Abs. 1 Buchstabe a Var. 1, Art. 6 Abs. 1 DSG[X.].

9

a) Nach allgemeinen Grundsätzen kann in entsprechender Anwendung des §1004 Abs.1 BGB die Unterlassung objektiv rechtswidriger Eingriffe in geschützte Rechtsgüter im Sinne des §823 Abs.2 [X.] verlangt werden. Demnach ist derjenige, der gegen ein den Schutz eines anderen bezweckendes Gesetz im Sinne des §823 Abs.2 [X.] verstößt, dem anderen entsprechend §1004 Abs.1 BGB zur Unterlassung verpflichtet. Ist nach dem Inhalt des Gesetzes ein Verstoß gegen dieses auch ohne Verschulden möglich, so tritt die [X.] - anders als die Ersatzpflicht (§823 Abs.2 [X.]) - auch ohne ein Verschulden des Verletzers ein ([X.] 17.07.2008– [X.]/05– Rn. 13;Grüneberg/Sprau BGB 81. Aufl. Einf. v. § 823 Rn. 27ff.).

10

b) Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] sind Schutzgesetze iSd. § 823 Abs. 2 Satz 1 BGB.

11

[X.]) Eine Rechtsnorm ist ein Schutzgesetz iSd. § 823 Abs. 2 BGB, wenn sie zumindest auch dazu dienen soll, den Einzelnen oder einzelne Personenkreise gegen die Verletzung eines bestimmten Rechtsguts zu schützen. Dafür kommt es nicht auf die Wirkung, sondern auf Inhalt und Zweck des Gesetzes sowie darauf an, ob der Gesetzgeber bei Erlass des Gesetzes gerade einen Rechtsschutz, wie er wegen der behaupteten Verletzung in Anspruch genommen wird, zugunsten von Einzelpersonen oder bestimmten Personenkreisen gewollt oder doch [X.] hat. Es genügt, dass die Norm auch das Interesse des Einzelnen schützen soll, mag sie auch in erster Linie dasjenige der Allgemeinheit im Auge haben. Nicht ausreichend ist aber, dass der Individualschutz durch Befolgung der Norm nur als ihr Reflex objektiv erreicht wird; er muss vielmehr im Aufgabenbereich der Norm liegen ([X.] 25.05.2020–VI ZR 252/19 - Rn. 73 [X.]).

12

[X.]) Gemäß Art. 5 Abs. 1 Buchstabe a Var. 1 DSG[X.] müssenpersonenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Gemäß Art. 6 Abs. 1 DSG[X.] ist die Verarbeitung nur rechtmäßig, wenn mindestens eine der in den Buchstaben a bis f aufgeführten Bedingungen erfüllt ist. Die zitierten Bestimmungen dienen dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (vgl. Art. 1 Abs. 1 DSG[X.]). Der in ihnen zum Ausdruck kommende Grundsatz der Rechtmäßigkeit der Verarbeitung personenbezogener Daten schützt gemeinsam mit den anderen in Art. 5 DSG[X.] niedergelegten Grundsätzen die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten (vgl. Art. 1 Abs. 2 DSG[X.]).Dass dieser Schutz im Aufgabenbereich der Normen liegt, wird auch aus den Erwägungsgründen (fortan: [X.]) der DSG[X.] deutlich: Gemäß [X.] 2 DSG[X.] sollen durch die Grundsätze zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten - zu diesen gehört nach [X.] 39 Satz 1 DSG[X.] auch der hier maßgebliche Grundsatz der Rechtmäßigkeit der Verarbeitung - gewährleistet werden, dass ihre Grundrechte und Grundfreiheiten und insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer St[X.]tsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] sind daher als Schutzgesetze iSd. § 823 Abs. 2 Satz 1 BGB einzuordnen (im Ergebnis ebenso [X.] in [X.]/[X.] DSG[X.] 3. Aufl. Art. 6 Rn. 2; zur Einordnung von Regelungen des BDSG als Schutzgesetze vgl. [X.] 24.07.2018– VI ZR 330/17– Rn. 30; 27.02.2018– VI ZR 489/16– Rn. 42).

13

c) Der Anwendungsbereich der DSG[X.] ist eröffnet (Art. 2 DSG[X.]). Die von der [X.] angefragten Informationen über die Klägerin stellen personenbezogene Daten iSd. Art. 4 Nr. 1 DSG[X.] dar. Durch die Übermittlung an die [X.] hat die [X.] diese Daten iSv. Art. 4 Nr. 2 DSG[X.] verarbeitet. Es liegt auch eine zumindest teilweise automatisierte Verarbeitung vor, weil die Daten per E-Mail übermittelt wurden [X.] in [X.]/[X.] DSG[X.] 3. Aufl. Art. 2 Rn. 5). Zudem ist davon auszugehen, dass die [X.] die übermittelten Daten zur [X.] in einem Dateisystem iSd. Art. 4 Nr. 6 DSG[X.] gespeichert hat. Ein Ausnahmetatbestand nach Art. 2 Abs. 2 DSG[X.] liegt im Streitfall nicht vor.

14

d) Die [X.] ist im Hinblick auf die streitgegenständliche Datenübermittlung „Verantwortlicher“ iSd. Art. 4 Nr. 7 DSG[X.], weil ihr die Entscheidungsgewalt über die Daten oblag und sie über das Ob und den Umfang der Datenübermittlung entschied (vgl [X.] 25.02.2021– 17 Sa 37/20– Rn. 45; [X.]/[X.] 4. Aufl. Art. 4 DSG[X.] Rn. 12; [X.] in [X.]/[X.] DSG[X.] 3. Aufl. Art. 4 Nr. 7 Rn. 13; [X.]/[X.] in [X.]/[X.], Recht der elektronischen Medien 4. Aufl. Art. 4 DSG[X.] Rn. 18). Die [X.] war damit gemäß Art. 5 Abs. 2 DSG[X.] für die Einhaltung von Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] verantwortlich.

15

e) Es liegt ein Verstoß gegen Art. 5 Abs. 1 Buchstabe a Var. 1 DSG[X.] („Grundsatz der Rechtmäßigkeit der Verarbeitung“) vor. Keiner der in Art. 6 Abs. 1 Buchstabe a bis f genannten Tatbestände ist im Streitfall erfüllt.

16

[X.]) Eine Einwilligung der Klägerin iSv. Art. 6 Abs. 1 Buchstabe a DSG[X.] liegt nicht vor. Auch die Tatbestände in Art. 6 Abs. 1 Buchstabe c, d und e kommen hier als Rechtsgrundlage erkennbar nicht in Betracht.

17

[X.]) Die [X.] kann die Verarbeitung auch nicht auf § 26 BDSG stützen, der als speziellere Vorschrift Art. 6 Abs. 1 Buchstabe b DSG[X.] im [X.] verdrängt.

18

(1) § 26 BDSGstellt eine spezifischere Vorschrift iSv.Art.88DSG[X.]dar, welche ihrerseits den Erlaubnistatbestand [X.]. 1Buchstabe b DSG[X.] im [X.] konkretisiert. [X.] §26BDSG in seinem Anwendungsbereich die Regelung [X.]. 1Buchstabe b DSG[X.] ([X.] 25.02.2021– 17 Sa 37/20– Rn. 74; [X.]/[X.] 22. Aufl. § 26 BDSG Rn. 4f. [X.]; [X.]/[X.] Arbeitsrecht Kommentar 9. Aufl. [X.]. DSG[X.] Rn. 64; [X.]/[X.] in: [X.]/[X.] Art.6 DSG[X.] Rn. 49f.). Demgegenüber bleiben die übrigen Tatbestände desArt.6Abs. 1 DSG[X.] weiterhin anwendbar ([X.]/[X.] 22. Aufl. § 26 BDSG Rn. 4f.; [X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 101; Gräber/[X.] in: [X.]/[X.] DSG[X.] 3. Aufl. § 26 BDSG Rn. 10).

19

(2) Die Verarbeitung ist nicht nach § 26 Abs. 1 BDSG gerechtfertigt.

20

(a) Nach dieser Vorschrift dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Für die Durchführung des Arbeitsverhältnisses ist eine Verarbeitung von personenbezogenen Daten danach erforderlich, wenn und soweit der Arbeitgeber sie benötigt, um die Pflichten zu erfüllen und die Rechte geltend machen zu können, welche im Hinblick auf das Arbeitsverhältnis in gesetzlichen Vorschriften, [X.] und Individualvereinbarungen mit dem Arbeitnehmer geregelt sind (vgl. [X.]/[X.] Arbeitsrecht Kommentar 9. Aufl. Art.88 DSG[X.] Rn. 29; [X.]/[X.], [X.]. § 26 BDSG Rn. 114).

21

(b) Die streitgegenständliche Datenübermittlung war zur Durchführung des Arbeitsverhältnisses mit der Klägerin nicht erforderlich. Die [X.] ist keine Personalabteilung oder personalverwaltende Stelle der [X.]. Sämtliche das Arbeitsverhältnis der Klägerin betreffenden [X.] und Personalverwaltungsvorgänge werden ohne Mitwirkung der [X.] vorgenommen. Das Arbeitsverhältnis weist auch keinen anderweitigen Konzernbezug auf (vgl. hierzu allg. [X.] in: [X.]/Heckmann BDSG 13. Aufl. § 26 Rn. 92; [X.]/[X.], [X.]. § 26 BDSG Rn. 183; [X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 104). Insbesondere ist ein konzernweiter Einsatz der Klägerin nicht vorgesehen; die [X.] in § 1 Abs. 5 des Arbeitsvertrags beschränkt den Einsatz auf andere Orte „innerhalb des Unternehmens“. Auch die [X.] hat nicht behauptet, sie sei zur Durchführung des Arbeitsverhältnisses mit der Klägerin auf die Übermittlung der Daten angewiesen. Sie hat vielmehr geltend gemacht, eine Übermittlung der Daten an die [X.] sei für interne Verwaltungszwecke, nämlich zur Schaffung einer einheitlichen Vergütungsstruktur im Konzern, erforderlich.

22

(3) Die Verarbeitung ist auch nicht nach § 26 Abs. 4 BDSG gerechtfertigt. Zwar existiert die [X.]. Die hier im Streit stehende Datenübermittlung erfolgte jedoch nicht unter Nutzung der Software, auf die sich die [X.] bezieht, sondern per E-Mail.

23

[X.]) Die Datenverarbeitung ist auch nicht nach Art. 6 Abs. 1 Buchstabe f DSG[X.] gerechtfertigt.

24

[X.]) Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines [X.] erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Ob die Voraussetzungen der Norm erfüllt sind, ist anhand einer dreistufigen Prüfung zu ermitteln ([X.] 25.02.2021– 17 Sa 37/20– Rn. 75; [X.]/[X.] in: [X.]/[X.] Art.6 DSG[X.] Rn. 146).

25

(1) Zunächst ist zu klären, ob zum Zeitpunkt der Verarbeitung ein berechtigtes Interesse des Verantwortlichen oder eines [X.], dem die Daten übermittelt werden, vorliegt. Zu den berechtigten Interessen des Verantwortlichen oder [X.] zählen neben rechtlichen auch tatsächliche, wirtschaftliche oder ideelle Interessen, nicht jedoch bloße Allgemeininteressen ([X.]/[X.] in: [X.]/[X.], Art. 6 DS-G[X.] Rn. 146 f.). Die in den [X.] 47–50 der DSG[X.] genannten Beispiele berechtigter Interessen wie unter anderem die Verarbeitung im Rahmen einer konzerninternen Übermittlung ([X.] 48 Satz 1 DSG[X.]) zeigen, dass vielfältige und unterschiedlich bedeutsame berechtigte Interessen berücksichtigungsfähig sind ([X.] 12.07.2018–III ZR 183/17 - Rn. 76).

26

(2) Sind die Interessen, die mit einer Datenverarbeitung verfolgt werden, grundsätzlich als berechtigte Interessen einzustufen, ist in einem weiteren Schrittzu klären, ob die konkrete Datenverarbeitung zur Wahrung dieser berechtigten Interessen auch erforderlichist. Der [X.] hat im Hinblick auf das Kriterium der Erforderlichkeit darauf hingewiesen, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen(vgl. zur Vorgängerregelung in Art. 7 Buchst. f der [X.]/[X.] [X.]11.12.2019 –[X.]/18 –[X.] –[X.]/16 – [X.]). Das Gericht hat im Einzelfall zu prüfen, ob das berechtigte Interesse des Verantwortlichen nicht mit anderen Mitteln, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, vernünftigerweise ebenso wirksam erreicht werden kann ([X.]11.12.2019 –[X.]/18 – [X.]). Entsprechende Anhaltspunkte für das Kriterium der Erforderlichkeit finden sich auch in [X.] 39 DSG[X.]: Nach dessen Satz 7 soll die Verarbeitung der personenbezogen Daten auf das für sie notwendige Maß beschränkt sein. Satz 9 bestimmt, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann.Die Datenverarbeitung ist daher erforderlich, wenn kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen ([X.] 12.7.2018–III ZR 183/17 - Rn. 82; ebenso zum Begriff der Erforderlichkeit in Art. 6 Abs. 1 Buchstabe c und e DSG[X.] [X.] 26.08.2021 – [X.] (A) - Rn. 31).

27

(3) Schließlich ist zu prüfen, ob die Interessen, Grundrechte oder Grundfreiheiten des Betroffenen, die den Schutz personenbezogener Daten erfordern, die berechtigten Interessen des Verantwortlichen oder eines [X.] überwiegen.

28

(a) Der Maßstab für die vorzunehmende Abwägung folgt aus den in Art. 1 und Art. 5 DSG[X.] genannten Grundsätzen und Leitprinzipien unter Berücksichtigung der Wertmaßstäbe der Grundrechtecharta und des übrigen Primärrechts. Dabei sind unter anderem die relevanten Grundrechtsbezüge, die Eingriffsintensität, die Art der verarbeiteten Daten, die Art der Betroffenen, mögliche Aufgaben oder Pflichten und die Zwecke der Datenverarbeitung zu berücksichtigen ([X.] 12.07.2018–III ZR 183/17 - Rn. 86 [X.].). Dabei geht es im [X.] um einen Ausgleich zwischen den [X.] des Betroffenen einerseits und den Verwendungsinteressen der Verantwortlichen bzw. [X.] andererseits im konkreten Einzelfall ([X.] 12.07.2018–III ZR 183/17 - [X.]O). Es sind Art, Inhalt und Aussagekraft der betroffenen Daten an dem mit der Datenverarbeitung verfolgten Zweck zu messen und gegenüberzustellen ([X.] 12.07.2018–III ZR 183/17 - [X.]O).

29

(b) Im Rahmen der Abwägung sind auch die Erwägungsgründe zur Güterabwägung nach der DSG[X.] zu berücksichtigen ([X.] 12.07.2018–III ZR 183/17 - Rn. 87 [X.]; [X.]/[X.], Art. 6 DS-G[X.] Rn. 37). Bedeutung hat hierbei insbesondere [X.] 47 Satz 1 DSG[X.], der als wichtigen Gesichtspunkt der Interessenabwägung „die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“ nennt. Insoweit ist auch zu berücksichtigen, ob die „betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“ ([X.] 47 Satz 3 DSG[X.]). Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen ([X.] 47 Satz 4 DSG[X.]). Maßgebend ist ein objektivierter Maßstab, d.h. welche Erwartungen ein vernünftiger Dritter in der Person des Betroffenen hätte ([X.] 12.07.2018–III ZR 183/17 - [X.]O [X.]).

30

Nach [X.] 48 DSG[X.] können Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind, ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln. Ob ein solches berechtigtes Interesse an der Übermittlung im Konzern vorliegt, ist eine Frage des Einzelfalls ([X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 196; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 26).

31

(4) Die Frage der Zulässigkeit einer Datenverarbeitung aufgrund von berechtigten Interessen des Verantwortlichen oder eines [X.] ist von den konkreten Umständen des betroffenen Einzelfalls abhängig und dementsprechend auch einzelfallbezogen zu ermitteln und zu beurteilen (vgl. zur Vorgängerregelung in Art. 7 Buchstabe f der [X.]/[X.] [X.] 19.10.2016–C-582/14– Rn- 62; [X.] 12.07.2018–III ZR 183/17 – Rn. 75).

32

[X.]) Die Voraussetzungen des Art. 6 Abs. 1 Buchstabe f DSG[X.] liegen im Streitfall nicht vor.

33

(1) Es besteht allerdings grundsätzlich ein berechtigtes Interesse der [X.], der [X.] und der [X.] an der Übermittlung der Gehaltsdaten der Klägerin. Diese Verarbeitung soll einen konzernweiten Vergleich der Gehälter und sonstigen Entgeltbestandteile der im Konzern beschäftigten [X.] ermöglichen. Das damit verbundene Ziel, die Vergütungspraxis von außertariflichen Angestellten in vergleichbaren Positionen konzernweit einheitlich und widerspruchsfrei zu gestalten, ist ein berechtigtes wirtschaftliches Interesse iSd. Vorschrift. Die konzerninterne Datenübermittlung für solche internen Verwaltungszwecke wird auch durch [X.] 48 Satz 1 DSG[X.] grundsätzlich anerkannt.

34

Dieses berechtigte Interesse hat zum einen die [X.] als „Dritter“ iSd. Vorschrift, weil sie die übermittelten Daten unmittelbar für die genannten Ziele nutzen kann. Daneben besteht auch ein eigenes berechtigtes Interesse der [X.] an der Verarbeitung. Den bezweckten [X.] kann sie zwar nicht unmittelbar selbst nutzen, weil sie nach eigenem Vortrag keinen Zugriff auf die Daten hat. Die Verarbeitung kommt ihr aber jedenfalls mittelbar zugute, indem die Erkenntnisse bei zukünftigen Vertragsabschlüssen und - änderungen, die gemäß § 7 Abs. 2 Buchstabe e GO-[X.] jeweils der Zustimmung der [X.] bedürfen, zu ihren Gunsten Berücksichtigung finden. Ein durch Art. 6 Abs. 1 Buchstabe f DSG[X.] geschütztes Interesse an der Schaffung konzernweit einheitlicher Vergütungsstrukturen hat schließlich auch die [X.] als Konzernobergesellschaft.

35

(2) Die Übermittlung der Daten war in ihrer konkreten Ausgestaltung jedoch nicht erforderlich. Die Gehaltsdaten der Klägerin hätten in pseudonymisierter Form übermittelt werden können.

36

(a) Der Zweck der Verarbeitung bestand nach dem Vorbringen der [X.] darin, einen Überblick über das aktuelle [X.] der [X.] der Verbundkliniken zu erhalten, um zukünftig homogene Arbeitsbedingungen für diese Personengruppe zu schaffen und die Gehälter der [X.] bei zukünftigen Vertragsabschlüssen bzw. -änderungen an vergleichbare Positionen anzupassen. Zur Erreichung dieses Zwecks war lediglich die Übermittlung der Gehaltsdaten (Jahresbruttogehalt, Zielprämie und sonstige Leistungen), der Funktion des jeweiligen Beschäftigten und seiner Organisationseinheit erforderlich. Die weiteren von der [X.] übermittelten Daten der Klägerin (Name, Vorname, Personalnummer, Geburtsdatum, Privatadresse, Konzerngesellschaft, bei der sie tätig ist, Krankenhaus, in dem sie tätig ist, Arbeitsvertrag) sind für die Vergleichsdatenbildung hingegen nicht erforderlich. Denn auch ohne diese Daten könnte die [X.] das [X.] vergleichbarer [X.] in den Verbundkliniken feststellen und in der Zukunft für homogene Arbeitsbedingungen sorgen. Dass die [X.] mehr Daten übermittelte, als zur Erreichung des Zwecks erforderlich waren, belegt auch der Umstand, dass die [X.] nach dem Vortrag der [X.] unmittelbar nach Erhalt der Daten einige dieser Daten wieder löschte und auf den Arbeitsverträgen schwärzte. Soweit die [X.] zur Rechtfertigung dieses Vorgehens vorbringt, es habe verhindert werden sollen, dass „Daten durcheinander geraten“ und „falsche Zuordnungen“ erfolgen, ist dies für die Berufungskammer nicht nachvollziehbar. Eine ordnungsgemäße Nutzung und Einordnung der Daten für den angestrebten Zweck wäre ohne weiteres auch dann möglich gewesen, wenn nur die notwendigen, oben aufgeführten Daten übermittelt worden wären. In diesem Fall hätten die Gehaltsdaten der Klägerin nicht ohne Hinzuziehung zusätzlicher Informationen zugeordnet werden können (vgl. zum Begriff der Pseudonomysierung [X.]Nr.5DS-G[X.]).

37

(b) Die [X.] hat eingewandt, dass eine derart eingeschränkte Datenübermittlung nicht zielführend sei. Da nur ein kleiner Personenkreis von der Datenverarbeitung betroffen sei und zum Teil in den einzelnen Unternehmen nur jeweils eine Person mit einem entsprechenden Tätigkeitsfeld arbeite, was auch auf die Klägerin zutreffe, könnten die Gehaltsdaten der Klägerin auch ohne Mitteilung des Namens und weiterer persönlicher Daten zugeordnet werden. Dieser Einwand greift nicht durch. Zum einen handelt es sich nicht um einen kleinen Personenkreis, sondern um 156 Mitarbeiter, davon 21 bei der [X.]. Für die Kammer ist zudem nicht nachvollziehbar, wie die Identität der Klägerin ohne weitere Informationen herausgefunden werden könnte, wenn lediglich ihre Gehaltsdaten, ihre Funktion und ihre Organisationseinheit mitgeteilt würden. Da keine weiteren Daten, insbesondere auch nicht die Konzerngesellschaft und das Krankenhaus, in dem die Klägerin beschäftigt ist, übermittelt werden müssen, handelte es sich, selbst wenn die Position der Klägerin in jeder Klinikgesellschaft nur einmal vorhanden wäre, um einen Kreis von dann immerhin sechs Personen. Aber selbst wenn eine Identifizierung der Klägerin auch bei einer Datenübermittlung in dem oben dargelegten, eingeschränkten Umfang noch (theoretisch) möglich wäre, wäre die Identifizierung jedenfalls erheblich erschwert, weil diese erst unter Zuhilfenahme anderer Informationsquellen durchgeführt werden könnte. Durch eine solche Pseudonymisierung würden die datenschutzrechtlichen Risiken für die Klägerin folglich gesenkt (vgl. [X.] 29 Satz 1 DSG[X.]). Zudem entspräche ein solches Vorgehen dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSG[X.]). Eine pseudonymisierte Übermittlung der Gehaltsdaten würde daher in jedem Fall weniger stark in die Grundrechte der Klägerin eingreifen, den von der [X.] erstrebten Zweck aber ebenso wirksam erreichen. Die Datenübermittlung in ihrer konkreten Ausgestaltung war daher nicht erforderlich.

38

(3) Zudem überwiegen im Streitfall die Interessen der Klägerin die Interessen der [X.] und der anderen Unternehmen ihrer Unternehmensgruppe.

39

(a) Auf Seiten der Klägerin ist das Grundrecht aus Art. 8 Abs. 1 der [X.] (fortan: [X.]) auf Schutz ihrer personenbezogenen Daten zu berücksichtigen, das auch in Art. 16 Abs. 1 des Vertrags über die Arbeitsweise der [X.] (fortan: A[X.]V) zum Ausdruck kommt. Dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten dient auch die DSG[X.] (vgl. § 1 Abs. 2 DSG[X.], [X.] 1 und 2 DSG[X.]). Die Bedeutung des durch Art. 8 [X.] gewährleisteten Grundrechts wird durch den [X.] hervorgehoben (vgl. [X.] 06.10.2015–C-362/14– Rn. 39 [X.]).

40

(b) Das berechtigte Interesse der [X.], der [X.] und der [X.] an einer Vergleichsdatenbildung zur Schaffung einer konzernweit einheitlichen Vergütungsstruktur betrifft ihre Wirtschafts- und Geschäftstätigkeit, die als Bestandteil der unternehmerischen Freiheit durch Art. 16 [X.] geschützt wird (vgl. ([X.]/[X.] 4. Aufl. Art. 16 [X.] Rn. 9). Dieses berechtigte Interesse könnte allerdings in gleicher Weise verwirklicht werden, wenn die Daten in geringerem Umfang und in pseudonymisierter Form verarbeitet worden wären. Stellt man Art und Umfang der übermittelten Daten dem mit der Datenverarbeitung verfolgten Zweck gegenüber, zeigt sich, dass die Verarbeitung in ihrer durchgeführten Form nicht erforderlich war, sondern über das für den Zweck erforderliche Maß hinausging (s.o.).

41

(c) Die [X.] hat den Grundsatz der Transparenz (Art. 5 Abs. 1 Buchstabe a Var. 3 DSG[X.]) und die aus ihm folgenden Informationspflichten nicht beachtet. Sie ist ihrer Hinweispflicht aus Art. 13 Abs. 3 DSG[X.] nicht nachgekommen.

42

([X.]) Die Übermittlung der Daten an die [X.] stellt eine Zweckänderung iSd. Art. 13 Abs. 3 DSG[X.] dar. Zuvor wurden die Daten der Klägerin ausschließlich „für Zwecke des Beschäftigungsverhältnisses“ (§ 10 Abs. 3 Arbeitsvertrags) verarbeitet. Nun sollten die Daten für einen anderen Zweck, nämlich für die Erstellung einer konzernweiten [X.] über die Gehälter der [X.], genutzt werden.

43

([X.]) Zu den nach Art. 13 Abs. 3 DSG[X.] zu erteilenden Informationen gehört auch die Unterrichtung über das Bestehen eines Widerspruchsrechts gegen die Verarbeitung (Art. 13 Abs. 2 Buchstabe b DSG[X.]). Ein solches steht der betroffenen Person gemäß Art. 21 Abs. 1 DSG[X.] auch im Hinblick auf die Verarbeitung sie betreffender personenbezogener Daten aufgrund vonArt.6Abs.1Buchstabe f DSG[X.] zu. Die Unterrichtung nach Art. 13 Abs. 3 DSG[X.] hat bereits zu erfolgen, wenn der Verantwortliche eine Weiterverarbeitung für einen anderen Zweck „beabsichtigt“. Er muss die Informationen der betroffenen Person also vor der Weiterverarbeitung zu dem geänderten Zweck mitteilen. Die betroffene Person muss tatsächlich in der Lage sein, aufgrund der Informationen ggf. noch vor der Weiterverarbeitung Einwände zu erheben (Bäcker in: [X.]/[X.] DSG[X.] 3. Aufl. Art. 13 Rn. 78; [X.] in: [X.] DSG[X.] 2. Aufl. Art. 13 Rn. 36; [X.]/[X.] 4. Aufl. Art. 13 DSG[X.] Rn. 6). Die Verpflichtung nach Art. 13 Abs. 3 DSG[X.] trifft den Verantwortlichen, der die Daten erhoben hat und nun zu dem veränderten Zweck weiterverarbeiten will. Irrelevant ist, welche Verarbeitungsschritte der Verantwortliche durchführen will und in wessen Interesse die Zweckänderung liegt. Insbesondere entstehen die Informationspflichten nach Art. 13 Abs. 3 DSG[X.] auch, wenn der Verantwortliche beabsichtigt, die Daten an einen [X.] zu übermitteln, der die Daten anschließend zu einem anderen Zweck weiterverarbeiten soll (Bäcker in: [X.]/[X.] 3. Aufl. Art. 13 DSG[X.] Rn. 70).

44

([X.]) Im Streitfall war die [X.] als Verantwortliche verpflichtet, die Klägerin gemäß Art. 13 Abs. 3 DSG[X.] zu unterrichten; Ausnahmetatbestände (Art. 13 Abs. 4 DSG[X.], § 32 Abs. 1 BDSG) lagen offensichtlich nicht vor. Eine Information nach Art. 13 Abs. 3 DSG[X.] ist jedoch nicht erfolgt. Die Klägerin wurde durch die am 15.03.2019 um 09:30 Uhr versandte E-Mail des Personalleiters der [X.] [X.] ([X.] 26 [X.]) lediglich auf die Weiterleitung ihrer Daten an die [X.] hingewiesen, die bereits wenige Stunden später, nämlich um 16:01 Uhr ([X.] 176 [X.]) stattfand. Abgesehen davon, dass sich die Klägerin am 15.03.2019 im Urlaub befand und die E-Mail somit vor der Weiterverarbeitung gar nicht zur Kenntnis nehmen konnte, enthält die E-Mail auch keine der in Art. 13 Abs. 3 DSG[X.] vorgesehenen Informationen. Insbesondere wurde die Klägerin weder auf die Rechtsgrundlage der Verarbeitung (Art. 6 Abs. 1 Buchstabe f DSG[X.]) noch auf ihr Widerspruchsrecht hingewiesen. Aufgrund dieser verspäteten und inhaltlich unzureichenden Unterrichtung war die Klägerin nicht in der Lage, gegen die Verarbeitung Einwände zu erheben und ihre in der DSG[X.] vorgesehenen Rechte, insbesondere ihr Widerspruchsrecht aus Art. 21 Abs. 1 DSG[X.], geltend zu machen. Sogar nachdem die [X.] im Nachgang von der Klägerin mit Schreiben vom 08.04.2019 ([X.] 27f. [X.]) aufgefordert worden war, ihr Auskunft über Inhalt, Umfang und Empfänger der weitergegebenen Daten zu erteilen, hat die [X.] diese Auskünfte nicht erteilt. Die Klägerin erhielt als Reaktion lediglich ein Schreiben der [X.] ([X.] 29 ff. [X.]), aus dem zudem nicht sämtliche Daten der Klägerin ersichtlich waren, die an die [X.] übermittelt worden waren. Die [X.] hat ihre Informationspflichten somit nachhaltig nicht erfüllt und damit das - auch grundrechtlich geschützte (§ 8 Abs. 2 Satz 2 [X.]) - Recht der Klägerin auf Auskunft über die sie betreffenden Daten beeinträchtigt, obwohl sie in dem eingeholten Rechtsgutachten vom 05.03.2019 ausdrücklich auf die ihr obliegenden Informationspflichten nach der DSG[X.] hingewiesen worden war.

45

(d) Die Datenübermittlung entsprach in ihrer konkreten Ausgestaltung nicht dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSG[X.]). Wie oben dargelegt, übermittelte die [X.] der [X.] mehr Daten, als für die Erreichung des verfolgten Zwecks erforderlich waren. Bedenklich ist in diesem Zusammenhang auch der erstinstanzliche Vortrag der [X.], es sei davon auszugehen, dass ein Großteil der Daten bei der [X.] ohnehin schon vorhanden gewesen sei.

46

(e) Die Klägerin musste nicht mit einer Übermittlung ihrer Daten an die [X.] rechnen. Gemäß § 10 Abs. 3 des Arbeitsvertrags sollten ihre Daten nur für Zwecke des Arbeitsverhältnisses mit der [X.] genutzt werden. Die Klägerin war auch nicht gemäß Art. 13 Abs. 3 DSG[X.] über die beabsichtigte Weiterverarbeitung ihrer Daten zu einem geänderten Zweck unterrichtet worden. Bei dieser Sachlage konnte ein vernünftiger Dritter in der Person der Klägerin davon ausgehen, dass die Daten - wie auch in der Vergangenheit - ausschließlich für die Durchführung des Arbeitsverhältnisses genutzt werden. Er musste vernünftigerweise nicht mit einer Verarbeitung zu einem anderen Zweck rechnen, was ebenfalls für ein Überwiegen der Interessen der Klägerin spricht (vgl. [X.] 47 Satz 4 DSG[X.]).

47

(f) Bei den übermittelten Daten handelt es sich nicht um solche im Sinne des Art. 9 Abs. 1 DSG[X.]. Allerdings sind es Personaldaten, die der Arbeitgeber grundsätzlich vertraulich zu behandeln hat ([X.] 15.07.1987-5 [X.] - zu [X.] der Gründe). Mittlerweile ist die [X.] aufgrund der rechtskräftigen Entscheidung des [X.] vom [X.] zur Löschung der Daten verpflichtet. Im Zeitpunkt der Datenverarbeitung, der für die Durchführung der Interessenabwägung im Rahmen des Art. 6 Abs. 1 Buchstabe f DSG[X.] maßgeblich ist (vgl. auch [X.] 47 Satz 3 DSG[X.]), bestand jedoch die Möglichkeit, dass sich die Übermittlung zum Nachteil der Klägerin auswirken würde. Zwar war nicht davon auszugehen, dass die [X.] aufgrund der gewonnenen Vergleichsdaten bereits vereinbarte Gehälter zu reduzieren versuchen würde. Es war aber denkbar, dass die [X.] ihre nach § 7 Abs. 2 Buchstabe e GO-[X.] erforderliche Zustimmung zu Gehaltserhöhungen in bestimmten Fällen überhaupt nicht oder nur mit zeitlicher Verzögerung geben würde, weil der betroffene Arbeitnehmer bereits eine vergleichbar hohe Vergütung erhält. Abhängig von der Position der Klägerin im konzernweiten [X.] hätte auch sie von einer solchen Praxis betroffen sein können.

48

dd) Art. 6 Abs. 4 DSG[X.] kann die Datenübermittlung an die [X.] ebenfalls nicht rechtfertigen.

49

(1) Zwar liegt im Streitfall eine Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, vor (s.o.). Die Klägerin hat in diese jedoch nicht eingewilligt. Die Datenübermittlung beruht auch nicht auf einer Rechtsvorschrift zum Schutz der [X.] DSG[X.]genannten Ziele iSv. § 6 Abs. 4 DSG[X.]. Die Voraussetzungen des § 24 Abs. 1 BDSG liegen ebenfalls nicht vor.

50

(2) In einem solchen Fall berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem die in Art. 6 Abs. 4 Buchstabe a bis e DSG[X.] genannten Kriterien. Der [X.] dieser Regelung wird uneinheitlich beurteilt. Nach einer Ansicht ist sie alsein Erlaubnistatbestandfür eine zweckändernde Weiterverarbeitung personenbezogener Daten einzuordnen. Wenn die Voraussetzungen der Regelung vorliegen, bedarf es danach für die Zulässigkeit der Weiterverarbeitung keiner gesonderten RechtsgrundlageiSv.Art. 6 Abs. 1 DSG[X.].Ausreichend soll dann vielmehr gemäß [X.] 50 Satz 2 DSG[X.] der ursprüngliche Legitimationstatbestand für die Datenerhebung sein ([X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 210 [X.]; [X.]/[X.] 4. Aufl. Art. 6 DSG[X.] Rn. 14). Nach der Gegenansicht beschränkt sich die Funktion des Art. 6 Abs. 4 DSG[X.] auf einen [X.]. Danach bedarf auch eine nach Abs. 4 zweckkompatible Weiterverarbeitung von Daten darüber hinaus stets zusätzlich noch einer entsprechenden Rechtsgrundlage iSd. Art. 6 Abs. 1 DSG[X.] ([X.]/[X.] in: [X.]/[X.] DSG[X.] 3. Aufl. Art. 6 Rn. 182ff. [X.]; [X.]/[X.]/[X.]. Art. 6 DSG[X.] Rn. 96 ff.; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 48).

51

(a) Aus Sicht der Berufungskammer ist der letztgenannten Ansicht zu folgen. Der Einordnung von Art. 6 Abs. 4 DSG[X.] als selbständiger Erlaubnistatbestand steht der Wortlaut des Art. 6 Abs. 1 DSG[X.] entgegen, nach dem eine Verarbeitung „nur rechtmäßig“ ist, wenn einer der dort genannten Erlaubnistatbestände erfüllt ist; einen Vorbehalt hinsichtlichAbs.4machtArt.6Abs.1DSG[X.] gerade nicht ([X.]/[X.] in: [X.]/[X.] 3. Aufl. Art. 6 DSG[X.] Rn. 183). Ein entsprechendes Verständnis kommt auch in der [X.] und der [X.] Fassung von Art. 6 Abs. 1 DSG[X.] zum Ausdruck.

52

Art. 6 Abs. 4 DSG[X.] betrifft nicht den Grundsatz der Rechtmäßigkeit der Datenverarbeitung iSv. Art. 5 Abs. 1 Buchstabe a Var. 1 DSG[X.], sondern konkretisiert den Grundsatz der Zweckbindung iSd. Art. 5 Abs. 1 Buchstabe b DSG[X.] und regelt die Frage, ob der neue mit einer Datenverarbeitung verfolgte Zweck mit dem ursprünglich verfolgtenvereinbar ist ([X.]/[X.] in: [X.]/[X.] 3. Aufl. Art. 6 DSG[X.] Rn. 183; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 48). Die Grundsätze der Zweckbindung und der Rechtmäßigkeit sind jedoch unabhängig voneinander zu erfüllen ([X.]01.10.2015 –[X.]/14 – [X.][X.].).

53

(b) Selbst wenn man der Gegenansicht folgte, führte dies im Streitfall zu keinem anderen Ergebnis. Die [X.], die als Verantwortliche für die Rechtmäßigkeit der Datenverarbeitung verantwortlich ist und die Einhaltung dieses Grundsatzes nachweisen muss (Art. 5 Abs. 2 DSG[X.]), hat nicht behauptet, vor der Datenübermittlung den nach Art. 6 Abs. 4 vorgesehenen [X.] durchgeführt zu haben (vgl. zum Charakter der Regelung als Vorgabe für den Verantwortlichen auch [X.]/[X.]/[X.], [X.]. Art. 6 DSG[X.] Rn. 102; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 49). Zudem ist die Datenübermittlung an die [X.] unter Berücksichtigung der in Art. 6 Abs. 4 Buchstabe a bis e DSG[X.] genannten Kriterien mit dem ursprünglichen Erhebungszweck nicht kompatibel. Eine Pseudonymisierung wurde im Streitfall nicht vorgenommen, obwohl dies möglich gewesen wäre (Buchstabe e). Die Datenübermittlung hätte wie oben dargelegt nachteilige Auswirkungen für die Klägerin haben können (Buchstabe d). Die Daten wurden ausschließlich zum Zwecke der Begründung und Durchführung des Arbeitsverhältnisses erhoben. Die Klägerin musste nicht davon ausgehen, dass die Daten für andere Zwecke genutzt würden (Buchstabe b, vgl. auch [X.]/[X.] 4. Aufl. Art. 6 DSG[X.] Rn. 17). Es handelt sich um Personaldaten, die der Arbeitgeber grundsätzlich vertraulich zu behandeln hat (Buchstabe c). Der ursprüngliche Zweck für die Erhebung der Daten steht auch in keinem unmittelbaren Zusammenhang mit der Übermittlung der Daten zum Zwecke der Schaffung einer konzernweiten [X.] (Buchstabe a).

54

f) Es besteht auch die erforderliche [X.].

55

[X.]) Die Besorgnis weiterer Beeinträchtigungen (§1004 Abs.1 [X.]) ist Tatbestandsmerkmal des auf §§1004, 823 BGB gestützten Unterlassungsanspruchs und damit materielle Anspruchsvoraussetzung ([X.] 20.11.2012 [X.] [X.]). Künftige Beeinträchtigungen eines geschützten Rechts sind grundsätzlich zu besorgen, wenn sie auf einer Verletzungshandlung beruhen ([X.]) oder eine solche ernsthaft zu befürchten ist (Erstbegehungsgefahr). [X.] ist die objektive Gefahr der erneuten Begehung einer konkreten Verletzungshandlung. Sie ist nicht auf die identische Verletzungsform beschränkt, sondern umfasst alle im [X.] gleichartigen Verletzungsformen ([X.] 18.11.2014 [X.]). Für sie besteht eine tatsächliche Vermutung, wenn es bereits zu einer Verletzung des geschützten Rechts gekommen ist ([X.] 07.06.2017– 1 ABR 32/15– Rn. 24).

56

[X.]) Angesichts des Verstoßes der [X.] gegen Art. 5 Abs. 1 Buchstabe a Var. 1, Art. 6 Abs. 1 DSG[X.] besteht eine tatsächliche Vermutung für eine [X.], der die [X.] nicht entgegengetreten ist. Sie macht vielmehr weiterhin geltend, dass die streitgegenständliche Datenübermittlung rechtmäßig gewesen sei (vgl. hierzu [X.]/[X.] BGB Neubearb. 2019 §1004 Rn. 461).

57

2. Die Klägerin hat gegen die [X.] gemäß Art. 82 Abs. 1 DSG[X.] Anspruch auf Ersatz des immateriellen Schadens. Nach dieser Vorschrift hat jede Person, der wegen eines Verstoßes gegen die DSG[X.] ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Diese Voraussetzungen liegen vor.

58

a) Die Klägerin ist anspruchsberechtigt. Sie gehört zu den von Art.82 Abs.1 DSG[X.] geschützten betroffenen Personen iSv. [X.] Nr.1 DS-G[X.]. Die Verletzung von Bestimmungen der DSG[X.] geschah bei der Verarbeitung „ihrer“ personenbezogenen Daten (vgl. [X.] 26.08.2021– 8 AZR 253/20 ([X.]. 33; [X.] 22.10.2021– 16 Sa 761/20– Rn. 185).

59

b) Die [X.] ist anspruchsverpflichtet. Wie bereits oben ausgeführt, ist sie im Hinblick auf die durchgeführte Datenübermittlung „Verantwortlicher“ iSd. [X.] Nr.7 DSG[X.] und haftet daher für den Schaden, der durch eine nicht der DSG[X.] entsprechende Verarbeitung verursacht wurde.

60

c) Es liegt ein Verstoß gegen die DSG[X.] vor. Die personenbezogenen Daten der Klägerin wurden entgegen den Vorgaben von Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] nicht in rechtmäßiger Weise übermittelt. Auf die Ausführungen im Rahmen des Klageantrags zu 1) wird verwiesen.

61

d) Die [X.] ist für den Verstoß gegen die DSG[X.] auch verantwortlich iSv. Art. 82 Abs. 3 DSG[X.].

62

[X.]) Die Haftung des Verantwortlichen nach Art.82 Abs.1 DSG[X.] ist verschuldensunabhängig, dh. sie setzt nicht das Vorliegen oder den Nachweis eines Verschuldens voraus ([X.] 26.08.2021- 8 AZR 253/20 ([X.]. 39). Aus [X.] DSG[X.] ergibt sich nichts Abweichendes. Die darin enthaltene Bestimmung, wonach bei Nachweis der Nichtverantwortlichkeit für den Umstand, durch den der Schaden eingetreten ist, eine Befreiung von der Haftung eintritt, betrifft nach Auffassung des [X.] nicht das Verschulden im Sinne eines „[X.]“, sondern die Frage nach einer „Beteiligung“ bzw. nach der Urheberschaft im Sinne der Kausalität ([X.] 26.08.2021- 8 AZR 253/20 ([X.]. 40). Danach ist die [X.] hier verantwortlich, weil sie den Verstoß gegen die DSG[X.] durch die von ihr vorgenommene Datenübermittlung kausal verursacht hat.

63

[X.]) Selbst wenn man demgegenüber Verantwortlichkeit iSd. Art. 82 Abs. 3 DSG[X.] im Sinne von Verschulden verstünde (vgl. [X.] 22.10.2021– 16 Sa 761/20– Rn. 223; [X.]/[X.] 4. Aufl. Art. 82 DSG[X.] Rn. 17); führte dies zu keinem anderen Ergebnis. Denn das Verschulden der [X.] wird nach [X.] DSG[X.] vermutet. Die [X.] hat keinen entgegenstehenden Vortrag geleistet. Sie handelte zumindest fahrlässig, was unter näher ausgeführt wird.

64

e) Durch den Verstoß der [X.] gegen Bestimmungen der DSG[X.] ist der Klägerin ein immaterieller Schaden entstanden.

65

Der Rechtsanspruch auf immateriellen Schadenersatz nach Art.82 Abs.1 DSG[X.] erfordert über eine Verletzung der DSG[X.] hinaus nicht zusätzlich, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Sie muss also keine „Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht“ oder das Überschreiten einer „Erheblichkeitsschwelle“ darlegen. Bereits die Verletzung der DSG[X.] selbst führt zu einem auszugleichenden immateriellen Schaden ([X.] 26.08.2021– 8 AZR 253/20 ([X.]. 33; LAG Hamm 11.05.2021– 6 Sa 1260/20– Rn. 62ff.; [X.] 22.10.2021– 16 Sa 761/20– Rn. 228). Für dieses Verständnis spricht [X.] 146 Satz 3 DSG[X.], wonach der Begriff des Schadens im Lichte der Rechtsprechung des [X.] weit und auf eine Weise ausgelegt werden soll, die den Zielen der Verordnung in vollem Umfang entspricht. Bereits der - auch hier eingetretene - Verlust über die Kontrolle der eigenen personenbezogenen Daten kann nach [X.] 75 und 85 DSG[X.] einen immateriellen Schaden begründen. Bei diesem Verständnis bleiben die Schwere eines Pflichtenverstoßes und das Ausmaß der damit einhergehenden Beeinträchtigungen auch nicht unberücksichtigt. Sie können effektiv im Rahmen der Bemessung der Höhe des Schadensersatzes berücksichtigt werden ([X.] 22.10.2021– 16 Sa 761/20– Rn. 228).

66

f) Die Klägerin hat die Bemessung der Höhe des immateriellen Schadensersatzes in das Ermessen des Gerichts gestellt,§287 Abs.1 [X.] ZPO. Unter Würdigung aller Umstände des Einzelfalles geht die Berufungskammer im Einklang mit der Entscheidung des Arbeitsgerichts davon aus, dass der Klägerin zur Abgeltung des immateriellen Schadens ein Geldanspruch in Höhe von 2.000,00 € zusteht.

67

[X.]) Nach [X.] 146 Satz 6 der DSG[X.] sollen die betroffenen Personen einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten. Bei der Bemessung des immateriellen Schadenersatzes durch das Gericht sind daher alle Umstände des Einzelfalls zu berücksichtigen. Es soll ein tatsächlicher und wirksamer rechtlicher Schutz der aus der DSG[X.] hergeleiteten Rechte gewährleistet werden [X.] 26.08.2021– 8 AZR 253/20 ([X.]. 36).

68

[X.]) Unter Berücksichtigung und Abwägung aller Umstände des Einzelfalls ist ein Schadensersatz in Höhe von 2.000,00 € angemessen.

69

(1) Ein vorsätzliches Handeln der [X.] ist nicht festzustellen. Sie holte vor Durchführung der streitgegenständlichen Verarbeitung eine rechtliche Stellungnahme eines Rechtsanwalts und Fachanwalts für Arbeitsrecht und Informationstechnologierecht ein, nach der die Datenübermittlung aufgrund eines gesetzlichen Erlaubnistatbestandes grundsätzlich zulässig sein sollte. Zu berücksichtigen ist auch, dass die konkrete Rechtsfrage im Zeitpunkt der Datenverarbeitung nicht höchstrichterlich geklärt war. Die [X.] hat den Verstoß gegen die DSG[X.] jedoch fahrlässig herbeigeführt. Sie hätte bei Beachtung der im Verkehr erforderlichen Sorgfalt (§ 276 Abs. 2 BGB) erkennen können und müssen, dass die Verarbeitung in ihrer durchgeführten Form nicht erforderlich war, sondern über das für den Zweck erforderliche Maß hinausging. Das eingeholte rechtliche Gutachten wies selbst darauf hin, dass eine anonymisierte Weitergabe der Daten Vorrang hätte, wenn die Vorgaben der Geschäftsführung durch eine solche Weitergabe ebenso erreicht werden könnten. Der Personalleiter der [X.] [X.] hatte in seiner E-Mail vom [X.] ([X.] 157 [X.]) ebenfalls auf die Möglichkeit einer anonymisierten bzw. pseudonymisierten Datenübermittlung hingewiesen. Darüber hinaus sieht auch die [X.], die nur drei Wochen vor der hier in Rede stehenden [X.] abgeschlossen worden war, vor, dass Beschäftigtendaten für Controlling- und Benchmark-Zwecke grundsätzlich nur pseudonymisiert genutzt werden dürfen. Auch vor diesem Hintergrund lag eine pseudonymisierte Verarbeitung der Daten nahe. Die Übermittlung beinhaltete in ihrer konkreten Form schließlich auch Daten wie das Geburtsdatum und die Privatadresse der Klägerin, die von vornherein und ganz offensichtlich nicht vom Zweck der Übermittlung gedeckt waren.

70

(2) Zulasten der [X.] war darüber hinaus zu berücksichtigen, dass sie den Grundsatz der Transparenz (Art. 5 Abs. 1 Buchstabe a Var. 3 DSG[X.]) nicht beachtet und die ihr gegenüber der Klägerin obliegenden Informationspflichten im Hinblick auf die Datenübermittlung nachhaltig nicht erfüllt hat, obwohl sie in dem eingeholten Rechtsgutachten vom 05.03.2019 ausdrücklich auf die ihr obliegenden Informationspflichten nach der DSG[X.] hingewiesen worden war. Deshalb hatte die Klägerin keine Möglichkeit, ihr Widerspruchsrecht nach Art. 21 Abs. 1 DSG[X.] rechtzeitig und effektiv auszuüben. Zur Vermeidung von Wiederholungen wird insoweit auf die obigen Ausführungen verwiesen. Zudem entsprach die Datenübermittlung in ihrer konkreten Ausgestaltung nicht dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSG[X.]). Die Klägerin musste auch nicht mit einer Übermittlung ihrer Daten an die [X.] rechnen. Die Verarbeitung betraf Personaldaten der Klägerin, die grundsätzlich vertraulich zu behandeln sind. Die Datenübermittlung war auch - jedenfalls bis zur Löschung der Daten durch die [X.] - geeignet, sich für die Klägerin nachteilig auszuwirken. Ergänzend wird auch bezüglich dieser Aspekte auf die obigen Ausführungen Bezug genommen.

71

(3) Die Berufungskammer hat auch berücksichtigt, dass die [X.] mit Schreiben vom 16.01.2020 – und damit wenige Tage vor dem am 22.01.2020 stattfindenden Termin vor dem [X.] – einen Versuch unternommen hat, die streitgegenständliche Datenübermittlung im Nachhinein zu legitimieren. Sie übersandte der Klägerin eine „Information und Einverständniserklärung zur Verarbeitung ihrer Beschäftigtendaten“ mit dem Ziel, dass die Klägerin ihr schriftliches Einverständnis zur Übermittlung von Daten an die [X.] geben würde. Dabei hat die [X.] der Klägerin jedoch keine vollständige Wahlfreiheit im Hinblick auf die Erteilung einer Einwilligung eingeräumt, sondern mitgeteilt, dass die Klägerin ihre Zielvereinbarung für das [X.] (erst) erhalten würde, wenn sie die beigefügte Einverständniserklärung unterzeichnet an die Personalabteilung zurückgegeben hätte. Ein solches Vorgehen steht im Widerspruch zu Art. 7 Abs. 4 DSG[X.]. Die Klägerin hat gemäß § 2 Abs. 3 des Arbeitsvertrags einen Anspruch auf eine jährliche Zielvereinbarung. Die von der [X.] verlangte Einwilligungserklärung war für den Abschluss der Zielvereinbarung nicht erforderlich und stand mit dieser in keinem Zusammenhang.

72

(4) Zugunsten der [X.] war zu berücksichtigen, dass sie Maßnahmen zum Schutz der personenbezogenen Daten der Klägerin ergriffen hat. Einer ersten Aufforderung zur Datenübermittlung hat sich der Personalleiter der [X.] [X.] mit E-Mail vom [X.] unter Hinweis auf datenschutzrechtliche Bedenken widersetzt. In der Folge wurde ein Rechtsgutachten eingeholt, um die Rechtslage klären zu lassen. Vor der Datenübermittlung wurde erörtert, wer Zugriff auf die Daten erhalten sollte, was sich unter anderem aus der E-Mail der [X.] vom 17.01.2019 ([X.] 65 [X.]) ergibt. Für die Datenübermittlung innerhalb des Konzerns bestand auch grundsätzlich ein berechtigtes Interesse. Eine Weitergabe der Daten an externe Dritte außerhalb des Konzerns ist nicht erfolgt. Es handelte sich um eine einmalige Datenübermittlung. Es ist nicht erkennbar, dass aus ihr konkrete nachteilige Folgen materieller Art für die Klägerin resultieren. Die Berufungskammer hat allerdings auch berücksichtigt, dass die wenn auch nur einmalige Datenübermittlung dauerhafte, auch nachteilige Auswirkungen für die Klägerin hätte haben können (s.o.). Dass derartige Auswirkungen zukünftig nicht eintreten werden, beruht nicht auf einem Verhalten der [X.], sondern auf dem Umstand, dass die [X.] gerichtlich zur Löschung der Daten verurteilt wurde.

73

(5) Die Berufungskammer hat beachtet, dass die [X.] im Hinblick auf die im [X.] an die Übermittlung erfolgte Speicherung und Nutzung der personenbezogenen Daten der Klägerin durch das rechtskräftige Urteil des [X.] vom [X.] zur Zahlung eines Schadensersatzes gemäß Art. 82 Abs. 1 DSG[X.] iHv. 4000,00 € verurteilt worden ist. Im vorliegenden Verfahren war allein der immaterielle Schaden der Klägerin zu bemessen, der durch die Datenübermittlung an die [X.] entstanden ist.

74

(6) Unter Berücksichtigung der vorgenannten Aspekte und aller weiteren Umstände des vorliegenden Streitfalls, welche die Berufungskammer bei ihrer Entscheidung ebenfalls berücksichtigt hat, hält sie einen Schadensersatz iHv. 2.000,00 € für angemessen. Nach Überzeugung der Berufungskammer erhält die Klägerin damit einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden, der gleichzeitig gegenüber der [X.] eine abschreckende Wirkung entfaltet.

75

g) Die [X.] haftet allein und nicht gemeinsam mit der [X.] als Gesamtschuldner. Eine gesamtschuldnerische Haftung kommt nach Art. 82 Abs. 4 DSG[X.] nur bei der Beteiligung mehrerer Verantwortlicher an „derselben Verarbeitung“ in Betracht. Hier liegen mit der Übermittlung der Daten durch die [X.] einerseits und der Speicherung und Nutzung der Daten durch die [X.] andererseits zwei unterschiedliche Verarbeitungsvorgänge iSd. Art. 4 Nr. 2 DSG[X.] mit jeweils unterschiedlichen Verantwortlichen vor. Das in zweiter Instanz durch das [X.] entschiedene Verfahren der Klägerin gegen die [X.] betraf nicht den hier streitgegenständlichen Verarbeitungsvorgang, sondern ausschließlich die Speicherung und Nutzung der Daten durch die [X.].

76

B. Die [X.]berufung der Klägerin ist zulässig, aber unbegründet.

77

I. Nach §524 Abs.2 [X.] iVm. §64 Abs.6 [X.] ArbGG ist eine [X.]berufung bis zum Ablauf der dem Berufungsbeklagten gesetzten Frist zur Berufungserwiderung zulässig. Im arbeitsgerichtlichen Verfahren wird zwar -anders als nach §521 Abs.2 [X.] ZPO- dem Berufungsbeklagten vom Gericht keine Frist zur Berufungserwiderung „gesetzt“; vielmehr gilt für die [X.] die durch §66 Abs.1 [X.] ArbGG bestimmte gesetzliche Frist. Gleichwohl ist §524 Abs.2 [X.] gemäß §64 Abs.6 [X.] ArbGG entsprechend anwendbar. Eine [X.]berufung muss innerhalb eines Monats nach Zustellung der Berufungsbegründung -bei Verlängerung der [X.]sfrist nach §66 Abs.1 [X.] innerhalb der dann geltenden Frist eingehen. Nach §524 Abs.3 [X.] ZPO muss die [X.]berufung in der [X.]schrift begründet werden ([X.] 25.03.2021– 8 [X.]/20– Rn. 52).

78

II. Diese Voraussetzungen sind im Streitfall erfüllt. Die Klägerin hatte bereits mit einem am 07.10.2020 beim [X.] eingegangenen Schriftsatz [X.]berufung eingelegt und diese innerhalb der bis zum 30.12.2020 verlängerten [X.]sfrist auch ordnungsgemäß begründet.

79

III. Die [X.]berufung der Klägerin ist jedoch nicht begründet. Unter Berücksichtigung sämtlicher Umstände des vorliegenden Streitfalls hält die Berufungskammer wie dargelegt einen Schadensersatz iHv. 2.000,00 € für angemessen.

80

C. Die Kostenentscheidung beruht auf § 97 Abs. 1, 92 Abs. 1 ZPO. Aus den jeweiligen [X.] der Parteien in der Berufungsinstanz ergibt sich die aus dem Tenor ersichtliche Kostenquote. Als Streitwert für den Unterlassungsantrag hat die Berufungskammer dabei entsprechend der Festsetzung durch das Arbeitsgericht einen Betrag in Höhe von 5.000,00 € in Ansatz gebracht.

81

Die Revision war gemäß § 72 Abs. 2 Nr. 1 ArbGG zuzulassen. Die entscheidungserheblichen Rechtsfragen zur Auslegung und Anwendung der DSG[X.] haben grundsätzliche Bedeutung.

82

Gegen dieses Urteil kann von beiden Parteien

83

REVISION

84

eingelegt werden.

beim
85

Bundesarbeitsgericht

86

[X.]

87

99084 Erfurt

88

Fax: 0361-2636 2000

89

eingelegt werden.

90

Die Notfrist beginnt mit der Zustellung des in vollständiger Form abgefassten Urteils, spätestens mit Ablauf von fünf Monaten nach der Verkündung.

91

Die Revisionsschrift muss von einem Bevollmächtigten eingelegt werden. Als Bevollmächtigte sind nur zugelassen:

92

1. Rechtsanwälte,

  • 93

    2. [X.] und Vereinigungen von Arbeitgebern sowie Zusammenschlüsse solcher Verbände für ihre Mitglieder oder für andere Verbände oder Zusammenschlüsse mit vergleichbarer Ausrichtung und deren Mitglieder,

  • 94

    3. Juristische Personen, deren Anteile sämtlich im wirtschaftlichen Eigentum einer der in Nummer 2 bezeichneten Organisationen stehen, wenn die juristische Person ausschließlich die Rechtsberatung und Prozessvertretung dieser Organisation und ihrer Mitglieder oder anderer Verbände oder Zusammenschlüsse mit vergleichbarer Ausrichtung und deren Mitglieder entsprechend deren Satzung durchführt, und wenn die [X.] haftet.

  • 95

    In den Fällen der Ziffern 2 und 3 müssen die Personen, die die Revisionsschrift unterzeichnen, die Befähigung zum Richteramt haben.

    96

    Eine Partei, die als Bevollmächtigter zugelassen ist, kann sich selbst vertreten.

    97

    Für Rechtsanwälte, Behörden und juristische Personen des öffentlichen Rechts einschließlich der von ihr zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse besteht ab dem 01.01.2022 gemäß §§ 46g, 72 Abs. 6 ArbGG grundsätzlich die Pflicht, die Revision ausschließlich als elektronisches Dokument einzureichen. Gleiches gilt für vertretungsberechtigte Personen, für die ein sicherer Übermittlungsweg nach §46c Abs. 4 Satz 1 Nr. 2 ArbGG zur Verfügung steht.

    98

    Das elektronische Dokument muss für die Bearbeitung durch das Gericht geeignet und mit einer qualifizierten elektronischen Signatur der verantwortenden Person versehen sein oder von der verantwortenden Person signiert und auf einem sicheren Übermittlungsweg gemäß §46cArbGG nach näherer Maßgabe der Verordnung über die technischen Rahmenbedingungen des elektronischen Rechtsverkehrs und über das besondere elektronische Behördenpostfach ([X.]) v. 24. November 2017 in der jeweils geltenden Fassung eingereicht werden.

    99

    * eine Notfrist ist unabänderlich und kann nicht verlängert werden.

    Zur besseren Lesbarkeit wurden ggf. Tippfehler entfernt oder Formatierungen angepasst.

    Meta

    17 Sa 1185/20

    14.12.2021

    LAG Hamm 17. Kammer

    Urteil

    Sachgebiet: Sa

    Zitier­vorschlag: LAG Hamm, Urteil vom 14.12.2021, Az. 17 Sa 1185/20 (REWIS RS 2021, 355)

    Papier­fundstellen: REWIS RS 2021, 355

    Auf dem Handy öffnen Auf Mobilgerät öffnen.


    Die hier dargestellten Entscheidungen sind möglicherweise nicht rechtskräftig oder wurden bereits in höheren Instanzen abgeändert.

    Ähnliche Entscheidungen

    2 B 49/12 (Bundesverwaltungsgericht)

    Zurruhesetzungsverfahren; Feststellung der Dienstunfähigkeit; Inhalt des amtsärztlichen Gutachtens


    33 O 376/22 (Landgericht Köln)


    33 O 376/22 (Landgericht Köln)


    1 ABR 53/17 (Bundesarbeitsgericht)

    Einblicksrecht des Betriebsrats in Bruttoentgeltlisten


    6 U 58/23 (Oberlandesgericht Köln)


    Literatur & Presse BETA

    Diese Funktion steht nur angemeldeten Nutzern zur Verfügung.

    Anmelden
    Zitieren mit Quelle:
    x

    Schnellsuche

    Suchen Sie z.B.: "13 BGB" oder "I ZR 228/19". Die Suche ist auf schnelles Navigieren optimiert. Erstes Ergebnis mit Enter aufrufen.
    Für die Volltextsuche in Urteilen klicken Sie bitte hier.