DSGVO: Kundenkontakt über private Social-Media-Kanäle ist nicht erlaubt

Ein Unternehmen muss die Daten einer Mitarbeiterin herausgeben, wenn diese Kundendaten auf ihrem privaten Gerät unzulässig genutzt hat. Das hat das Landgericht Baden-Baden entschieden.

Im konkreten Fall hatte eine Mitarbeiterin eine Kundin mit ihrem Handy auf einem Social-Media-Kanal angeschrieben, wie das Landgericht in einer Pressemitteilung mitteilt. Die Kundin hatte im Unternehmen, in dem diese Mitarbeiterin angestellt ist, einen Fernseher und eine Wandhalterung gekauft. Dabei wurden ihr Name und ihre Anschrift erfasst. Die Kundin brachte die Wandhalterung kurze Zeit später zurück. Im Zuge dessen wurde ihr allerdings versehentlich der Kaufpreis des Fernsehers erstattet, welcher deutlich höher war. 

Mitarbeiterin schrieb Kundin bei Social Media an

Als einer Mitarbeiterin des Shops der Fehler auffiel, nutzte sie die Daten der Kundin, um ihren Social-Media-Account ausfindig zu machen und schrieb der Kundin dort eine Nachricht. Die Kundin erhielt eine weitere Nachricht, in der sie aufgefordert wurde, sich wegen dieses Fehlers mit dem Chef des Unternehmens in Verbindung zu setzen. 

Daraufhin klagte die Kundin gegen das Unternehmen und verlangte Auskunft darüber, an welche Mitarbeiterin die Daten übermittelt wurden. Außerdem verlangte sie, dass das Unternehmen es seinen Beschäftigten untersagt, personenbezogene Daten auf privaten Geräten zu nutzen. 

Ist die Mitarbeiterin „Empfänger“ im Sinne der DSGVO?

Das Amtsgericht lehnte die Klage zunächst ab. Es begründete diese Entscheidung, damit, dass Mitarbeiter:innen eines Unternehmens grundsätzlich nicht als „Empfänger“ von Daten im Sinne der DSGVO sind. Denn die DSGVO regelt in Artikel 15, worüber Betroffene einen Auskunftsanspruch haben. Unter Buchstabe c) heißt es: 

„die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen“

In der Regel gelten Mitarbeiter:innen nicht als „Empfänger“ im Sinne der DSGVO. Das Landgericht Baden-Baden stellte in seiner Entscheidung allerdings klar, dass dies nur gelte, wenn die Belegschaft die Weisungen und Regeln des Arbeitgebers einhalten. Hier hat eine Mitarbeiterin die Daten allerdings eigenmächtig genutzt, um mit einem privaten Gerät Kontakt zu der Kundin aufzubauen. Daher hatte die Kundin ein Anrecht darauf, den Namen der Mitarbeiterin zu erfahren, um Ansprüche gegen die Person geltend zu machen. 

Das Gericht verurteilte das Unternehmen außerdem dazu, es den Mitarbeiter:innen zu untersagen, Kundendaten auf einem privaten Kommunikationsgerät zu nutzen.