LAG Hamm, Urteil vom 14.12.2021, Az. 17 Sa 1185/20

A. Die Berufung der [X.] ist zulässig, aber unbegründet.

I. Die Klage ist zulässig.

1. Der Klageantrag zu 1) ist zulässig, insbesondere hinreichend bestimmt iSd.§ 253 Abs. 2 Nr. 2 ZPO.

a) Ein Unterlassungsantrag muss eindeutig erkennen lassen, was vom Schuldner verlangt wird. Soll der Schuldner zur zukünftigen Unterlassung einzelner Handlungen verpflichtet werden, müssen diese so genau bezeichnet sein, dass kein Zweifel besteht, welches Verhalten im Einzelnen betroffen ist. Für den Schuldner muss aufgrund des [X.] erkennbar sein, welche Handlungen oder Äußerungen er künftig zu unterlassen hat, um sich rechtmäßig verhalten zu können. Die Prüfung, welche Maßnahmen der Schuldner vorzunehmen oder zu unterlassen hat, darf grundsätzlich nicht in das Vollstreckungsverfahren verlagert werden ([X.] 22.01.2020– 7 ABR 18/18– Rn. 14).

b) Der Klageantrag zu 1) genügt diesen Anforderungen. Er enthält die einzelnen Daten, deren Übermittlung der [X.] untersagt werden soll. Darüber hinaus lässt er auch die Bedingungen erkennen, unter denen die grundsätzliche [X.] nicht bestehen soll, nämlich bei Einwilligung der Klägerin sowie im Falle der Übermittlung der Daten in anonymisierter bzw. pseudonymisierter Form. Die Anforderungen an eine Einwilligung und eine Pseudonymisierung ergeben sich aus der [X.] ([X.]) 2016/679(Datenschutz-Grundverordnung; fortan: DSG[X.]), insbesondere aus Art. 4 Nr. 5 und 11 DSG[X.]. Auch der Begriff der Anonymisierung ist hinreichend konkret. Er beinhaltet das Verändern personenbezogener Daten derart, dass die hinter den Angaben stehende betroffene Person nicht bzw. nicht mehr identifiziert werden kann (vgl. Erwägungsgrund 26 Satz 5 und 6 DSG[X.]).

2. Auch der Klageantrag zu 2) ist zulässig und insbesondere hinreichend bestimmt iSd.§253 Abs.2 Nr.2 ZPO. Wenn dem Gericht bei der Bestimmung der Höhe der Entschädigung ein Ermessenspielraum eingeräumt ist, ist eine Bezifferung des [X.] nicht notwendig ([X.] 27.08.2020 – 8 [X.]/19–Rn. 16[X.].). Erforderlich ist allein, dass der Kläger Tatsachen, die das Gericht bei der Bestimmung des Betrags heranziehen soll, benennt und die Größenordnung der geltend gemachten Forderung angibt ([X.] 14.11.2013– 8 AZR 997/12– Rn. 16). Diesen Anforderungen genügt die Antragstellung der Klägerin. Sie hat mit 10.000,00 € eine Größenordnung der Forderung angegeben und in der Begründung vorgetragen, auf welche Tatsachen bei der Bemessung der Höhe des Schadensersatzes abzustellen ist.

II. Die Klage ist in dem vom Arbeitsgericht ausgeurteilten Umfang auch begründet.

1. Die Klägerin hat gegen die [X.] einen Anspruch auf Unterlassung der Übermittlung der streitgegenständlichen Daten an die [X.]. Der Anspruch folgt aus § 1004 Abs. 1 BGB, § 823 Abs. 2 Satz 1 BGB iVm. Art. 5 Abs. 1 Buchstabe a Var. 1, Art. 6 Abs. 1 DSG[X.].

a) Nach allgemeinen Grundsätzen kann in entsprechender Anwendung des §1004 Abs.1 BGB die Unterlassung objektiv rechtswidriger Eingriffe in geschützte Rechtsgüter im Sinne des §823 Abs.2 [X.] verlangt werden. Demnach ist derjenige, der gegen ein den Schutz eines anderen bezweckendes Gesetz im Sinne des §823 Abs.2 [X.] verstößt, dem anderen entsprechend §1004 Abs.1 BGB zur Unterlassung verpflichtet. Ist nach dem Inhalt des Gesetzes ein Verstoß gegen dieses auch ohne Verschulden möglich, so tritt die [X.] - anders als die Ersatzpflicht (§823 Abs.2 [X.]) - auch ohne ein Verschulden des Verletzers ein ([X.] 17.07.2008– [X.]/05– Rn. 13;Grüneberg/Sprau BGB 81. Aufl. Einf. v. § 823 Rn. 27ff.).

b) Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] sind Schutzgesetze iSd. § 823 Abs. 2 Satz 1 BGB.

[X.]) Eine Rechtsnorm ist ein Schutzgesetz iSd. § 823 Abs. 2 BGB, wenn sie zumindest auch dazu dienen soll, den Einzelnen oder einzelne Personenkreise gegen die Verletzung eines bestimmten Rechtsguts zu schützen. Dafür kommt es nicht auf die Wirkung, sondern auf Inhalt und Zweck des Gesetzes sowie darauf an, ob der Gesetzgeber bei Erlass des Gesetzes gerade einen Rechtsschutz, wie er wegen der behaupteten Verletzung in Anspruch genommen wird, zugunsten von Einzelpersonen oder bestimmten Personenkreisen gewollt oder doch [X.] hat. Es genügt, dass die Norm auch das Interesse des Einzelnen schützen soll, mag sie auch in erster Linie dasjenige der Allgemeinheit im Auge haben. Nicht ausreichend ist aber, dass der Individualschutz durch Befolgung der Norm nur als ihr Reflex objektiv erreicht wird; er muss vielmehr im Aufgabenbereich der Norm liegen ([X.] 25.05.2020–VI ZR 252/19 - Rn. 73 [X.]).

[X.]) Gemäß Art. 5 Abs. 1 Buchstabe a Var. 1 DSG[X.] müssenpersonenbezogene Daten auf rechtmäßige Weise verarbeitet werden. Gemäß Art. 6 Abs. 1 DSG[X.] ist die Verarbeitung nur rechtmäßig, wenn mindestens eine der in den Buchstaben a bis f aufgeführten Bedingungen erfüllt ist. Die zitierten Bestimmungen dienen dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (vgl. Art. 1 Abs. 1 DSG[X.]). Der in ihnen zum Ausdruck kommende Grundsatz der Rechtmäßigkeit der Verarbeitung personenbezogener Daten schützt gemeinsam mit den anderen in Art. 5 DSG[X.] niedergelegten Grundsätzen die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten (vgl. Art. 1 Abs. 2 DSG[X.]).Dass dieser Schutz im Aufgabenbereich der Normen liegt, wird auch aus den Erwägungsgründen (fortan: [X.]) der DSG[X.] deutlich: Gemäß [X.] 2 DSG[X.] sollen durch die Grundsätze zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten - zu diesen gehört nach [X.] 39 Satz 1 DSG[X.] auch der hier maßgebliche Grundsatz der Rechtmäßigkeit der Verarbeitung - gewährleistet werden, dass ihre Grundrechte und Grundfreiheiten und insbesondere ihr Recht auf Schutz personenbezogener Daten ungeachtet ihrer St[X.]tsangehörigkeit oder ihres Aufenthaltsorts gewahrt bleiben. Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] sind daher als Schutzgesetze iSd. § 823 Abs. 2 Satz 1 BGB einzuordnen (im Ergebnis ebenso [X.] in [X.]/[X.] DSG[X.] 3. Aufl. Art. 6 Rn. 2; zur Einordnung von Regelungen des BDSG als Schutzgesetze vgl. [X.] 24.07.2018– VI ZR 330/17– Rn. 30; 27.02.2018– VI ZR 489/16– Rn. 42).

c) Der Anwendungsbereich der DSG[X.] ist eröffnet (Art. 2 DSG[X.]). Die von der [X.] angefragten Informationen über die Klägerin stellen personenbezogene Daten iSd. Art. 4 Nr. 1 DSG[X.] dar. Durch die Übermittlung an die [X.] hat die [X.] diese Daten iSv. Art. 4 Nr. 2 DSG[X.] verarbeitet. Es liegt auch eine zumindest teilweise automatisierte Verarbeitung vor, weil die Daten per E-Mail übermittelt wurden [X.] in [X.]/[X.] DSG[X.] 3. Aufl. Art. 2 Rn. 5). Zudem ist davon auszugehen, dass die [X.] die übermittelten Daten zur [X.] in einem Dateisystem iSd. Art. 4 Nr. 6 DSG[X.] gespeichert hat. Ein Ausnahmetatbestand nach Art. 2 Abs. 2 DSG[X.] liegt im Streitfall nicht vor.

d) Die [X.] ist im Hinblick auf die streitgegenständliche Datenübermittlung „Verantwortlicher“ iSd. Art. 4 Nr. 7 DSG[X.], weil ihr die Entscheidungsgewalt über die Daten oblag und sie über das Ob und den Umfang der Datenübermittlung entschied (vgl [X.] 25.02.2021– 17 Sa 37/20– Rn. 45; [X.]/[X.] 4. Aufl. Art. 4 DSG[X.] Rn. 12; [X.] in [X.]/[X.] DSG[X.] 3. Aufl. Art. 4 Nr. 7 Rn. 13; [X.]/[X.] in [X.]/[X.], Recht der elektronischen Medien 4. Aufl. Art. 4 DSG[X.] Rn. 18). Die [X.] war damit gemäß Art. 5 Abs. 2 DSG[X.] für die Einhaltung von Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] verantwortlich.

e) Es liegt ein Verstoß gegen Art. 5 Abs. 1 Buchstabe a Var. 1 DSG[X.] („Grundsatz der Rechtmäßigkeit der Verarbeitung“) vor. Keiner der in Art. 6 Abs. 1 Buchstabe a bis f genannten Tatbestände ist im Streitfall erfüllt.

[X.]) Eine Einwilligung der Klägerin iSv. Art. 6 Abs. 1 Buchstabe a DSG[X.] liegt nicht vor. Auch die Tatbestände in Art. 6 Abs. 1 Buchstabe c, d und e kommen hier als Rechtsgrundlage erkennbar nicht in Betracht.

[X.]) Die [X.] kann die Verarbeitung auch nicht auf § 26 BDSG stützen, der als speziellere Vorschrift Art. 6 Abs. 1 Buchstabe b DSG[X.] im [X.] verdrängt.

(1) § 26 BDSGstellt eine spezifischere Vorschrift iSv.Art.88DSG[X.]dar, welche ihrerseits den Erlaubnistatbestand [X.]. 1Buchstabe b DSG[X.] im [X.] konkretisiert. [X.] §26BDSG in seinem Anwendungsbereich die Regelung [X.]. 1Buchstabe b DSG[X.] ([X.] 25.02.2021– 17 Sa 37/20– Rn. 74; [X.]/[X.] 22. Aufl. § 26 BDSG Rn. 4f. [X.]; [X.]/[X.] Arbeitsrecht Kommentar 9. Aufl. [X.]. DSG[X.] Rn. 64; [X.]/[X.] in: [X.]/[X.] Art.6 DSG[X.] Rn. 49f.). Demgegenüber bleiben die übrigen Tatbestände desArt.6Abs. 1 DSG[X.] weiterhin anwendbar ([X.]/[X.] 22. Aufl. § 26 BDSG Rn. 4f.; [X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 101; Gräber/[X.] in: [X.]/[X.] DSG[X.] 3. Aufl. § 26 BDSG Rn. 10).

(2) Die Verarbeitung ist nicht nach § 26 Abs. 1 BDSG gerechtfertigt.

(a) Nach dieser Vorschrift dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Für die Durchführung des Arbeitsverhältnisses ist eine Verarbeitung von personenbezogenen Daten danach erforderlich, wenn und soweit der Arbeitgeber sie benötigt, um die Pflichten zu erfüllen und die Rechte geltend machen zu können, welche im Hinblick auf das Arbeitsverhältnis in gesetzlichen Vorschriften, [X.] und Individualvereinbarungen mit dem Arbeitnehmer geregelt sind (vgl. [X.]/[X.] Arbeitsrecht Kommentar 9. Aufl. Art.88 DSG[X.] Rn. 29; [X.]/[X.], [X.]. § 26 BDSG Rn. 114).

(b) Die streitgegenständliche Datenübermittlung war zur Durchführung des Arbeitsverhältnisses mit der Klägerin nicht erforderlich. Die [X.] ist keine Personalabteilung oder personalverwaltende Stelle der [X.]. Sämtliche das Arbeitsverhältnis der Klägerin betreffenden [X.] und Personalverwaltungsvorgänge werden ohne Mitwirkung der [X.] vorgenommen. Das Arbeitsverhältnis weist auch keinen anderweitigen Konzernbezug auf (vgl. hierzu allg. [X.] in: [X.]/Heckmann BDSG 13. Aufl. § 26 Rn. 92; [X.]/[X.], [X.]. § 26 BDSG Rn. 183; [X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 104). Insbesondere ist ein konzernweiter Einsatz der Klägerin nicht vorgesehen; die [X.] in § 1 Abs. 5 des Arbeitsvertrags beschränkt den Einsatz auf andere Orte „innerhalb des Unternehmens“. Auch die [X.] hat nicht behauptet, sie sei zur Durchführung des Arbeitsverhältnisses mit der Klägerin auf die Übermittlung der Daten angewiesen. Sie hat vielmehr geltend gemacht, eine Übermittlung der Daten an die [X.] sei für interne Verwaltungszwecke, nämlich zur Schaffung einer einheitlichen Vergütungsstruktur im Konzern, erforderlich.

(3) Die Verarbeitung ist auch nicht nach § 26 Abs. 4 BDSG gerechtfertigt. Zwar existiert die [X.]. Die hier im Streit stehende Datenübermittlung erfolgte jedoch nicht unter Nutzung der Software, auf die sich die [X.] bezieht, sondern per E-Mail.

[X.]) Die Datenverarbeitung ist auch nicht nach Art. 6 Abs. 1 Buchstabe f DSG[X.] gerechtfertigt.

[X.]) Nach dieser Bestimmung ist die Verarbeitung personenbezogener Daten rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines [X.] erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Ob die Voraussetzungen der Norm erfüllt sind, ist anhand einer dreistufigen Prüfung zu ermitteln ([X.] 25.02.2021– 17 Sa 37/20– Rn. 75; [X.]/[X.] in: [X.]/[X.] Art.6 DSG[X.] Rn. 146).

(1) Zunächst ist zu klären, ob zum Zeitpunkt der Verarbeitung ein berechtigtes Interesse des Verantwortlichen oder eines [X.], dem die Daten übermittelt werden, vorliegt. Zu den berechtigten Interessen des Verantwortlichen oder [X.] zählen neben rechtlichen auch tatsächliche, wirtschaftliche oder ideelle Interessen, nicht jedoch bloße Allgemeininteressen ([X.]/[X.] in: [X.]/[X.], Art. 6 DS-G[X.] Rn. 146 f.). Die in den [X.] 47–50 der DSG[X.] genannten Beispiele berechtigter Interessen wie unter anderem die Verarbeitung im Rahmen einer konzerninternen Übermittlung ([X.] 48 Satz 1 DSG[X.]) zeigen, dass vielfältige und unterschiedlich bedeutsame berechtigte Interessen berücksichtigungsfähig sind ([X.] 12.07.2018–III ZR 183/17 - Rn. 76).

(2) Sind die Interessen, die mit einer Datenverarbeitung verfolgt werden, grundsätzlich als berechtigte Interessen einzustufen, ist in einem weiteren Schrittzu klären, ob die konkrete Datenverarbeitung zur Wahrung dieser berechtigten Interessen auch erforderlichist. Der [X.] hat im Hinblick auf das Kriterium der Erforderlichkeit darauf hingewiesen, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen(vgl. zur Vorgängerregelung in Art. 7 Buchst. f der [X.]/[X.] [X.]11.12.2019 –[X.]/18 –[X.] –[X.]/16 – [X.]). Das Gericht hat im Einzelfall zu prüfen, ob das berechtigte Interesse des Verantwortlichen nicht mit anderen Mitteln, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, vernünftigerweise ebenso wirksam erreicht werden kann ([X.]11.12.2019 –[X.]/18 – [X.]). Entsprechende Anhaltspunkte für das Kriterium der Erforderlichkeit finden sich auch in [X.] 39 DSG[X.]: Nach dessen Satz 7 soll die Verarbeitung der personenbezogen Daten auf das für sie notwendige Maß beschränkt sein. Satz 9 bestimmt, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann.Die Datenverarbeitung ist daher erforderlich, wenn kein milderes, gleich effektives Mittel zur Verfügung steht, um die Interessen des Verantwortlichen zu erreichen ([X.] 12.7.2018–III ZR 183/17 - Rn. 82; ebenso zum Begriff der Erforderlichkeit in Art. 6 Abs. 1 Buchstabe c und e DSG[X.] [X.] 26.08.2021 – [X.] (A) - Rn. 31).

(3) Schließlich ist zu prüfen, ob die Interessen, Grundrechte oder Grundfreiheiten des Betroffenen, die den Schutz personenbezogener Daten erfordern, die berechtigten Interessen des Verantwortlichen oder eines [X.] überwiegen.

(a) Der Maßstab für die vorzunehmende Abwägung folgt aus den in Art. 1 und Art. 5 DSG[X.] genannten Grundsätzen und Leitprinzipien unter Berücksichtigung der Wertmaßstäbe der Grundrechtecharta und des übrigen Primärrechts. Dabei sind unter anderem die relevanten Grundrechtsbezüge, die Eingriffsintensität, die Art der verarbeiteten Daten, die Art der Betroffenen, mögliche Aufgaben oder Pflichten und die Zwecke der Datenverarbeitung zu berücksichtigen ([X.] 12.07.2018–III ZR 183/17 - Rn. 86 [X.].). Dabei geht es im [X.] um einen Ausgleich zwischen den [X.] des Betroffenen einerseits und den Verwendungsinteressen der Verantwortlichen bzw. [X.] andererseits im konkreten Einzelfall ([X.] 12.07.2018–III ZR 183/17 - [X.]O). Es sind Art, Inhalt und Aussagekraft der betroffenen Daten an dem mit der Datenverarbeitung verfolgten Zweck zu messen und gegenüberzustellen ([X.] 12.07.2018–III ZR 183/17 - [X.]O).

(b) Im Rahmen der Abwägung sind auch die Erwägungsgründe zur Güterabwägung nach der DSG[X.] zu berücksichtigen ([X.] 12.07.2018–III ZR 183/17 - Rn. 87 [X.]; [X.]/[X.], Art. 6 DS-G[X.] Rn. 37). Bedeutung hat hierbei insbesondere [X.] 47 Satz 1 DSG[X.], der als wichtigen Gesichtspunkt der Interessenabwägung „die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen“ nennt. Insoweit ist auch zu berücksichtigen, ob die „betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird“ ([X.] 47 Satz 3 DSG[X.]). Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen ([X.] 47 Satz 4 DSG[X.]). Maßgebend ist ein objektivierter Maßstab, d.h. welche Erwartungen ein vernünftiger Dritter in der Person des Betroffenen hätte ([X.] 12.07.2018–III ZR 183/17 - [X.]O [X.]).

Nach [X.] 48 DSG[X.] können Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind, ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln. Ob ein solches berechtigtes Interesse an der Übermittlung im Konzern vorliegt, ist eine Frage des Einzelfalls ([X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 196; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 26).

(4) Die Frage der Zulässigkeit einer Datenverarbeitung aufgrund von berechtigten Interessen des Verantwortlichen oder eines [X.] ist von den konkreten Umständen des betroffenen Einzelfalls abhängig und dementsprechend auch einzelfallbezogen zu ermitteln und zu beurteilen (vgl. zur Vorgängerregelung in Art. 7 Buchstabe f der [X.]/[X.] [X.] 19.10.2016–C-582/14– Rn- 62; [X.] 12.07.2018–III ZR 183/17 – Rn. 75).

[X.]) Die Voraussetzungen des Art. 6 Abs. 1 Buchstabe f DSG[X.] liegen im Streitfall nicht vor.

(1) Es besteht allerdings grundsätzlich ein berechtigtes Interesse der [X.], der [X.] und der [X.] an der Übermittlung der Gehaltsdaten der Klägerin. Diese Verarbeitung soll einen konzernweiten Vergleich der Gehälter und sonstigen Entgeltbestandteile der im Konzern beschäftigten [X.] ermöglichen. Das damit verbundene Ziel, die Vergütungspraxis von außertariflichen Angestellten in vergleichbaren Positionen konzernweit einheitlich und widerspruchsfrei zu gestalten, ist ein berechtigtes wirtschaftliches Interesse iSd. Vorschrift. Die konzerninterne Datenübermittlung für solche internen Verwaltungszwecke wird auch durch [X.] 48 Satz 1 DSG[X.] grundsätzlich anerkannt.

Dieses berechtigte Interesse hat zum einen die [X.] als „Dritter“ iSd. Vorschrift, weil sie die übermittelten Daten unmittelbar für die genannten Ziele nutzen kann. Daneben besteht auch ein eigenes berechtigtes Interesse der [X.] an der Verarbeitung. Den bezweckten [X.] kann sie zwar nicht unmittelbar selbst nutzen, weil sie nach eigenem Vortrag keinen Zugriff auf die Daten hat. Die Verarbeitung kommt ihr aber jedenfalls mittelbar zugute, indem die Erkenntnisse bei zukünftigen Vertragsabschlüssen und - änderungen, die gemäß § 7 Abs. 2 Buchstabe e GO-[X.] jeweils der Zustimmung der [X.] bedürfen, zu ihren Gunsten Berücksichtigung finden. Ein durch Art. 6 Abs. 1 Buchstabe f DSG[X.] geschütztes Interesse an der Schaffung konzernweit einheitlicher Vergütungsstrukturen hat schließlich auch die [X.] als Konzernobergesellschaft.

(2) Die Übermittlung der Daten war in ihrer konkreten Ausgestaltung jedoch nicht erforderlich. Die Gehaltsdaten der Klägerin hätten in pseudonymisierter Form übermittelt werden können.

(a) Der Zweck der Verarbeitung bestand nach dem Vorbringen der [X.] darin, einen Überblick über das aktuelle [X.] der [X.] der Verbundkliniken zu erhalten, um zukünftig homogene Arbeitsbedingungen für diese Personengruppe zu schaffen und die Gehälter der [X.] bei zukünftigen Vertragsabschlüssen bzw. -änderungen an vergleichbare Positionen anzupassen. Zur Erreichung dieses Zwecks war lediglich die Übermittlung der Gehaltsdaten (Jahresbruttogehalt, Zielprämie und sonstige Leistungen), der Funktion des jeweiligen Beschäftigten und seiner Organisationseinheit erforderlich. Die weiteren von der [X.] übermittelten Daten der Klägerin (Name, Vorname, Personalnummer, Geburtsdatum, Privatadresse, Konzerngesellschaft, bei der sie tätig ist, Krankenhaus, in dem sie tätig ist, Arbeitsvertrag) sind für die Vergleichsdatenbildung hingegen nicht erforderlich. Denn auch ohne diese Daten könnte die [X.] das [X.] vergleichbarer [X.] in den Verbundkliniken feststellen und in der Zukunft für homogene Arbeitsbedingungen sorgen. Dass die [X.] mehr Daten übermittelte, als zur Erreichung des Zwecks erforderlich waren, belegt auch der Umstand, dass die [X.] nach dem Vortrag der [X.] unmittelbar nach Erhalt der Daten einige dieser Daten wieder löschte und auf den Arbeitsverträgen schwärzte. Soweit die [X.] zur Rechtfertigung dieses Vorgehens vorbringt, es habe verhindert werden sollen, dass „Daten durcheinander geraten“ und „falsche Zuordnungen“ erfolgen, ist dies für die Berufungskammer nicht nachvollziehbar. Eine ordnungsgemäße Nutzung und Einordnung der Daten für den angestrebten Zweck wäre ohne weiteres auch dann möglich gewesen, wenn nur die notwendigen, oben aufgeführten Daten übermittelt worden wären. In diesem Fall hätten die Gehaltsdaten der Klägerin nicht ohne Hinzuziehung zusätzlicher Informationen zugeordnet werden können (vgl. zum Begriff der Pseudonomysierung [X.]Nr.5DS-G[X.]).

(b) Die [X.] hat eingewandt, dass eine derart eingeschränkte Datenübermittlung nicht zielführend sei. Da nur ein kleiner Personenkreis von der Datenverarbeitung betroffen sei und zum Teil in den einzelnen Unternehmen nur jeweils eine Person mit einem entsprechenden Tätigkeitsfeld arbeite, was auch auf die Klägerin zutreffe, könnten die Gehaltsdaten der Klägerin auch ohne Mitteilung des Namens und weiterer persönlicher Daten zugeordnet werden. Dieser Einwand greift nicht durch. Zum einen handelt es sich nicht um einen kleinen Personenkreis, sondern um 156 Mitarbeiter, davon 21 bei der [X.]. Für die Kammer ist zudem nicht nachvollziehbar, wie die Identität der Klägerin ohne weitere Informationen herausgefunden werden könnte, wenn lediglich ihre Gehaltsdaten, ihre Funktion und ihre Organisationseinheit mitgeteilt würden. Da keine weiteren Daten, insbesondere auch nicht die Konzerngesellschaft und das Krankenhaus, in dem die Klägerin beschäftigt ist, übermittelt werden müssen, handelte es sich, selbst wenn die Position der Klägerin in jeder Klinikgesellschaft nur einmal vorhanden wäre, um einen Kreis von dann immerhin sechs Personen. Aber selbst wenn eine Identifizierung der Klägerin auch bei einer Datenübermittlung in dem oben dargelegten, eingeschränkten Umfang noch (theoretisch) möglich wäre, wäre die Identifizierung jedenfalls erheblich erschwert, weil diese erst unter Zuhilfenahme anderer Informationsquellen durchgeführt werden könnte. Durch eine solche Pseudonymisierung würden die datenschutzrechtlichen Risiken für die Klägerin folglich gesenkt (vgl. [X.] 29 Satz 1 DSG[X.]). Zudem entspräche ein solches Vorgehen dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSG[X.]). Eine pseudonymisierte Übermittlung der Gehaltsdaten würde daher in jedem Fall weniger stark in die Grundrechte der Klägerin eingreifen, den von der [X.] erstrebten Zweck aber ebenso wirksam erreichen. Die Datenübermittlung in ihrer konkreten Ausgestaltung war daher nicht erforderlich.

(3) Zudem überwiegen im Streitfall die Interessen der Klägerin die Interessen der [X.] und der anderen Unternehmen ihrer Unternehmensgruppe.

(a) Auf Seiten der Klägerin ist das Grundrecht aus Art. 8 Abs. 1 der [X.] (fortan: [X.]) auf Schutz ihrer personenbezogenen Daten zu berücksichtigen, das auch in Art. 16 Abs. 1 des Vertrags über die Arbeitsweise der [X.] (fortan: A[X.]V) zum Ausdruck kommt. Dem Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten dient auch die DSG[X.] (vgl. § 1 Abs. 2 DSG[X.], [X.] 1 und 2 DSG[X.]). Die Bedeutung des durch Art. 8 [X.] gewährleisteten Grundrechts wird durch den [X.] hervorgehoben (vgl. [X.] 06.10.2015–C-362/14– Rn. 39 [X.]).

(b) Das berechtigte Interesse der [X.], der [X.] und der [X.] an einer Vergleichsdatenbildung zur Schaffung einer konzernweit einheitlichen Vergütungsstruktur betrifft ihre Wirtschafts- und Geschäftstätigkeit, die als Bestandteil der unternehmerischen Freiheit durch Art. 16 [X.] geschützt wird (vgl. ([X.]/[X.] 4. Aufl. Art. 16 [X.] Rn. 9). Dieses berechtigte Interesse könnte allerdings in gleicher Weise verwirklicht werden, wenn die Daten in geringerem Umfang und in pseudonymisierter Form verarbeitet worden wären. Stellt man Art und Umfang der übermittelten Daten dem mit der Datenverarbeitung verfolgten Zweck gegenüber, zeigt sich, dass die Verarbeitung in ihrer durchgeführten Form nicht erforderlich war, sondern über das für den Zweck erforderliche Maß hinausging (s.o.).

(c) Die [X.] hat den Grundsatz der Transparenz (Art. 5 Abs. 1 Buchstabe a Var. 3 DSG[X.]) und die aus ihm folgenden Informationspflichten nicht beachtet. Sie ist ihrer Hinweispflicht aus Art. 13 Abs. 3 DSG[X.] nicht nachgekommen.

([X.]) Die Übermittlung der Daten an die [X.] stellt eine Zweckänderung iSd. Art. 13 Abs. 3 DSG[X.] dar. Zuvor wurden die Daten der Klägerin ausschließlich „für Zwecke des Beschäftigungsverhältnisses“ (§ 10 Abs. 3 Arbeitsvertrags) verarbeitet. Nun sollten die Daten für einen anderen Zweck, nämlich für die Erstellung einer konzernweiten [X.] über die Gehälter der [X.], genutzt werden.

([X.]) Zu den nach Art. 13 Abs. 3 DSG[X.] zu erteilenden Informationen gehört auch die Unterrichtung über das Bestehen eines Widerspruchsrechts gegen die Verarbeitung (Art. 13 Abs. 2 Buchstabe b DSG[X.]). Ein solches steht der betroffenen Person gemäß Art. 21 Abs. 1 DSG[X.] auch im Hinblick auf die Verarbeitung sie betreffender personenbezogener Daten aufgrund vonArt.6Abs.1Buchstabe f DSG[X.] zu. Die Unterrichtung nach Art. 13 Abs. 3 DSG[X.] hat bereits zu erfolgen, wenn der Verantwortliche eine Weiterverarbeitung für einen anderen Zweck „beabsichtigt“. Er muss die Informationen der betroffenen Person also vor der Weiterverarbeitung zu dem geänderten Zweck mitteilen. Die betroffene Person muss tatsächlich in der Lage sein, aufgrund der Informationen ggf. noch vor der Weiterverarbeitung Einwände zu erheben (Bäcker in: [X.]/[X.] DSG[X.] 3. Aufl. Art. 13 Rn. 78; [X.] in: [X.] DSG[X.] 2. Aufl. Art. 13 Rn. 36; [X.]/[X.] 4. Aufl. Art. 13 DSG[X.] Rn. 6). Die Verpflichtung nach Art. 13 Abs. 3 DSG[X.] trifft den Verantwortlichen, der die Daten erhoben hat und nun zu dem veränderten Zweck weiterverarbeiten will. Irrelevant ist, welche Verarbeitungsschritte der Verantwortliche durchführen will und in wessen Interesse die Zweckänderung liegt. Insbesondere entstehen die Informationspflichten nach Art. 13 Abs. 3 DSG[X.] auch, wenn der Verantwortliche beabsichtigt, die Daten an einen [X.] zu übermitteln, der die Daten anschließend zu einem anderen Zweck weiterverarbeiten soll (Bäcker in: [X.]/[X.] 3. Aufl. Art. 13 DSG[X.] Rn. 70).

([X.]) Im Streitfall war die [X.] als Verantwortliche verpflichtet, die Klägerin gemäß Art. 13 Abs. 3 DSG[X.] zu unterrichten; Ausnahmetatbestände (Art. 13 Abs. 4 DSG[X.], § 32 Abs. 1 BDSG) lagen offensichtlich nicht vor. Eine Information nach Art. 13 Abs. 3 DSG[X.] ist jedoch nicht erfolgt. Die Klägerin wurde durch die am 15.03.2019 um 09:30 Uhr versandte E-Mail des Personalleiters der [X.] [X.] ([X.] 26 [X.]) lediglich auf die Weiterleitung ihrer Daten an die [X.] hingewiesen, die bereits wenige Stunden später, nämlich um 16:01 Uhr ([X.] 176 [X.]) stattfand. Abgesehen davon, dass sich die Klägerin am 15.03.2019 im Urlaub befand und die E-Mail somit vor der Weiterverarbeitung gar nicht zur Kenntnis nehmen konnte, enthält die E-Mail auch keine der in Art. 13 Abs. 3 DSG[X.] vorgesehenen Informationen. Insbesondere wurde die Klägerin weder auf die Rechtsgrundlage der Verarbeitung (Art. 6 Abs. 1 Buchstabe f DSG[X.]) noch auf ihr Widerspruchsrecht hingewiesen. Aufgrund dieser verspäteten und inhaltlich unzureichenden Unterrichtung war die Klägerin nicht in der Lage, gegen die Verarbeitung Einwände zu erheben und ihre in der DSG[X.] vorgesehenen Rechte, insbesondere ihr Widerspruchsrecht aus Art. 21 Abs. 1 DSG[X.], geltend zu machen. Sogar nachdem die [X.] im Nachgang von der Klägerin mit Schreiben vom 08.04.2019 ([X.] 27f. [X.]) aufgefordert worden war, ihr Auskunft über Inhalt, Umfang und Empfänger der weitergegebenen Daten zu erteilen, hat die [X.] diese Auskünfte nicht erteilt. Die Klägerin erhielt als Reaktion lediglich ein Schreiben der [X.] ([X.] 29 ff. [X.]), aus dem zudem nicht sämtliche Daten der Klägerin ersichtlich waren, die an die [X.] übermittelt worden waren. Die [X.] hat ihre Informationspflichten somit nachhaltig nicht erfüllt und damit das - auch grundrechtlich geschützte (§ 8 Abs. 2 Satz 2 [X.]) - Recht der Klägerin auf Auskunft über die sie betreffenden Daten beeinträchtigt, obwohl sie in dem eingeholten Rechtsgutachten vom 05.03.2019 ausdrücklich auf die ihr obliegenden Informationspflichten nach der DSG[X.] hingewiesen worden war.

(d) Die Datenübermittlung entsprach in ihrer konkreten Ausgestaltung nicht dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSG[X.]). Wie oben dargelegt, übermittelte die [X.] der [X.] mehr Daten, als für die Erreichung des verfolgten Zwecks erforderlich waren. Bedenklich ist in diesem Zusammenhang auch der erstinstanzliche Vortrag der [X.], es sei davon auszugehen, dass ein Großteil der Daten bei der [X.] ohnehin schon vorhanden gewesen sei.

(e) Die Klägerin musste nicht mit einer Übermittlung ihrer Daten an die [X.] rechnen. Gemäß § 10 Abs. 3 des Arbeitsvertrags sollten ihre Daten nur für Zwecke des Arbeitsverhältnisses mit der [X.] genutzt werden. Die Klägerin war auch nicht gemäß Art. 13 Abs. 3 DSG[X.] über die beabsichtigte Weiterverarbeitung ihrer Daten zu einem geänderten Zweck unterrichtet worden. Bei dieser Sachlage konnte ein vernünftiger Dritter in der Person der Klägerin davon ausgehen, dass die Daten - wie auch in der Vergangenheit - ausschließlich für die Durchführung des Arbeitsverhältnisses genutzt werden. Er musste vernünftigerweise nicht mit einer Verarbeitung zu einem anderen Zweck rechnen, was ebenfalls für ein Überwiegen der Interessen der Klägerin spricht (vgl. [X.] 47 Satz 4 DSG[X.]).

(f) Bei den übermittelten Daten handelt es sich nicht um solche im Sinne des Art. 9 Abs. 1 DSG[X.]. Allerdings sind es Personaldaten, die der Arbeitgeber grundsätzlich vertraulich zu behandeln hat ([X.] 15.07.1987-5 [X.] - zu [X.] der Gründe). Mittlerweile ist die [X.] aufgrund der rechtskräftigen Entscheidung des [X.] vom [X.] zur Löschung der Daten verpflichtet. Im Zeitpunkt der Datenverarbeitung, der für die Durchführung der Interessenabwägung im Rahmen des Art. 6 Abs. 1 Buchstabe f DSG[X.] maßgeblich ist (vgl. auch [X.] 47 Satz 3 DSG[X.]), bestand jedoch die Möglichkeit, dass sich die Übermittlung zum Nachteil der Klägerin auswirken würde. Zwar war nicht davon auszugehen, dass die [X.] aufgrund der gewonnenen Vergleichsdaten bereits vereinbarte Gehälter zu reduzieren versuchen würde. Es war aber denkbar, dass die [X.] ihre nach § 7 Abs. 2 Buchstabe e GO-[X.] erforderliche Zustimmung zu Gehaltserhöhungen in bestimmten Fällen überhaupt nicht oder nur mit zeitlicher Verzögerung geben würde, weil der betroffene Arbeitnehmer bereits eine vergleichbar hohe Vergütung erhält. Abhängig von der Position der Klägerin im konzernweiten [X.] hätte auch sie von einer solchen Praxis betroffen sein können.

dd) Art. 6 Abs. 4 DSG[X.] kann die Datenübermittlung an die [X.] ebenfalls nicht rechtfertigen.

(1) Zwar liegt im Streitfall eine Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, vor (s.o.). Die Klägerin hat in diese jedoch nicht eingewilligt. Die Datenübermittlung beruht auch nicht auf einer Rechtsvorschrift zum Schutz der [X.] DSG[X.]genannten Ziele iSv. § 6 Abs. 4 DSG[X.]. Die Voraussetzungen des § 24 Abs. 1 BDSG liegen ebenfalls nicht vor.

(2) In einem solchen Fall berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem die in Art. 6 Abs. 4 Buchstabe a bis e DSG[X.] genannten Kriterien. Der [X.] dieser Regelung wird uneinheitlich beurteilt. Nach einer Ansicht ist sie alsein Erlaubnistatbestandfür eine zweckändernde Weiterverarbeitung personenbezogener Daten einzuordnen. Wenn die Voraussetzungen der Regelung vorliegen, bedarf es danach für die Zulässigkeit der Weiterverarbeitung keiner gesonderten RechtsgrundlageiSv.Art. 6 Abs. 1 DSG[X.].Ausreichend soll dann vielmehr gemäß [X.] 50 Satz 2 DSG[X.] der ursprüngliche Legitimationstatbestand für die Datenerhebung sein ([X.] in: [X.] DSG[X.] 2. Aufl. Art. 6 Rn. 210 [X.]; [X.]/[X.] 4. Aufl. Art. 6 DSG[X.] Rn. 14). Nach der Gegenansicht beschränkt sich die Funktion des Art. 6 Abs. 4 DSG[X.] auf einen [X.]. Danach bedarf auch eine nach Abs. 4 zweckkompatible Weiterverarbeitung von Daten darüber hinaus stets zusätzlich noch einer entsprechenden Rechtsgrundlage iSd. Art. 6 Abs. 1 DSG[X.] ([X.]/[X.] in: [X.]/[X.] DSG[X.] 3. Aufl. Art. 6 Rn. 182ff. [X.]; [X.]/[X.]/[X.]. Art. 6 DSG[X.] Rn. 96 ff.; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 48).

(a) Aus Sicht der Berufungskammer ist der letztgenannten Ansicht zu folgen. Der Einordnung von Art. 6 Abs. 4 DSG[X.] als selbständiger Erlaubnistatbestand steht der Wortlaut des Art. 6 Abs. 1 DSG[X.] entgegen, nach dem eine Verarbeitung „nur rechtmäßig“ ist, wenn einer der dort genannten Erlaubnistatbestände erfüllt ist; einen Vorbehalt hinsichtlichAbs.4machtArt.6Abs.1DSG[X.] gerade nicht ([X.]/[X.] in: [X.]/[X.] 3. Aufl. Art. 6 DSG[X.] Rn. 183). Ein entsprechendes Verständnis kommt auch in der [X.] und der [X.] Fassung von Art. 6 Abs. 1 DSG[X.] zum Ausdruck.

Art. 6 Abs. 4 DSG[X.] betrifft nicht den Grundsatz der Rechtmäßigkeit der Datenverarbeitung iSv. Art. 5 Abs. 1 Buchstabe a Var. 1 DSG[X.], sondern konkretisiert den Grundsatz der Zweckbindung iSd. Art. 5 Abs. 1 Buchstabe b DSG[X.] und regelt die Frage, ob der neue mit einer Datenverarbeitung verfolgte Zweck mit dem ursprünglich verfolgtenvereinbar ist ([X.]/[X.] in: [X.]/[X.] 3. Aufl. Art. 6 DSG[X.] Rn. 183; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 48). Die Grundsätze der Zweckbindung und der Rechtmäßigkeit sind jedoch unabhängig voneinander zu erfüllen ([X.]01.10.2015 –[X.]/14 – [X.][X.].).

(b) Selbst wenn man der Gegenansicht folgte, führte dies im Streitfall zu keinem anderen Ergebnis. Die [X.], die als Verantwortliche für die Rechtmäßigkeit der Datenverarbeitung verantwortlich ist und die Einhaltung dieses Grundsatzes nachweisen muss (Art. 5 Abs. 2 DSG[X.]), hat nicht behauptet, vor der Datenübermittlung den nach Art. 6 Abs. 4 vorgesehenen [X.] durchgeführt zu haben (vgl. zum Charakter der Regelung als Vorgabe für den Verantwortlichen auch [X.]/[X.]/[X.], [X.]. Art. 6 DSG[X.] Rn. 102; [X.] in: Ehmann/[X.] 2. Aufl. DSG[X.] Art. 6 Rn. 49). Zudem ist die Datenübermittlung an die [X.] unter Berücksichtigung der in Art. 6 Abs. 4 Buchstabe a bis e DSG[X.] genannten Kriterien mit dem ursprünglichen Erhebungszweck nicht kompatibel. Eine Pseudonymisierung wurde im Streitfall nicht vorgenommen, obwohl dies möglich gewesen wäre (Buchstabe e). Die Datenübermittlung hätte wie oben dargelegt nachteilige Auswirkungen für die Klägerin haben können (Buchstabe d). Die Daten wurden ausschließlich zum Zwecke der Begründung und Durchführung des Arbeitsverhältnisses erhoben. Die Klägerin musste nicht davon ausgehen, dass die Daten für andere Zwecke genutzt würden (Buchstabe b, vgl. auch [X.]/[X.] 4. Aufl. Art. 6 DSG[X.] Rn. 17). Es handelt sich um Personaldaten, die der Arbeitgeber grundsätzlich vertraulich zu behandeln hat (Buchstabe c). Der ursprüngliche Zweck für die Erhebung der Daten steht auch in keinem unmittelbaren Zusammenhang mit der Übermittlung der Daten zum Zwecke der Schaffung einer konzernweiten [X.] (Buchstabe a).

f) Es besteht auch die erforderliche [X.].

[X.]) Die Besorgnis weiterer Beeinträchtigungen (§1004 Abs.1 [X.]) ist Tatbestandsmerkmal des auf §§1004, 823 BGB gestützten Unterlassungsanspruchs und damit materielle Anspruchsvoraussetzung ([X.] 20.11.2012 [X.] [X.]). Künftige Beeinträchtigungen eines geschützten Rechts sind grundsätzlich zu besorgen, wenn sie auf einer Verletzungshandlung beruhen ([X.]) oder eine solche ernsthaft zu befürchten ist (Erstbegehungsgefahr). [X.] ist die objektive Gefahr der erneuten Begehung einer konkreten Verletzungshandlung. Sie ist nicht auf die identische Verletzungsform beschränkt, sondern umfasst alle im [X.] gleichartigen Verletzungsformen ([X.] 18.11.2014 [X.]). Für sie besteht eine tatsächliche Vermutung, wenn es bereits zu einer Verletzung des geschützten Rechts gekommen ist ([X.] 07.06.2017– 1 ABR 32/15– Rn. 24).

[X.]) Angesichts des Verstoßes der [X.] gegen Art. 5 Abs. 1 Buchstabe a Var. 1, Art. 6 Abs. 1 DSG[X.] besteht eine tatsächliche Vermutung für eine [X.], der die [X.] nicht entgegengetreten ist. Sie macht vielmehr weiterhin geltend, dass die streitgegenständliche Datenübermittlung rechtmäßig gewesen sei (vgl. hierzu [X.]/[X.] BGB Neubearb. 2019 §1004 Rn. 461).

2. Die Klägerin hat gegen die [X.] gemäß Art. 82 Abs. 1 DSG[X.] Anspruch auf Ersatz des immateriellen Schadens. Nach dieser Vorschrift hat jede Person, der wegen eines Verstoßes gegen die DSG[X.] ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Diese Voraussetzungen liegen vor.

a) Die Klägerin ist anspruchsberechtigt. Sie gehört zu den von Art.82 Abs.1 DSG[X.] geschützten betroffenen Personen iSv. [X.] Nr.1 DS-G[X.]. Die Verletzung von Bestimmungen der DSG[X.] geschah bei der Verarbeitung „ihrer“ personenbezogenen Daten (vgl. [X.] 26.08.2021– 8 AZR 253/20 ([X.]. 33; [X.] 22.10.2021– 16 Sa 761/20– Rn. 185).

b) Die [X.] ist anspruchsverpflichtet. Wie bereits oben ausgeführt, ist sie im Hinblick auf die durchgeführte Datenübermittlung „Verantwortlicher“ iSd. [X.] Nr.7 DSG[X.] und haftet daher für den Schaden, der durch eine nicht der DSG[X.] entsprechende Verarbeitung verursacht wurde.

c) Es liegt ein Verstoß gegen die DSG[X.] vor. Die personenbezogenen Daten der Klägerin wurden entgegen den Vorgaben von Art. 5 Abs. 1 Buchstabe a Var. 1 und Art. 6 Abs. 1 DSG[X.] nicht in rechtmäßiger Weise übermittelt. Auf die Ausführungen im Rahmen des Klageantrags zu 1) wird verwiesen.

d) Die [X.] ist für den Verstoß gegen die DSG[X.] auch verantwortlich iSv. Art. 82 Abs. 3 DSG[X.].

[X.]) Die Haftung des Verantwortlichen nach Art.82 Abs.1 DSG[X.] ist verschuldensunabhängig, dh. sie setzt nicht das Vorliegen oder den Nachweis eines Verschuldens voraus ([X.] 26.08.2021- 8 AZR 253/20 ([X.]. 39). Aus [X.] DSG[X.] ergibt sich nichts Abweichendes. Die darin enthaltene Bestimmung, wonach bei Nachweis der Nichtverantwortlichkeit für den Umstand, durch den der Schaden eingetreten ist, eine Befreiung von der Haftung eintritt, betrifft nach Auffassung des [X.] nicht das Verschulden im Sinne eines „[X.]“, sondern die Frage nach einer „Beteiligung“ bzw. nach der Urheberschaft im Sinne der Kausalität ([X.] 26.08.2021- 8 AZR 253/20 ([X.]. 40). Danach ist die [X.] hier verantwortlich, weil sie den Verstoß gegen die DSG[X.] durch die von ihr vorgenommene Datenübermittlung kausal verursacht hat.

[X.]) Selbst wenn man demgegenüber Verantwortlichkeit iSd. Art. 82 Abs. 3 DSG[X.] im Sinne von Verschulden verstünde (vgl. [X.] 22.10.2021– 16 Sa 761/20– Rn. 223; [X.]/[X.] 4. Aufl. Art. 82 DSG[X.] Rn. 17); führte dies zu keinem anderen Ergebnis. Denn das Verschulden der [X.] wird nach [X.] DSG[X.] vermutet. Die [X.] hat keinen entgegenstehenden Vortrag geleistet. Sie handelte zumindest fahrlässig, was unter näher ausgeführt wird.

e) Durch den Verstoß der [X.] gegen Bestimmungen der DSG[X.] ist der Klägerin ein immaterieller Schaden entstanden.

Der Rechtsanspruch auf immateriellen Schadenersatz nach Art.82 Abs.1 DSG[X.] erfordert über eine Verletzung der DSG[X.] hinaus nicht zusätzlich, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Sie muss also keine „Konsequenz oder Folge der Rechtsverletzung von zumindest einigem Gewicht“ oder das Überschreiten einer „Erheblichkeitsschwelle“ darlegen. Bereits die Verletzung der DSG[X.] selbst führt zu einem auszugleichenden immateriellen Schaden ([X.] 26.08.2021– 8 AZR 253/20 ([X.]. 33; LAG Hamm 11.05.2021– 6 Sa 1260/20– Rn. 62ff.; [X.] 22.10.2021– 16 Sa 761/20– Rn. 228). Für dieses Verständnis spricht [X.] 146 Satz 3 DSG[X.], wonach der Begriff des Schadens im Lichte der Rechtsprechung des [X.] weit und auf eine Weise ausgelegt werden soll, die den Zielen der Verordnung in vollem Umfang entspricht. Bereits der - auch hier eingetretene - Verlust über die Kontrolle der eigenen personenbezogenen Daten kann nach [X.] 75 und 85 DSG[X.] einen immateriellen Schaden begründen. Bei diesem Verständnis bleiben die Schwere eines Pflichtenverstoßes und das Ausmaß der damit einhergehenden Beeinträchtigungen auch nicht unberücksichtigt. Sie können effektiv im Rahmen der Bemessung der Höhe des Schadensersatzes berücksichtigt werden ([X.] 22.10.2021– 16 Sa 761/20– Rn. 228).

f) Die Klägerin hat die Bemessung der Höhe des immateriellen Schadensersatzes in das Ermessen des Gerichts gestellt,§287 Abs.1 [X.] ZPO. Unter Würdigung aller Umstände des Einzelfalles geht die Berufungskammer im Einklang mit der Entscheidung des Arbeitsgerichts davon aus, dass der Klägerin zur Abgeltung des immateriellen Schadens ein Geldanspruch in Höhe von 2.000,00 € zusteht.

[X.]) Nach [X.] 146 Satz 6 der DSG[X.] sollen die betroffenen Personen einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten. Bei der Bemessung des immateriellen Schadenersatzes durch das Gericht sind daher alle Umstände des Einzelfalls zu berücksichtigen. Es soll ein tatsächlicher und wirksamer rechtlicher Schutz der aus der DSG[X.] hergeleiteten Rechte gewährleistet werden [X.] 26.08.2021– 8 AZR 253/20 ([X.]. 36).

[X.]) Unter Berücksichtigung und Abwägung aller Umstände des Einzelfalls ist ein Schadensersatz in Höhe von 2.000,00 € angemessen.

(1) Ein vorsätzliches Handeln der [X.] ist nicht festzustellen. Sie holte vor Durchführung der streitgegenständlichen Verarbeitung eine rechtliche Stellungnahme eines Rechtsanwalts und Fachanwalts für Arbeitsrecht und Informationstechnologierecht ein, nach der die Datenübermittlung aufgrund eines gesetzlichen Erlaubnistatbestandes grundsätzlich zulässig sein sollte. Zu berücksichtigen ist auch, dass die konkrete Rechtsfrage im Zeitpunkt der Datenverarbeitung nicht höchstrichterlich geklärt war. Die [X.] hat den Verstoß gegen die DSG[X.] jedoch fahrlässig herbeigeführt. Sie hätte bei Beachtung der im Verkehr erforderlichen Sorgfalt (§ 276 Abs. 2 BGB) erkennen können und müssen, dass die Verarbeitung in ihrer durchgeführten Form nicht erforderlich war, sondern über das für den Zweck erforderliche Maß hinausging. Das eingeholte rechtliche Gutachten wies selbst darauf hin, dass eine anonymisierte Weitergabe der Daten Vorrang hätte, wenn die Vorgaben der Geschäftsführung durch eine solche Weitergabe ebenso erreicht werden könnten. Der Personalleiter der [X.] [X.] hatte in seiner E-Mail vom [X.] ([X.] 157 [X.]) ebenfalls auf die Möglichkeit einer anonymisierten bzw. pseudonymisierten Datenübermittlung hingewiesen. Darüber hinaus sieht auch die [X.], die nur drei Wochen vor der hier in Rede stehenden [X.] abgeschlossen worden war, vor, dass Beschäftigtendaten für Controlling- und Benchmark-Zwecke grundsätzlich nur pseudonymisiert genutzt werden dürfen. Auch vor diesem Hintergrund lag eine pseudonymisierte Verarbeitung der Daten nahe. Die Übermittlung beinhaltete in ihrer konkreten Form schließlich auch Daten wie das Geburtsdatum und die Privatadresse der Klägerin, die von vornherein und ganz offensichtlich nicht vom Zweck der Übermittlung gedeckt waren.

(2) Zulasten der [X.] war darüber hinaus zu berücksichtigen, dass sie den Grundsatz der Transparenz (Art. 5 Abs. 1 Buchstabe a Var. 3 DSG[X.]) nicht beachtet und die ihr gegenüber der Klägerin obliegenden Informationspflichten im Hinblick auf die Datenübermittlung nachhaltig nicht erfüllt hat, obwohl sie in dem eingeholten Rechtsgutachten vom 05.03.2019 ausdrücklich auf die ihr obliegenden Informationspflichten nach der DSG[X.] hingewiesen worden war. Deshalb hatte die Klägerin keine Möglichkeit, ihr Widerspruchsrecht nach Art. 21 Abs. 1 DSG[X.] rechtzeitig und effektiv auszuüben. Zur Vermeidung von Wiederholungen wird insoweit auf die obigen Ausführungen verwiesen. Zudem entsprach die Datenübermittlung in ihrer konkreten Ausgestaltung nicht dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSG[X.]). Die Klägerin musste auch nicht mit einer Übermittlung ihrer Daten an die [X.] rechnen. Die Verarbeitung betraf Personaldaten der Klägerin, die grundsätzlich vertraulich zu behandeln sind. Die Datenübermittlung war auch - jedenfalls bis zur Löschung der Daten durch die [X.] - geeignet, sich für die Klägerin nachteilig auszuwirken. Ergänzend wird auch bezüglich dieser Aspekte auf die obigen Ausführungen Bezug genommen.

(3) Die Berufungskammer hat auch berücksichtigt, dass die [X.] mit Schreiben vom 16.01.2020 – und damit wenige Tage vor dem am 22.01.2020 stattfindenden Termin vor dem [X.] – einen Versuch unternommen hat, die streitgegenständliche Datenübermittlung im Nachhinein zu legitimieren. Sie übersandte der Klägerin eine „Information und Einverständniserklärung zur Verarbeitung ihrer Beschäftigtendaten“ mit dem Ziel, dass die Klägerin ihr schriftliches Einverständnis zur Übermittlung von Daten an die [X.] geben würde. Dabei hat die [X.] der Klägerin jedoch keine vollständige Wahlfreiheit im Hinblick auf die Erteilung einer Einwilligung eingeräumt, sondern mitgeteilt, dass die Klägerin ihre Zielvereinbarung für das [X.] (erst) erhalten würde, wenn sie die beigefügte Einverständniserklärung unterzeichnet an die Personalabteilung zurückgegeben hätte. Ein solches Vorgehen steht im Widerspruch zu Art. 7 Abs. 4 DSG[X.]. Die Klägerin hat gemäß § 2 Abs. 3 des Arbeitsvertrags einen Anspruch auf eine jährliche Zielvereinbarung. Die von der [X.] verlangte Einwilligungserklärung war für den Abschluss der Zielvereinbarung nicht erforderlich und stand mit dieser in keinem Zusammenhang.

(4) Zugunsten der [X.] war zu berücksichtigen, dass sie Maßnahmen zum Schutz der personenbezogenen Daten der Klägerin ergriffen hat. Einer ersten Aufforderung zur Datenübermittlung hat sich der Personalleiter der [X.] [X.] mit E-Mail vom [X.] unter Hinweis auf datenschutzrechtliche Bedenken widersetzt. In der Folge wurde ein Rechtsgutachten eingeholt, um die Rechtslage klären zu lassen. Vor der Datenübermittlung wurde erörtert, wer Zugriff auf die Daten erhalten sollte, was sich unter anderem aus der E-Mail der [X.] vom 17.01.2019 ([X.] 65 [X.]) ergibt. Für die Datenübermittlung innerhalb des Konzerns bestand auch grundsätzlich ein berechtigtes Interesse. Eine Weitergabe der Daten an externe Dritte außerhalb des Konzerns ist nicht erfolgt. Es handelte sich um eine einmalige Datenübermittlung. Es ist nicht erkennbar, dass aus ihr konkrete nachteilige Folgen materieller Art für die Klägerin resultieren. Die Berufungskammer hat allerdings auch berücksichtigt, dass die wenn auch nur einmalige Datenübermittlung dauerhafte, auch nachteilige Auswirkungen für die Klägerin hätte haben können (s.o.). Dass derartige Auswirkungen zukünftig nicht eintreten werden, beruht nicht auf einem Verhalten der [X.], sondern auf dem Umstand, dass die [X.] gerichtlich zur Löschung der Daten verurteilt wurde.

(5) Die Berufungskammer hat beachtet, dass die [X.] im Hinblick auf die im [X.] an die Übermittlung erfolgte Speicherung und Nutzung der personenbezogenen Daten der Klägerin durch das rechtskräftige Urteil des [X.] vom [X.] zur Zahlung eines Schadensersatzes gemäß Art. 82 Abs. 1 DSG[X.] iHv. 4000,00 € verurteilt worden ist. Im vorliegenden Verfahren war allein der immaterielle Schaden der Klägerin zu bemessen, der durch die Datenübermittlung an die [X.] entstanden ist.

(6) Unter Berücksichtigung der vorgenannten Aspekte und aller weiteren Umstände des vorliegenden Streitfalls, welche die Berufungskammer bei ihrer Entscheidung ebenfalls berücksichtigt hat, hält sie einen Schadensersatz iHv. 2.000,00 € für angemessen. Nach Überzeugung der Berufungskammer erhält die Klägerin damit einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden, der gleichzeitig gegenüber der [X.] eine abschreckende Wirkung entfaltet.

g) Die [X.] haftet allein und nicht gemeinsam mit der [X.] als Gesamtschuldner. Eine gesamtschuldnerische Haftung kommt nach Art. 82 Abs. 4 DSG[X.] nur bei der Beteiligung mehrerer Verantwortlicher an „derselben Verarbeitung“ in Betracht. Hier liegen mit der Übermittlung der Daten durch die [X.] einerseits und der Speicherung und Nutzung der Daten durch die [X.] andererseits zwei unterschiedliche Verarbeitungsvorgänge iSd. Art. 4 Nr. 2 DSG[X.] mit jeweils unterschiedlichen Verantwortlichen vor. Das in zweiter Instanz durch das [X.] entschiedene Verfahren der Klägerin gegen die [X.] betraf nicht den hier streitgegenständlichen Verarbeitungsvorgang, sondern ausschließlich die Speicherung und Nutzung der Daten durch die [X.].

B. Die [X.]berufung der Klägerin ist zulässig, aber unbegründet.

I. Nach §524 Abs.2 [X.] iVm. §64 Abs.6 [X.] ArbGG ist eine [X.]berufung bis zum Ablauf der dem Berufungsbeklagten gesetzten Frist zur Berufungserwiderung zulässig. Im arbeitsgerichtlichen Verfahren wird zwar -anders als nach §521 Abs.2 [X.] ZPO- dem Berufungsbeklagten vom Gericht keine Frist zur Berufungserwiderung „gesetzt“; vielmehr gilt für die [X.] die durch §66 Abs.1 [X.] ArbGG bestimmte gesetzliche Frist. Gleichwohl ist §524 Abs.2 [X.] gemäß §64 Abs.6 [X.] ArbGG entsprechend anwendbar. Eine [X.]berufung muss innerhalb eines Monats nach Zustellung der Berufungsbegründung -bei Verlängerung der [X.]sfrist nach §66 Abs.1 [X.] innerhalb der dann geltenden Frist eingehen. Nach §524 Abs.3 [X.] ZPO muss die [X.]berufung in der [X.]schrift begründet werden ([X.] 25.03.2021– 8 [X.]/20– Rn. 52).

II. Diese Voraussetzungen sind im Streitfall erfüllt. Die Klägerin hatte bereits mit einem am 07.10.2020 beim [X.] eingegangenen Schriftsatz [X.]berufung eingelegt und diese innerhalb der bis zum 30.12.2020 verlängerten [X.]sfrist auch ordnungsgemäß begründet.

III. Die [X.]berufung der Klägerin ist jedoch nicht begründet. Unter Berücksichtigung sämtlicher Umstände des vorliegenden Streitfalls hält die Berufungskammer wie dargelegt einen Schadensersatz iHv. 2.000,00 € für angemessen.

C. Die Kostenentscheidung beruht auf § 97 Abs. 1, 92 Abs. 1 ZPO. Aus den jeweiligen [X.] der Parteien in der Berufungsinstanz ergibt sich die aus dem Tenor ersichtliche Kostenquote. Als Streitwert für den Unterlassungsantrag hat die Berufungskammer dabei entsprechend der Festsetzung durch das Arbeitsgericht einen Betrag in Höhe von 5.000,00 € in Ansatz gebracht.

Die Revision war gemäß § 72 Abs. 2 Nr. 1 ArbGG zuzulassen. Die entscheidungserheblichen Rechtsfragen zur Auslegung und Anwendung der DSG[X.] haben grundsätzliche Bedeutung.

Gegen dieses Urteil kann von beiden Parteien

REVISION

eingelegt werden.

Bundesarbeitsgericht

[X.]

99084 Erfurt

Fax: 0361-2636 2000

eingelegt werden.

Die Notfrist beginnt mit der Zustellung des in vollständiger Form abgefassten Urteils, spätestens mit Ablauf von fünf Monaten nach der Verkündung.

Die Revisionsschrift muss von einem Bevollmächtigten eingelegt werden. Als Bevollmächtigte sind nur zugelassen:

1. Rechtsanwälte,

In den Fällen der Ziffern 2 und 3 müssen die Personen, die die Revisionsschrift unterzeichnen, die Befähigung zum Richteramt haben.

Eine Partei, die als Bevollmächtigter zugelassen ist, kann sich selbst vertreten.

Für Rechtsanwälte, Behörden und juristische Personen des öffentlichen Rechts einschließlich der von ihr zur Erfüllung ihrer öffentlichen Aufgaben gebildeten Zusammenschlüsse besteht ab dem 01.01.2022 gemäß §§ 46g, 72 Abs. 6 ArbGG grundsätzlich die Pflicht, die Revision ausschließlich als elektronisches Dokument einzureichen. Gleiches gilt für vertretungsberechtigte Personen, für die ein sicherer Übermittlungsweg nach §46c Abs. 4 Satz 1 Nr. 2 ArbGG zur Verfügung steht.

Das elektronische Dokument muss für die Bearbeitung durch das Gericht geeignet und mit einer qualifizierten elektronischen Signatur der verantwortenden Person versehen sein oder von der verantwortenden Person signiert und auf einem sicheren Übermittlungsweg gemäß §46cArbGG nach näherer Maßgabe der Verordnung über die technischen Rahmenbedingungen des elektronischen Rechtsverkehrs und über das besondere elektronische Behördenpostfach ([X.]) v. 24. November 2017 in der jeweils geltenden Fassung eingereicht werden.

* eine Notfrist ist unabänderlich und kann nicht verlängert werden.